Préparation : plans d’IR, guides opérationnels et équipes

Le cycle de vie de la réponse aux incidents du NIST comporte quatre phases : préparation, détection et analyse, confinement/éradication/rétablissement, et activités post-incident. La préparation est la phase la plus importante : tout ce qu’une organisation fait avant un incident détermine l’efficacité de sa réponse lorsqu’il survient. Les organisations qui investissent dans la préparation découvrent les compromissions plus rapidement, les contiennent plus vite et dépensent beaucoup moins pour le rétablissement. L’écart de coût moyen entre une préparation IR élevée et faible se chiffre à plusieurs millions de dollars par incident.

Un plan de réponse aux incidents (IRP) est le document de référence qui définit l'approche de l'organisation pour gérer les incidents de sécurité. Un IRP complet comprend : la mission et la portée, les rôles de l'équipe et les coordonnées, les définitions de ce qui constitue un incident, les critères de classification de la gravité, les procédures d'escalade, des modèles de communication, les exigences légales et réglementaires en matière de notification, ainsi que des références aux guides opératoires techniques. L'IRP doit être approuvé par la direction et réexaminé au moins une fois par an.

Le CSIRT est l'équipe chargée d'exécuter l'IRP. Les principaux rôles sont les suivants : le responsable de l'incident (coordination générale et prise de décision), les analystes de sécurité (investigation technique et collecte des éléments de preuve), le responsable des communications (messages destinés aux parties prenantes, aux clients et aux médias), le conseiller juridique (conformité réglementaire et liaison avec les forces de l'ordre), ainsi que le parrain exécutif (autorisation des mesures correctives importantes). Des rôles clairement définis évitent la confusion et garantissent qu'aucune tâche critique ne soit oubliée.

La classification de la gravité détermine l'urgence de la réponse, la voie d'escalade et les exigences de notification. Un modèle courant à quatre niveaux est le suivant : P1/Critical — compromission active avec exfiltration de données ou impact important sur l'activité, nécessitant une réponse immédiate 24 heures sur 24 et 7 jours sur 7 ; P2/High — compromission confirmée sans perte de données confirmée ; P3/Medium — activité suspecte faisant l'objet d'une investigation ; P4/Low — violations des règles ou anomalies mineures. Les erreurs de classification — traiter un P1 comme un P3 — permettent aux compromissions de s'étendre tandis que la réponse est retardée.

Alors que l'IRP fournit l'orientation stratégique, les guides opératoires fournissent des procédures tactiques détaillées, étape par étape, pour répondre à des types d'incidents précis. Un guide opératoire contre les rançongiciels peut préciser : isoler les systèmes touchés (étape 1), capturer les images Forensic avant tout nettoyage (étape 2), vérifier si la souche est connue et s'il existe des outils de déchiffrement (étape 3), avertir l'équipe dirigeante (étape 4), faire appel à une entreprise externe spécialisée en réponse aux incidents (étape 5). Les guides opératoires réduisent la charge cognitive lors d'incidents très stressants, pendant lesquels les intervenants pourraient sinon manquer des étapes critiques.

La préparation technique comprend le déploiement et la configuration des outils dont les intervenants auront besoin pendant un incident. La boîte à outils IR essentielle comprend : SIEM pour l'agrégation et la corrélation des journaux, EDR pour la visibilité sur les points de terminaison et le confinement, les outils d'imagerie Forensic (FTK, dd, Magnet AXIOM), l'acquisition de la mémoire (Magnet RAM Capture, WinPmem), la capture de paquets réseau (Wireshark, Zeek), ainsi que des canaux de communication hors bande (au cas où l'Email principale serait compromise pendant l'incident).

De nombreuses organisations concluent des accords de disponibilité avec des entreprises spécialisées dans la réponse aux incidents (Mandiant, CrowdStrike, Palo Alto Unit 42). Un tel accord garantit une réponse prioritaire lorsqu'un incident survient, avec des tarifs négociés à l'avance et des SLA définis (par exemple, un intervenant sur place dans les 4 heures suivant la notification). Sans accord de disponibilité, faire intervenir une entreprise spécialisée lors d'une compromission majeure peut prendre plusieurs jours et entraîner des tarifs très élevés. Ces entreprises proposent également l'animation d'exercices sur table, la recherche proactive de menaces et des évaluations préalables à une compromission.

Les exercices sur table simulent des scénarios d'incident sous la forme d'une discussion en salle de réunion, sans toucher aux systèmes de production. Les participants analysent un scénario évolutif — une attaque par rançongiciel, un Email frauduleux prétendument envoyé par le CEO, une compromission de credentials — et discutent de ce qu'ils feraient à chaque point de décision. Ces exercices révèlent les lacunes des guides opératoires, le manque de clarté des responsabilités et les hypothèses non testées, avant qu'un incident réel ne les mette en évidence. Ils doivent être organisés chaque trimestre pour le CSIRT et une fois par an pour les cadres dirigeants.

La communication en cas d'incident doit être planifiée à l'avance. Les principaux points à prendre en compte sont les suivants : les délais de notification réglementaire (le GDPR exige une notification de compromission dans les 72 heures, le HIPAA dans les 60 jours, et les lois des États en matière de compromission varient), les modèles de notification des clients, les critères de notification des forces de l'ordre (FBI pour les rançongiciels, Secret Service pour la fraude financière), les messages destinés aux relations publiques et la communication interne aux employés. Il est essentiel que les communications pendant un incident utilisent des canaux hors bande : l'attaquant peut surveiller l'Email de l'entreprise.

La préparation comprend la mise en place de procédures de collecte des éléments de preuve qui en préservent la recevabilité juridique. Les principales exigences sont les suivantes : documenter l'ordre de volatilité, utiliser des bloqueurs d'écriture pour l'imagerie des disques, enregistrer les hachages cryptographiques de tous les éléments de preuve (SHA-256) et documenter la chaîne de conservation, de la collecte au stockage. Les éléments de preuve qui ne peuvent pas être authentifiés — parce que les procédures n'ont pas été respectées — peuvent être jugés irrecevables dans les procédures judiciaires contre des attaquants ou des employés.

Les organisations dont la préparation à la réponse aux incidents n'est pas mature commettent régulièrement des erreurs coûteuses lors des compromissions : les intervenants réinstallent les systèmes avant de capturer les éléments de preuve Forensic (détruisant ainsi la possibilité de comprendre ce qui s'est passé), communiquent par des canaux compromis (alertant les attaquants), tardent à effectuer l'escalade parce que la classification de la gravité n'est pas claire, n'ont pas l'autorité nécessaire pour prendre des décisions de confinement (ce qui exige des heures d'approbation) et ne peuvent pas identifier les systèmes touchés parce que l'inventaire des actifs est incomplet. Chacune de ces défaillances peut être évitée grâce à une bonne préparation.

Testez votre compréhension des concepts de CompTIA Security+ (SY0-701) abordés dans cette leçon.

Dans cette leçon, vous avez appris que : l'IRP est le document de référence qui définit les rôles, les classifications de la gravité et les procédures de communication, que les guides opératoires fournissent des directives tactiques détaillées, étape par étape, pour des types d'incidents précis, et que les exercices sur table et les accords de disponibilité préparent les équipes à intervenir efficacement avant qu'un incident réel ne survienne. Nous allons maintenant étudier la détection et l'analyse : identifier les incidents réels.