Éradication, reprise et enseignements tirés

L'éradication supprime la menace de tous les systèmes affectés. Une fois que le confinement a confirmé l'étendue de l'incident, l'éradication garantit qu'il ne reste aucun mécanisme de persistance : logiciel malveillant, porte dérobée, identifiants compromis ou compte non autorisé.

Une éradication complète comprend :

• Supprimer tous les logiciels malveillants et implants identifiés lors de l'enquête
• Supprimer les comptes utilisateur non autorisés et les clés SSH ajoutés par l'attaquant
• Supprimer les tâches cron, les clés d'exécution du registre et les tâches planifiées ajoutées par l'attaquant
• Corriger la vulnérabilité qui a permis l'accès initial
• Réinitialiser tous les identifiants compromis
• Reconstruire les systèmes gravement compromis à partir d'images vérifiées comme saines

Pour les systèmes gravement compromis, il est plus fiable de les reconstruire à partir d'une image saine que d'essayer de supprimer tous les artefacts malveillants. Les rootkits et les implants persistants peuvent survivre aux tentatives de nettoyage. Le risque de passer à côté de quelque chose est trop élevé pour les systèmes critiques.

Après le nettoyage, vérifiez les éléments suivants :

• Effectuez une nouvelle analyse avec plusieurs outils AV/EDR
• Examinez les mécanismes de persistance (autoruns, cron, services)
• Recherchez les nouveaux comptes utilisateur ou les nouvelles clés SSH
• Surveillez le trafic réseau à la recherche de communications de rappel de commande et de contrôle
• Effectuez des vérifications d'intégrité sur les fichiers binaires critiques

La récupération rétablit les systèmes dans des conditions normales d'exploitation et en toute sécurité. Une récupération précipitée, sans confirmation de l'éradication, risque de provoquer une nouvelle infection. Activités principales :

• Restaurer les systèmes à partir de sauvegardes propres vérifiées lorsque cela est nécessaire
• Remettre progressivement les systèmes en ligne avec une surveillance renforcée
• Vérifier l'intégrité et le bon fonctionnement des systèmes
• Surveiller les signes d'un retour de l'attaquant

Restauration à partir de sauvegardes :

• Vérifier l'intégrité des sauvegardes (comparaison des empreintes)
• Restaurer dans un environnement sain, et non dans le même environnement compromis
• Tester les systèmes restaurés avant leur remise en production
• En cas de rançongiciel : s'assurer que le logiciel malveillant est supprimé avant de restaurer les fichiers

Après la récupération, augmentez l'intensité de la surveillance :

• Journalisation renforcée sur les systèmes restaurés pendant au moins 30 jours
• Déclencher une alerte pour toute activité correspondant aux tactiques, techniques et procédures de l'attaquant
• Examiner les flux réseau à la recherche de connexions inhabituelles
• Revalider les contrôles d'accès et les autorisations

L'examen après incident (leçons tirées) doit avoir lieu dans un délai d'une à deux semaines. Participants : équipe de réponse aux incidents, responsables des systèmes affectés et direction. Objectif : comprendre la cause fondamentale, améliorer les défenses et mettre à jour les procédures.

RCA pose les questions suivantes : pourquoi cela s'est-il produit ?

• Quel était le vecteur d'attaque initial ?
• Quelles mesures de contrôle ont échoué ou faisaient défaut ?
• Combien de temps l'attaquant est-il resté présent avant sa détection ?
• Comment l'attaquant s'est-il déplacé latéralement ?
• Quelles données ont été consultées ou exfiltrées ?

Principales mesures IR à suivre :

• MTTD — Temps moyen de détection
• MTTR — Temps moyen de réponse/récupération
• MTTC — Temps moyen de confinement
• Nombre de systèmes affectés
• Étendue de l'exposition des données

Résultats des leçons tirées :

• Mettre à jour les guides opérationnels IR avec les nouvelles tactiques, techniques et procédures observées
• Déployer les capacités de détection manquantes
• Corriger les vulnérabilités identifiées
• Planifier une formation sur les lacunes identifiées
• Mettre à jour les modèles de communication

Pourquoi est-il souvent préférable de reconstruire un système gravement compromis à partir d'une image saine plutôt que d'essayer de le nettoyer ?

L'éradication supprime tous les artefacts laissés par l'attaquant : logiciels malveillants, portes dérobées, comptes non autorisés et mécanismes de persistance de commande et de contrôle. Pour les systèmes gravement compromis, reconstruisez-les plutôt que de les nettoyer. La récupération rétablit les opérations à partir de sauvegardes propres vérifiées et avec une surveillance renforcée. L'examen après incident identifie la cause fondamentale, mesure le MTTD et le MTTR, et améliore les réponses futures grâce à la mise à jour des guides opérationnels et à l'ajout de nouvelles capacités de détection.