Cycle de vie de l’IR : préparation, identification, confinement

La réponse aux incidents (IR) est une approche structurée pour traiter et gérer les incidents de sécurité. Son objectif est de réduire au minimum les dommages, de raccourcir le temps de récupération et d'empêcher leur réapparition. Il est essentiel de disposer d'un plan IR documenté avant qu'un incident ne survienne.

Principaux cadres de référence de réponse aux incidents :

• NIST SP 800-61 : Préparation → Détection/Analyse → Confinement/Éradication/Récupération → Après incident
• SANS PICERL : Préparer, Identifier, Confiner, Éradiquer, Récupérer, Leçons tirées
• CISA : Globalement aligné sur NIST

Activités de préparation :

• Documenter la politique et les procédures de réponse aux incidents
• Constituer et former l'équipe de réponse aux incidents (CIRT)
• Déployer des outils de journalisation et de détection
• Établir des canaux de communication et des voies d'escalade
• Organiser des exercices sur table et des simulations
• Créer des guides opérationnels pour les types d'incidents courants

Préparez-vous avant que les incidents ne surviennent :

• SIEM centralisé pour l'analyse des journaux
• Poste de travail de criminalistique numérique avec des dispositifs de blocage en écriture et des outils d'acquisition d'images
• Contacts juridiques et HR identifiés à l'avance
• Contrat de réponse aux incidents avec un cabinet externe de criminalistique numérique
• Sauvegardes hors ligne vérifiées et accessibles

L'identification consiste à détecter et à confirmer qu'un incident s'est produit. Sources de détection :

• Alertes SIEM et événements IDS/IPS
• Signalements des utilisateurs (« mon ordinateur se comporte bizarrement »)
• Flux de renseignements sur les menaces
• Détection des anomalies (heures de connexion inhabituelles, transferts de données)
• Notification par un tiers (forces de l'ordre, partenaires)

Classez les incidents selon leur gravité afin de donner la priorité à la réponse :

• P1/Critique : intrusion en cours, exfiltration de données, rançongiciel
• P2/Élevé : compte privilégié compromis, logiciel malveillant détecté
• P3/Moyen : violation de la politique, activité suspecte
• P4/Faible : tentatives de connexion échouées, mauvaise configuration mineure

Le confinement stoppe la propagation des dommages sans détruire les éléments de preuve. Il en existe deux types :

• Confinement à court terme : isoler les systèmes affectés (quarantaine réseau)
• Confinement à long terme : supprimer les artefacts malveillants tout en maintenant les opérations

Mesures de confinement :

• Isolation du réseau : quarantaine du VLAN, règles de blocage du pare-feu
• Verrouillage des comptes : désactiver les identifiants compromis
• Arrêt via EDR : terminer les processus malveillants au moyen d'EDR
• Puits de redirection DNS : rediriger les domaines de commande et de contrôle afin d'empêcher les communications de rappel
• Préserver les éléments de preuve BEFORE l'effacement

Lors d'incidents majeurs, utilisez une structure de commandement claire :

• Commandant de l'incident — coordination générale
• Responsable technique — enquête et remédiation
• Responsable des communications — notifications internes et externes
• Juridique/Conformité — obligations réglementaires

Une réponse aux incidents efficace mène en parallèle le confinement, l'enquête et les communications, et non successivement. Pendant que l'équipe technique contient la menace, le service juridique prépare les notifications et la direction communique avec les parties prenantes. Le temps est essentiel : chaque heure d'accès non confiné entraîne davantage de dommages.

Documentez tout au cours d'un incident :

• Chronologie des événements avec horodatages
• Toutes les mesures prises (qui, quoi, quand)
• Éléments de preuve recueillis et chaîne de possession
• Décisions prises et raisons les motivant

Cette documentation est essentielle pour les procédures judiciaires et l'examen après incident.

Au cours de quelle phase de la réponse aux incidents isoleriez-vous un système infecté du réseau pour empêcher la propagation d'un logiciel malveillant ?

Le cycle de vie de la réponse aux incidents (NIST) comprend les phases suivantes : Préparation, Identification, Confinement, Éradication, Récupération, Après incident. La préparation est la phase la plus importante : constituez l'équipe, préparez les outils et les guides opérationnels avant que les incidents ne surviennent. L'identification confirme qu'un incident s'est produit. Le confinement stoppe la propagation tout en préservant les éléments de preuve. Documentez chaque mesure avec son horodatage.