Rappel de la cybersécurité et panorama des menaces actuelles¶

1. Objectif du cours¶

Comprendre les fondamentaux de la cybersécurité (triade CIA, traçabilité), cartographier la surface d'attaque, et identifier les familles d'attaques, acteurs et tendances pour détecter et répondre aux incidents.

2. Notions et définitions essentielles¶

Triade CIA : Confidentialité (accès autorisé aux données), Intégrité (données non modifiées), Disponibilité (systèmes accessibles).
Traçabilité : enregistrement des actions pour identifier l'origine d'un incident et produire des preuves.
Surface d'attaque : ensemble des points d'entrée (applications web, terminaux, infrastructure réseau, cloud).
Phishing / Spear phishing : usurpation d'une entité de confiance pour soutirer identifiants/données ; spear phishing = ciblage personnalisé.
APT (Advanced Persistent Threat) : attaque sophistiquée et prolongée visant une implantation durable.

3. Fonctionnement et principes¶

Utiliser la triade CIA pour classer un incident : déterminer quel pilier est affecté oriente la réponse (ex. exfiltration → confidentialité, DDoS → disponibilité).
Cycle de vie d’un incident (6 phases) : reconnaissance → préparation → intrusion initiale → établissement (persistance) → escalade (privilèges) → exfiltration/persistance. Chaque phase laisse des traces exploitables dans les logs.
Surface d'attaque dynamique : nouveaux services, terminaux ou configurations cloud modifient l'exposition ; cartographie régulière indispensable.
Vecteurs dominants (statistiques SNCF Connect) : phishing/ingénierie sociale (~40%), vulnérabilités non corrigées (~30%), erreurs de configuration (~20%). Ces vecteurs peuvent être combinés en attaques multivectorielles.
Évolution des menaces : usage d'IA pour personnaliser phishing et automatiser reconnaissance, professionnalisation du cybercrime (RaaS, services), exploitation du cloud et des infrastructures IoT (botnets pour DDoS), menace des zero-days et attaques sur la chaîne d'approvisionnement logicielle.

4. Commandes et manipulations¶

Non abordé dans ce cours.

5. Sécurité et bonnes pratiques¶

Cartographier la surface d'attaque par inventaire automatisé (GLPI, Lansweeper) et scans externes (Shodan) pour prioriser remédiations.
Gestion des correctifs coordonnée : planifier mises à jour en tenant compte des contraintes opérationnelles pour réduire fenêtres d'exploitation.
Surveillance multicouche : corrélation des événements réseau et alertes système (SOC), UEBA pour comportements utilisateurs anormaux, monitoring des flux sortants et des domaines récemment enregistrés.
Gestion organisationnelle : escalade vers RSSI, coopération SOC/CERT-FR/ANSSI pour incidents graves, documentation et traçage des actions comme preuves.
Priorisation en contexte opérationnel : isoler actifs compromis en priorité, bloquer communications malveillantes, puis analyser et restaurer (ordre d'action recommandé par l'exercice).

6. Points essentiels à retenir pour le TSSR¶

Maîtriser la triade CIA et ajouter la traçabilité comme exigence opérationnelle.
Connaître les six phases du cycle d'incident pour repérer où intervenir.
Les trois vecteurs majoritaires (phishing 40%, correctifs manquants 30%, erreurs config 20%) guident la priorisation.
Inventaire et scans automatisés (GLPI, Lansweeper, Shodan) sont indispensables pour cartographier la surface d'attaque.
Les indicateurs utiles : domaines récemment créés, pics de trafic, transferts sortants massifs, processus système modifiés, connexions VPN depuis pays non autorisés.
DDoS actuel : repérer pics de trafic, connexions simultanées élevées, erreurs applicatives (HTTP 500).
Les APT se distinguent par durée, discrétion et infrastructures résilientes ; notifier CERT-FR si infrastructure critique ciblée.
L'IA augmente la personnalisation des attaques ; renforcer la sensibilisation au phishing malgré l'automatisation.
Surveillance corrélée (réseau + système + applicatif) réduit les faux négatifs sur attaques multivectorielles.
Documenter et coordonner avec RSSI/CERT-FR pour incidents d'ampleur et preuves légales.

7. Tableau récapitulatif¶

Élément	Caractéristique	Impact typique	Détection indicative
Phishing	40% des intrusions	Vol d’identifiants → intrusion initiale	Emails imitant RH, domaines récents
Vulnérabilités non corrigées	30%	Exploitation serveur → accès interne	Scans de ports, tentatives d’exploit
Erreurs de configuration	20%	Exposition massive de données	Accès non autorisé à DB, absence d’alerte
DDoS (botnets IoT)	Saturation réseau	Indisponibilité service	Pic trafic, connexions simultanées élevées
APT	Sophistication & persistance	Exfiltration ciblée et discrète	Transferts horaires, C2 résilient

8. Vérifications pratiques¶

Logs réseau : présence d’un transfert sortant massif (ex. 2,3 GB vers IP suspecte).
DNS : résolutions répétées vers domaine récemment enregistré (ex. temp-update-sncf[.]com créé 48 h).
Sessions VPN : connexions nouvelles depuis pays non autorisés.
Processus système : détection de svchost.exe modifié communiquant vers une IP externe.
Serveur web : multiplication d’erreurs HTTP 500 et scans de ports anormaux.
Corrélation SOC : mise en relation des indicateurs pour confirmer exfiltration ou persistance.

9. Flashcards Anki¶

Quels sont les trois piliers de la triade CIA ? :: Confidentialité :: Intégrité :: Disponibilité Que désigne la traçabilité en cybersécurité ? :: Enregistrement des actions pour identifier l’origine d’un incident et fournir des preuves Combien de phases compte le cycle de vie d’un incident décrit dans le cours ? :: Six phases Quel pourcentage des incidents implique le facteur humain selon SNCF Connect ? :: Plus de 85% Quels sont les trois vecteurs dominants identifiés chez SNCF Connect et leurs pourcentages ? :: Phishing 40% :: Vulnérabilités non corrigées 30% :: Erreurs de configuration 20% Nommez trois outils cités pour l’inventaire et la détection d’actifs exposés. :: GLPI :: Lansweeper :: Shodan Quel indicateur réseau concret signale une exfiltration dans l’exercice ? :: Transfert sortant inhabituel de 2,3 GB vers une IP suspecte Quel processus système modifié a été relevé comme signe de compromission ? :: svchost.exe modifié Quand faut-il notifier le CERT-FR selon le document ? :: Pour une attaque d’ampleur touchant une infrastructure critique ou suggérant une APT Qu’est-ce qu’une APT ? :: Campagne sophistiquée et prolongée visant une implantation durable pour voler des informations sensibles