Auto-évaluation : Détecter les incidents de sécurité et sensibiliser les utilisateurs¶

1. Objectif du cours¶

Permettre au technicien systèmes et réseaux d'identifier et qualifier des incidents de sécurité à partir d'indicateurs observés (SIEM, EDR, pare-feu), d'engager des actions de confinement/remédiation appropriées et de concevoir des campagnes de sensibilisation adaptées aux profils métier.

2. Notions et définitions essentielles¶

Typosquatting : création de domaines proches d'un domaine légitime pour tromper les destinataires.
MFA fatigue : bombardement de notifications d'authentification jusqu'à la validation par l'utilisateur.
Masquerading : malware se faisant passer pour un processus légitime en s'exécutant depuis un emplacement non standard.
Living-off-the-land : utilisation d'outils légitimes du système (ex. PowerShell) pour des actions malveillantes.
DGA (Domain Generation Algorithm) : génération dynamique de domaines par un malware pour contacter ses C2.
C2 (Command & Control) : serveurs utilisés par l'attaquant pour contrôler des machines compromises.
Exfiltration : transfert non autorisé de données sensibles hors du périmètre.
Outils cités : Microsoft Defender for Endpoint (EDR), Splunk SIEM, Fortinet FortiGate, CASB, Suricata, honeypot, sandbox, analyse NetFlow.

3. Fonctionnement et principes¶

Détection par corrélation : combiner événements (échecs d'authentification, succès depuis IP incohérente, volumes réseau anormaux) pour qualifier une compromission probable.
Baseline comportementale : repérer écarts temporels (activité la nuit), volumes inhabituels et destinations géographiques suspectes pour suspecter exfiltration ou C2.
Réponse en phases : préparation → confinement → investigation → éradication → récupération → surveillance post-incident → documentation/communication. Chaque action (isoler, préserver preuves, analyser logs, supprimer persistances, révoquer accès, patcher, tester) s’inscrit dans une phase précise.
Escalade selon criticité : incidents P1 à P4 (P1 critique mobilise direction/autorités ; P2 majeur implique RSSI/DPO/juridique ; P3 responsable sécurité+IT ; P4 équipe sécurité locale).
Sensibilisation ciblée : adapter format et contenu selon profil (dirigeants, R&D, production, commerciaux, RH, comptabilité) pour maximiser l'adhérence.

4. Commandes et manipulations¶

Non abordé dans ce cours.

5. Sécurité et bonnes pratiques¶

Mesures conservatoires : isoler immédiatement les postes compromis ou la session VPN suspecte pour limiter la propagation.
Préservation des preuves : sauvegarder preuves numériques avant toute modification pour l'investigation forensique.
Révocation et rotation : révoquer certificats et faire la rotation des mots de passe compromis lors de l'éradication.
Continuité contrôlée : isoler postes infectés tout en préservant les systèmes de production critiques (segmentation) pour limiter l'impact métier.
Notifications réglementaires : notifier la CNIL dans les 72 heures en cas de violation de données personnelles.
Post-incident : surveillance renforcée pour détecter réinfections et documentation détaillée de toutes les actions.
Sensibilisation : adapter les formats (courts/interactifs pour R&D ; briefings exécutifs pour la direction ; formations anti-fraude pour compta ; RGPD pour RH ; supports pratiques pour commerciaux itinérants).

6. Points essentiels à retenir pour le TSSR¶

Un pattern de multiples échecs d'authentification puis un succès depuis une IP incohérente suggère une attaque automatisée (credential stuffing/force brute).
MFA fatigue se reconnaît par des demandes répétées d'authentification en dehors des heures habituelles et des accès nocturnes suspects.
Processus système lancé depuis un répertoire non standard (ex. winlogon.exe dans C:\Temp) indique masquerading.
Volume réseau inhabituel vers une IP étrangère à heures creuses (ex. 2 GB à 3h) est fortement évocateur d'exfiltration.
Connexions rapides vers de nombreuses IP ou DNS vers domaines DGA pointent vers des communications C2.
Priorité immédiate face à une compromission suspecte : isoler la session/compte et préserver les preuves.
Escalade selon impact et données exposées : brevets/finances → P2/P1 ; campagne de phishing sans clic → P4/P3.
La rémédiation suit un ordre : sauvegarde preuves → isolation → investigation → éradication (suppression, révocation) → récupération (patchs, tests) → surveillance.
Outils complémentaires : EDR pour endpoints, SIEM pour corrélation, IDS/Suricata et analyse NetFlow pour le réseau, CASB pour cloud, sandbox et honeypots pour analyses proactives.
Mesure d'efficacité des formations : privilégier le nombre de signalements proactifs d'emails suspects plutôt que seuls taux de participation.

7. Tableau récapitulatif¶

Élément observé	Interprétation	Action prioritaire
15 échecs puis succès depuis IP incohérente	Force brute / compromission de compte	Investiguer + isoler compte
Multiples DNS vers domaines récents (DGA)	Communication C2	Bloquer/monitorer DNS, investiguer
Processus système depuis répertoire non standard	Masquerading	Isoler hôte, forensique
2 GB sortant à 3h vers IP lointaine	Exfiltration de données	Suspendre compte, préserver traces
Taux de clics phishing variable par service	Maturité inégale	Adapter formations par profil

8. Vérifications pratiques¶

Vérifier dans le SIEM la séquence « échecs d'authentification → succès » et la géolocalisation de l'IP.
Consulter les logs EDR pour connexions TCP rapides vers de nombreuses IP sur port 443.
Relever les processus exécutés depuis chemins non standards (ex. winlogon.exe depuis C:\Temp) dans les endpoints.
Contrôler les logs réseau/pare-feu pour volumes sortants inhabituels (ex. 2 GB à 3h) et destination géographique.
Repérer dans les logs DNS des rafales de requêtes vers domaines générés algorithmiquement (ex. 50 en 5 minutes).
Confirmer création non planifiée d'un compte administrateur dans Active Directory.
Vérifier alertes d'antivirus/EDR (malware bloqué, keylogger détecté) et état de blocage automatique.

9. Flashcards Anki¶

Délai notification CNIL :: 72 heures Technique créant des domaines proches d'un légitime :: Typosquatting Bombardement de notifications MFA jusqu'à validation :: MFA fatigue Processus système s'exécutant depuis un répertoire non standard :: Masquerading Volume chiffré de 2 GB sortant à 3h vers Chine indique :: Exfiltration de données sensibles EDR cité dans le document :: Microsoft Defender for Endpoint SIEM cité dans le document :: Splunk SIEM "Living-off-the-land" avec PowerShell signifie :: Utiliser des outils légitimes du système pour actions malveillantes Priorité immédiate lors d'activités suspectes simultanées avec VPN :: Isoler la session VPN et révoquer les accès du compte Indicateur DGA observé :: 50 connexions DNS vers domaines générés algorithmiquement en 5 minutes