Application : Détecter les incidents de sécurité et sensibiliser les utilisateurs¶

1. Objectif du cours¶

Exposer une mise en situation opérationnelle d'incident cyber (ESN TechnoServ) pour pratiquer l'analyse, la gestion, la remédiation et la sensibilisation. Fournir méthodes, priorités et actions concrètes à appliquer en tant que technicien systèmes et réseaux.

2. Notions et définitions essentielles¶

Incident de sécurité : événement révélant une compromission ou menace pour la confidentialité, intégrité ou disponibilité des systèmes/données.
Indicateurs de compromission (IOCs) : éléments techniques révélant une intrusion (connexions VPN suspectes, élévations de privilèges, trafic vers domaines récents, alerts EDR).
APT (Advanced Persistent Threat) : attaque sophistiquée, persistante et multi‑vecteurs visant un objectif stratégique.
Méthodologie NIST (gestion d'incident) : phases Préparation, Détection & Analyse, Confinement, Éradication/Remédiation, Retour à la normale.
MFA fatigue : tentative d'épuisement d'un utilisateur via notifications d'authentification non initiées.

3. Fonctionnement et principes¶

Chaîne d'attaque observée : compromission initiale (probable spear phishing) → installation de malware/persistances sur poste → mouvement latéral et élévations de privilèges → mise en place de C2 et exfiltration de données.
Priorités opérationnelles : contenir rapidement la propagation (isolation postes), protéger serveurs critiques (restreindre accès, changer secrets), collecter preuves forensiques (images, logs horodatés) avant toute intervention intrusive.
Règle de qualification : en cas de doute, privilégier une criticité supérieure pour mobiliser ressources (préférence mobiliser pour faux positif plutôt que sous-estimer).

4. Commandes et manipulations¶

Non abordé dans ce cours.

5. Sécurité et bonnes pratiques¶

Préserver les preuves : créer images forensiques et captures mémoire avant toute modification.
Ne pas éteindre les postes compromis (éviter perte de preuves en mémoire).
Utiliser outils forensiques non intrusifs et documenter chaque action (horodatage, chaîne de possession).
Stocker les éléments forensiques dans un coffre-fort numérique chiffré, numérotation et journal signé.
Rotation immédiate des secrets compromis (mots de passe, clés API, certificats).
Ne pas reconnecter un système au réseau avant validation complète.
Prioriser sécurité et continuité : fournir postes temporaires sécurisés et listes blanches IP pour accès restreint.

6. Points essentiels à retenir pour le TSSR¶

Signes critiques d'une compromission : VPN depuis pays non autorisés, élévations de privilèges, trafic vers domaines récents, notifications MFA non initiées.
Qualification probable : attaque de type APT, criticité ÉLEVÉE (données patients en jeu).
Containment prioritaire : isolation postes compromis, quarantaine firewall, interdiction VPN pour comptes concernés, blocage domaines/IPs suspects.
Escalade graduée : Niveau 1 (0–2 h) acteurs immédiats (technique, direction, responsable dev); niveaux supérieurs incluent juridique, communication, clients, assureur.
Notifications réglementaires : CNIL ≤ 72 h, ANSSI ~24 h selon impact (opérateur de services essentiels).
Forensics obligatoires : images des postes, logs SIEM, captures mémoire, journaux AD; documenter chaîne de possession.
Remédiation recommandée : reconstruction complète des postes compromis (formatage + réinstallation) et restauration depuis sauvegardes vérifiées.
Surveillance post‑remediation : monitoring renforcé (SIEM, EDR, firewall, AD) avec indicateurs et période critique initiale de 14 jours.
Sensibilisation : programme ciblé (développeurs/consultants/support) et actions immédiates (gestionnaire de mots de passe, campagnes phishing simulé).
Mesurer l'efficacité : indicateurs quantitatifs, comportementaux et métier (ex. taux clics phishing simulé, adoption gestionnaire MDP).

7. Tableau récapitulatif¶

Élément	Observation / Mesure	Priorité	Délai observé
VPN depuis pays non autorisés	IOC critique → suspect credential stuffing	Immédiat	0–2 h
Isolation postes compromis	Déconnexion réseau + quarantaine firewall	Immédiat	0–2 h
Notifications réglementaires	CNIL (72 h), ANSSI (24 h si OSE impacté)	Urgent	24–72 h
Remédiation postes	Reconstruction complète + restauration depuis sauvegardes vérifiées	Haute	J à J+2 selon criticité
Surveillance post‑remédiation	SIEM/EDR règles personnalisées, monitoring 14 jours	Moyenne/haute	14 jours

8. Vérifications pratiques¶

Vérifier intégrité et disponibilité des sauvegardes avant restauration.
Confirmer absence de communication vers domaines/IPs C2 identifiés dans les 14 jours post‑remédiation.
Pas d'alertes EDR sur postes restaurés et stabilité des performances systèmes.
Contrôles AD : aucune création/modification de comptes non planifiée.
Tests d'accès restreints aux serveurs critiques et validation du fonctionnement des applications métier.

9. Flashcards Anki¶

Connexions VPN depuis pays non autorisés :: Signe possible de compromission de comptes ou credential stuffing.
Quelles notifications peuvent indiquer une tentative de contournement MFA :: Notifications MFA non initiées (MFA fatigue).
Décrivez la chaîne d'attaque typique observée :: Phishing initial → malware persistant → mouvement latéral → C2 → exfiltration.
Quelles phases comprend la méthodologie NIST citée :: Préparation, Détection & Analyse, Confinement, Éradication/Remédiation, Retour à la normale.
Première mesure de confinement prioritaire :: Isolation des postes compromis (déconnexion réseau, quarantaine).
Acteurs à impliquer en 0–2 h (Niveau 1) :: Thomas Martin, Direction générale, Responsable équipe développement.
Délai maximum CNIL pour notification :: 72 h maximum après prise de connaissance.
Délai ANSSI mentionné pour notification :: 24 h (impact potentiel sur infrastructures critiques).
Quel élément forensique doit être capturé avant intervention :: Images des postes compromis et captures mémoire.
Approche recommandée pour postes compromis :: Reconstruction complète (formatage + réinstallation) puis restauration depuis sauvegardes vérifiées.