Sécuriser les infrastructures critiques et gérer les incidents¶

1. Objectif du cours¶

Évaluer la maturité sécuritaire d'une infrastructure critique et appliquer les méthodes et mesures adaptées pour prévenir, détecter et réagir aux incidents (ex. collectivités territoriales soumises à NIS2). Savoir prioriser actions et responsables en contexte opérationnel.

2. Notions et définitions essentielles¶

Triade CIA : Confidentialité, Intégrité, Disponibilité (priorité variable selon le service : ex. intégrité pour l'état civil).
CVSS : score de criticité d'une vulnérabilité (ex. 8.2) ; la présence d’exploits actifs augmente la priorité de correction.
NIS2 / ANSSI : obligation de notification des incidents significatifs dans un délai de 72 heures.
Défense en profondeur : juxtaposition de mesures Prévention / Détection / Réaction.
Segmentation réseau : séparation par niveau de criticité et type d’équipement recommandée pour isoler IoT.
RTO (Recovery Time Objective) : délai de reprise ; pour l’état civil, un RTO réaliste retenu = 4 heures.
Outils et concepts cités : SIEM, IDS, EDR, reverse proxy (certificats automatiques), coffre-fort à secrets (HashiCorp Vault), PAM, VPN chiffré (AES-256), DLP, WSUS/SCCM (gestion automatisée des correctifs).

3. Fonctionnement et principes¶

Priorisation des vulnérabilités : combiner score CVSS et contexte (ex. existence d’exploits ciblant les administrations) pour décider de l’urgence de correction.
Découverte d’actifs non inventoriés : analyser d’abord flux et dépendances avant toute interruption pour ne pas impacter des services critiques.
Segmentation adaptée : regrouper équipements par criticité/type pour appliquer politiques homogènes et limiter surfaces d’attaque (IoT, bases de données, systèmes métiers).
Confinement en incident : isolement réseau ciblé (ACLs) des postes infectés pour empêcher propagation tout en maintenant continuité des autres services.
Séquence de gestion d’incident (ordre logique) : cellule de crise → isolation → évaluation de l’étendue → communication aux autorités → analyse forensique → restauration depuis sauvegardes saines → documentation → renforcement des mesures.

4. Commandes et manipulations¶

Non abordé dans ce cours

5. Sécurité et bonnes pratiques¶

Pré-analyse avant action : étudier flux/dépendances avant de déconnecter un serveur découvert.
Traçabilité et moindre privilège : supprimer comptes partagés ; créer comptes nominatifs avec élévation temporaire.
Gestion des secrets : centraliser dans un coffre-fort (HashiCorp Vault) et faire tourner les identifiants.
Certificats : utiliser un reverse proxy avec certificats automatiques pour éviter expirations et exposition directe.
Chiffrement des canaux IoT : tunnel VPN dédié avec chiffrement fort (AES-256) pour compenser capacités limitées des objets.
Segmentation et ACL : restreindre accès aux bases de données aux seuls systèmes autorisés.
Gestion des correctifs : automatiser via WSUS/SCCM pour supprimer retards humains.
Sauvegardes : automatiser et programmer des tests de restauration réguliers.
Privileges permanents : déployer PAM avec élévation temporaire.
Détection et confinement : SIEM/IDS pour corrélation et alertes ; EDR pour isolation automatique des postes infectés.
Politique cloud : choisir hébergeur souverain (localisation FR/UE) et certifié SecNumCloud pour données citoyens.
Sensibilisation : programme continu avec simulations de phishing.
Notification réglementaire : notifier ANSSI sous 72 heures pour incidents significatifs.

6. Points essentiels à retenir pour le TSSR¶

Intégrité prioritaire pour l’état civil en période électorale.
Toujours analyser flux/dépendances avant toute coupure d’un service découvert.
Prioriser corrections quand des exploits actifs ciblent les administrations, même si CVSS similaire.
Isoler IoT via segmentation par criticité/type ; utiliser VPN chiffré si nécessaire.
Remplacer comptes partagés par comptes nominatifs + élévation temporaire (traçabilité).
Centraliser secrets (Vault) et automatiser rotation pour éviter identifiants codés en dur.
Automatiser correctifs (WSUS/SCCM) et sauvegardes avec tests de restauration.
SIEM doit alerter en priorité sur accès aux données citoyens hors horaires.
RTO de 4 heures pour état civil : bascule sur procédures dégradées/serveurs secours.
Notification ANSSI dans 72 heures selon NIS2.

7. Tableau récapitulatif¶

Élément	Objectif principal	Mesure recommandée	Indicateur clé
État civil (élections)	Préserver intégrité	Contrôles d’intégrité et RTO 4h	Intégrité des registres
Serveur inconnu	Évaluer impact	Analyse flux/dépendances avant action	Cartographie & dépendances
IoT urbain	Réduire surface d’attaque	Segmentation par criticité + VPN AES-256	Isolation réseau effective
Comptes partagés	Traçabilité	Comptes nominatifs + PAM	Logs d’actions administrateur
Certificats expirés	Continuité TLS	Reverse proxy + certifs automatiques	Validité automatique des certificats

8. Vérifications pratiques¶

Vérifier dans les logs l’origine et l’heure d’une tentative de connexion suspecte (3 h, IP étrangère) avant blocage ciblé.
Confirmer le renouvellement automatique des certificats via le reverse proxy.
Tester la restauration d’une sauvegarde pour valider la fiabilité (sauvegardes automatisées testées).
Vérifier que le SIEM déclenche une alerte pour accès aux bases citoyennes hors horaires.
Contrôler que les équipements IoT sont isolés sur un VLAN/zone distincte et que le tunnel VPN AES-256 est actif.
Confirmer la centralisation des secrets dans Vault et la rotation automatique des identifiants.
Tester élévation temporaire via PAM et la traçabilité des actions.

9. Flashcards Anki¶

Quelle priorité de la triade CIA pour l'état civil en période électorale ? :: Intégrité Que faire en premier si un serveur critique n'est pas inventorié ? :: Analyser les flux réseau et les dépendances avant toute action Quel critère renforce la priorité de correction d'une CVE à CVSS 8.2 ? :: Existence d'exploits actifs ciblant les administrations publiques Quelle segmentation est recommandée pour isoler les équipements IoT ? :: Segmentation par niveau de criticité et type d'équipement Quelle mesure corrige le partage du compte "admin-urgence" ? :: Créer des comptes nominatifs avec élévation de privilèges temporaire Quelle solution structurelle pour éviter VPN non sécurisés chez les prestataires ? :: Intégrer des clauses de cybersécurité dans les contrats prestataires Quel outil centraliser pour éliminer mots de passe codés en dur ? :: Coffre-fort à secrets (HashiCorp Vault) Quel critère prioritaire pour choisir un hébergeur de données citoyens ? :: Localisation des données en France/UE et certification SecNumCloud Quel délai de notification à l'ANSSI impose la directive NIS2 ? :: 72 heures Quel RTO est recommandé pour le service d'état civil dans le cours ? :: 4 heures