Fiches récapitulatives

🚨 Intervention en cas d'incident : la première heure

1. Restez calme et commencez un journal de bord. Notez les heures, ce que vous avez vu et chaque action entreprise.
2. Contenir, ne pas détruire. Isolez les machines concernées du réseau. Évitez autant que possible de les éteindre, car la mémoire conserve des traces.
3. Intensifier. Signalez immédiatement votre responsable de la gestion des incidents, votre prestataire informatique/de sécurité et votre direction. Si votre messagerie électronique est susceptible d'être compromise, utilisez un canal de communication inaccessible à l'attaquant.
4. Préservez les preuves. Conservez les journaux, les courriels et les fichiers suspects. Ne supprimez pas et ne réinstallez pas encore le système.
5. Protéger les comptes. Réinitialisez les mots de passe et révoquez les sessions des comptes affectés et privilégiés, depuis un appareil propre.
6. Évaluer la portée. Quels systèmes, données et personnes sont concernés ? Des données quittent-elles le réseau ?
7. Vérifier les obligations. Il pourrait être nécessaire d'informer les contractants, les organismes de réglementation, les assureurs et les forces de l'ordre dans des délais stricts.

Liste de contrôle complète pour la réponse aux incidents : minute par minute, avec instructions basées sur les preuves →

🔌 Ports communs

Les ports marqués d'un ⚠️ ne doivent que rarement, voire jamais, être exposés directement à Internet.

🪟 Identifiants d'événements de sécurité Windows à surveiller

🐧 Journaux Linux et vérifications rapides

last -a | head                 # recent logins and source
sudo lastb | head              # recent failed logins
who                            # who is logged in now
sudo ss -tulpn                 # listening ports and owning processes
sudo journalctl -u ssh --since "24 hours ago"   # SSH activity (unit may be sshd)
ls -la /etc/cron.* ; crontab -l                  # scheduled tasks (persistence)
find / -xdev -mtime -2 -type f -perm -u+x 2>/dev/null | head   # new executables

Commandes en lecture seule pour les systèmes dont vous êtes propriétaire ou administrateur. Des résultats inhabituels sont des indices, pas une preuve.

🔒 Les bases du renforcement des petites entreprises

• Allumer MFA partout, en commençant par la messagerie électronique, les comptes d'administrateur et l'accès à distance. Privilégiez les mots de passe ou les applications d'authentification.
• Correctif Systèmes d'exploitation, navigateurs et applications Internet rapidement. Priorisez tout élément dans CISA KEV.
• Supprimer l'exposition directe à Internet Pour les protocoles RDP, SMB et les bases de données, utilisez un VPN ou un accès zéro confiance.
• Utiliser comptes d'administrateur séparés et supprimer les droits d'administrateur local des utilisateurs ordinaires.
• Garder 3-2-1 sauvegardes: trois copies, deux supports, une hors ligne ou immuable. Tests de restauration.
• Déployer EDR sur chaque point de terminaison et envoyer les journaux vers un endroit où les attaquants ne peuvent pas les supprimer.
• Configure SPF, DKIM et DMARC pour empêcher d'autres personnes d'envoyer des courriels en utilisant votre domaine.
• Courir sensibilisation au phishing formation et mise en place d'une étape de vérification pour les modifications de paiement.
• Gardez un inventaire des actifs. On ne peut pas protéger ce qu'on ignore posséder.