Aide-mémoire en cas d'incident : Les 60 premières minutes

MAG212 CYBER · Aide-mémoire

Réponse à l'incident : les 60 premières minutes

Vous pensez avoir été victime d'une intrusion. Vos actions dans l'heure qui suit détermineront la quantité de preuves préservées, l'étendue des dégâts causés par l'attaquant et le coût de l'attaque. Imprimez ce document, notez vos contacts et conservez-le dans un endroit facilement accessible lorsque vos systèmes habituels ne sont plus fiables.

Accéder aux commandes de preuve

Cinq règles à respecter avant de toucher à quoi que ce soit

Ne l'éteignez pasL'arrêt complet de l'appareil efface les données enregistrées. Déconnectez-vous plutôt du réseau.

Supposons que les e-mails et les conversations soient surveillés.Coordonnez-vous par téléphone ou via un canal distinct et sécurisé jusqu'à ce que vous sachiez ce qui est compromis.

Notez toutHeure, qui, ce que vous avez vu, ce que vous avez fait. Utilisez le temps UTC. Vos notes constituent le rapport d'incident.

Contenir avant de nettoyerIl faut d'abord stopper la propagation. Effacer et réinstaller trop tôt supprime les éléments nécessaires pour permettre une intrusion.

Ne payez pas et ne négociez pas seul.En cas de rançongiciel, consultez un conseiller juridique, votre assureur et les forces de l'ordre avant tout contact avec les attaquants.

Minute par minute

0–5 minDéclarer

Confirmer et déclarer un incident

Vérifiez que le signal est réel : alerte, demande de rançon, connexions inhabituelles, signalement d’utilisateur.
Déclarez un incident et désignez un responsable qui prendra les décisions.
Début du journal des incidents (heure en UTC, observation, action, par qui).
Photographier les écrans affichant des demandes de rançon ou des messages d'erreur.

5 à 15 minPortée

Découvrez ce qui est affecté

Quels systèmes, comptes et données sont concernés ? Quels services métiers sont indisponibles ?
Le virus continue-t-il de se propager ? Vérifiez la présence de nouveaux fichiers chiffrés, de nouveaux comptes d’administrateur et d’un trafic sortant inhabituel.
Identifiez le point d'entrée probable : courriel d'hameçonnage, VPN ou bureau à distance exposé, serveur non mis à jour, mot de passe volé.
Consultez les avis des fournisseurs et la liste des vulnérabilités exploitées connues de la CISA pour tout ce que vous utilisez et qui est exposé à Internet.

15 à 30 minContenir

Stopper la propagation, conserver les preuves

Isolez les machines concernées du réseau (débranchez-les ou isolez-les via EDR). Laissez-les sous tension.
Désactivez les comptes compromis et révoquez leurs sessions et jetons actifs.
Réinitialisez les mots de passe privilégiés à partir d'un appareil dont la sécurité est avérée, en commençant par les administrateurs de domaine et de cloud.
Bloquez les adresses IP, les domaines et les hachages de fichiers malveillants connus au niveau du pare-feu, de la passerelle de messagerie et de l'EDR.
Collectez des preuves volatiles avant de modifier davantage : processus en cours d’exécution, connexions réseau, utilisateurs connectés (commandes ci-dessous).
Prenez des instantanés des machines virtuelles cloud affectées et exportez les journaux avant leur rotation.

30 à 45 minNotifier

Recrutez les bonnes personnes

Gestion succincte basée uniquement sur les faits : ce que l'on sait, ce que l'on ne sait pas, date de la prochaine mise à jour.
Contactez rapidement votre assureur cyber. De nombreuses polices exigent une notification rapide et le recours à une entreprise de réponse pré-approuvée.
Faites appel à un conseiller juridique pour évaluer les obligations de notification (par exemple, la règle des 72 heures du RGPD ou la règle des quatre jours ouvrables de la SEC pour les incidents importants dans les sociétés publiques américaines).
Signalez-le aux forces de l'ordre : aux États-Unis, le FBI à ic3.gov et CISA à cisa.gov/report; au Royaume-Uni, le NCSC à report.ncsc.gov.uk; ailleurs, votre CERT national.
Pays francophones : en France, toute victime (particulier, entreprise ou collectivité locale) peut obtenir de l’aide 24 h/24 et 7 j/7 sur le site suivant : 17cyber.gouv.fr, les organisations peuvent contacter le CERT-FR national au 3218 (+33 9 70 83 32 18) ou cert-fr@ssi.gouv.fr, et les violations de données personnelles doivent être notifiées à la CNIL à l'adresse suivante : notifications.cnil.fr; en Belgique, le Centre belge de cybersécurité à notif.safeonweb.be; en Suisse, l'Office fédéral de la cybersécurité (BACS) à bacs.admin.ch; au Canada, le Centre canadien pour la cybersécurité à cyber.gc.ca.

45 à 60 minPlan

Planifiez la reconstruction, pas seulement le nettoyage.

Vérifiez que vos sauvegardes sont intactes et qu'elles n'étaient pas accessibles à l'attaquant (copies hors ligne ou immuables).
Déterminez l'ordre de restauration par priorité métier : identité, messagerie, applications essentielles, puis le reste.
Accord sur la communication interne et client. Un seul porte-parole, pas de spéculation.
Définissez l'heure du prochain point de contrôle et poursuivez l'enregistrement.

Collecte de preuves : commandes copier-coller

Exécutez la commande depuis une invite de commandes en tant qu'administrateur et enregistrez le résultat sur un support externe ou un partage réseau dont vous avez le contrôle. Notez la durée d'exécution de chaque commande.

Windows (PowerShell, en tant qu'administrateur)

# Network connections with owning process
netstat -ano > E:\IR\netstat.txt
# Running processes with users
tasklist /v > E:\IR\tasklist.txt
# Logged-on sessions
query user > E:\IR\users.txt
# DNS cache (recent lookups)
ipconfig /displaydns > E:\IR\dns.txt
# Export event logs before they roll over
wevtutil epl Security E:\IR\Security.evtx
wevtutil epl System E:\IR\System.evtx
# Scheduled tasks (common persistence)
schtasks /query /fo LIST /v > E:\IR\tasks.txt

Linux (en tant que root)

# Network connections with processes
ss -tunap > /mnt/ir/ss.txt
# Process tree
ps auxf > /mnt/ir/ps.txt
# Recent and failed logins
last -F > /mnt/ir/last.txt
lastb -F > /mnt/ir/lastb.txt
# Logs from the last 6 hours
journalctl --since "6 hours ago" > /mnt/ir/journal.txt
# Cron and systemd persistence
crontab -l; ls -la /etc/cron.*
systemctl list-timers --all
# Hash any suspicious file
sha256sum /path/to/suspicious_file

Microsoft 365 / Identifiant Entra (utilisateur compromis)

# Microsoft Graph PowerShell: sign the user out everywhere
Connect-MgGraph -Scopes "User.ReadWrite.All"
Revoke-MgUserSignInSession -UserId user@yourcompany.com
# Then: reset password, re-register MFA, and check for
# new inbox forwarding rules, app consents and OAuth grants

Hacher des fichiers avec notre Vérificateur de hachage de fichier et neutraliser les indicateurs avant de les partager avec le Boîte à outils de décodage.

Ne faites jamais ça

Effectuez un “ nettoyage ” antivirus ou effacez les machines avant la collecte des preuves.
Connectez-vous à une machine suspecte avec un compte d'administrateur de domaine (cela peut révéler ces informations d'identification).
Envoyez un courriel à l'équipe concernant l'incident depuis une boîte aux lettres potentiellement compromise.
Restaurez à partir d'une sauvegarde avant même de savoir comment l'attaquant a accédé au système.
Publiez-le publiquement avant que le service juridique et la direction ne se mettent d'accord sur le message.

Votre fiche contact (à remplir et à imprimer)

Rôle	Nom	Téléphone (hors bande)
Responsable des incidents	________________	________________
Service informatique/sécurité d'astreinte	________________	________________
Décideur de gestion	________________	________________
Conseiller juridique	________________	________________
Assureur cyber (numéro de police)	________________	________________
Entreprise de réponse aux incidents	________________	________________
Assistance aux fournisseurs d'hébergement/de cloud	________________	________________

Conservez une copie imprimée hors ligne. Lors d'une attaque par rançongiciel, votre liste de contacts sur le serveur de fichiers peut également être chiffrée.

Continue

Auto-évaluation de la sécuritéIdentifiez vos points faibles avant votre attaquant. Analyseur d'en-tête d'e-mailRemontez à la source réelle d'un courriel d'hameçonnage. Explication des CVE critiquesVersions corrigées et vérifications des failles activement exploitées. Recevez le briefing hebdomadaireQuelles corrections appliquer en priorité, chaque semaine. Gratuit.

Cette liste de contrôle constitue un guide général basé sur les pratiques courantes de gestion des incidents (par exemple, la norme NIST SP 800-61). Elle ne constitue pas un avis juridique. Adaptez-la à votre organisation, à vos contrats et aux lois qui vous sont applicables, et faites appel à des professionnels qualifiés en cas d'incidents graves.