Réponse à incident

Cette première phase, en général très rapide, vise à identifier les systèmes, données ou utilisateurs touchés via l'analyse des artefacts immédiatement disponibles. Ces artefacts peuvent être de différentes natures (journaux d'événements, fichiers malveillants…) et l'objectif sera alors de confirmer l'incident et évaluer son impact.

Une fois l'incident confirmé et son périmètre circonscrit, la priorité est d'empêcher sa propagation et de mettre en sécurité les preuves avant que l'attaquant ne décide de supprimer ses traces. Le confinement consiste à isoler les systèmes affectés et bloquer les points d'entrée.

L'incident étant à présent contenu, il est crucial de préserver les preuves. En effet, des sauvegardes ou copies des systèmes devront être faites afin d'éviter que les journaux d'événements expirent ou que les fichiers laissés par les attaquants ne soient supprimés par les antivirus. Ces preuves seront également très utiles en justice ou pour obtenir réparation auprès d'une éventuelle assurance Cyber.

L'analyse de l'ensemble des traces permet de comprendre la nature de l'attaque et son origine afin d'établir une chronologie complète de l'incident ainsi qu'une liste des Indicateurs de Compromission (IoC) qui permettra ultérieurement de déterminer de façon exhaustive la liste des systèmes ayant été impactés. Un rapport complet comprenant tous ces éléments vous sera fourni avec en prime des recommandations ciblées sur les points d'amélioration détectés au cours de l'enquête.

À l'aide du rapport transmis par nos consultants, il sera nécessaire de procéder à l'éradication de tous les éléments (fichiers, utilisateurs, portes dérobées…) laissés par les attaquants ainsi qu'à la correction des vulnérabilités exploitées. En cas de doute ou si besoin d'assistance pendant cette étape, nous sommes également là pour vous.

Au cours du processus de réponse à incident, vous aurez probablement été contraint d'isoler certains systèmes qu'il sera parfois préférable de reconstruire. C'est le rôle de cette dernière étape du processus de réponse à incident. Dans les mois qui suivront l'incident, il vous faudra ainsi remettre en état votre système d'information tout en consolidant les points d'amélioration que nous aurons mis en valeur dans notre rapport. Là encore, nous pouvons vous accompagner et même participer activement au processus selon le cas.