Méthodologie défensive

Réponse à incident

Quand une alerte se confirme, il faut agir vite sans rien casser : limiter les dégâts, préserver les preuves, chasser l'attaquant et remettre le système en état. Le cycle du NIST donne la structure.

DéfensifNIST SP 800-61SANS PICERL

Le cycle NIST SP 800-61

  1. PréparationPlan, équipe, outils, contacts, journaux activés, exercices.
  2. Détection et analyseConfirmer l'incident, mesurer son étendue, le qualifier.
  3. Confinement, éradication, rétablissementIsoler, supprimer la menace, restaurer en sécurité.
  4. Après l'incidentRetour d'expérience, amélioration des défenses et du plan.
Variante SANSLe modèle PICERL découpe la même démarche en six étapes : Preparation, Identification, Containment, Eradication, Recovery, Lessons learned.

La révision 3 de la SP 800-61 (2025) réaligne ces étapes sur les fonctions du NIST CSF 2.0. Le cycle en quatre phases reste la référence des examens HTB.

Détection et analyse

  • Confirmer qu'il s'agit bien d'un incident (et pas d'un faux positif).
  • Déterminer le périmètre : hôtes, comptes, données touchés.
  • Évaluer la gravité : impact métier, données sensibles, propagation.
  • Ouvrir un registre d'incident horodaté dès la première minute.
  • Prévenir les bonnes personnes selon le plan (direction, juridique, DPO si données personnelles).

Confinement

Court terme

  • Isoler la machine du réseau (isolement EDR, VLAN, port de commutateur).
  • Désactiver les comptes compromis, révoquer sessions et jetons.
  • Bloquer les IP et domaines malveillants.

Avant d'agir

  • Capturer la mémoire vive avant d'éteindre : elle disparaît à l'arrêt.
  • Copier les journaux utiles avant qu'ils ne tournent.
  • Éviter d'alerter l'attaquant trop tôt s'il est encore actif.

Éradication et rétablissement

  • Supprimer les maliciels, les comptes et les mécanismes de persistance créés.
  • Corriger la cause initiale (vulnérabilité, mot de passe faible, mauvaise configuration).
  • Réinitialiser les identifiants exposés ; en cas de compromission du domaine, renouveler le compte krbtgt deux fois.
  • Restaurer à partir de sauvegardes saines, vérifiées.
  • Remettre en production progressivement, sous surveillance renforcée.

Après l'incident

  • Réunion de retour d'expérience sous quelques jours, sans chercher de coupable.
  • Chronologie complète : premier accès, découverte, actions menées.
  • Ce qui a bien fonctionné, ce qui a manqué (visibilité, délais, outils).
  • Nouvelles règles de détection, plan mis à jour, actions suivies jusqu'à leur clôture.

Check-list de premier intervenant

  • Ouvrir le registre d'incident (heure, source, constat initial)
  • Qualifier : incident confirmé, gravité estimée
  • Prévenir le responsable selon le plan de réponse
  • Préserver les preuves : mémoire, disques, journaux
  • Confiner les hôtes et comptes touchés
  • Lister les indicateurs (IP, domaines, hash, comptes)
  • Chercher ces indicateurs sur le reste du parc
  • Planifier éradication et rétablissement
  • Programmer le retour d'expérience