Playbooks de réponse à incident
Quatre scénarios fréquents, chacun avec ses signes d'alerte et une check-list à suivre. Ils déclinent le cycle de Réponse à incident ; à adapter au plan de l'organisation.
Avant de commencer
- Ouvre un registre horodaté (UTC) dès la première minute : chaque constat, chaque action, qui l'a faite.
- Capture la mémoire et copie les journaux avant d'éteindre ou de réinstaller quoi que ce soit.
- Prévois un canal de communication hors du système compromis (l'attaquant lit peut-être la messagerie).
Rançongiciel
Signes : fichiers renommés avec une nouvelle extension, note de rançon, pic d'écritures disque, suppression des clichés instantanés (vssadmin delete shadows), arrêt des services de sauvegarde ou d'antivirus.
- Isoler les machines touchées du réseau sans les éteindre
- Identifier la souche (note, extension ; ID Ransomware, No More Ransom)
- Mesurer l'étendue : partages chiffrés, comptes utilisés, premier hôte touché
- Protéger les sauvegardes : les déconnecter et vérifier qu'elles sont intactes
- Désactiver les comptes compromis, réinitialiser les comptes à privilèges
- Trouver l'accès initial et la persistance (RDP exposé, VPN, phishing, tâches, GPO)
- Vérifier s'il y a eu exfiltration avant le chiffrement (double extorsion)
- Prévenir direction, juridique et assureur ; déposer plainte, notifier si données personnelles
- Restaurer depuis des sauvegardes saines sur des systèmes reconstruits
- Retour d'expérience et nouvelles détections
Phishing
Signes : signalement d'un utilisateur, domaine expéditeur proche d'un domaine connu, échec SPF/DKIM/DMARC, lien vers une fausse page de connexion, pièce jointe avec macro ou archive protégée.
- Récupérer le courriel complet avec ses en-têtes (fichier .eml)
- Analyser l'expéditeur, le chemin (Received), SPF, DKIM et DMARC
- Extraire les indicateurs : URL, domaines, hachés des pièces jointes
- Analyser liens et pièces jointes en bac à sable, jamais sur un poste de travail
- Trouver tous les destinataires du même message
- Identifier qui a cliqué ou saisi ses identifiants (proxy, DNS, messagerie)
- Supprimer le message des boîtes, bloquer expéditeur, domaines et URL
- Réinitialiser les mots de passe exposés, révoquer les sessions, vérifier la MFA
- Contrôler les règles de transfert créées dans les boîtes concernées
- Prévenir et sensibiliser les utilisateurs visés
Compte compromis
Signes : connexions depuis un pays ou une adresse inhabituels, « voyage impossible », rafale de demandes MFA refusées, connexions hors horaires (4624), nouvelles règles de boîte, ajout à un groupe à privilèges.
- Confirmer en comparant avec l'activité habituelle (horaires, sources, appareils)
- Révoquer sessions et jetons, réinitialiser le mot de passe
- Vérifier et réinitialiser la MFA (appareils enregistrés)
- Lister les actions du compte depuis la première connexion suspecte
- Chercher la persistance : règles de boîte, applications OAuth, comptes créés (4720), ajouts à des groupes (4728, 4732, 4756)
- Chercher d'autres comptes touchés (même source, même mot de passe)
- Comprendre comment les identifiants ont fuité (phishing, réutilisation, maliciel)
- Surveiller le compte de près pendant plusieurs semaines
Exfiltration de données
Signes : volume sortant inhabituel, connexions vers un stockage en ligne ou un hébergeur inconnu, archives (7z, rar) créées juste avant, tunnel DNS, outils comme rclone, transferts la nuit.
- Mesurer volume et destination (Zeek conn.log, proxy, pare-feu, NetFlow)
- Identifier l'hôte et le compte à l'origine
- Bloquer la destination et isoler l'hôte
- Identifier les données concernées (partages accédés, archives, journaux d'accès)
- Trouver l'outil utilisé et la persistance (rclone, scripts, tâches planifiées)
- Évaluer l'impact : données personnelles, secrets, clients
- Prévenir juridique et DPO : notification à la CNIL sous 72 h si données personnelles
- Renouveler les secrets exposés (clés, mots de passe, jetons)