Planification de la réponse aux incidents : Liste de contrôle pour l'élaboration de votre plan de réponse aux incidents de cybersécurité

Votre organisation est-elle prête à répondre à une brèche de sécurité ou à une cyberattaque ? Selon de nombreux experts en sécurité, c'est une question de "quand" et non de "si" votre entreprise sera confrontée à un grave incident de cybersécurité.

Un plan de réponse aux incidents est votre meilleure chance de défendre votre organisation contre les effets d'une violation de données. Le moment de planifier et de préparer votre réponse aux incidents de sécurité, quels qu'ils soient, est MAINTENANT, bien avant qu'ils ne se produisent.

Qu'est-ce qu'un plan d'intervention en cas d'incident de sécurité et pourquoi en avez-vous besoin?

Un plan de réponse aux incidents de cybersécurité (ou plan IR) est un ensemble d'instructions conçues pour aider les entreprises à se préparer, à détecter, à répondre et à se remettre des incidents de sécurité du réseau. La plupart des plans d'intervention sont axés sur la technologie et traitent de questions telles que la détection de logiciels malveillants, le vol de données et les interruptions de service. Cependant, toute cyberattaque importante peut affecter une organisation de différentes manières, et le plan doit donc également englober des domaines tels que les ressources humaines, les finances, le service clientèle, la communication avec les employés, le service juridique, les assurances, les relations publiques, les organismes de réglementation, les fournisseurs, les partenaires, les autorités locales et d'autres entités extérieures.

Il existe des cadres de référence standard dans le secteur, élaborés par des organismes tels que le NIST et le SANS, qui fournissent des lignes directrices générales sur la manière de réagir face à un incident en cours. Le plan d’intervention en cas d’incident (IR) de votre organisation doit toutefois être beaucoup plus précis et concret : il doit détailler qui doit faire quoi, et à quel moment. Nous avons élaboré une liste de contrôle afin de présenter les éléments clés d’un plan d’intervention en cas de cyberincident, afin de vous aider à élaborer un guide adapté à votre organisation.

Dans les deux cas - qu'il s'agisse d'un modèle de plan de réponse aux incidents ou de votre propre plan IR - les objectifs restent les mêmes : minimiser les dommages, protéger vos données et aider votre organisation à se remettre de l'incident le plus rapidement possible.

Comment démarrer : Créer un plan de réponse aux incidents

Toute organisation disposant d’actifs numériques (ordinateurs, serveurs, charges de travail dans le cloud, données, etc.) est susceptible d’être victime d’une cyberattaque ou d’une fuite de données. Malheureusement, la plupart des organisations ne se rendent compte qu’elles ont subi une fuite de données que lorsqu’il est trop tard. La mise en place d’un plan d’intervention en cas d’incident de cybersécurité vous aide à vous préparer à l’inévitable et à doter votre équipe de sécurité informatique des moyens nécessaires pour réagir avant, pendant et après une cyberattaque. Bien que cet article de blog n’aborde pas le sujet avec toute la profondeur et le niveau de détail requis pour un véritable plan d’intervention, il vous aidera à comprendre les facteurs clés et les éléments à prendre en compte à chaque étape du processus d’intervention : préparation, détection, réaction, rétablissement et suivi post-incident.

Idéalement, votre plan de réponse aux incidents de sécurité devrait être exploité de façon continue - un document vivant - conduisant à des activités récurrentes de détection et de réponse (chasse aux menaces, enquêtes sur les cyberincidents, réponse aux incidents, et remédiation/récupération). En effectuant des activités continues de détection et de réponse aux incidents, vous pouvez améliorer l'hygiène informatique et de sécurité et mieux protéger votre organisation contre les menaces inconnues, les attaquants cachés, et éventuellement prévenir une violation de données.

Pour les besoins de ce blog, nous avons divisé le processus de planification de la réponse aux incidents en cinq phases : Préparation, Détection, Réponse, Récupération et Suivi.

Préparation

La préparation est la première phase de la planification de la réponse aux incidents et sans doute la plus cruciale pour protéger votre entreprise et vos actifs numériques. Au cours de la phase de préparation, vous documenterez, décrirez et expliquerez les rôles et les responsabilités de votre équipe RI, y compris l'établissement de la politique de sécurité sous-jacente qui guidera l'élaboration de votre plan RI.

• Déterminez l'emplacement exact, la sensibilité et la valeur relative de toutes les informations de votre organisation qui doivent être protégées.

• Déterminez si vous disposez actuellement de ressources informatiques suffisantes pour répondre à une attaque ou si l'aide d'un tiers serait nécessaire.

• Obtenir l'adhésion de la direction afin que le plan soit pleinement approuvé par le sommet de l'organisation.

• Attribuer des rôles et des responsabilités à toutes les parties prenantes concernées, y compris l'informatique, les ressources humaines, la communication interne, le support client, le service juridique, les relations publiques et les conseillers.

• Établissez une chaîne de commandement qui inclut à la fois les responsables informatiques et les dirigeants de l'entreprise. Qui est le responsable de l'incident ? Qui lance le plan de réponse à l'incident ? Qui a l'autorité d'arrêter le travail, comme la fermeture d'urgence des sites web de l'entreprise ?

• Cartographier le flux de travail de la réponse à l'incident parmi les différentes parties prenantes. Quand les RH sont-elles impliquées ? Quand le service juridique est-il impliqué ? Quand les médias sont-ils alertés ? Quand les autorités extérieures sont-elles impliquées ?

• Rassembler et mettre à jour les informations de contact 24/7/365 (email, texte, VOIP, etc.) pour tous les membres de l'équipe de réponse à l'incident, leurs remplaçants et les responsables. Établir des canaux de communication alternatifs si les canaux habituels sont compromis ou indisponibles.

• Identifier les exigences réglementaires en matière de cybersécurité pour l'organisation, toutes fonctions confondues, et élaborer des orientations sur la manière d'interagir avec les forces de l'ordre et les autres autorités gouvernementales en cas d'incident.

• Élaborer et tenir à jour une liste de fournisseurs de technologies privilégiés pour les analyses criminalistiques, le remplacement du matériel et les services connexes qui pourraient être nécessaires avant, pendant ou après un incident.

• Mettez en place des procédures pour que les équipes informatiques reçoivent des alertes claires et exploitables sur tous les logiciels malveillants détectés. Des explications spécifiques peuvent aider les membres de l'équipe à ne pas considérer l'alerte comme un faux positif.

• Stockez les informations d'identification privilégiées, y compris les mots de passe et les clés SSH, dans un coffre-fort sécurisé et centralisé.

• Effectuez une rotation automatique des informations d'identification privilégiées, isolez les sessions de comptes privilégiés pour les employés temporaires et recherchez régulièrement les comptes orphelins d'anciens employés qui pourraient encore fournir un accès non autorisé.

• Demander aux employés de signaler les courriels et les activités suspectes qui pourraient compromettre la sécurité du réseau.

• Assurez-vous que vous disposez d'un système propre prêt à être restauré, ce qui peut impliquer une réimage complète d'un système ou une restauration complète à partir d'une sauvegarde propre.

• Établir un plan de communication complet et intégré pour informer les publics internes et externes des incidents de manière rapide, précise et cohérente.

Détection et analyse

La phase de détection de la réponse aux incidents de sécurité et de la planification des RI implique la surveillance, la détection, l'alerte et la création de rapports sur les événements de sécurité. Il s'agit notamment d'identifier les menaces connues, inconnues et suspectes, c'est-à-dire celles qui semblent être de nature malveillante, mais pour lesquelles il n'y a pas suffisamment de données disponibles au moment de la découverte pour faire une détermination dans un sens ou dans l'autre.

Lorsqu'une piste, une menace ou un incident de sécurité est détecté, votre équipe de réponse aux incidents doit immédiatement (voire automatiquement avec l'aide d'un logiciel de réponse aux incidents cybernétiques) collecter et documenter des informations supplémentaires - preuves forensiques, artefacts et échantillons de code - afin de déterminer la gravité, le type et le danger de l'incident, et de stocker ces données pour les utiliser ultérieurement dans le cadre de poursuites judiciaires à l'encontre du ou des attaquant(s).

• Développez une stratégie de détection proactive basée sur des outils capables d'analyser automatiquement vos hôtes physiques et virtuels, vos systèmes et vos serveurs à la recherche d'applications, d'identités ou de comptes vulnérables.

• Envisager des solutions traditionnelles telles que les plateformes Endpoint Detection & Response (EDR), les logiciels antivirus de nouvelle génération (NGAV) ou les outils d'analyse du comportement des utilisateurs/entités (UEBA/UBA) pour détecter les logiciels malveillants.

• En outre, il convient d'envisager des capacités d'analyse approfondie et d'analyse forensique permettant d'évaluer la santé d'un terminal en validant ce qui s'exécute dans la mémoire à un moment donné.

• Menez des évaluations de compromission pour vérifier si un réseau a été violé et identifiez rapidement la présence de logiciels malveillants connus ou de type " zero-day " et de menaces persistantes - actives ou dormantes - qui ont échappé à vos défenses existantes en matière de cybersécurité.

Réponse

La réponse aux incidents de sécurité peut prendre plusieurs formes. Les actions de réponse aux incidents peuvent inclure le triage des alertes provenant de vos outils de sécurité des points d'extrémité afin de déterminer quelles menaces sont réelles et/ou la priorité dans laquelle il faut traiter les incidents de sécurité. Les activités de réponse aux incidents peuvent également consister à contenir et à neutraliser la ou les menaces - en isolant, en arrêtant ou en déconnectant d'une autre manière les systèmes infectés de votre réseau afin d'empêcher la propagation de la cyberattaque. En outre, les opérations de réponse aux incidents comprennent l'élimination de la menace (fichiers malveillants, portes dérobées cachées et artefacts) qui a conduit à l'incident de sécurité.

• Contenir immédiatement les systèmes, les réseaux, les bases de données et les appareils afin de limiter au maximum l'ampleur de l'incident et d'empêcher qu'il ne provoque des dommages à grande échelle.

• Déterminez si des données sensibles ont été volées ou corrompues et, le cas échéant, quel est le risque potentiel pour votre entreprise.

• Éradiquer les fichiers infectés et, si nécessaire, remplacer le matériel.

• Conservez un journal complet de l'incident et des mesures prises, en précisant l'heure, les données, le lieu et l'ampleur des dégâts causés par l'attaque. S'agissait-il d'une attaque interne, externe, d'une alerte système ou de l'une des méthodes décrites précédemment ? Qui l'a détectée et comment l'incident a-t-il été signalé ? Répertoriez toutes les sources et les moments auxquels l'incident a été relayé. À quel stade l'équipe de sécurité est-elle intervenue ?

• Préserver tous les artefacts et les détails de la violation pour une analyse plus approfondie de l'origine, de l'impact et des intentions.

• Préparer et publier des déclarations publiques dès que possible, décrire aussi précisément que possible la nature de la violation, les causes profondes, l'étendue de l'attaque, les mesures correctives et les grandes lignes des futures mises à jour.

• Mettez à jour les pare-feux et la sécurité du réseau afin de capturer des preuves qui pourront être utilisées ultérieurement dans le cadre de l'expertise judiciaire.

• Engagez l'équipe juridique et examinez la conformité et les risques pour voir si l'incident a un impact sur une quelconque réglementation.

• Contactez les forces de l'ordre, le cas échéant, car l'incident peut également avoir un impact sur d'autres organisations. Des informations supplémentaires sur l'incident peuvent aider à l'éradication, à l'identification de la portée ou à l'attribution de l'incident.

Récupération et suivi

Les activités post-incident (actions de récupération et de suivi) comprennent l'éradication du risque de sécurité, l'examen et la rédaction de rapports sur ce qui s'est passé, la mise à jour de votre veille sur les menaces avec de nouvelles informations sur ce qui est bon et ce qui est mauvais, la mise à jour de votre plan de RI avec les leçons tirées de l'incident de sécurité, et la certification puis la re-certification de votre environnement est en fait dégagé de la (des) menace(s) via une évaluation de la compromission de la cybersécurité post-incident ou une évaluation de la sécurité et des risques informatiques.

Récupération

• Eradiquer le risque de sécurité pour s'assurer que l'attaquant ne peut pas reprendre l'accès. Cela comprend l'application de correctifs aux systèmes, la fermeture de l'accès au réseau et la réinitialisation des mots de passe des comptes compromis.

• Au cours de l'étape d'éradication, créer une identification de la cause première pour aider à déterminer le chemin d'attaque utilisé afin que les contrôles de sécurité puissent être améliorés pour empêcher des attaques similaires à l'avenir.

• Effectuer une analyse des vulnérabilités à l'échelle de l'entreprise afin de déterminer s'il existe d'autres vulnérabilités.

• Restaurer les systèmes à l'état antérieur à l'incident. Vérifier qu'il n'y a pas eu de perte de données et que l'intégrité, la disponibilité et la confidentialité des systèmes ont été rétablies et que l'entreprise a repris ses activités normales.

• Continuez à rassembler des journaux, des vidages de mémoire, des audits, des statistiques sur le trafic réseau et des images de disque. En l'absence d'une collecte adéquate de preuves, la criminalistique numérique est limitée, de sorte qu'une enquête de suivi ne peut avoir lieu.

Suivi

• Remplir un rapport de réponse à l'incident et inclure tous les domaines de l'entreprise qui ont été affectés par l'incident.

• Déterminer si la direction est satisfaite de la réponse et si l'organisation doit investir davantage dans le personnel, la formation ou la technologie afin d'améliorer son niveau de sécurité.

• Partagez les leçons apprises. Qu'est-ce qui a bien fonctionné, qu'est-ce qui n'a pas fonctionné et comment les procédures peuvent-elles être améliorées à l'avenir ?

• Examinez, testez et mettez à jour le plan de réponse aux incidents de cybersécurité à intervalles réguliers, si possible une fois par an.

• Effectuer régulièrement une évaluation des risques ou d'autres analyses de sécurité pour s'assurer de l'état des systèmes, des réseaux et des appareils.

• Mettre à jour les plans de réponse aux incidents après la restructuration d'un service ou une autre transition majeure.

• Tenez toutes les parties prenantes informées des dernières tendances et des nouveaux types de violations de données qui se produisent. Faites passer le message que "la sécurité est l'affaire de tous".

Conclusion

L'objectif de notre liste de contrôle du plan de réponse aux incidents cybernétiques est d'aider votre équipe de sécurité informatique à élaborer un plan de réponse aux incidents qui soit complet, coordonné, reproductible et efficace.

N'oubliez pas que l'élaboration d'un plan de RI en matière de cybersécurité n'est jamais un exercice unique. Malheureusement, sans une formation régulière à la réponse aux incidents et des exercices de RI, y compris des scénarios de cyberattaque en direct, les organisations et leurs équipes de sécurité informatique peuvent se retrouver soudainement dépassées par des pirates qui changent de stratégie d'attaque, de tactique et de choix de logiciels malveillants.

Ce qui a fonctionné dans le passé ne fonctionnera peut-être plus demain. Le bon plan de réponse aux incidents de sécurité doit être un document évolutif qui suit le rythme de l'évolution rapide du paysage des menaces. 

Contactez-nous pour demander une consultation, une évaluation de votre niveau de vulnérabilité ou pour découvrir comment Datto permet une détection des menaces et une réponse aux incidents rapides, flexibles et abordables.