Planification de la RI : Les 6 étapes critiques de la réponse aux incidents de cybersécurité

Nos données, nos services et nos infrastructures sont constamment attaqués par des ransomwares, des malwares, des cyber-attaquants... la liste est longue. Malgré tous nos efforts pour les arrêter, la plupart des organisations connaîtront les terribles conséquences d'une violation de données. Vous devez disposer d'un plan d'intervention en cas d'incident de cybersécurité mis à jour et bien appliqué pour lutter contre ces violations potentielles de données. 

Le processus de réponse aux incidents

Votre processus de réponse aux incidents de cybersécurité est l'ensemble du cycle de vie (et de la boucle de rétroaction) d'une enquête sur un incident de sécurité. Suite à la détection d'une attaque ou d'une alerte provenant de l'un de vos outils de protection ou de détection (EDR, SIEM, AV, etc.), votre équipe de sécurité doit immédiatement entreprendre un processus de RI bien défini afin de vérifier et d'étendre le problème.

Dans la plupart des cas, l'outil de protection (comme un logiciel antivirus ou une plateforme Endpoint Detection & Response) a fait son travail. Dans d'autres cas, il n'a détecté qu'une partie d'une attaque en plusieurs étapes ou l'utilisation d'un outil de post-compromission comme Mimikatz. En outre, si la première alerte de sécurité que vous recevez concerne un outil de post-compromission, il y a lieu de s'inquiéter, car cela signifie que le cheval de Troie d'accès à distance d'origine permet probablement au pirate de continuer à accéder à votre réseau et à votre environnement informatique.

Le NIST dispose d'un processus de base solide en matière de RI, décrit dans le tableau suivant :

Ce modèle d'intervention en cas d'incident de cybersécurité est disponible auprès du NIST dans son guide intitulé « Computer Incident Handling Guide » (PDF). Nous sommes spécialisés dans la simplification et l'optimisation des étapes 2 et 3 du schéma de processus d'intervention ci-dessus : détection, analyse, confinement, élimination et rétablissement.

Les six étapes du processus de réponse aux incidents de cybersécurité

Étape 1 : Validation (identification)

Les alertes de sécurité doivent être validées - surtout si elles proviennent d'un capteur passif comme un IDS réseau. Les faux positifs (fausses alertes) sont fréquents et doivent être distingués des menaces réelles. Nos clients examinent généralement les données disponibles fournies par l'outil de détection et/ou effectuent une analyse approfondie de l'hôte.

Posez les questions suivantes :

• S'agit-il d'une attaque réelle ?
• La tentative d'attaque a-t-elle réussi ?
• Que s'est-il passé sur le point de terminaison/serveur qui a été attaqué ?
• Quelle est la gravité du logiciel malveillant ou de l'activité signalée ? (La plupart des informations générales et des produits ne sont pas très performants à cet égard, car ce qui est important pour une entreprise peut ne pas l'être pour une autre).

Avec les réponses à ces quatre questions, votre équipe de sécurité peut passer à l'étape 2, Triage et identification.

Étape 2 : Triage (identification)

Si une partie de l'attaque est exécutée avec succès, il est important de déterminer la portée de l'incident car le mouvement latéral est une première étape courante pour les attaquants. Vous devez vous demander : est-ce le seul système affecté ? Vous aurez besoin d'un moyen rapide pour trouver votre réponse et, encore une fois, Datto peut venir à la rescousse avec un triage médico-légal rapide sur les systèmes dans le même sous-réseau. Rassemblez également les preuves éphémères telles que les journaux à ce moment-là (certains journaux se renouvellent rapidement) si vous prévoyez d'enquêter davantage plus tard.

Note : Cette étape est souvent omise ou n'est jamais mentionnée. Si vous ne procédez pas au triage de votre réseau suite à une compromission, vous jouez au chat et à la souris, ce qui permet aux attaquants de rester facilement dans votre réseau.

Étape 3 : Confinement

Une fois que vous avez validé et délimité le champ d'application, vous devez endiguer l'hémorragie et supprimer l'accès de l'attaquant. Si votre processus de triage n'inclut pas Datto, vous pouvez commencer cette étape plus tôt, à l'étape 2, pour le premier système que vous avez trouvé. La plupart des produits antivirus disposent d'une fonction de mise en quarantaine des logiciels malveillants, mais celle-ci ne fonctionne généralement que sur des logiciels malveillants définis et peut ne pas mettre en quarantaine toutes les étapes de l'attaque (les chevaux de Troie modernes sont multiétapes et peuvent être capables de récupérer après une étape atténuée ou capturée).

L'important est de contenir les hôtes infectés et, si possible, de bloquer l'accès à toute adresse réseau de l'attaquant sur votre passerelle, le cas échéant.

Étape 4 : Récupération

Vous souhaitez reprendre vos activités le plus rapidement possible. Si un seul employé a été affecté, remettez-le au travail. Si c'est l'ensemble du réseau ou le contrôleur de domaine qui a été touché, vous devrez probablement reconstruire le domaine. La plupart des organisations continuent à mettre en œuvre des procédures d'effacement et de rechargement parce que la remédiation logicielle n'est pas infaillible.

Étape 5 : Investigation (optionnel)

Les enquêtes déterminent la cause première et identifient des détails supplémentaires si quelque chose a été volé ou affecté. Malheureusement, les investigations sont coûteuses, prennent du temps et requièrent souvent un très haut niveau de compétences. Néanmoins, vous devez inspecter les systèmes et rassembler diverses sources de logs pour créer une chronologie complète de l'attaque. Si vous êtes une petite équipe aux ressources limitées, réfléchissez bien à la nécessité d'enquêter sur cette attaque. Quoi qu'il en soit, vous devez terminer votre rétablissement dès que possible et passer à autre chose - il y aura beaucoup d'autres attaques à l'avenir.

Remarque : Avant d'entamer un long processus d'investigation, il faut toujours récupérer et reprendre ses activités.

Étape 6 : Durcissement

Les enquêtes de réponse aux incidents de cybersécurité sont utiles non seulement dans le cas rare où vous trouvez l'attaquant et êtes en mesure de le poursuivre. Elles permettent également de découvrir comment l'attaque s'est produite et de renforcer votre réseau contre de futurs incidents de sécurité.

Les leçons tirées de l'incident peuvent servir de base au développement de défenses supplémentaires pour garantir de meilleurs résultats à l'avenir. Par exemple, si l'email était le vecteur, vous pouvez probablement justifier une formation sur le phishing pour les employés ou un filtrage amélioré des emails.

Recommandations de suivi

Enfin, une tâche souvent manquée ou oubliée à la suite d'un incident est la revalidation ou la "certification". De nombreuses organisations sont touchées plusieurs fois à la suite d'un incident parce qu'elles n'ont pas correctement délimité le champ d'application ou parce que le vecteur d'entrée était toujours disponible pour une nouvelle attaque. Il est recommandé aux clients d'effectuer périodiquement l'étape de triage sur leurs réseaux (également appelée évaluation de la compromission) afin de s'assurer que le réseau ne comporte pas d'accès non autorisé persistant.

Demandez une démonstration pour découvrir comment notre gamme complète de produits et services destinés aux MSP aide les équipes à gérer les incidents de cybersécurité.