Ce que vous allez apprendre
Objectifs d'apprentissage
- Séparer les faits des suppositions dans le signalement
- Limiter l’exposition immédiate dans la limite de vos prérogatives
- Préserver une chronologie d’incident utile
Commencer par la sécurité et le signalement
Décrivez ce que vous avez observé, quand cela a commencé, l’appareil ou le compte concerné et ce que vous avez déjà fait. Utilisez le contact incident de votre organisation. Si la messagerie ou le chat habituels risquent d’être compromis, utilisez un canal séparé approuvé. Donnez la priorité à la sécurité des personnes et aux services critiques avant tout dépannage de routine.
Contenir sans détruire les preuves
Suivez le plan de réponse. Un intervenant formé peut isoler un appareil du réseau tout en le laissant sous tension afin de préserver les preuves volatiles. N’exécutez pas d’outils de nettoyage au hasard et ne réinitialisez pas les appareils avant d’avoir reçu des consignes. Les décisions de confinement diffèrent pour un ordinateur portable personnel, un serveur partagé et un système critique pour la sécurité.
Consigner une chronologie
Notez l’heure du premier symptôme, les messages affichés et les actions entreprises. Conservez les journaux et messages d’origine selon les consignes. Évitez d’envoyer des données privées de l’entreprise vers des services d’analyse publics. Une chronologie claire aide les intervenants à comprendre l’étendue et à distinguer l’attaque des actions de rétablissement ultérieures.
Exemple appliqué
Mettre en contexte
Un utilisateur voit un avis de chiffrement suspect sur un ordinateur portable professionnel. Il contacte le support informatique à un numéro connu, suit les consignes d’isolement et note le message. Il ne tente pas d’utiliser un « décrypteur » trouvé dans un résultat de recherche.
Scénario illustratif à visée pédagogique, et non l'affirmation d'un incident réel vérifié chez un client.Erreurs fréquentes
- Taire un incident par gêne
- Effacer l’appareil avant que les intervenants ne l’évaluent
- Envoyer des fichiers confidentiels vers des outils publics
Votre liste de contrôle pratique
Les cases cochées de la liste sont temporaires et ne sont pas enregistrées comme progression du compte.
Récapitulatif
Signalez rapidement, confinez de façon proportionnée et préservez le contexte. La meilleure première action dépend du système et du plan de réponse approuvé.