Ce que vous allez apprendre
Objectifs d'apprentissage
- Cartographier les points d’entrée courants et les mouvements latéraux
- Donner la priorité à un confinement coordonné
- Définir les preuves nécessaires avant de rétablir le service
Réduire les chemins qu’un attaquant peut emprunter
Recensez les accès à distance exposés, imposez une authentification forte et traitez les systèmes vulnérables. Séparez les comptes ordinaires des privilèges d’administration. Un seul identifiant volé ne doit pas donner un accès illimité aux postes de travail, aux serveurs et aux sauvegardes. La segmentation et la surveillance aident à limiter et à détecter les déplacements, mais aucune ne remplace des contrôles d’accès maintenus.
Coordonner le confinement
Lorsque du chiffrement ou une intrusion crédible est détecté, appliquez le plan d’incident et utilisez un canal de communication de confiance. Identifiez les systèmes touchés et ceux qui sont à risque. L’isolation doit être coordonnée avec l’équipe de réponse, en particulier pour les services partagés ou critiques. Préservez les journaux, les messages et une chronologie. Évitez les nettoyages improvisés qui détruisent des preuves ou reconnectent un attaquant à des systèmes sains.
Se rétablir dans un état défendable
Une sauvegarde est un apport pour la restauration, pas la preuve que l’attaquant est parti. Comprenez l’accès initial, l’étendue et la persistance ; corrigez les identités et systèmes touchés. Restaurez dans un environnement isolé, vérifiez les données et les dépendances des applications, et surveillez avant de reconnecter les utilisateurs. Décidez de l’ordre de restauration à partir des priorités métier et des objectifs RPO/RTO mesurés.
Tirer les leçons de l’événement
Documentez ce qui était connu à chaque décision, qui a approuvé le confinement et comment la restauration a été validée. Transformez les lacunes en améliorations attribuées. Un exercice sur table et un test de restauration mesuré sont plus utiles qu’une affirmation non testée selon laquelle la restauration est « couverte ».
Exemple appliqué
Mettre en contexte
Une équipe de production fictive découvre des partages chiffrés. Elle isole les segments touchés, protège l’administration des sauvegardes et restaure une application prioritaire dans un environnement sain après avoir vérifié la compromission des identités et les dépendances.
Scénario illustratif à visée pédagogique, et non l'affirmation d'un incident réel vérifié chez un client.Erreurs fréquentes
- Relier les sauvegardes à une administration compromise
- Assimiler des fichiers restaurés à une restauration complète
- Omettre la chronologie des décisions
Votre liste de contrôle pratique
Les cases cochées de la liste sont temporaires et ne sont pas enregistrées comme progression du compte.
Récapitulatif
La préparation aux ransomwares associe accès limité, signalement précoce, confinement attentif aux preuves et restauration testée.