Que faire en premier en cas d’attaque informatique

A un moment ou l’autre, votre entreprise devra faire face à un incident de cybersécurité. Mais sous la pression, l’effet du stress, on fait des erreurs. Trop reporter la prise de décisions critiques peut renforcer l'impact de l'incident, mais inversement, prendre des décisions trop attives peut causer d'autres dommages à l'entreprise ou entraver une réponse complète.

Il existe de nombreuses façons de soupçonner qu'un incident de sécurité s'est produit, de la détection d'activités inhabituelles par le suivi proactif des systèmes critiques jusqu’aux audits, en passant par la notification externe par les forces de l’ordre ou la découverte de données compromises perdues dans la nature.

Toutefois, des indicateurs tels que la consommation inhabituelle de ressources CPU ou réseau sur un serveur peut avoir plusieurs origines différentes, dont beaucoup n’ont rien à voir avec des incidents de sécurité. Il est là essentiel d'enquêter davantage avant de tirer des conclusions.

Disposez-vous des d’indices cohérents ? Par exemple, si l'IDS détecte une attaque de force brute contre le site Web, les journaux Web le confirment-ils ? Ou, si un utilisateur signale une attaque suspectée de hameçonnage, d'autres utilisateurs ont-ils été visé ? Et quelqu’un a-t-il cliqué sur des liens ou des documents joints ?

Vous devez également réfléchir à des questions relatives à la nature de l'incident. S’agit-il d’une infection par un logiciel malveillant générique ou un piratage de système ciblé ? Y’a-t-il une attaque intentionnelle en déni de service (DoS) en cours ?

Une fois que vous avez confirmé qu'un incident s'est produit, vous devez prendre un temps pour hiérarchiser vos actions et décider définitivement des objectifs métiers pour l'opération de réponse. Le triage des incidents consiste généralement à classer l'incident en termes d'impact et d'urgence, et suivant la manière dont il doit être traité. L'équipe d'intervention peut ensuite utiliser les évaluations d'impact, d'urgence et de priorité pour définir les objectifs de l'opération de réponse aux incidents et assigner actions ou recherches approfondies.

La classification d'impacts définie par le Cert-UK et adoptée par Crest, l'organisme qui représente l'industrie de la sécurité technique, peut servir de point de référence pour la classification initiale en fonction de l'impact perçu ou établi.

L'urgence d'un incident devrait également être évaluée suivant l'impact. Il est peu probable que certains incidents s'aggravent avec le temps, comme la découverte d'une compromission historique par un ancien employé. Mais dans d'autres cas, comme une épidémie de rançongiciel, il peut être absolument essentiel de répondre rapidement pour isoler l'infection.

Mobiliser toutes les capacités de réponse aux incidents peut ne pas être applicable ou pertinent dans toutes les situations. Il convient donc de comprendre autant que possible. Par exemple, qui est l'attaquant ? Comment l'attaque a-t-elle été lancée ? Quand l'attaque s'est-elle produite ? Quelles données ou systèmes ont été compromis ? L'attaque est-elle en cours ? Pourquoi avons-nous été la cible de l'attaque ?