Réponse à incident : collecter les preuves avant de nettoyer

Ce que le nettoyage immédiat fait disparaître

Redémarrer, supprimer les fichiers suspects et réinstaller efface en quelques minutes les processus en mémoire, les connexions ouvertes, les horodatages d’accès et parfois les journaux eux-mêmes. Sans ces éléments, le vecteur d’entrée reste inconnu.

Un vecteur inconnu, c’est une réexploitation probable. Un site vitrine remis en état sans investigation peut être compromis de nouveau en moins de deux jours, par la même porte, restée ouverte.

Les gestes dans le bon ordre

1. Isoler la machine du réseau, sans l’éteindre : couper l’accès, pas la mémoire.
2. Prendre une copie de l’état : processus, connexions, tâches planifiées, fichiers récents.
3. Sauvegarder les journaux hors de la machine, avant toute modification.
4. Puis seulement : révoquer les accès, corriger la faille, restaurer.

Chercher le vecteur, pas seulement le symptôme

Trouver un processus de minage et le supprimer ne répond pas à la question utile : comment est-il arrivé là ? Le vecteur se lit dans les journaux d’accès, à l’heure précédant l’apparition du fichier.

• Une requête inhabituelle juste avant l’écriture du premier fichier suspect.
• Une authentification réussie depuis une adresse jamais vue.
• Une dépendance vulnérable dont la version correspond à un avis public récent.
• Un service exposé qui n’aurait jamais dû être accessible publiquement.

Traiter une récidive comme une information

Si l’incident se reproduit après remédiation, le correctif n’a pas tenu. Deux causes dominent : la faille n’était pas celle qu’on croyait, ou le correctif a été écrasé par un déploiement ultérieur parce qu’il avait été appliqué à la main sur le serveur.

D’où une règle simple : toute remédiation est versionnée. Un correctif non commité est considéré comme inexistant, car il disparaîtra à la prochaine livraison sans que personne s’en aperçoive.

Écrire le playbook pendant, pas après

Les commandes utilisées, les pièges rencontrés et l’ordre des décisions se notent au fil de l’intervention. Reconstitués trois semaines plus tard, ils perdent exactement ce qui les rendait utiles : les détails d’accès et les impasses.

Ce document sert aussi à la communication interne et, si le contexte l’exige, aux obligations de notification. Il est plus facile de trier des faits consignés que d’en retrouver après coup.

La remise en service est un objectif ; comprendre l’entrée est une condition. Traiter le second après le premier conduit à faire les deux, deux fois.