Le scénario est toujours à peu près le même. Un collaborateur signale que ses fichiers ne s'ouvrent plus, ou que leur nom a changé. Une alerte de sécurité est apparue sur un poste. Quelqu'un reconnaît avoir cliqué sur un lien la veille et se demande si c'est lié. À ce moment précis, deux réflexes opposés cohabitent dans l'entreprise : éteindre toutes les machines par précaution, ou continuer à travailler en espérant que la situation se stabilise.
Ni l'un ni l'autre n'est la bonne réponse. Il existe une procédure, elle se déroule dans un ordre déterminé, et elle vise autant à limiter la propagation qu'à préserver les informations qui permettront de comprendre ce qui s'est passé. Cet article décrit cette procédure telle que nous l'appliquons. Il ne contient aucun mode opératoire d'attaque, aucune liste d'outils de nettoyage téléchargeables, et aucune promesse de machine récupérée en vingt minutes. Si la situation est en cours chez vous en ce moment, la page urgence indique comment nous joindre.
Les premières minutes, isoler sans effacer les traces
La première action consiste à retirer le poste du réseau. Débranchez le câble et désactivez le Wi-Fi depuis les paramètres de la machine, ou coupez son accès sur l'équipement réseau si vous savez le faire. L'objectif est d'interrompre ce qui pourrait se propager vers les partages de fichiers, le serveur ou le stockage en réseau, tout en gardant la machine dans son état.
La seconde action consiste à ne pas intervenir sur la machine. Ne lancez pas d'analyse avec un outil trouvé en ligne, ne supprimez pas de fichiers, ne réinstallez rien, et ne redémarrez pas plusieurs fois de suite en espérant un retour à la normale. Chacune de ces actions détruit une partie des éléments dont nous avons besoin pour établir ce qui a été touché, et plusieurs d'entre elles peuvent aggraver la situation.
La troisième action consiste à prévenir le responsable informatique ou le prestataire, puis la direction. Un message écrit indiquant l'heure du constat, le nom de la machine, celui de l'utilisateur et ce qui a été observé nous fait gagner un temps réel. Nous vous demanderons ensuite si d'autres postes présentent des symptômes et si les fichiers partagés sont encore lisibles.
Pourquoi couper le réseau vaut mieux qu'éteindre la machine
Ce point surprend souvent, il mérite une explication. Éteindre brutalement un poste supprime tout ce qui n'était présent qu'en mémoire vive. Or une partie des éléments utiles à l'analyse s'y trouve, en particulier les processus en cours et les connexions ouvertes. Sur un chiffrement de fichiers en cours, il arrive aussi que l'extinction se produise au pire moment et laisse des fichiers dans un état intermédiaire irrécupérable.
Nous privilégions donc l'isolement réseau, qui atteint le même objectif de confinement sans perdre l'information. Lorsque le poste est couvert par notre outil de détection et de réponse sur les postes, désigné par le sigle EDR pour Endpoint Detection and Response, cette isolation peut être déclenchée depuis la console à distance : le poste perd sa connectivité mais nous conservons un accès d'administration pour l'analyser. Nous décrivons cet outil et son usage dans ce que nous faisons de Bitdefender EDR sur un parc PME.
Il existe une exception. Si un chiffrement de fichiers est manifestement en cours et que vous ne pouvez pas isoler le poste du réseau dans la minute, couper l'alimentation devient le moindre risque : l'arbitrage se fait entre les traces perdues et les fichiers sauvés, et les fichiers passent en premier.
Les comptes comptent autant que la machine
Voici l'étape que les procédures improvisées oublient presque toujours. Traiter le poste ne suffit pas, parce que ce qui a de la valeur est souvent l'accès obtenu, pas la machine elle-même. Si un mot de passe a été saisi sur une page frauduleuse, ou si des identifiants enregistrés dans le navigateur ont été récupérés, l'accès reste utilisable depuis n'importe où, y compris après une réinstallation complète du poste.
Nous traitons donc les identités en parallèle du poste. Nous changeons les mots de passe des comptes utilisés depuis cette machine, en commençant par la messagerie et par les comptes disposant de droits d'administration. Nous fermons les sessions ouvertes, car changer un mot de passe ne suffit pas toujours à invalider immédiatement une session déjà établie. Nous vérifions ensuite si des règles de redirection automatique ont été ajoutées dans la boîte concernée, point de contrôle standard après un accès non autorisé. Nous contrôlons enfin les accès distants et les comptes du stockage en réseau.
La méthode est proche de celle que nous appliquons lors du départ d'un salarié, à une différence près : ici, la révocation est temporaire et vise à reprendre le contrôle le temps de comprendre. C'est aussi le moment où l'on mesure l'intérêt d'avoir activé la double authentification en amont, car elle limite fortement la valeur d'un mot de passe récupéré.
Réparer ou réinstaller, ce qui décide réellement
Une fois le confinement établi, la question devient celle de la remise en service. Nous ne tranchons pas au courage, nous tranchons sur trois éléments.
- L'état des sauvegardes. Si une copie hors ligne, antérieure à l'incident et testée, est disponible, la réinstallation du poste puis la restauration des données constituent la voie la plus sûre et souvent la plus rapide. Nous expliquons pourquoi le stockage local ne compte pas comme copie hors site dans la sauvegarde 3-2-1.
- La nature de ce qui a été observé. Certaines situations se traitent par une remise en état ciblée. D'autres, notamment lorsqu'un accès d'administration a pu être obtenu sur la machine, ne laissent pas de garantie raisonnable sur la propreté du système : nous réinstallons alors, parce qu'un doute persistant sur un poste de production coûte plus cher qu'une réinstallation.
- Le rôle de la machine. Un poste bureautique se remplace en quelques heures. Un poste qui pilote une caisse ou un équipement métier exige de vérifier d'abord les licences et les configurations disponibles, sans quoi la réinstallation immobilise l'activité plus longtemps que l'incident.
Dans tous les cas, nous remettons le poste sur le réseau en dernier, une fois les comptes traités et les autres machines contrôlées. Remettre en service un poste propre sur un réseau qui n'a pas été vérifié revient à recommencer.
Le compte rendu écrit, rédigé les jours suivants
Un incident sans compte rendu se reproduit. Nous rédigeons donc un document d'une page qui répond à quatre questions : par où l'affaire est entrée, ce qui a été touché, ce que nous avons fait et dans quel ordre, et quelles mesures réduiraient la probabilité que cela recommence.
Ce document sert au-delà de la technique. Il alimente la déclaration à votre assureur, sujet que nous abordons dans ce que le questionnaire de cyberassurance va chercher, et il documente la diligence de l'entreprise si des données personnelles sont concernées. Les mesures qui en découlent sont presque toujours les mêmes : réduire les droits d'administration permanents, filtrer les messages en amont de la boîte, fermer les accès distants inutilement publiés, et vérifier que les copies de sauvegarde sont réellement testées.
Ce que nous préparons avant l'incident, dans le contrat
Une procédure d'incident ne s'improvise pas le jour où elle est nécessaire. Dans un contrat d'infogérance à partir de 120 HT / mois, le même chiffre en euros et en francs, licences de protection comprises, nous écrivons à l'avance qui appelle qui, quels postes peuvent être isolés à distance, où se trouvent les copies de sauvegarde et sous quel compte on y accède. Nous prenons la main à distance quand la machine répond encore, et nous nous déplaçons dans le Bassin Genevois quand ce n'est plus le cas.
Hors contrat, nous intervenons également, au tarif d'urgence de 230 HT / h. La différence n'est pas seulement financière : sans connaissance préalable de votre parc, une partie du temps facturé sert à découvrir votre installation au moment où il faudrait déjà agir.
Ce qu'il faut retenir tient en une ligne de conduite : isoler le poste du réseau, ne rien nettoyer soi-même, traiter les comptes autant que la machine, puis décider de la remise en service en fonction des sauvegardes. Si vous souhaitez que cette procédure existe par écrit avant d'en avoir besoin, demandez-nous un audit ; si l'incident est en cours, passez par l'urgence.