Procédure de réponse à un incident de sécurité
Face à un incident de sécurité, les premières heures sont décisives. Une procédure préparée en amont évite les gestes précipités qui détruisent les preuves ou aggravent la situation. Démarche complète et réaliste.
Un incident de sécurité — compromission d'un compte, rançongiciel, fuite de données, intrusion sur un serveur exposé — met l'organisation sous pression. Sans préparation, les réactions sont souvent contre-productives : redémarrer les machines efface des preuves, tout couper peut paralyser l'activité plus que l'attaque elle-même, ne rien couper laisse l'attaquant progresser.
Objectif : disposer d'une procédure structurée de réponse à incident, inspirée des référentiels reconnus (NIST SP 800-61), adaptée à une infrastructure d'entreprise. Cette démarche est défensive et organisationnelle.
Les phases de la réponse à incident
- Préparation
- Détection et qualification
- Confinement
- Éradication
- Rétablissement
- Retour d'expérience
La révision 3 du guide NIST SP 800-61 (2025) rattache désormais ces activités aux fonctions du Cybersecurity Framework 2.0, mais l'enchaînement opérationnel reste comparable.
1. Préparation : tout se joue avant l'incident
L'organisation
- Une cellule de réponse identifiée : responsable de l'incident, techniciens réseau et systèmes, responsable de la sécurité, direction, communication, juridique, délégué à la protection des données.
- Des rôles clairs : qui décide d'isoler un serveur de production ? Qui communique avec l'extérieur ?
- Des contacts à jour, accessibles hors du système d'information (une liste papier ou sur un support indépendant) : en cas de rançongiciel, l'annuaire et la messagerie peuvent être indisponibles.
- Des partenaires identifiés à l'avance : prestataire de réponse à incident, assureur, opérateurs. En France, l'ANSSI publie une liste de prestataires qualifiés (PRIS), et la plateforme cybermalveillance.gouv.fr oriente les TPE, PME et collectivités.
Les moyens techniques
- Journaux centralisés et conservés suffisamment longtemps. Voir Journalisation et supervision des événements de sécurité.
- Sauvegardes hors ligne ou immuables, testées.
- Documentation à jour : schémas, plan d'adressage, inventaire, procédures d'isolement.
- Moyens de communication de secours (téléphones, messagerie indépendante).
- Outils de collecte prêts à l'emploi pour préserver les preuves.
Les exercices
Un plan jamais testé ne fonctionne pas. Organisez des exercices sur table (scénario déroulé en réunion) et des exercices techniques. L'ANSSI propose un guide pour organiser un exercice de gestion de crise d'origine cyber.
2. Détection et qualification
Un incident peut être signalé par une alerte du SIEM ou de l'EDR, un utilisateur (fichiers chiffrés, comportement étrange), un partenaire, une autorité ou un chercheur.
Premières questions :
- Est-ce un incident de sécurité avéré ou un faux positif, une panne ?
- Quel est le périmètre connu : quelles machines, quels comptes, quelles données ?
- Quelle gravité : activité métier touchée, données sensibles concernées, propagation en cours ?
- Depuis quand ? La compromission initiale est souvent antérieure à la détection.
Ouvrez immédiatement une main courante : un journal horodaté de toutes les constatations, décisions et actions. Il sera indispensable pour la coordination, l'analyse, les obligations légales et d'éventuelles procédures judiciaires.
3. Confinement
L'objectif est d'empêcher l'attaquant de progresser tout en préservant les preuves et, autant que possible, l'activité.
Confinement à court terme
- Isoler du réseau les machines compromises plutôt que de les éteindre : la mémoire vive contient des informations précieuses pour l'analyse. Selon les moyens disponibles : fonction d'isolement de l'EDR, déplacement dans un VLAN de quarantaine, débranchement du câble réseau.
- Bloquer les communications vers les adresses et domaines malveillants identifiés (pare-feu, DNS, proxy).
- Désactiver ou réinitialiser les comptes compromis, révoquer leurs sessions et jetons.
- Restreindre les accès distants (VPN) si l'attaquant les utilise.
En cas de rançongiciel en cours de propagation, une décision plus radicale peut s'imposer : couper les interconnexions entre sites, l'accès Internet, voire isoler des segments entiers. Ces décisions doivent avoir été anticipées dans la préparation.
Préserver les preuves
Avant toute modification importante, et dans la mesure du possible :
- copie de la mémoire vive et des disques des systèmes clés (par des personnes formées) ;
- export des journaux pertinents ;
- captures d'écran, notes horodatées ;
- conservation des fichiers suspects dans un espace isolé.
Si une plainte est envisagée, l'intégrité de la chaîne de conservation des preuves compte. Faites appel à des spécialistes si nécessaire.
4. Éradication
Une fois l'attaque comprise :
- identifier le vecteur initial (vulnérabilité, identifiants volés, hameçonnage) et le corriger ;
- supprimer les mécanismes de persistance : comptes créés, tâches planifiées, services, clés SSH ajoutées, portes dérobées ;
- réinitialiser les identifiants potentiellement compromis, y compris les comptes de service et, dans un domaine Active Directory compromis, les secrets les plus sensibles selon des procédures spécialisées ;
- reconstruire les systèmes compromis à partir de sources saines plutôt que de tenter de les « nettoyer », lorsque le doute subsiste.
Une éradication partielle conduit souvent à une réinfection : l'attaquant revient par une porte oubliée.
5. Rétablissement
- Restaurer les systèmes et données à partir de sauvegardes vérifiées saines (antérieures à la compromission).
- Remettre en service progressivement, par ordre de priorité métier, en commençant par les services d'infrastructure (annuaire, DNS, authentification).
- Surveiller étroitement les systèmes rétablis pour détecter toute réapparition de l'activité malveillante.
- Valider avec les métiers le bon fonctionnement.
6. Retour d'expérience
Dans les semaines qui suivent, organisez une réunion de retour d'expérience, sans recherche de coupable :
- chronologie complète de l'incident ;
- ce qui a fonctionné, ce qui a manqué ;
- cause racine et facteurs aggravants ;
- plan d'actions daté et assigné : correctifs, segmentation, journalisation, procédures, formation.
Obligations et communication
Selon la nature de l'incident et de l'organisation, des obligations de notification peuvent s'appliquer :
- en cas de violation de données personnelles, le RGPD prévoit une notification à l'autorité de contrôle (la CNIL en France) dans les 72 heures après en avoir pris connaissance, lorsque la violation présente un risque pour les personnes, et dans certains cas une information des personnes concernées ;
- les entités soumises à des réglementations sectorielles ou à la directive NIS 2 ont des obligations de signalement spécifiques ;
- les contrats (clients, assureur) peuvent imposer des délais d'information.
Faites valider ces aspects par le juridique et le délégué à la protection des données. Le dépôt de plainte auprès des services compétents est recommandé en cas d'infraction. Ne négociez pas seul avec des attaquants et suivez les recommandations des autorités.
La communication interne et externe doit être coordonnée, factuelle et validée, pour éviter les rumeurs et les déclarations contradictoires.
Fiche réflexe (à adapter)
- Ne pas éteindre les machines suspectes ; les isoler du réseau.
- Ouvrir une main courante horodatée.
- Prévenir le responsable de l'incident et la cellule de crise.
- Préserver journaux et preuves.
- Bloquer les indicateurs connus (adresses, domaines, comptes).
- Vérifier l'état et l'isolement des sauvegardes.
- Évaluer les obligations de notification.
- Faire appel à un prestataire spécialisé si nécessaire.
Erreurs courantes
- Redémarrer ou réinstaller immédiatement, détruisant les preuves.
- Communiquer par la messagerie potentiellement compromise.
- Restaurer des sauvegardes infectées.
- Négliger la réinitialisation des identifiants.
- Oublier le retour d'expérience une fois la crise passée.
Conclusion
La qualité d'une réponse à incident dépend avant tout de sa préparation : organisation, contacts, sauvegardes, journaux et exercices. Le jour venu, suivez la séquence — qualifier, confiner, éradiquer, rétablir, apprendre — et documentez chaque action.
