Remédiations / Réponses à incidents

Procédure de remédiation

• Isoler et préserver les preuves : Avant de commencer toute remédiation, il est essentiel de s'assurer que les preuves numériques sont isolées et préservées. Cela signifie éviter toute altération des données et travailler sur des copies des données originales. Ces éléments serviront à l'enquête de Gendarmerie lors de votre dépôt de plaintes et pour les remonter, avec votre autorisation, sur la plateforme Cybermalveillance.gouv.fr

• Analyser les preuves : Analyse des preuves numériques pour identifier la nature de l'incident, les points d'entrée utilisés par les attaquants et les dégâts causés. Cela permet de mieux comprendre la portée de l'incident et de déterminer les actions de remédiation à entreprendre.

• Contenir la menace : Une fois que les failles de sécurité ou les vulnérabilités exploitées sont identifiées, il faut mettre en place des mesures pour contenir la menace. Cela peut inclure, entre autres, la désactivation de comptes compromis, la fermeture de ports réseau, la désactivation de services vulnérables, l'isolation de postes de travail ou de serveurs compromis.

• Éradiquer l'attaque : Suppression complète des logiciels malveillants, des programmes malicieux ou des fichiers compromis du système. Un nettoyage en profondeur est nécessaire afin qu'aucune trace de l'attaque ne subsiste pour éviter qu'elle ne recommence toute seule.

• Restaurer les systèmes : Rétablissement des systèmes touchés à un état sûr et fonctionnel. Cela peut impliquer la réinstallation du système d'exploitation, la restauration à partir de sauvegardes fiables ou la mise en œuvre de correctifs de sécurité pour combler les vulnérabilités exploitées.

• Mettre en œuvre des mesures de sécurité supplémentaires : En prévention de futurs incidents, il faut renforcer la sécurité du système en mettant en œuvre des mesures telles que l'installation de pare-feux, l'utilisation de logiciels de détection d'intrusion, la mise à jour régulière des logiciels, l'application de politiques de sécurité strictes.

• Documenter : Il faut documenter chaque étape de la remédiation ainsi que les preuves recueillies et les actions prises. Ces informations seront utiles pour les poursuites judiciaires éventuelles ou pour les futures enquêtes.

• Prévenir la récurrence : Analyse approfondie de l'incident pour comprendre comment il s'est produit et pour identifier les lacunes dans la sécurité qui ont permis à l'attaque de se produire.