Qu’est-ce qu’une réponse à incident ?
Un incident de sécurité est un événement qui met en danger les données ou le service d’une organisation. La réponse à incident est la suite d’étapes qu’on suit pour l’arrêter et revenir à la normale.
Suivre des étapes connues évite les gestes de panique, comme tout éteindre et perdre ce qu’il faut comprendre.
À la fin de cette leçon
Remarque
Je peux suivre les étapes d’une réponse à incident dans le bon ordre.
Mots-clés
| Mot | Ce que ça veut dire | Exemple |
|---|---|---|
| Incident | un événement qui menace les données ou le service | |
| Confinement | empêcher l’incident de s’étendre | isoler un serveur |
| Éradication | retirer la cause de l’incident | |
| Rétablissement | remettre le service en marche, sain | |
| Plan de réponse | les étapes écrites à l’avance pour un incident | |
| Journal de bord | la liste datée de ce que l’équipe a fait |
Les cellules que les étudiants remplissent restent vides dans cet aperçu.
Une réponse à incident suit six phases
Les équipes suivent le même ordre. On se prépare avant l’incident. On détecte et on analyse. On contient, puis on éradique. On rétablit le service. On apprend.
Chaque phase répond à une question, et on ne passe à la suivante que lorsque la précédente est assez faite.
Exemple travaillé : une action par phase
| Phase | Question | Exemple d’action |
|---|---|---|
| Préparer | Sommes-nous prêts ? | Écrire le plan et la liste des contacts |
| Détecter et analyser | Que se passe-t-il ? | Lire l’alerte et les journaux |
| Contenir | Comment l’arrêter ? | Isoler le serveur du réseau |
| Éradiquer | Quelle est la cause ? | Fermer le compte volé |
| Rétablir | Comment repartir sain ? | Restaurer depuis une sauvegarde saine |
| Apprendre | Que changer ? | Écrire un compte rendu |
Les cellules que les étudiants remplissent restent vides dans cet aperçu.
On contient avant d’éradiquer
Contenir veut dire arrêter la progression, sans tout détruire. On isole la machine du réseau, on désactive un compte, on bloque une adresse.
On éradique ensuite, quand on sait ce qu’il y a à retirer. Détruire trop tôt efface ce qu’il faut comprendre. Retirer trop peu laisse l’intrus revenir.
Tenez un journal de bord pendant la réponse
Pendant un incident, tout va vite. Notez chaque action, avec l’heure et l’auteur. Ce journal de bord évite les gestes en double. Il sert aussi à mesurer la réponse à la fin.
Les quatre Run ci-dessous écrivent, relisent et comptent un petit journal de bord inventé, dans votre dossier personnel. Ils ne touchent pas au dossier d’enquête.
Écrire la première action
printf 'isoler web01 du reseau\n' > journal_de_bord.txtAffichée ici, non exécutée. Créez un compte gratuit pour appuyer sur Exécuter et la saisir dans le terminal de votre propre labo.
Ajouter la deuxième action
printf 'fermer le compte expose\n' >> journal_de_bord.txtAffichée ici, non exécutée. Créez un compte gratuit pour appuyer sur Exécuter et la saisir dans le terminal de votre propre labo.
Relire le journal de bord
cat journal_de_bord.txtAffichée ici, non exécutée. Créez un compte gratuit pour appuyer sur Exécuter et la saisir dans le terminal de votre propre labo.
Compter les actions notées
wc -l journal_de_bord.txtAffichée ici, non exécutée. Créez un compte gratuit pour appuyer sur Exécuter et la saisir dans le terminal de votre propre labo.
Éradiquer, rétablir, puis surveiller de près
Éradiquer, c’est retirer la cause : le compte volé, la tâche cachée, la faille. Rétablir, c’est remettre le service en marche à partir d’une copie saine.
Après le retour, on surveille de près pendant quelque temps. Si la même alerte revient, la cause n’était pas retirée.
Exemple travaillé : deux ordres possibles
| Ordre suivi | Ce qui se passe | Verdict |
|---|---|---|
| Effacer, puis contenir | La machine est vidée, l’intrus passe sur une autre | Mauvais : rien n’est compris |
| Contenir, comprendre, éradiquer | L’intrus est arrêté, sa trace est connue, puis retirée | Bon : la cause est retirée |
| Rétablir, puis éradiquer | Le service repart avec la faille ouverte | Mauvais : l’intrus revient |
Les cellules que les étudiants remplissent restent vides dans cet aperçu.
Erreur fréquente
Attention
Beaucoup de gens pensent qu’il faut effacer la machine tout de suite. Cela détruit ce qu’il faut comprendre, et si la cause reste, l’intrus revient. Contenez d’abord, comprenez, puis éradiquez, puis rétablissez.