📖 Manuel

Plan de Réponse aux Incidents

Matrice de sévérité (déclencher dès la détection)

Workflow — 6 phases PICERL

1. Préparation (avant tout incident)

Équipe CSIRT minimale :

• Incident Manager — coordonne et décide
• Analyste forensique — collecte preuves, analyse technique
• Responsable communication — messages internes/externes
• Référent juridique/conformité — obligations légales, RGPD

Kit forensique prêt à l'emploi :

# Image disque à chaud (Linux)
dd if=/dev/sda bs=4M conv=sync,noerror | gzip > /secure/evidence/$(hostname)_$(date +%Y%m%d_%H%M%S).img.gz

# Capture mémoire RAM (Linux — LiME)
sudo insmod lime.ko "path=/secure/evidence/ram_$(date +%Y%m%d_%H%M%S).lime format=lime"

# Export logs Windows Event Log
wevtutil epl Security C:\Evidence\Security_%DATE%.evtx
wevtutil epl System   C:\Evidence\System_%DATE%.evtx
wevtutil epl Application C:\Evidence\App_%DATE%.evtx

Contacts d'urgence (à maintenir à jour) :

CSIRT interne : [email] + [téléphone astreinte]
ANSSI / CERT national : cert@ssi.gouv.fr / +33 1 71 75 84 68
Assureur cyber : [référence police + n° sinistres]
Prestataire forensique externe : [NDA signé en place]
Autorité de contrôle RGPD (CNIL FR) : notifications@cnil.fr

2. Identification & Analyse

Sources de détection à corréler :

• SIEM (règles Sigma corrélées), EDR/XDR, IDS/IPS
• Threat intelligence feeds (MISP, OpenCTI, VirusTotal)
• Signalement utilisateur, honeypots, canary tokens

Triage initial — questions clés :

1. Quel est le vecteur d'entrée probable ? (phishing, CVE exploitée, credential stuffing)
2. Quels systèmes/données sont dans le périmètre impacté ?
3. L'attaquant a-t-il encore accès actif ?
4. Y a-t-il exfiltration de données (PII, secrets, données métier) ?
5. L'incident est-il encore en cours ou contenu ?

Préserver les preuves AVANT toute action corrective :

# Capture réseau en cours (tcpdump)
tcpdump -i eth0 -w /secure/evidence/capture_$(date +%Y%m%d_%H%M%S).pcap

# Snapshot VM avant isolation (AWS)
aws ec2 create-snapshot --volume-id vol-XXXXXX --description "IR-$(date +%Y%m%d)-pre-containment"

# Export logs CloudTrail (AWS) sur période suspecte
aws cloudtrail lookup-events \
  --start-time 2026-06-01T00:00:00Z \
  --end-time 2026-06-24T23:59:59Z \
  --output json > /secure/evidence/cloudtrail_export.json

3. Containment

Containment réseau immédiat :

# Isoler un hôte Linux du réseau (firewall local)
iptables -I INPUT  1 -j DROP
iptables -I OUTPUT 1 -j DROP
iptables -I INPUT  2 -s <IP_CSIRT> -j ACCEPT   # Garder accès forensique

# Bloquer une IP suspecte sur pfSense/iptables
iptables -A INPUT  -s <IP_ATTAQUANT> -j DROP
iptables -A OUTPUT -d <IP_ATTAQUANT> -j DROP

# Révoquer une session active (Entra ID / Azure AD)
az ad user revoke-signin-sessions --id user@domain.com

# Désactiver un compte AD compromis
Disable-ADAccount -Identity "compromised_user"
Set-ADUser -Identity "compromised_user" -PasswordNeverExpires $false

Critère de décision — isolement total vs partiel :

• Isolement total (coupure réseau) → attaque active, ransomware en propagation
• Isolement partiel (VLAN de quarantaine) → investigation en cours, impact métier fort

4. Éradication

Checklist éradication :

[ ] Tous les malwares/outils attaquant supprimés et vérifiés (hash VirusTotal)
[ ] Backdoors fermées : ports inattendus fermés, tâches planifiées suspectes supprimées
[ ] Credentials compromis révoqués : mots de passe, tokens, clés API, certificats
[ ] CVE exploitée patchée sur TOUS les systèmes du parc (pas seulement le compromis)
[ ] Règles de détection SIEM mises à jour pour détecter les IOC de cet incident
[ ] Scan complet post-éradication (Nessus, OpenVAS) avant réintégration

# Rechercher des tâches planifiées suspectes (Linux)
crontab -l -u root
ls -la /etc/cron* /var/spool/cron/

# Rechercher des services persistants inhabituels (Windows)
Get-ScheduledTask | Where-Object { $_.TaskPath -notlike "\Microsoft\*" } | Select-Object TaskName, TaskPath, State

# Chercher des clés de registre Run suspectes
Get-ItemProperty "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Run"
Get-ItemProperty "HKCU:\SOFTWARE\Microsoft\Windows\CurrentVersion\Run"

5. Recovery

Restauration contrôlée :

# Vérifier l'intégrité du backup avant restauration
sha256sum backup_2026-06-20.tar.gz  # Comparer avec le hash stocké offline

# Restaurer depuis snapshot validé (AWS)
aws ec2 create-volume --snapshot-id snap-XXXXXX --availability-zone eu-west-1a

# Monitoring renforcé post-restauration (Wazuh/OSSEC)
# Augmenter la fréquence des scans pendant 30 jours

Critères de retour en production :

• Scan de vulnérabilités validé (0 critique, 0 haute non mitigée)
• Logs centralisés et règles de détection actives
• Confirmation métier du fonctionnement nominal
• Revue de sécurité signée par l'Incident Manager

6. Lessons Learned (post-mortem J+5 max)

Template timeline post-mortem :

Date/Heure | Action | Acteur | Résultat
-----------|--------|--------|--------
J0 08:42   | Alerte SIEM déclenchée | Système | IOC détecté
J0 09:00   | Analyse triage initial | Analyste | Confirmation P2
...

Questions structurantes :

• Comment l'attaquant est-il entré ? (vecteur initial)
• Qu'est-ce qui a permis la détection ? Aurait-on pu détecter plus tôt ?
• Quels contrôles ont fonctionné / ont failli ?
• Quelles actions correctives avec responsable + deadline ?

Obligations légales de notification

Anti-patterns / Pièges

• Ne pas restaurer avant de forensiquer — toujours snapshotter avant toute action corrective, sinon les preuves disparaissent.
• Containment précipité sans capture mémoire — un processus malveillant en RAM tue les IOC dès l'extinction.
• Patcher uniquement le système compromis — si une CVE est exploitée, tout le parc est vulnérable.
• Communication non contrôlée — un employé qui tweete l'incident avant la communication officielle aggrave la crise.
• Ne pas changer TOUS les secrets — après compromission d'un compte, auditer et révoquer tous les secrets qu'il avait accès (clés SSH, tokens CI/CD, vaults).
• Réutiliser les mêmes playbooks sans les mettre à jour — chaque incident apporte des IOC et des techniques nouvelles à intégrer.
• Oublier les systèmes legacy hors supervision SIEM — les angles morts sont les premiers exploités.