Chronologie d'une réponse
La chronologie
Entreprise industrielle, 2 800 personnes, six sites. Détection un dimanche à 4 h 12.
| Heure | Événement | Décision |
|---|---|---|
| 04 h 12 | Alerte : chiffrement massif détecté sur un serveur de fichiers | — |
| 04 h 25 | Astreinte confirme : trois serveurs touchés, propagation active | Activation de la cellule |
| 04 h 50 | Cellule constituée à distance | Décision 1 : isoler le réseau |
| 05 h 10 | Liens inter-sites coupés, accès distant suspendu | — |
| 05 h 40 | Constat : sauvegardes du weekend inaccessibles, console compromise | Décision 2 : mobiliser la sauvegarde hors ligne |
| 06 h 30 | Prestataire de réponse à incident engagé | — |
| 07 h 15 | Périmètre estimé : 40 % du parc, annuaire compromis | Décision 3 : arrêt total de la production |
| 08 h 00 | Information des salariés par SMS de masse | — |
| 09 h 30 | Message d'attente publié, clients prévenus | — |
| 10 h 00 | Notification initiale à l'autorité compétente | — |
Les trois décisions
Décision 1 — Isoler
L'arbitrage : isoler arrête la propagation mais détruit des preuves en mémoire et interrompt des services encore sains.
La règle : isoler d'abord. Un chiffrement en cours se propage à quelques milliers de machines par heure ; les preuves en mémoire sont utiles à l'enquête, pas à la survie. Le forensique peut travailler sur des instantanés pris avant la coupure si l'outillage le permet.
À préparer à froid : la procédure d'isolement doit exister, être testée, et pouvoir s'exécuter sans l'annuaire — puisqu'il est peut-être compromis.
Décision 2 — La sauvegarde
Le constat de 5 h 40 est le plus fréquent et le plus déterminant : la console de sauvegarde est dans le domaine compromis, donc inutilisable ou elle-même chiffrée.
C'est ici que se joue la différence entre une reprise en quelques jours et une reconstruction en quelques semaines. Une organisation disposant d'une copie immuable ou hors ligne, administrée en dehors du domaine, garde une option. L'autre n'en a plus.
Décision 3 — Arrêter la production
L'arbitrage : un service qui continue de fonctionner peut être en train d'exfiltrer des données ou de chiffrer silencieusement. Un service arrêté coûte immédiatement.
Le critère : si l'annuaire est compromis, aucune authentification n'est plus digne de confiance. Continuer revient à exploiter un système dont on ne contrôle plus les accès.
Le point de restauration
Le choix est un arbitrage entre deux pertes :
- Restaurer au plus près de l'incident minimise la perte de données mais risque de réintroduire l'implant de l'attaquant, souvent présent depuis des semaines ;
- Restaurer plus loin garantit un état sain mais fait perdre davantage de travail.
La donnée qui tranche est la date de compromission initiale, établie par l'investigation. Sans elle, toute restauration est un pari. C'est pourquoi la conservation des journaux sur une durée suffisante — souvent six à douze mois — est un investissement de résilience, pas une exigence de conformité abstraite.
Les notifications
Un incident de ce type déclenche généralement plusieurs obligations simultanées : notification à l'autorité sectorielle, violation de données personnelles si l'exfiltration est probable, information des clients affectés, dépôt de plainte.
Ces flux ont des délais différents et ne se substituent pas. Le tableau des obligations doit être dans le plan, pas reconstitué à 10 h du matin par quelqu'un qui n'a pas dormi.
À retenir
- Confiner précède éradiquer, toujours
- La déconnexion détruit des preuves : c'est un arbitrage, pas une évidence
- Restaurer sans avoir éradiqué recommence l'attaque