On s'est fait pirater ce matin : comment gérer la réponse à incident pas à pas ?

En formatant, vous détruisez net les logs de pare-feu, les historiques de sessions et le dump mémoire. Copiez immédiatement les journaux d'événements du serveur (event logs) et les logs d'accès web sur une clé USB vierge.

Désignez un responsable de crise dans l'entreprise. Si le comptable part d'un côté et le technicien de l'autre, la coordination va droit dans le mur. Notez chaque action sur un cahier avec l'heure exacte, la manipulation effectuée et le nom de la personne.

Réinitialisez sur-le-champ les mots de passe e-mail et VPN de tous les employés depuis une machine saine. Vérifiez aussi d'urgence s'il y a des redirections de ports suspectes ou des règles de bureau à distance actives sur le routeur de la boîte.

On a eu un cas similaire et on a payé 3 800 EUR pour faire intervenir une équipe d'intervention d'urgence. En quatre heures, ils ont trouvé deux tâches planifiées (scheduled tasks) persistantes laissées par le hacker. Si on avait juste formaté et remis le backup, on se reprenait une attaque la nuit suivante.

L'envie soudaine du technicien de tout formater, c'est souvent pour masquer son erreur ou la faille. Remettre le serveur en ligne sans savoir par où ils sont rentrés, c'est laisser la porte grande ouverte au voleur.

bon courage découvrir ça au réveil c'est vraiment l'angoisse et gardez votre sang-froid, n'allez surtout pas écraser la sauvegarde saiine d'hier en restaurant n'importe comment dans la précipitation.

L'ordre des priorités doit être le suivant : 1) Couper physiquement l'accès internet du serveur. 2) Faire une image de la RAM et du disque. 3) Trouver la cause racine et la patcher. 4) Réinstaller sur un environnement sain à partir d'une sauvegarde sûre.

N'éteignez pas le serveur, débranchez seulement le réseau et n'autorisez aucun formatage sans avoir fait une copie conforme forensique du disque.

résumé rapide pour les nouveaux : Essayer de faier cela seul est la voie la plus coûteuse.

Je suis d'accord. Le fait que la sauvegarde soit accessible sur le même réseau et avec la même identité en fait une cible potentielle.

Je vais résumer le sujet, car plusieurs réponses différentes ont été données. Les environnements de test oubliés sont plus souvent des portes d'entrée que les systèmes de production.

Je suis aussi curieux de savoir si d'autres font autrement.

Chez nous ça s'est passé comme ça. Aucun processus sans suivi ne s'améliore, car vous ne savez pas quoi corriger.

C'est confirmé par l'expérience.

je trouve difficile d'être ausi catégorique côté réponse à incident de cybersécurité. le temps que vous mettez à détecter un problème détermine directement son coût.

Nous avons aussi bloqué au même endroit à une époque. bon prendre des notes pendant deux semaines donne de meilleurs résultats qu'une estimation de six mois.

Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

Chez nous aussi.

J'écris cela pour éviter que vous ne fassiez la même erreur. Le temps que vous mettez à détecter un problème détermine directement son coût.

Si le chemin de notification est long, la notification n'arrive pas ; une notification manquante signifie un événement détecté tardivement. Je le note au cas où.

Merci beaucoup, cela m'a été très utile. Quand on décide sans mesurer, on revient toujours au même point.

Le temps que vous mettez à détecter un problème détermine directement son coût.

Merci, c'était exactement la réponse que je cherchais.