Plus que renforcer son système en réaction à un incident (le durcissement et notamment la fameuse défense en profondeur), il s’avère nécessaire de travailler sur les moyens de confinement et d’endiguement.
Plan de reprise d’activité : le Confinement
En cas d’incident ou d’attaque, toute entreprise doit être capable d’exécuter les opérations nécessaires pour supprimer les causes et pour limiter les conséquences. Le confinement permet d’éviter la propagation d’un logiciel malveillant, stopper la progression d’un attaquant…
Le confinement est important avant que l’incident n’accapare des ressources ou n’augmente les dommages. Surtout, il offre du temps pour mettre en œuvre une stratégie d’assainissement adaptée (à choisir parmi des procédures préétablies). En effet, la prise de décision est essentielle et doit se faire avec autant de sérénité que possible : arrêter un système, le débrancher du réseau, désactiver certaines fonctions, etc.
Dans l’idéal, le confinement est différent de la coupure d’alimentation et se présente au contraire comme une alternative (question de sémantique !). Maintenir une machine ou une partie du système sous tension permet de gérer la continuité d’activité et de ne pas perdre d’informations utiles pour l’analyse de l’incident
En outre, les stratégies de confinement varient en fonction du type d’incident. La stratégie sera différente pour un malware reçu par e-mail et pour un DDoS.
Dans certains cas, il est prévu de diriger l’attaquant vers une sandbox, ce qui constitue une forme de sandbox. Cela permet de surveiller l’activité malveillante et de recueillir des preuves. Mais cette possibilité doit s’étudier au préalable, notamment sur le plan juridique. En outre, tout autre moyen d’observer une attaque doit être proscrit : tout doit être fait pour traiter l’incident dans les plus brefs délais lorsque celui-ci est détecté car laisser une attaque se poursuivre pour l’observer implique le risque de la voir se propager, y compris à l’extérieur.
Un autre problème potentiel concernant le confinement est que certaines attaques peuvent paradoxalement causer des dommages supplémentaires quand ils sont contenus. Par exemple, un hôte compromis peut exécuter un processus malveillant qui ping périodiquement un autre hôte. Contenir l’incident en déconnectant l’équipement compromis entraînera l’échec des futurs pings et enclenchera peut-être une seconde phase automatique de l’attaque (chiffrement du disque où le malware s’est installé…).
Téléchargez cette ressource

Comment accélérer la transformation des environnements de travail ?
Dans un monde professionnel en pleine mutation, la mobilité, l’efficacité énergétique, la sécurité et l’intelligence embarquée sont devenues des critères décisifs pour les équipements informatiques. Découvrez comment les nouveaux PC Microsoft Surface dotés des processeurs Snapdragon X Series s’imposent comme une réponse stratégique aux nouveaux enjeux IT.
Les articles les plus consultés
- Activer la mise en veille prolongée dans Windows 10
- Partager vos images, vidéos, musique et imprimante avec le Groupe résidentiel
- N° 2 : Il faut supporter des langues multiples dans SharePoint Portal Server
- Afficher les icônes cachées dans la barre de notification
- Et si les clients n’avaient plus le choix ?
Les plus consultés sur iTPro.fr
- Explosion des attaques d’ingénierie sociale en 2025
- SI sous pression : 3 signes que vos flux sont mal orientés
- Transformation numérique : les entreprises françaises changent de méthode de gestion de projet en cours de route
- Innover de manière responsable et rapide avec l’IA en Europe
- Analyse Microsoft Patch Tuesday Août 2025
