Confinement

En cas d’incident ou d’attaque, toute entreprise doit être capable d’exécuter les opérations nécessaires pour supprimer les causes et pour limiter les conséquences. Le confinement permet d’éviter la propagation d’un logiciel malveillant, stopper la progression d’un attaquant…

Le confinement est important avant que l’incident n’accapare des ressources ou n’augmente les dommages. Surtout, il offre du temps pour mettre en œuvre une stratégie d’assainissement adaptée (à choisir parmi des procédures préétablies). En effet, la prise de décision est essentielle et doit se faire avec autant de sérénité que possible : arrêter un système, le débrancher du réseau, désactiver certaines fonctions, etc.

Dans l’idéal, le confinement est différent de la coupure d’alimentation et se présente au contraire comme une alternative (question de sémantique !). Maintenir une machine ou une partie du système sous tension permet de gérer la continuité d’activité et de ne pas perdre d’informations utiles pour l’analyse de l’incident

En outre, les stratégies de confinement varient en fonction  du type d’incident. La stratégie sera différente pour un malware reçu par e-mail et pour un DDoS.

Dans certains cas, il est prévu de diriger l’attaquant vers une sandbox, ce qui constitue une forme de sandbox. Cela permet de surveiller l’activité malveillante et de recueillir des preuves. Mais cette possibilité doit s’étudier au préalable, notamment sur le plan juridique. En outre, tout autre moyen d’observer une attaque doit être proscrit : tout doit être fait pour traiter l’incident dans les plus brefs délais lorsque celui-ci est détecté car laisser une attaque se poursuivre pour l’observer implique le risque de la voir se propager, y compris à l’extérieur.

Un autre problème potentiel concernant le confinement est que certaines attaques peuvent paradoxalement causer des dommages supplémentaires quand ils sont contenus. Par exemple, un hôte compromis peut exécuter un processus malveillant qui ping périodiquement un autre hôte. Contenir l’incident en déconnectant l’équipement compromis entraînera l’échec des futurs pings et enclenchera peut-être une seconde phase automatique de l’attaque (chiffrement du disque où le malware s’est installé…).