Plus que renforcer son système en réaction à un incident (le durcissement et notamment la fameuse défense en profondeur), il s’avère nécessaire de travailler sur les moyens de confinement et d’endiguement.
Plan de reprise d’activité : le Confinement
En cas d’incident ou d’attaque, toute entreprise doit être capable d’exécuter les opérations nécessaires pour supprimer les causes et pour limiter les conséquences. Le confinement permet d’éviter la propagation d’un logiciel malveillant, stopper la progression d’un attaquant…
Le confinement est important avant que l’incident n’accapare des ressources ou n’augmente les dommages. Surtout, il offre du temps pour mettre en œuvre une stratégie d’assainissement adaptée (à choisir parmi des procédures préétablies). En effet, la prise de décision est essentielle et doit se faire avec autant de sérénité que possible : arrêter un système, le débrancher du réseau, désactiver certaines fonctions, etc.
Dans l’idéal, le confinement est différent de la coupure d’alimentation et se présente au contraire comme une alternative (question de sémantique !). Maintenir une machine ou une partie du système sous tension permet de gérer la continuité d’activité et de ne pas perdre d’informations utiles pour l’analyse de l’incident
En outre, les stratégies de confinement varient en fonction du type d’incident. La stratégie sera différente pour un malware reçu par e-mail et pour un DDoS.
Dans certains cas, il est prévu de diriger l’attaquant vers une sandbox, ce qui constitue une forme de sandbox. Cela permet de surveiller l’activité malveillante et de recueillir des preuves. Mais cette possibilité doit s’étudier au préalable, notamment sur le plan juridique. En outre, tout autre moyen d’observer une attaque doit être proscrit : tout doit être fait pour traiter l’incident dans les plus brefs délais lorsque celui-ci est détecté car laisser une attaque se poursuivre pour l’observer implique le risque de la voir se propager, y compris à l’extérieur.
Un autre problème potentiel concernant le confinement est que certaines attaques peuvent paradoxalement causer des dommages supplémentaires quand ils sont contenus. Par exemple, un hôte compromis peut exécuter un processus malveillant qui ping périodiquement un autre hôte. Contenir l’incident en déconnectant l’équipement compromis entraînera l’échec des futurs pings et enclenchera peut-être une seconde phase automatique de l’attaque (chiffrement du disque où le malware s’est installé…).
Téléchargez cette ressource

État des lieux de la réponse à incident de cybersécurité
Les experts de Palo Alto Networks, Unit 42 et Forrester Research livrent dans ce webinaire exclusif leurs éclairages et stratégies en matière de réponses aux incidents. Bénéficiez d'un panorama complet du paysage actuel de la réponse aux incidents et de sa relation avec la continuité de l'activité, des défis auxquels font face les entreprises et des tendances majeures qui modèlent ce domaine. Un état des lieux précieux pour les décideurs et professionnels IT.
Les articles les plus consultés
Les plus consultés sur iTPro.fr
- De la 5G à la 6G : la France se positionne pour dominer les réseaux du futur
- Datanexions, acteur clé de la transformation numérique data-centric
- Les PME attendent un meilleur accès aux données d’émissions de la part des fournisseurs
- Fraude & IA : Dr Jekyll vs. Mr Hyde, qui l’emporte ?
- Gestion du cycle de vie des outils de cyberdéfense : un levier de performance pour les entreprises
