Analyse forensique après une cyberattaque

Après une intrusion ou un rançongiciel, remettre les systèmes en route ne suffit pas. Tant que le point d’entrée n’est pas identifié, rien ne garantit que l’attaquant a perdu son accès : une reconstruction faite trop vite se solde souvent par une seconde attaque quelques semaines plus tard, par le même chemin.

L’analyse forensique répond aux trois questions qui conditionnent la suite : par où sont-ils entrés, jusqu’où sont-ils allés, et qu’ont-ils emporté.

Ce que l’analyse établit

• Le point d’entrée
  Service exposé, identifiants compromis, pièce jointe, accès d’un prestataire : nous remontons à l’origine plutôt que de la supposer.
• La chronologie
  Date de la première compromission, durée de présence dans le système, moments d’activité. Un attaquant reste fréquemment plusieurs semaines avant de se manifester.
• La progression latérale
  Les comptes utilisés, les machines atteintes, les privilèges obtenus.
• Les mécanismes de persistance
  Tâches planifiées, comptes créés, services et accès distants laissés en place pour revenir.
• L’exfiltration
  Ce qui est sorti du réseau, dans quel volume et vers où, dans la limite de ce que les traces conservées permettent d’établir.

Sur quoi nous travaillons

• Copies à l’identique des ordinateurs, serveurs et téléphones concernés, réalisées avec bloqueur en écriture
• Mémoire vive des systèmes encore allumés, quand elle est récupérable
• Journaux des pare-feux, des serveurs, de l’Active Directory et de la messagerie
• Traces réseau et journaux de connexion des accès distants
• Sauvegardes, pour dater les modifications et retrouver un état sain

C’est pourquoi la conservation des journaux est décisive : leur rotation automatique efface souvent la période qui nous intéresse. Dès la découverte d’un incident, suspendez-la.

Ce que vous en retirez

• Un rapport établi par un ingénieur assermenté, qui expose les constats et leurs limites sans jargon inutile
• La liste des failles à refermer avant remise en service
• Les éléments nécessaires à votre déclaration de violation de données auprès de la CNIL, qui doit intervenir dans les 72 heures suivant la prise de connaissance
• Les pièces techniques utiles à votre assureur et, le cas échéant, à un dépôt de plainte

Les erreurs qui coûtent cher

• Éteindre les machines : la mémoire vive disparaît, et avec elle une part des preuves.
• Réinstaller avant analyse : la cause de l’intrusion est effacée, la faille reste ouverte.
• Laisser tourner la rotation des journaux : la période utile s’efface d’elle-même.
• Communiquer par la messagerie compromise : l’attaquant lit vos échanges de crise.

Un incident est en cours ? Appelez directement notre CERT/CSIRT, joignable à toute heure. Si les éléments doivent servir devant un tribunal, voir notre expertise judiciaire informatique.