|
Répondre à une attaque de serveur nécessite une approche à plusieurs niveaux, donnant la priorité au confinement et à l'enquête. Voici une répartition des actions, classées par souci de clarté :
Actions immédiates (en quelques minutes) :
* Isoler le serveur : C’est l’étape la plus cruciale. Déconnectez le serveur du réseau pour éviter d'autres dommages et tout mouvement latéral vers d'autres systèmes. Cela peut impliquer de débrancher physiquement le câble réseau ou de désactiver l'interface réseau de la machine virtuelle. Envisagez d'arrêter complètement le serveur si l'isolation n'est pas immédiatement possible.
* Surveiller le trafic réseau : Utilisez des outils de surveillance du réseau pour observer le trafic d’attaque, identifier la ou les sources et comprendre le ou les vecteurs d’attaque. Ces informations sont essentielles pour l’analyse et la prévention futures.
* Tout enregistrer : Assurez-vous de capturer tous les journaux pertinents du serveur, des périphériques réseau et des systèmes de gestion des informations et des événements de sécurité (SIEM). Ce dossier détaillé sera d’une valeur inestimable pour l’analyse post-incident et la médecine légale.
* Alertez votre équipe de sécurité/équipe de réponse aux incidents : Avertissez immédiatement le personnel approprié. N'essayez pas de gérer cela seul ; une réponse coordonnée est essentielle.
Actions d'enquête (en quelques heures) :
* Déterminer le type d'attaque : S'agissait-il d'une attaque DDoS, d'une tentative de connexion par force brute, d'une injection SQL, d'une infection par un logiciel malveillant ou autre chose ? Connaître le type d’attaque guide les prochaines étapes.
* Identifier le vecteur d'attaque : Comment les attaquants ont-ils pu y accéder ? Était-ce dû à une vulnérabilité, un mot de passe faible, une campagne de phishing ou des identifiants compromis ?
* Analyser les journaux et le trafic réseau : Plongez en profondeur dans les journaux collectés et les captures du trafic réseau pour identifier les actions de l'attaquant, les systèmes affectés et l'étendue de la compromission.
* Analyse des logiciels malveillants : Si vous soupçonnez une infection par un logiciel malveillant, exécutez une analyse approfondie du serveur concerné et potentiellement d'autres systèmes connectés.
Actions correctives (en jours/semaines) :
* Vulnérabilités des correctifs : Corrigez toutes les vulnérabilités connues exploitées lors de l’attaque. Assurez-vous que vos systèmes sont à jour avec les derniers correctifs de sécurité.
* Modifier les mots de passe : Modifiez tous les mots de passe associés au serveur compromis et à tous les comptes associés. Utilisez des mots de passe forts et uniques.
* Examinez les politiques et procédures de sécurité : Identifiez les faiblesses de votre posture de sécurité qui ont permis à l’attaque de se produire. Renforcez les contrôles d'accès, mettez en œuvre l'authentification multifacteur (MFA) et améliorez la formation de sensibilisation à la sécurité pour vos utilisateurs.
* Analyse médico-légale (si nécessaire) : Engagez un expert légiste pour effectuer une analyse approfondie du système afin d'identifier l'étendue de la perte de données et de rassembler des preuves à des fins juridiques ou d'assurance.
* Restaurer à partir d'une sauvegarde : Restaurez le serveur à partir d'une sauvegarde propre effectuée avant l'attaque, en vous assurant que la sauvegarde elle-même n'a pas été compromise.
* Mettre en œuvre des mesures préventives : Mettez en œuvre des systèmes de détection/prévention des intrusions (IDS/IPS), des pare-feu d'applications Web (WAF) et d'autres mesures de sécurité pour prévenir de futures attaques.
Considérations importantes :
* Conformité légale et réglementaire : Comprenez vos obligations légales et réglementaires concernant les violations de données et les incidents de sécurité. Informer les parties concernées, au besoin.
* Communication : Tenir les parties prenantes informées de la situation et des progrès de la réponse.
* Documentation : Maintenir une documentation complète de l’ensemble du processus de réponse aux incidents, y compris le calendrier, les actions prises et les leçons apprises.
Il ne s'agit pas d'une liste exhaustive et les étapes spécifiques varient en fonction de la nature de l'attaque et des ressources et de l'infrastructure de votre organisation. La clé est d’agir rapidement, de manière décisive et méthodique. N’oubliez pas de donner la priorité au confinement d’abord, puis aux enquêtes et enfin à la remédiation et à la prévention.
|
