Dans quel cas est-il nécessaire d'intervenir ?

• Vous avez été victime de phishing (hameçonnage).
• Vous avez été la cible d'un ransomware, malware ou virus. 
• Des données ont été récupérées à votre insu et utilisées frauduleusement. 
• Vos comptes (mail, réseaux, services etc..) sont utilisés par des tiers de façon illégale. 

Pourquoi est-il important de mettre en place des actions de remédiation ?

• Limite les dommages : Agir rapidement permet de limiter la propagation du piratage et de réduire les dommages potentiels aux systèmes et aux données.
• Restaure la confiance : Une réponse rapide démontre l'engagement envers la sécurité des informations, ce qui peut aider à maintenir la confiance des clients, des partenaires et des parties prenantes.
• Prévient les récidives : En identifiant et en corrigeant rapidement les vulnérabilités exploitées, vous réduisez le risque de futures attaques similaires.
• Protège la réputation : Une réponse efficace et transparente peut atténuer les répercussions sur la réputation de l'entreprise.
• Se conforme aux réglementations : Dans de nombreux cas, les réglementations exigent une notification rapide des violations de données et des mesures correctives appropriées.

Méthodologie de remédiation: 

1. Évaluation initiale : Identifiez la nature et l'étendue de l'incident de sécurité en documentant minutieusement l'état initial des dispositifs concernés, y compris les détails matériels, le contenu du disque ou de la VM, les paramètres de configuration, etc. 
2. Isolation : Isoler les systèmes compromis pour éviter la propagation de l'attaque.
3. Contenir l'incident : Limitez les dommages en arrêtant les processus malveillants et en bloquant les accès non autorisés.
4. Identification des failles : Déterminez comment l'attaque a eu lieu et corrigez les vulnérabilités sous-jacentes.
5. Planification des actions curatives: Actions à mener pour restaurer une situation normale.
6. Journalisation des actions : Chaque action effectuée sur les preuves, y compris la création d'images, l'analyse de données, etc., doit être soigneusement journalisée pour assurer la traçabilité et la transparence du processus d'investigation. 
7. Surveillance continue : Surveillez les systèmes pour détecter toute activité suspecte et renforcez les mesures de sécurité.
8. Communication : Informez les parties prenantes internes et externes de l'incident et des mesures prises pour remédier à la situation.
9. Évaluation post-incident : Analysez l'incident pour comprendre ce qui s'est passé et identifiez les leçons à tirer pour améliorer la sécurité à l'avenir.

Actions curatives à mener: 

• Imagerie du disque : Cela consiste généralement à créer une copie bit à bit (image) du disque ou de la VM concernée. Cette copie doit être créée à l'aide d'outils spécialisés pour garantir l'intégrité des données d'origine.
• Calcul de la somme de contrôle (hashing) : Après la création de l'image, il est impératif de calculer une somme de contrôle (hash) pour cette image. Cette somme de contrôle peut être utilisée pour vérifier l'intégrité de l'image tout au long de l'investigation.
• Scanner et nettoyez les systèmes : Utilisez des outils de sécurité pour détecter et éliminer les logiciels malveillants et autres menaces.
• Changez les identifiants compromis : Renouvelez les mots de passe et les identifiants des comptes compromis pour éviter une nouvelle exploitation.
• Appliquez des correctifs de sécurité : Mettez à jour les logiciels et les systèmes avec les derniers correctifs de sécurité pour combler les failles connues.
• Restauration : Rétablissez les systèmes affectés à partir de sauvegardes sûres et vérifiez leur intégrité.
• Surveillez les activités suspectes : Mettez en place une surveillance proactive pour détecter les comportements anormaux sur les systèmes.
• Installation de solution de cybersécurité: Antivirus, EDR/XDR, firewall etc...
• Mise en place d'une solution de surveillance: Afin d'avoir une vision en temps réel de l'ensemble de votre SI.
• Formez le personnel : Sensibilisez les employés à la sécurité informatique et aux bonnes pratiques pour réduire les risques d'incidents futurs.

Les actions curatives listées sont modulables en fonction de vos besoins et de la gravité de l'attaque subie.