Incident Response Lifecycle

De nombreuses organisations disposent de procédures pour gérer les incidents de sécurité informatique, ce que l'on appelle un plan de réponse aux incidents (IRP). Nombre de ces plans sont basés sur les directives NIST SP 800 61r2. Alors que différentes organisations ont proposé d'autres types de cycles de vie de réponse aux incidents, tels que le SANS, celui guidé par le NIST s'est révélé le plus populaire. Le cycle de vie de la réponse aux incidents est divisé en quatre catégories différentes et ce document examinera chacune d'elles individuellement. Une chose à garder à l'esprit est que le cycle est un processus continu et que les quatre parties sont utilisées pour éviter que le même incident ne se reproduise à l'avenir.

Source : NIST

Préparation

La préparation est l'un des aspects les plus importants de la réponse aux incidents. Si vous ne disposez pas des équipes, des ressources ou de la documentation nécessaires, le processus de réponse aux incidents est voué à l'échec. Avec une bonne préparation, vous pouvez prévenir les attaques avant même qu'elles ne se produisent. La préparation comprend deux grands groupes : la préparation aux incidents et la prévention active des incidents.

Certaines activités qui impliquent de se préparer aux incidents sont les suivantes :

• Informations de contact pour toutes les parties prenantes
• Disposer d'une salle de guerre pour une communication et une coordination centralisées
• Documentation
• Lignes de base pour les systèmes en cours d'exécution
• Équipements pouvant être utilisés dans un scénario infrarouge, tels que des boîtes à outils de criminalistique numérique

Les activités qui impliquent la prévention active des incidents seraient les suivantes :

• Disposer d'évaluations des risques à jour
• Utilisation de la sécurité du client et du serveur
• Mettre en place un programme de sensibilisation et de formation des utilisateurs

Bien que le processus de réponse aux incidents ne comporte pas de phase de préparation parfaite, il s'agit de la première ligne de défense en cas d'attaque susceptible de provoquer des dommages catastrophiques.

Détection et analyse

La phase de détection et d'analyse de l'IR comprend deux sous-phases distinctes qui, si elles sont correctement mises en œuvre, seront en mesure d'alerter l'équipe CSIRT de l'entreprise ou de l'organisation d'un événement actif en cours. Pour la sous-phase de détection, de nombreux SoC, équipes de sécurité internes et organisations disposent d'outils tels que des systèmes de détection et de prévention des intrusions (IDP), des logiciels antivirus/antispam/antimalware et des solutions de surveillance des journaux configurés pour alerter l'équipe appropriée lorsque des incidents sont détectés. Le fait que les membres de l'équipe IR connaissent les systèmes en place peut être utile pour savoir comment passer à la sous-phase suivante, celle de l'analyse. L'analyse peut souvent être l'une des étapes les plus complexes du cycle de vie de l'infrarouge, car elle implique de découvrir comment l'attaque initiale s'est produite et comment elle s'est déplacée sur le réseau. De nombreuses entreprises utilisent des profils et des lignes de base de réseau, des bases de connaissances et des politiques de conservation des journaux, afin de faciliter cette phase pour le responsable de la réponse aux incidents.

Trois autres points à noter sont que l'intervenant doit être en mesure de documenter efficacement ses découvertes lors de l'analyse de l'attaque, ainsi que de hiérarchiser les actions à prendre, puis l'équipe IR doit en informer les autorités compétentes. Cette notification est souvent décrite à l'avance dans ce que l'on appelle généralement un plan de communication qui existe dans le cadre de diverses politiques organisationnelles. Cela inclut les responsables, les responsables informatiques, les ressources humaines et le service juridique, pour n'en nommer que quelques-uns, puis ces parties alertent des tiers ou le public, selon le type d'organisation dans laquelle l'attaque se produit. Une fois ces deux sous-phases terminées, le répondeur peut passer à la phase suivante du processus IR.

Confinement, éradication, rétablissement

La phase de confinement, d'éradication et de restauration du cycle de vie infrarouge comprend deux sous-phases qui sont extrêmement importantes pour garantir que l'organisation puisse se remettre de l'attaque avec succès. La première sous-phase est le confinement, qui peut prendre de nombreuses formes différentes. Par exemple, la manière de contenir une campagne de phishing de masse serait très différente de celle d'une attaque par rançongiciel Sodinokibi. Le NIST a établi quelques critères clés pour déterminer quelle devrait être la stratégie de confinement :

• Dommages potentiels aux ressources et vol de celles-ci
• Nécessité de préserver les preuves
• Disponibilité du service
• Temps et ressources nécessaires
• Efficacité
• Durée de la solution

Au cours de la sous-phase de confinement, il est également important, comme lors de la phase de détection et d'analyse, de tenir un journal détaillé de toutes les preuves que vous trouvez concernant l'attaque. Il peut s'agir d'informations qui pourraient être utilisées pour d'autres tactiques de prévention, ainsi que de connaissances qui pourraient être partagées avec la communauté de la cybersécurité. La deuxième sous-phase est l'éradication et le rétablissement et cette phase est l'acte de retour à la normale de vos systèmes. Les actions d'éradication peuvent consister à reconstruire des machines à partir de sauvegardes dont le bon fonctionnement a été vérifié, à supprimer un logiciel malveillant ou à réinitialiser les informations d'identification des comptes compromis. Les actions de restauration consistent à restaurer ces systèmes dans leur état d'avant l'attaque. Cela pourrait également inclure l'élimination de toute vulnérabilité exploitée lors de l'attaque, ainsi que la modification des mots de passe, l'installation de correctifs, le renforcement de la sécurité du réseau, etc.

Leçons apprises

La partie la plus importante de la phase d'activité post-incident consiste à apprendre et à améliorer les systèmes existants. Les équipes de réponse aux incidents sont censées déployer des efforts continus et croissants pour prévenir les menaces avant qu'elles ne surviennent et répondre aux nouvelles menaces lorsqu'elles apparaissent. Le NIST recommande d'organiser une réunion sur les « leçons apprises » qui pourrait aborder les questions suivantes :

• Que s'est-il passé exactement et quand est-ce que cela s'est produit ?
• Dans quelle mesure le personnel et la direction se sont-ils comportés face à l'incident ?
• De quelles informations avait-on besoin plus tôt ?
• Des mesures ou des actions ont-elles été prises qui auraient pu empêcher la reprise ?
• Qu'est-ce que le personnel et la direction feraient différemment la prochaine fois qu'un incident similaire se produirait ?
• Comment aurait-on pu améliorer le partage d'informations avec d'autres organisations ?
• Quelles mesures correctives peuvent être prises ?
• Quels indicateurs devraient être surveillés à l'avenir ?
• Quels outils ou ressources supplémentaires sont nécessaires pour atténuer les incidents futurs ?

Une fois cette réunion menée, il est important de mettre en œuvre les réponses à ces questions, de revenir à la phase de préparation afin de tirer les leçons de l'attaque et de l'utiliser à leur avantage pour défendre l'entreprise ou l'organisation.