Les techniques d'attaque expliquées

C'est la façon dont un attaquant passe de la première machine compromise à d'autres, en général avec des identifiants volés et des services d'accès à distance comme SMB, RDP, SSH ou WinRM. MITRE ATT&CK le décrit comme la tactique TA0008 ; Remote Services est la technique T1021.

Cherchez un hôte qui se connecte à la même destination externe à intervalles presque réguliers, jour et nuit, avec de petits messages de taille similaire. Ce schéma apparaît dans les données de flux et les journaux du pare-feu, y compris pour le trafic chiffré, car les horaires, les volumes et la destination ne sont pas chiffrés.

En grande partie, oui : qui se connecte à qui, sur quel port, quand et avec quel volume, tout cela est visible sans déchiffrement. Ce qui reste caché, c'est le contenu de la session, par exemple les commandes envoyées dans une session à distance chiffrée.

Celles qui créent du trafic entre machines, par exemple Network Service Discovery (T1046), Remote Services (T1021), Application Layer Protocol (T1071), Encrypted Channel (T1573) et Exfiltration Over C2 Channel (T1041). Les techniques qui restent dans un hôte relèvent des outils installés sur les postes.

Le beaconing C2 (command and control) est un logiciel malveillant qui contacte le serveur de l'attaquant à intervalles réguliers pour demander des instructions. Sur le réseau, cela ressemble à de petites connexions vers la même destination toutes les quelques minutes, jour et nuit, souvent avec une légère variation aléatoire pour paraître moins régulières. Comme il s'agit d'un schéma dans le temps, il reste visible quand le trafic est chiffré. Des logiciels légitimes le font aussi, comme les agents de mise à jour, les outils de supervision et les messageries, donc ce qui compte, c'est une destination nouvelle, un appareil qui n'a aucune raison d'en avoir besoin ou un rythme qui ne s'arrête jamais, même la nuit. NetSenX détecte le beaconing dans chaque offre, Free comprise, et explique sur l'alerte quelles caractéristiques du rythme et de la destination l'ont déclenchée.

L'exfiltration est le vol de données par copie hors de votre réseau, souvent vers un stockage cloud ou un serveur contrôlé par l'attaquant, et généralement avant qu'un rançongiciel ne chiffre quoi que ce soit. Les attaquants l'étalent sur les nuits et les week-ends ou gardent chaque transfert petit pour échapper aux alarmes de volume simples. On la détecte en comparant le trafic sortant de chaque hôte à sa propre normale : destination, volume et heure de la journée. Surveillez particulièrement les envois vers des services de stockage cloud ou vers des adresses qu'aucun autre hôte n'utilise, que les avis publics sur les groupes de rançongiciel décrivent encore et encore. Le chiffrement cache le contenu d'un transfert, pas son volume, sa destination ni son heure. NetSenX détecte les volumes de données sortants inhabituels par hôte, dans chaque offre, Free comprise.

« Living off the land » signifie que les attaquants utilisent les outils déjà présents sur vos systèmes, comme PowerShell, le bureau à distance ou des utilitaires d'administration, au lieu de leur propre logiciel malveillant. L'antivirus les laisse souvent passer, car ces outils sont légitimes. Ce qui les trahit, c'est un usage inhabituel, par exemple un compte qui se connecte là où il ne l'a jamais fait ou un poste de travail qui ouvre des sessions vers de nombreux serveurs. Établir des références d'activité normale aide, tout comme limiter qui peut utiliser les outils d'administration. NetSenX détecte sur le réseau les nouvelles sessions entre hôtes, le balayage et le mouvement latéral, dans chaque offre. Ce qui se passe entièrement à l'intérieur d'un hôte, comme un script qui lit des fichiers, ne traverse jamais le réseau et relève de la détection sur les postes.

Souvent, s'il communique. Un petit ordinateur ou un pont Wi-Fi caché sous un bureau doit joindre l'attaquant ; il apparaît donc comme un hôte qui établit des connexions vers l'extérieur, souvent à intervalles réguliers. Vérifiez vos commutateurs à la recherche d'adresses MAC inconnues et activez la sécurité des ports ou 802.1X là où c'est possible. NetSenX voit le trafic des hôtes des segments surveillés et détecte le beaconing et les connexions inhabituelles ; un appareil silencieux, ou situé sur un segment que vous ne surveillez pas, reste invisible.

MITRE ATT&CK est une base de connaissances publique et gratuite des tactiques et techniques des attaquants, construite par l'organisation à but non lucratif MITRE à partir d'incidents réels et mise à jour deux fois par an. Les tactiques sont les objectifs de l'attaquant, comme l'accès initial, la découverte ou l'exfiltration ; les techniques sont les moyens de les atteindre, chacune avec un identifiant, par exemple T1021 pour les services à distance. Les défenseurs s'en servent comme langage commun : pour décrire une alerte, comparer des outils et voir quelles techniques leurs mesures couvrent ou non. Ce n'est pas une liste à cocher, et aucun produit ne couvre toutes les techniques. NetSenX indique sur une alerte la technique ATT&CK quand une détection y correspond, et montre dans une vue de couverture quelles techniques vos détections activées traitent.

Elles décrivent une attaque à trois niveaux de détail. Une tactique est l'objectif de l'attaquant à un moment donné, le pourquoi : le mouvement latéral, par exemple, consiste à passer d'une machine à d'autres. Une technique est la façon d'y parvenir, comme l'utilisation de services à distance, et une sous-technique la précise encore, comme le bureau à distance ou les partages administratifs SMB. Une procédure est la manière précise dont un groupe donné s'y prend : quel outil, quelle commande, dans quel ordre. On parle ensemble de TTP. La distinction compte pour la défense : bloquer une procédure, comme l'empreinte du fichier d'un outil, se contourne facilement, alors que détecter une technique, comme un poste qui ouvre soudain des sessions d'administration vers de nombreux serveurs, fonctionne quel que soit l'outil. La détection réseau travaille surtout au niveau des techniques, c'est pourquoi les alertes NetSenX nomment des techniques plutôt que des outils.

La reconnaissance est la collecte d'informations par l'attaquant avant d'agir. Dans MITRE ATT&CK, c'est la première tactique, et elle couvre ce qui se passe hors de votre réseau : balayage de vos adresses IP publiques à la recherche de services ouverts, collecte de noms de salariés et de formats d'adresses e-mail sur votre site et les réseaux sociaux, recherche de vos fournisseurs et de mots de passe ayant fuité. Une grande partie vous est invisible, car elle s'appuie sur des sources publiques. Vous pouvez en revanche réduire ce qu'elle trouve : fermer les services exposés à internet inutilisés, réduire au minimum les détails publics sur votre informatique et vérifier si des adresses de l'entreprise figurent dans des fuites connues. Les balayages de vos adresses publiques apparaissent dans les journaux du pare-feu, même s'ils sont un bruit de fond permanent sur internet. Une fois à l'intérieur, les attaquants mènent une seconde phase de découverte, qui est une tactique distincte et bien plus facile à voir depuis le réseau.

Le développement de ressources est la préparation par l'attaquant des outils et de l'infrastructure d'une attaque : louer des serveurs, enregistrer des domaines ressemblants, acheter ou voler des comptes, se procurer des logiciels malveillants ou des certificats de signature de code, ou acheter l'accès à une victime auprès d'un courtier d'accès initial. Cela se passe du côté de l'attaquant avant que quoi que ce soit ne vous atteigne, il y a donc peu à détecter directement. Ses traces apparaissent plus tard, et c'est utile : un domaine enregistré la semaine dernière qui ressemble à celui de votre fournisseur, une destination sur des serveurs cloud fraîchement loués, un certificat émis quelques jours avant la connexion. Les flux de renseignement sur les menaces et les avis publient ce type d'infrastructure. Enregistrez les fautes de frappe courantes de votre propre domaine et mettez en place DMARC, pour que votre nom soit plus difficile à usurper. NetSenX n'observe pas les attaquants construire leur infrastructure ; il voit vos hôtes s'y connecter, par exemple un beaconing vers un nouveau serveur extérieur.

L'accès initial est la tactique qui consiste à prendre un premier pied dans votre réseau. Les voies d'entrée courantes sont l'hameçonnage qui pousse quelqu'un à exécuter un fichier ou à saisir un mot de passe, l'exploitation d'une vulnérabilité d'un système exposé à internet comme une passerelle VPN ou un pare-feu, la connexion à des services à distance avec des mots de passe volés ou devinés, l'abus de l'accès d'un fournisseur et les téléchargements furtifs depuis des sites compromis. Les avis de la CISA sur les rançongiciels citent ces voies encore et encore. La plupart des défenses se trouvent hors d'un capteur réseau : corriger en priorité les équipements exposés à internet, imposer l'authentification multifacteur (MFA) à chaque connexion à distance, filtrer la messagerie et fermer les services inutiles. L'accès initial lui-même n'est souvent que partiellement visible sur le réseau, mais la suite l'est généralement : la machine compromise contacte le serveur de l'attaquant. NetSenX détecte ce beaconing dans chaque offre, Free comprise.

L'exécution est la tactique qui consiste à faire tourner le code de l'attaquant sur un système : une macro dans un document, un script lancé par un utilisateur trompé, une commande envoyée par un outil d'administration à distance ou une tâche planifiée. Cela se passe à l'intérieur de l'hôte, donc la défense principale s'y trouve aussi : détection et réponse sur les postes (EDR), liste blanche d'applications, blocage des macros dans les fichiers venant d'internet et limitation des outils de script pour les utilisateurs ordinaires. Un capteur réseau ne voit pas un processus démarrer. Il voit les conséquences qui traversent le réseau, ce qui suffit souvent à donner l'alerte : le nouveau programme télécharge l'étape suivante, puis appelle un serveur à intervalles réguliers, ou la machine se met à balayer ses voisines. NetSenX les détecte dans chaque offre ; il ne peut pas vous dire quel programme de l'hôte en est l'auteur, question qui relève des outils des postes.

La persistance est la façon dont les attaquants conservent leur accès malgré les redémarrages, les changements de mot de passe et les nettoyages : nouveaux comptes, tâches planifiées et services, outils d'accès à distance installés comme s'ils étaient légitimes, web shells sur des serveurs exposés à internet, réglages VPN ou de pare-feu modifiés et jetons de session volés pour les services cloud. L'essentiel de la persistance se loge sur les hôtes et dans les systèmes d'identité ; on la trouve avec les outils des postes, des revues de l'annuaire et des comparaisons de configuration. Vérifiez régulièrement les comptes administrateur que personne ne sait expliquer, les logiciels d'accès à distance que personne n'a approuvés et les règles de transfert dans les boîtes aux lettres. La persistance a généralement besoin d'une connexion de retour vers l'attaquant, et celle-ci se voit sur le réseau : un hôte qui continue d'appeler le même serveur extérieur, même des semaines après la clôture d'un incident. NetSenX détecte ce beaconing dans chaque offre.

L'élévation de privilèges consiste pour l'attaquant à transformer un accès limité en davantage de pouvoir : d'un utilisateur ordinaire à administrateur local, puis à administrateur du domaine ou du cloud. Il exploite des vulnérabilités non corrigées, des services mal configurés, des mots de passe stockés dans des scripts ou des navigateurs, et des comptes dotés de plus de droits que leur fonction ne l'exige. Cela se passe surtout dans les hôtes et l'annuaire ; la prévention consiste donc à corriger, retirer les droits d'administrateur local aux comptes du quotidien, utiliser des comptes administrateur distincts réservés à l'administration et revoir régulièrement qui appartient aux groupes privilégiés. Un capteur réseau voit peu de l'élévation elle-même. Il voit ce que l'attaquant fait de ses nouveaux droits, ce qui passe généralement par le réseau : sessions vers le contrôleur de domaine, connexions d'administration vers de nombreux serveurs, accès aux sauvegardes. NetSenX détecte ce mouvement latéral dans chaque offre, Free comprise.

Stealth est la tactique qui consiste à cacher une activité malveillante ou à lui donner l'apparence de la normalité. Depuis la version 19 de MITRE ATT&CK, publiée en avril 2026, elle reprend une grande partie de l'ancienne tactique Defense Evasion, scindée en Stealth et Defense Impairment. Stealth couvre des techniques comme se faire passer pour des fichiers ou services légitimes, masquer des artefacts et obscurcir des fichiers pour que les outils et les personnes passent à côté. Les outils à base de signatures peinent ici, car chaque élément paraît ordinaire pris isolément. Ce qui reste visible, c'est un comportement qui ne correspond pas à l'historique d'un hôte : un rythme régulier vers une nouvelle destination, ou un poste qui parle soudain à de nombreux serveurs. Si vous rattachez vos détections à ATT&CK, mettez à jour les références à Defense Evasion. NetSenX cherche ces comportements depuis le réseau dans chaque offre ; il ne déchiffre jamais le trafic et juge donc des schémas, pas des contenus.

Defense Impairment est la tactique qui consiste à désactiver, affaiblir ou perturber les mesures de sécurité. MITRE ATT&CK l'a introduite dans la version 19, en avril 2026, en scindant l'ancienne tactique Defense Evasion en Stealth et Defense Impairment. Exemples typiques : désactiver l'antivirus ou les agents de protection des postes, arrêter ou effacer des journaux, et modifier des règles de pare-feu pour laisser passer le trafic de l'attaquant. Sur l'hôte, la défense repose sur la protection anti-altération des outils de sécurité, une alerte quand un agent cesse de remonter des informations, et des droits d'administrateur réservés à peu de personnes. Le réseau ajoute un regard indépendant : un serveur dont l'agent s'est tu doit continuer d'utiliser le réseau, et NetSenX continue d'observer son comportement, comme le beaconing, le balayage et les envois, dans chaque offre. Il ne voit pas l'état de l'agent lui-même ; la console des postes le montre, et il vaut la peine de la consulter chaque jour.

L'accès aux identifiants est la tactique qui consiste à voler mots de passe, empreintes, tickets et jetons pour que l'attaquant puisse se connecter sous l'identité de quelqu'un de légitime. Les techniques courantes sont l'extraction d'identifiants de la mémoire d'un ordinateur, la lecture de mots de passe enregistrés dans des navigateurs ou des scripts, le devinement ou la pulvérisation de mots de passe contre des services de connexion, leur capture sur le réseau par des procédés d'adversary-in-the-middle, et la demande de tickets de service à casser hors ligne. Les défenses sont l'authentification multifacteur (MFA), des mots de passe longs et uniques pour les comptes de service, moins de connexions administrateur sur les postes ordinaires et une protection des postes contre l'extraction de mémoire. Une partie se voit sur le réseau, comme de nombreuses connexions échouées d'un hôte vers des services de connexion ou des manipulations ARP sur un segment ; l'essentiel se passe sur les hôtes et dans l'annuaire. NetSenX voit le côté réseau et surtout l'usage fait ensuite des identifiants volés : de nouvelles sessions entre hôtes.

La découverte, c'est l'attaquant déjà à l'intérieur qui cherche à savoir ce que contient votre réseau : quels hôtes existent, quels services ils offrent, quels partages contiennent des fichiers, qui sont les administrateurs et où se trouvent les sauvegardes. Les techniques typiques sont le balayage des plages d'adresses internes, l'énumération des partages réseau, l'interrogation de l'annuaire et la lecture de la configuration de la machine où il se trouve. Contrairement à la reconnaissance depuis l'extérieur, la découverte interne traverse votre réseau, ce qui en fait l'une des étapes les plus visibles : un hôte qui se connecte soudain à de nombreuses adresses internes sur des ports SMB, RDP ou de bases de données. Les requêtes à l'annuaire apparaissent dans les journaux d'identité plutôt qu'à un capteur de flux. La segmentation limite ce que la découverte peut atteindre. NetSenX détecte le balayage interne dans chaque offre, Free comprise, et à partir de l'offre Pro le relie aux sessions qui suivent.

La collecte, c'est l'attaquant qui rassemble les données qu'il veut avant de les sortir : copier des fichiers de partages en un seul endroit, les compresser en archives, lire des boîtes aux lettres, exporter une base de données, faire des captures d'écran. Elle se manifeste souvent par un hôte qui lit soudain bien plus de données sur les serveurs de fichiers ou les bases qu'il ne l'a jamais fait, parfois la nuit, suivi d'une pause pendant la constitution des archives. Les journaux d'audit des fichiers et des bases montrent ce qui a été lu, et les outils des postes voient la création d'archives. Sur le réseau, le rassemblement ressemble à de nouvelles sessions de cet hôte vers de nombreux serveurs de fichiers, et l'étape suivante, l'exfiltration, à des volumes sortants inhabituels depuis lui. Limitez qui peut lire quoi, surtout les comptes de service aux accès étendus. NetSenX détecte les nouvelles sessions entre hôtes et les volumes sortants inhabituels par hôte dans chaque offre ; il ne voit pas quels fichiers ont été lus dans des sessions chiffrées.

Le commandement et contrôle est la tactique qui permet aux attaquants de dialoguer avec les systèmes compromis : envoyer des commandes, recevoir des résultats et livrer d'autres outils. Les techniques comprennent des contacts réguliers via des protocoles web, des canaux chiffrés, des services cloud ou messageries légitimes utilisés comme relais, le tunnelling par DNS ou d'autres protocoles, des ports non standard et des proxys qui cachent le vrai serveur. Comme ce canal doit exister pour que l'attaquant agisse, c'est l'un des éléments les plus fiables à détecter, même quand le contenu est chiffré : le rythme, la destination et la cadence le trahissent. Bloquer les destinations malveillantes connues aide, mais n'attrape pas les nouvelles. NetSenX détecte le beaconing dans chaque offre ainsi que le tunnelling DNS et, à partir de l'offre Starter, compare les handshakes TLS aux empreintes de logiciels malveillants connus là où l'agent capture les paquets, sous Linux ou en capteur SPAN/TAP.

Impact, c'est l'objectif final de l'attaquant devenu visible : chiffrer des données pour une rançon, effacer des systèmes, arrêter des services, corrompre des sauvegardes, défigurer des sites web, ou manipuler des données et des processus industriels. Dans ATT&CK, cela inclut aussi l'entrave à la restauration, comme la suppression des clichés instantanés et des catalogues de sauvegarde. À ce stade, le confinement est urgent et les preuves sont menacées. La prévention se joue avant : des sauvegardes hors ligne que l'attaquant ne peut pas atteindre, une séparation entre informatique et production, et des alertes sur les étapes précédentes. Le chiffrement lui-même a lieu sur les hôtes ; quand il touche des partages réseau, un client lit et réécrit de grandes quantités de données en peu de temps. NetSenX n'a pas de détection dédiée à l'étape de chiffrement et ne l'arrête pas ; il surveille les étapes précédentes, comme le beaconing, le balayage, le mouvement latéral et les volumes sortants inhabituels, dans chaque offre.

La cyber kill chain est un modèle publié par Lockheed Martin en 2011 qui décrit une intrusion en sept étapes : reconnaissance, militarisation, livraison, exploitation, installation, commandement et contrôle, et actions sur les objectifs. Son message : l'attaquant doit réussir chaque étape, alors que le défenseur n'a besoin d'en interrompre qu'une. MITRE ATT&CK est plus détaillé et mieux adapté à ce qui se passe après la première prise d'appui, avec de nombreuses tactiques et des centaines de techniques ; la plupart des équipes utilisent donc la kill chain pour expliquer une attaque à la direction et ATT&CK pour planifier la détection. Les deux mènent à la même conclusion pratique : une attaque se fait par étapes, et chaque étape est une occasion de la remarquer. Pour une petite entreprise, ce sont les étapes tardives, commandement et contrôle, déplacement dans le réseau et sortie de données, où une détection réseau comme NetSenX apporte le plus.

Partez des attaques que vous avez le plus de chances de subir, pas de la matrice entière. Prenez deux ou trois avis publics récents adaptés à votre secteur, par exemple un avis de la CISA sur un groupe de rançongiciel, listez les techniques citées et demandez-vous pour chacune : la préviendrions-nous, la verrions-nous, et où la verrions-nous ? Notez la réponse par technique : postes, identité, messagerie, réseau ou rien. Les lacunes qui comptent sont les étapes où toutes les réponses sont « rien ». Testez-en ensuite une ou deux par un exercice simple, plutôt que de faire confiance au tableau. Ne visez pas une couverture complète ; visez au moins un signal fiable à chaque étape d'une attaque type. NetSenX indique sur ses alertes la technique ATT&CK quand il y en a une et montre dans une vue de couverture quelles techniques vos détections activées traitent, ce qui remplit la colonne réseau de cet exercice.

Généralement la même séquence. L'attaquant consolide son point d'appui pour qu'il survive à un redémarrage, contacte son propre serveur pour recevoir des instructions, explore pour savoir ce que contient le réseau, vole ou élève ses identifiants, se déplace vers des systèmes plus précieux comme les serveurs de fichiers, le contrôleur de domaine et le serveur de sauvegarde, rassemble des données, les envoie à l'extérieur, et seulement ensuite, dans le cas d'un rançongiciel, chiffre. Certaines étapes prennent quelques minutes, d'autres des semaines. La plupart traversent le réseau : un contact régulier avec un nouveau serveur extérieur, un hôte qui balaye les plages internes, de nouvelles sessions d'administration entre machines, des envois inhabituels. C'est pourquoi la détection réseau est précieuse après la première prise d'appui, même quand l'entrée a été invisible. NetSenX détecte le beaconing, le balayage, le mouvement latéral et les volumes sortants inhabituels dans chaque offre, Free comprise, sur les segments qu'il surveille.

En partie. Un outil de détection et réponse sur les postes (EDR) voit ce qui se passe sur chaque machine où il tourne, comme le lancement d'un outil d'administration à distance ou l'extraction d'identifiants, et un bon EDR attrape ainsi une bonne part du mouvement latéral. Il lui échappe les hôtes sans agent, comme les imprimantes, caméras, appliances et serveurs non gérés, les agents que les attaquants ont désactivés, et les déplacements qui utilisent des outils légitimes avec des mots de passe valides, qui paraissent normaux sur chaque machine prise isolément. Le réseau voit la relation entre hôtes : un poste qui ouvre soudain des sessions d'administration vers des serveurs qu'il n'a jamais utilisés. C'est pourquoi les deux fonctionnent mieux ensemble. NetSenX détecte le mouvement latéral et le balayage dans chaque offre, Free comprise, et à partir de l'offre Pro corrèle les hôtes en un seul récit ; il ne voit pas ce qui s'exécute dans un hôte, ce qui reste le rôle de l'EDR.

Parce que rien n'empêche un attaquant qui y entre d'atteindre tout. Dans un réseau à plat, chaque ordinateur, imprimante et serveur se trouve dans le même segment et peut se connecter à tous les autres : un seul portable infecté atteint directement le serveur de fichiers, le serveur de sauvegarde, la comptabilité et les machines de production. La segmentation découpe le réseau en zones, comme les postes de travail, les serveurs, les sauvegardes, les invités, les imprimantes et caméras, et la production, avec des règles de pare-feu qui n'autorisent que les connexions dont chaque zone a besoin. Elle n'a pas besoin d'être parfaite pour aider : isoler les sauvegardes et les serveurs les plus importants des postes ordinaires bloque déjà les chemins les plus dommageables. Les réseaux à plat compliquent aussi la détection, car tout parle à tout. La cartographie réseau de NetSenX, dans chaque offre, montre qui parle réellement à qui, un bon point de départ pour dessiner vos zones.

Parce qu'ils se comportent de la même façon : ils contactent un serveur à intervalles réguliers, jour et nuit, pour vérifier les mises à jour, signaler leur état ou récupérer une configuration. Agents de sauvegarde, antivirus, outils de gestion à distance, synchronisation horaire et beaucoup d'applications métier le font. C'est pourquoi des règles simples fondées sur la seule régularité génèrent beaucoup de bruit. Ce qui distingue un logiciel malveillant, c'est le contexte : une destination que personne d'autre dans l'entreprise n'utilise, un domaine récemment enregistré ou un serveur loué, un appareil qui n'a aucune raison d'exécuter un tel logiciel, un rythme apparu un jour précis, ou un trafic qui ne correspond pas au programme censé tourner sur l'hôte. NetSenX juge le beaconing au regard de l'historique propre à chaque hôte et de sa destination, explique chaque alerte et vous permet de marquer un logiciel connu comme faux positif, la décision étant conservée dans le journal d'audit.

Le tunnelling DNS consiste à cacher des données ou des commandes dans des requêtes DNS, celles que chaque appareil émet pour transformer des noms en adresses. Comme presque tous les réseaux laissent passer le DNS, les attaquants s'en servent comme canal : les données sont encodées dans de longs sous-domaines d'apparence aléatoire d'un domaine qu'ils contrôlent, et leur serveur de noms répond avec des instructions. C'est lent, mais cela franchit des pare-feu qui bloquent tout le reste, et cela sert aussi bien au commandement et contrôle qu'au vol de données par petits morceaux. Les signes sont de nombreux sous-domaines uniques et longs sous un même domaine, des types d'enregistrement inhabituels comme TXT, et un hôte qui émet bien plus de requêtes DNS que d'habitude. Imposer à tous les appareils vos propres résolveurs et journaliser leurs requêtes rend le phénomène visible. NetSenX détecte le tunnelling DNS ; il ne voit pas les requêtes que des appareils envoient chiffrées à des résolveurs extérieurs à votre réseau.

Oui, si personne ne regarde le DNS. Des données qui sortent par des requêtes DNS n'apparaissent pas comme un gros envoi, car chaque requête ne transporte que quelques dizaines d'octets, et beaucoup de pare-feu laissent passer le DNS sans l'inspecter. Elles se voient dans le schéma : un hôte qui envoie des milliers de requêtes vers des sous-domaines d'un même domaine inconnu, avec des noms longs d'apparence aléatoire jamais répétés, souvent à un rythme régulier. Pour le rendre visible, n'autorisez les appareils qu'à utiliser vos propres résolveurs DNS, bloquez sur le pare-feu le DNS direct vers internet, conservez les journaux des résolveurs et examinez les domaines comptant un nombre inhabituel de sous-domaines uniques. Les services de filtrage DNS ajoutent des listes de domaines de tunnelling connus. NetSenX détecte le tunnelling DNS sur les segments surveillés ; d'autres techniques fondées sur le DNS, comme les domaines générés par algorithme, ne font pas partie de ce sur quoi il alerte aujourd'hui.

Il le peut, et la visibilité baisse. Le DNS over HTTPS (DoH) envoie les requêtes de noms dans un trafic web chiffré ordinaire vers un résolveur, souvent public, si bien que votre propre serveur DNS et ses journaux ne les voient jamais. Navigateurs et certains systèmes d'exploitation peuvent l'activer d'eux-mêmes, et un logiciel malveillant peut s'en servir pour cacher ses requêtes comme des données tunnelisées. Ce que vous pouvez encore faire : configurer par stratégie navigateurs et appareils pour utiliser votre propre résolveur, bloquer sur le pare-feu les résolveurs DoH publics connus quand cela convient à votre environnement, et examiner tout appareil qui envoie un trafic chiffré régulier vers un résolveur DoH en ignorant votre serveur DNS. Un capteur réseau voit la connexion au résolveur, son rythme et son volume, mais pas les noms qu'elle contient. NetSenX ne déchiffre jamais le trafic et ne peut donc pas lire les requêtes DoH ; il peut toutefois détecter le schéma de beaconing.

L'exfiltration lente consiste à voler des données par petites quantités sur une longue période, pour qu'aucun transfert isolé ne paraisse inhabituel : quelques centaines de mégaoctets à chaque pause déjeuner pendant un mois, ou un filet continu la nuit, souvent vers un service de stockage cloud que beaucoup utilisent légitimement. Les alarmes de bande passante simples la manquent, car elles cherchent des pics. On la repère en comparant chaque hôte à son propre historique sur des jours et des semaines : un serveur qui n'envoyait jamais rien à midi le fait désormais chaque jour, ou un poste envoie un peu vers la même nouvelle destination à la même heure. Les journaux du stockage cloud et du proxy peuvent le montrer par utilisateur. Surveillez le total envoyé par hôte et par destination sur une semaine, pas seulement par heure. NetSenX juge les volumes sortants au regard des destinations, volumes et heures habituels de chaque hôte, dans chaque offre.

Parce qu'elles posent la mauvaise question. Une alarme de bande passante demande si une liaison est plus chargée qu'une limite fixe ; le vol de données est en général conçu pour rester en dessous. Les attaquants envoient par morceaux, la nuit ou aux heures chargées quand quelques centaines de mégaoctets se perdent parmi les sauvegardes et les visioconférences, et vers des services de stockage cloud que votre personnel utilise aussi, si bien que les listes de destinations ne les signalent pas non plus. Une limite fixe se déclenche aussi à chaque gros transfert légitime, et l'on finit par ne plus lire les alarmes. La bonne question porte sur chaque hôte : cette machine envoie-t-elle plus, vers une autre destination ou à une autre heure que d'habitude ? Il faut pour cela une référence par hôte plutôt que par liaison. NetSenX tient une telle référence et détecte les volumes sortants inhabituels par hôte dans chaque offre, Free comprise.

Cobalt Strike est un outil commercial destiné aux exercices d'équipe rouge autorisés, que des criminels détournent massivement, souvent dans des versions piratées, pour contrôler des machines compromises. Sur le réseau, son implant, appelé beacon, contacte un serveur d'équipe à un intervalle configuré, généralement en HTTPS, parfois par DNS, ou entre hôtes internes via SMB. Les signes incluent des connexions régulières avec variation vers une destination que personne d'autre n'utilise, des réglages par défaut ou à peine modifiés dans les requêtes web et les certificats, des empreintes de client TLS correspondant à celles publiées pour des configurations connues, et des connexions SMB entre postes qui ne se parlent pas d'ordinaire. Beaucoup d'opérateurs modifient leur configuration précisément pour éviter ces signes ; le comportement compte donc plus que les indicateurs. NetSenX détecte le beaconing et le mouvement latéral dans chaque offre et, à partir de l'offre Starter, compare les handshakes TLS aux empreintes de logiciels malveillants connus là où l'agent capture les paquets, sous Linux ou en capteur SPAN/TAP.

Souvent, à moins de savoir qui le fait. Dans un réseau d'entreprise, il existe quelques scanners légitimes, comme un scanner de vulnérabilités, un outil d'inventaire, un système de gestion du réseau ou un pilote d'imprimante qui cherche des appareils, et ils doivent être connus, planifiés et documentés. Un poste ordinaire, une imprimante ou une caméra qui se connecte soudain à de nombreuses adresses internes ou à de nombreux ports en peu de temps, c'est autre chose : l'un des signes les plus nets que quelqu'un cartographie le réseau après y être entré, et il arrive en général tôt, avant les vrais dégâts. Tenez une liste des scanners autorisés et de leurs adresses pour qu'une alerte se vérifie en quelques secondes, et examinez tout le reste le jour même. NetSenX détecte le balayage dans chaque offre, Free comprise, y compris depuis des appareils sans agent, quand il les observe depuis un port SPAN ou un TAP.

Regardez à deux endroits : les journaux de la cible et le schéma sur le réseau. Les journaux de la cible, sur un serveur de fichiers, un hôte de bureau à distance, un serveur SSH ou le contrôleur de domaine, montrent les connexions échouées elles-mêmes et les noms de comptes essayés ; beaucoup d'échecs sur de nombreux comptes depuis une même source, c'est de la pulvérisation de mots de passe (password spraying), beaucoup sur un seul compte, de la force brute. Le réseau montre la source : un hôte qui ouvre de manière répétée de courtes connexions vers un service de connexion, souvent sur plusieurs serveurs. Une attaque par force brute sur le bureau à distance ou SSH à l'intérieur du LAN n'est pas normale ; elle signale une machine compromise ou un test non autorisé. Bloquez ou ralentissez les échecs répétés, exigez l'authentification multifacteur (MFA) là où c'est possible, et examinez l'hôte source. NetSenX voit les connexions répétées entre hôtes sur les segments surveillés et détecte le balayage et le mouvement latéral qui les accompagnent généralement ; le décompte des échecs de connexion se trouve dans le journal du serveur.

Comparez le trafic sortant de chaque serveur à sa propre normale et regardez de près les destinations de stockage cloud. Beaucoup de serveurs n'ont jamais besoin d'envoyer grand-chose vers internet ; un serveur de base de données ou de fichiers qui envoie des gigaoctets vers un service de partage ou de stockage cloud est donc inhabituel en soi, et les avis sur les rançongiciels décrivent des outils comme Rclone utilisés exactement ainsi avant le chiffrement. Mesures pratiques : limitez les serveurs autorisés à joindre internet, journalisez les connexions sortantes sur le pare-feu ou le proxy et passez en revue chaque semaine les volumes par serveur vers le stockage cloud. Si vous utilisez officiellement un service cloud, séparez si possible sur le proxy ses destinations légitimes des comptes personnels. NetSenX détecte les volumes sortants inhabituels par hôte, avec destination et heure, dans chaque offre ; il ne voit ni le contenu des envois chiffrés ni le compte destinataire.

PsExec et des outils semblables exécutent des commandes sur un ordinateur distant en copiant un petit service via ses partages de fichiers administratifs puis en le démarrant, et des protocoles de gestion à distance comme WinRM et le bureau à distance font un travail analogue. Les administrateurs s'en servent tous les jours, c'est pourquoi l'antivirus les laisse en général passer : l'outil est signé et légitime, seul le contexte cloche. Les attaquants les utilisent pour se propager d'une machine à beaucoup d'autres, pousser un rançongiciel sur tous les serveurs à la fois ou exécuter des scripts avec des identifiants administrateur volés. Ce qui les trahit, c'est qui les utilise, d'où et quand : un poste qui ouvre à 1 h 30 des sessions d'administration vers des serveurs qu'il n'a jamais utilisés, ou un compte qui touche des dizaines d'hôtes en quelques minutes. Limitez les machines autorisées à en administrer d'autres. NetSenX détecte ces nouvelles sessions d'administration entre hôtes comme mouvement latéral dans chaque offre.

Oui, et c'est courant. Avec des identifiants valides, un attaquant peut se connecter au bureau à distance, au VPN, à SSH, aux partages de fichiers et aux services cloud comme n'importe quel salarié, et utiliser les outils d'administration déjà installés. L'antivirus n'a rien à détecter, puisqu'il n'y a pas de fichier malveillant, et chaque connexion prise isolément peut paraître normale. Ce qui le trahit, c'est le schéma : un compte qui se connecte depuis un ordinateur qu'il n'avait jamais utilisé, à une heure inhabituelle, à de nombreux systèmes en peu de temps ; un poste qui parle soudain à des serveurs ; un compte de service utilisé de façon interactive. L'authentification multifacteur (MFA), des comptes administrateur séparés et des limites sur les machines autorisées à se connecter entre elles sont les principales défenses. NetSenX voit le côté réseau de ce phénomène, nouvelles sessions entre hôtes et balayage, dans chaque offre ; il ne voit pas les événements de connexion de votre annuaire, que montrent les journaux d'identité.

Les deux, car chacun voit ce que l'autre manque. Les journaux d'authentification de l'annuaire, des serveurs et du VPN montrent quel compte s'est connecté où, par quelle méthode et si la tentative a échoué ; c'est la meilleure source pour repérer des identifiants volés, mais seulement pour les systèmes qui journalisent, conservent les journaux et les envoient là où quelqu'un les lit. Les flux réseau montrent quel hôte s'est connecté à quel autre, sur quel port, à quelle fréquence et pour quel volume, pour chaque appareil d'un segment surveillé, y compris ceux qui ne tiennent aucun journal : imprimantes, appliances, serveurs non gérés. Ils ne montrent pas les noms de comptes. En pratique, une nouvelle session entre deux hôtes qui ne se parlaient jamais est un signal réseau, et le compte qui se trouve derrière est une question d'identité. NetSenX couvre le côté réseau dans chaque offre ; associez-le aux journaux de connexion de votre annuaire ou à un SIEM, vers lequel NetSenX peut exporter à partir de l'offre Business.

La détection fondée sur un graphe traite votre réseau comme une carte de qui parle à qui : chaque hôte est un point, chaque connexion une ligne, et la carte est comparée dans le temps à sa forme habituelle. Le mouvement latéral apparaît sous forme de nouvelles lignes qui détonnent, comme un poste soudain relié à plusieurs serveurs, une chaîne de rebonds d'une machine à la suivante, ou un groupe d'hôtes qui atteignent tous la même nouvelle adresse extérieure. L'avantage est le contexte : une nouvelle connexion isolée peut être anodine, alors qu'un nouveau chemin du portable d'un utilisateur vers le serveur de sauvegarde en passant par un serveur de fichiers ne l'est pas. L'approche est étudiée par la recherche académique depuis des années. À partir de l'offre Pro, NetSenX corrèle les hôtes dans un tel graphe, si bien qu'un balayage suivi de nouvelles sessions à distance, ou plusieurs hôtes faisant du beaconing vers une même destination, apparaissent comme un seul récit plutôt que comme des alertes éparses.

Souvent, par construction. Une règle décrit quelque chose de déjà connu : une empreinte de fichier, un domaine, une séquence d'événements que quelqu'un a déjà vue. Elle est précise et peu coûteuse, et fonctionne bien contre les logiciels malveillants courants. Elle échoue quand les attaquants changent un détail, utilisent des outils légitimes ou empruntent dans votre réseau un chemin pour lequel personne n'a écrit de règle, comme un nouveau serveur, un compte fournisseur oublié ou une chaîne de rebonds inhabituelle. La détection comportementale pose une autre question : cet hôte fait-il quelque chose qu'il n'a jamais fait, par rapport à son propre historique et à ses semblables ? Elle repère les nouveaux chemins, mais a besoin de temps pour apprendre la normale, et ses alertes demandent du discernement. La plupart des environnements matures combinent les deux. NetSenX détecte des comportements sur le réseau, comme le beaconing, le balayage, le mouvement latéral et les volumes sortants inhabituels, et explique chaque alerte, pour que vous puissiez distinguer un nouveau chemin d'attaque d'un nouveau processus métier.

Une imprimante qui se connecte soudain à des centaines d'adresses internes en quelques minutes est soit mal configurée, soit compromise. Certaines imprimantes et leurs pilotes recherchent légitimement des appareils ou des dossiers de numérisation, mais ce schéma est régulier et limité ; cartographier des plages d'adresses entières ne l'est pas. Les imprimantes font tourner de véritables systèmes d'exploitation, souvent avec un micrologiciel ancien, des mots de passe par défaut, des interfaces web et des carnets d'adresses enregistrés ; un attaquant peut donc en prendre une et s'en servir comme base discrète pour balayer, relayer des connexions ou stocker des outils, sachant que personne ne lit ses journaux. Mettez à jour le micrologiciel, changez le mot de passe par défaut, désactivez les services inutiles et placez les imprimantes dans un segment à part qui atteint le serveur d'impression, mais pas chaque ordinateur. NetSenX détecte le balayage dans chaque offre, depuis un port SPAN ou un TAP, sans aucun logiciel sur l'imprimante.

En contenant d'abord, puis en chassant, en une seule action coordonnée. Découvrez discrètement le plus possible : quels hôtes et comptes sont concernés, comment l'attaquant entre et sort, où se trouvent ses outils. Agissez ensuite d'un bloc : isolez les hôtes touchés au niveau du commutateur ou du pare-feu, bloquez leurs destinations extérieures, désactivez ou réinitialisez les comptes compromis depuis un appareil sain, et fermez la voie d'entrée, comme un compte VPN ou un service exposé. Agir par petits bouts alerte l'attaquant, qui peut changer d'hôte ou commencer à endommager les systèmes. Faites appel à une société de réponse à incident si ce n'est pas déjà fait, et tenez un journal. Après le confinement, reconstruisez les machines touchées et surveillez de près pendant des semaines. NetSenX ne chasse pas les attaquants ; il montre depuis le réseau quels hôtes sont concernés et où ils se connectent, ce dont un plan de confinement a besoin, puis il détecte toute reprise d'activité.

Parfois en moins d'une heure, parfois sur des semaines. Les groupes qui utilisent des outils automatisés et des mots de passe administrateur volés peuvent atteindre les serveurs très vite après la première prise d'appui, tandis que d'autres attendent, explorent et copient des données avant d'agir. Des éditeurs de sécurité publient des mesures de ce qu'ils appellent le breakout time, mais elles décrivent leurs propres clients et méthodes : prenez donc tout chiffre isolé avec prudence. La conclusion pratique est la même dans tous les cas : partez du principe que vous aurez peu de temps après le premier signe. Décidez à l'avance qui peut isoler un hôte la nuit, assurez-vous que les alertes parviennent à quelqu'un qui les lit, et maintenez une segmentation entre postes et serveurs pour allonger le chemin de l'attaquant. NetSenX détecte les étapes qui suivent habituellement la prise d'appui, beaconing, balayage et mouvement latéral, dans chaque offre, et c'est de là que vient le temps de réagir.

Cherchez des signes sur l'ordinateur et sur le réseau, et réduisez le risque dans tous les cas. Sur l'ordinateur : des outils d'accès à distance inattendus, des fenêtres demandant de ressaisir vos identifiants bancaires, des extensions de navigateur que vous n'avez pas installées, un logiciel de sécurité désactivé. Sur le réseau : l'ordinateur qui contacte un serveur extérieur inconnu à intervalles réguliers, jour et nuit, car c'est ainsi que les chevaux de Troie bancaires et d'accès à distance restent en contact avec leurs opérateurs. Les alertes de votre banque sur de nouveaux appareils ou des bénéficiaires modifiés comptent aussi. Le plus sûr est un ordinateur dédié, ou un compte utilisateur distinct réservé à la banque, sans messagerie, à jour, avec une validation à deux personnes pour les paiements au-delà d'un seuil. NetSenX détecte le beaconing de cet ordinateur dans chaque offre ; il ne voit pas ce qui se passe dans le navigateur et ne remplace pas les contrôles de sécurité de la banque.

En regardant ce que le serveur de base de données a envoyé vers l'extérieur, pas la base elle-même. Un export ERP de clients, de prix ou de paie est volumineux, et le serveur qui l'héberge parle normalement à l'application ERP, au système de sauvegarde et à quelques utilisateurs, pas à internet. Les signes sont un gros transfert sortant depuis ce serveur, ou depuis un poste qui vient de tirer un export important, surtout la nuit ou vers un stockage cloud ; un fichier de vidage de base apparu sur un partage ; ou une nouvelle session à distance vers le serveur peu avant. Limitez l'accès à internet des serveurs de bases de données et journalisez les exports dans l'ERP lui-même. NetSenX détecte les volumes sortants inhabituels par hôte, avec destination et heure, dans chaque offre ; il ne voit pas quelles tables se trouvaient dans un transfert chiffré.

En général, oui, une fois qu'elle connaît la sauvegarde. Une sauvegarde ou une synchronisation cloud légitime part d'hôtes connus vers des destinations connues à heures régulières, avec des volumes semblables nuit après nuit, et commence le jour où la tâche a été créée. Un vol diffère généralement sur au moins un point : un hôte qui n'envoie jamais rien, une nouvelle destination, une heure inhabituelle, ou un volume bien supérieur à la normale de cet hôte. Quand le vol passe par le même fournisseur cloud que vos sauvegardes, le compte et la destination exacte diffèrent, ce que montrent mieux un proxy ou les journaux du fournisseur que les données de flux. NetSenX compare les envois de chaque hôte à son propre historique et explique l'alerte, si bien que la sauvegarde nocturne reste reconnaissable ; si elle déclenche malgré tout une alerte, marquez-la une fois comme faux positif, et la décision est conservée dans le journal d'audit.

La plupart du trafic entre postes et contrôleur de domaine est anodin : connexions, stratégies de groupe, synchronisation horaire et résolution de noms ont lieu jour et nuit. Ce qui n'est pas normal, c'est qu'un poste ouvre une session à distance interactive vers le contrôleur de domaine, comme le bureau à distance ou la gestion à distance, ou utilise ses partages administratifs, surtout depuis l'ordinateur d'une personne extérieure à l'informatique et à une heure où personne ne travaille. C'est une étape typique avant qu'un attaquant ne prenne le contrôle de l'annuaire, ne crée des comptes ou ne déploie un rançongiciel partout. Réservez l'accès d'administration aux contrôleurs de domaine à quelques machines d'administration dédiées. NetSenX détecte ces nouvelles sessions d'administration entre hôtes comme mouvement latéral dans chaque offre et, à partir de l'offre Pro, les relie au balayage qui les précède souvent.

L'usurpation ARP, c'est un appareil de votre réseau local qui annonce faussement être le routeur ou un autre hôte, pour que le trafic qui leur est destiné passe par lui. Elle permet à un attaquant de lire le trafic non chiffré, de capturer des identifiants ou de modifier des connexions, et elle ne fonctionne que depuis le même segment, par exemple depuis un PC compromis ou un appareil branché sur une prise libre. Sur des commutateurs administrables, l'inspection ARP dynamique associée au DHCP snooping la bloque ; la sécurité de port et 802.1X limitent qui peut se brancher ; le chiffrement des services internes limite les dégâts. Sans commutateurs administrables, cherchez une adresse MAC qui revendique plusieurs adresses IP, notamment celle de la passerelle. Un capteur sur le segment voit ces annonces contradictoires, et la cartographie réseau de NetSenX montre les appareils des segments surveillés, si bien qu'un nouveau venu se remarque.

Cela dépend de la sécurité du Wi-Fi et de ce qui est chiffré au-dessus. Sur un réseau ouvert, ou un réseau où tout le monde partage le même mot de passe, une personne connectée peut, avec un certain effort, voir ou détourner le trafic des autres ; WPA3 rend l'écoute passive bien plus difficile, et WPA2 ou WPA3 Enterprise avec des identifiants individuels sépare mieux les utilisateurs. L'isolation des clients sur les réseaux invités empêche tout simplement les appareils de communiquer entre eux. En pratique, la plupart du trafic est aujourd'hui protégé par HTTPS, si bien que les risques plus importants sont la redirection vers de fausses pages de connexion et les attaques contre des appareils qui utilisent encore des protocoles non chiffrés, comme de vieilles imprimantes ou caméras. Gardez les invités sur un réseau isolé et le personnel sur des identifiants individuels. NetSenX ne gère pas le Wi-Fi ; sur les segments surveillés, il montre quels appareils parlent à quels autres et détecte le balayage venant d'un nouveau venu.

De très peu : souvent de quelques minutes à quelques heures, selon la quantité de données et le nombre de machines qui chiffrent en même temps. Quand le chiffrement commence, un ou plusieurs clients lisent et réécrivent de grandes quantités de données sur les partages réseau en peu de temps, et les utilisateurs tombent sur des fichiers qu'ils ne peuvent plus ouvrir. À ce stade, le confinement passe avant tout : déconnectez les hôtes qui chiffrent, mettez les partages touchés hors ligne ou en lecture seule, et protégez si nécessaire le serveur de sauvegarde en coupant son accès réseau. Décidez à l'avance qui peut le faire sans demander. La vraie fenêtre se situe plus tôt, dans les jours de beaconing, de balayage et de mouvement latéral qui précèdent le chiffrement. NetSenX n'a pas de détection dédiée à l'étape de chiffrement elle-même ; il surveille ces étapes antérieures dans chaque offre, Free comprise.

Pas à partir du seul réseau. Un capteur réseau voit quel hôte a envoyé combien, vers où et quand, parfois aussi le protocole et le nom du serveur ; le programme qui a ouvert la connexion n'est connu que sur l'hôte lui-même. Pour l'obtenir, utilisez un outil de détection et réponse sur les postes (EDR) ou la journalisation des connexions du système d'exploitation sur les serveurs importants, et enregistrez ensemble les événements de processus et de réseau pour pouvoir rattacher ensuite un transfert à son processus. Des pare-feu et proxys qui authentifient les utilisateurs peuvent ajouter le compte. En pratique, l'alerte réseau vous dit quel serveur et quelle minute regarder, ce qui rend la recherche du processus rapide. NetSenX détecte les volumes sortants inhabituels par hôte, avec heure et destination, dans chaque offre ; il ne nomme ni le processus ni l'utilisateur qui se trouve derrière.

Une attaque de la chaîne d'approvisionnement vous atteint par quelqu'un en qui vous avez confiance : un éditeur dont la mise à jour est trafiquée, un prestataire informatique dont l'outil de gestion à distance est détourné, un fournisseur disposant d'un accès VPN à votre réseau, ou un partenaire piraté dont la messagerie sert à vous envoyer des factures malveillantes. Elle fonctionne parce que l'accès ou le logiciel est légitime, et passe donc les contrôles que vous appliquez aux inconnus. Les défenses consistent à savoir quels fournisseurs ont accès à quoi, à donner à chacun l'accès minimal et ses propres comptes avec authentification multifacteur (MFA), à couper l'accès quand il ne sert pas, et à interroger leur sécurité dans les contrats. NIS2 cite la sécurité de la chaîne d'approvisionnement parmi les mesures de gestion des risques de cybersécurité de l'article 21. NetSenX ne peut pas voir la fabrication d'une mise à jour trafiquée ; il voit ce que l'accès ou le logiciel du fournisseur fait ensuite sur votre réseau, comme du beaconing ou de nouvelles sessions.

Une faille zero-day est une vulnérabilité exploitée par des attaquants avant que l'éditeur n'ait publié de correctif : corriger ne sert donc pas encore, et il n'existe pas de signature. Les zero-days coûtent cher et visent souvent des systèmes exposés à internet comme les passerelles VPN, les pare-feu et les serveurs de transfert de fichiers. La détection repose donc sur ce qui se passe après l'exploitation : un équipement qui parle soudain à de nouveaux serveurs extérieurs, un serveur web qui se met à balayer le réseau interne, de nouvelles sessions d'administration, des données qui sortent. Réduisez l'exposition en gardant le moins de services possible accessibles depuis internet, en plaçant les interfaces d'administration derrière un VPN, et en suivant les avis des éditeurs ainsi que le catalogue Known Exploited Vulnerabilities de la CISA, pour corriger dès qu'un correctif paraît. NetSenX ne détecte pas l'exploitation elle-même ; il détecte le comportement qui suit, comme le beaconing, le balayage et les volumes sortants inhabituels, dans chaque offre.

Les deux devinent des mots de passe, mais dans des directions opposées. La force brute essaie de nombreux mots de passe sur un seul compte, ce qui déclenche généralement un verrouillage et apparaît clairement dans les journaux de la cible. La pulvérisation de mots de passe (password spraying) essaie un ou deux mots de passe courants, comme une saison suivie d'une année, sur de nombreux comptes, reste sous les seuils de verrouillage et étale souvent les tentatives sur des heures ou sur plusieurs services. La pulvérisation est plus fréquente contre les VPN, les webmails et les connexions cloud, où les noms de comptes sont faciles à deviner. Les défenses sont les mêmes pour les deux : authentification multifacteur (MFA), interdiction des mots de passe courants et alertes sur les échecs de connexion touchant de nombreux comptes depuis une même source. Dans l'entreprise, l'une comme l'autre apparaît sur le réseau comme un hôte qui ouvre de manière répétée de courtes connexions vers des services de connexion. NetSenX montre ces connexions entre hôtes ; le nombre d'échecs et les comptes essayés se trouvent dans les journaux du serveur ou du fournisseur d'identité.

Le bourrage d'identifiants consiste pour les attaquants à prendre des couples e-mail et mot de passe ayant fuité d'autres sites et à les essayer automatiquement sur vos pages de connexion, en pariant que les gens réutilisent leurs mots de passe. Il vise les services exposés à internet, comme le webmail, le VPN, les portails clients et les applications cloud, et provient de nombreuses adresses à la fois, si bien qu'il ressemble souvent à un mélange normal de connexions avec un taux d'échec un peu plus élevé. Les défenses sont l'authentification multifacteur (MFA), une règle contre la réutilisation des mots de passe, la vérification des adresses de l'entreprise dans les compilations de fuites connues, et la limitation du débit des pages de connexion. Pour les comptes de vos clients, proposez la MFA et surveillez les nombreux échecs de connexion sur plusieurs comptes. Un capteur réseau dans l'entreprise en voit peu, car cela se passe sur vos services publics ou chez un fournisseur cloud. NetSenX voit à quoi sert ensuite une connexion réussie, si elle entraîne une activité sur votre réseau interne.

Le Kerberoasting est une attaque contre Active Directory dans laquelle n'importe quel utilisateur connecté demande des tickets de service pour des comptes qui exécutent des services, puis emporte ces tickets et les casse hors ligne pour récupérer les mots de passe de ces comptes. Elle ne demande aucun droit particulier, fait peu de bruit et fonctionne le mieux contre des comptes de service aux mots de passe faibles et anciens, qui ont souvent des privilèges étendus. Les défenses sont des mots de passe longs et aléatoires pour les comptes de service, de préférence des comptes de service gérés à rotation automatique, des types de chiffrement forts pour Kerberos, et des alertes dans les journaux de l'annuaire quand un hôte demande beaucoup de tickets de service en peu de temps. Les demandes de tickets sont des événements de l'annuaire, visibles par la surveillance des identités plutôt que par un capteur de flux. NetSenX n'alerte pas sur l'activité Kerberos ; il voit à quoi servent ensuite les comptes cassés, comme de nouvelles sessions d'administration vers des serveurs.

Le pass-the-hash consiste pour un attaquant à utiliser l'empreinte stockée d'un mot de passe, prise dans la mémoire ou sur le disque d'un ordinateur compromis, pour s'authentifier sous l'identité de cet utilisateur sans jamais connaître le mot de passe lui-même. Cela fonctionne avec l'ancienne authentification NTLM, encore répandue dans beaucoup de réseaux, et permet de passer de machine en machine avec l'identité d'un administrateur. Parmi les défenses : ne pas se connecter avec des comptes administrateur du domaine sur des postes ordinaires, un mot de passe d'administrateur local unique par machine, des protections qui empêchent la lecture des identifiants en mémoire, la restriction ou la désactivation de NTLM quand c'est possible, et une protection des postes. Le vol de l'empreinte se fait sur un hôte ; sa réutilisation apparaît sur le réseau sous forme de connexions d'administration entre machines qui ne se parlent pas d'ordinaire. NetSenX détecte ce mouvement latéral dans chaque offre ; il n'inspecte pas le protocole d'authentification lui-même.

Un téléchargement furtif infecte un ordinateur quand quelqu'un se contente de visiter une page web : un site légitime compromis, une publicité malveillante, ou une page qui se fait passer pour une mise à jour du navigateur ou un CAPTCHA et pousse l'utilisateur à exécuter quelque chose. L'avis de la CISA sur le groupe de rançongiciel Interlock, AA25-203A du 22 juillet 2025, décrit des téléchargements furtifs depuis des sites légitimes compromis et la technique ClickFix, dans laquelle une fausse invite persuade l'utilisateur de coller et d'exécuter une commande. Les défenses sont des navigateurs et systèmes à jour, le filtrage DNS et web, l'interdiction d'exécuter des scripts collés et le fait d'apprendre que jamais un site n'a besoin qu'on exécute une commande. Une fois que quelque chose tourne, cela contacte en général son serveur : NetSenX détecte le beaconing qui en résulte vers un nouveau serveur extérieur, dans chaque offre.

Un botnet est un réseau d'ordinateurs, routeurs, caméras et autres appareils infectés qu'un criminel contrôle à distance et loue pour du spam, du bourrage d'identifiants, des attaques par déni de service ou comme relais pour d'autres délits. Les propriétaires s'en aperçoivent rarement, car l'appareil continue de fonctionner ; le prix, c'est votre bande passante, votre adresse publique sur des listes de blocage et un attaquant qui a un pied dans votre réseau. Les signes sont un appareil qui contacte un serveur de commande à intervalles réguliers, de brusques rafales de connexions sortantes vers de nombreuses adresses, des e-mails envoyés par un appareil qui ne devrait pas en envoyer, ou un signalement de votre fournisseur d'accès ou de votre CERT national. Mettez à jour les appareils connectés à internet, changez leurs mots de passe par défaut et bloquez la messagerie sortante sauf depuis votre serveur de messagerie. NetSenX détecte le beaconing et les volumes sortants inhabituels par hôte dans chaque offre, y compris pour les appareils qui ne peuvent pas exécuter d'agent.

Un cheval de Troie d'accès à distance est un logiciel malveillant qui donne à un attaquant le contrôle complet d'un ordinateur : il peut voir l'écran, enregistrer les frappes, ouvrir des fichiers, allumer la caméra, exécuter des commandes et se servir de la machine comme tremplin vers le réseau. Il arrive généralement par des pièces jointes d'hameçonnage, de faux téléchargements de logiciels ou des programmes piratés, et garde une connexion avec son opérateur, ouverte en permanence ou rétablie à intervalles. Sur l'ordinateur, la protection des postes et le contrôle des applications sont les principales défenses. Sur le réseau, la connexion avec l'opérateur est le signe le plus fiable : un trafic faible et régulier vers une destination inconnue, souvent en HTTPS ou sur un port inhabituel, parfois relayé par un service cloud légitime. NetSenX détecte ce beaconing dans chaque offre et, à partir de l'offre Starter, compare les handshakes TLS aux empreintes de logiciels malveillants connus là où l'agent capture les paquets, sous Linux ou en capteur SPAN/TAP.

Un courtier d'accès initial est un criminel qui s'introduit dans des entreprises et revend cet accès à d'autres au lieu de l'utiliser : identifiants VPN, accès au bureau à distance, web shell sur un serveur ou contrôle d'un portable infecté. Des groupes de rançongiciel et d'autres criminels achètent ces accès sur des marchés criminels et lancent leur attaque à partir de là, parfois des semaines plus tard. Pour une victime, cela a deux conséquences. La première intrusion peut être discrète et sembler sans rapport avec les dégâts ultérieurs, et celui qui chiffre n'est peut-être pas celui qui est entré. Et le délai entre l'accès et l'attaque est une chance : des comptes utilisés depuis des lieux inhabituels, un nouvel outil d'accès à distance ou un serveur qui appelle une adresse extérieure peuvent être repérés avant l'arrivée de l'acheteur. NetSenX détecte le beaconing et les nouvelles sessions que ce genre d'accès produit généralement, dans chaque offre ; les journaux d'identité montrent les connexions.

Un web shell est un petit script malveillant déposé sur un serveur web, généralement par une vulnérabilité d'une application exposée à internet, qui permet à un attaquant d'exécuter des commandes sur le serveur au moyen de requêtes web ordinaires. C'est un moyen courant de conserver l'accès à des systèmes exploités, comme des serveurs de transfert de fichiers, de messagerie ou des systèmes de gestion de contenu, et il se fond dans le trafic web normal. Les signes sont des fichiers de script nouveaux ou modifiés dans les répertoires web, des processus du serveur web qui lancent des interpréteurs de commandes, et le serveur lui-même qui se connecte soudain à internet ou à des machines internes auxquelles il ne parlait jamais. Corrigez vite les applications exposées, surveillez les modifications des répertoires web et limitez ce que le serveur web peut atteindre. Le fichier se voit sur l'hôte ; NetSenX voit le comportement réseau qui suit, comme un serveur exposé qui balaye le réseau interne ou envoie des volumes inhabituels, dans chaque offre.

Le tunnelling de protocole consiste à cacher un type de trafic dans un autre pour franchir les pare-feu et paraître anodin : des commandes ou des données volées enveloppées dans des requêtes DNS, des requêtes web ordinaires, des pings ICMP ou une connexion SSH. Les attaquants s'en servent pour garder un canal de commande ouvert quand les connexions directes sont bloquées, ou pour atteindre des systèmes internes via un seul hôte compromis. Il se manifeste par des protocoles au comportement étrange : des requêtes DNS aux noms longs et aléatoires, des pings transportant bien plus de données que d'habitude, une session SSH qui dure des jours et déplace beaucoup de données, ou un hôte qui relaie des connexions pour d'autres. Limitez les protocoles autorisés à sortir du réseau et les hôtes concernés, et faites passer le DNS par vos propres résolveurs. NetSenX détecte le tunnelling DNS ainsi que le beaconing et les volumes sortants inhabituels dans chaque offre ; il ne déchiffre jamais le trafic, si bien qu'un tunnel chiffré est jugé sur son schéma.

Parce qu'on leur fait confiance. Les outils d'assistance et de gestion à distance sont signés, couramment installés et autorisés par les pare-feu ; l'antivirus les signale donc rarement, et leur trafic va vers le cloud de l'éditeur comme toute session légitime. Les attaquants les installent après être entrés, ou détournent ceux déjà présents, pour garder un accès qui survit à un changement de mot de passe. Les avis de la CISA sur des groupes comme Akira et Medusa décrivent précisément cet usage des logiciels d'accès à distance. Tenez la liste des outils que votre entreprise utilise réellement, bloquez l'installation des autres, exigez l'authentification multifacteur (MFA) pour ceux que vous autorisez et supprimez ceux dont personne n'a besoin. Sur le réseau, un outil inattendu apparaît comme un hôte qui se connecte régulièrement à un éditeur d'accès à distance qu'il n'avait jamais utilisé. NetSenX signale ces nouveaux contacts réguliers comme du beaconing dans chaque offre ; décider si un outil est approuvé vous revient.

Un wiper détruit les données au lieu de les retenir contre rançon : il écrase des fichiers, des structures de disque ou le micrologiciel pour que les systèmes ne puissent plus démarrer ou que les données soient irrécupérables. Il sert au sabotage, parfois déguisé en rançongiciel avec une demande de rançon qui ne mène nulle part, et des entreprises peuvent être touchées par ricochet quand il se propage par des fournisseurs ou des réseaux partagés. Comme il n'y a rien à négocier, des sauvegardes hors ligne et un plan de reprise testé sont la seule vraie réponse. Les étapes qui précèdent l'effacement ressemblent à celles d'autres intrusions : accès, commandement et contrôle, déplacement vers de nombreuses machines, parfois au moyen d'outils de gestion centralisés qui poussent le wiper partout à la fois. NetSenX ne détecte pas l'effacement lui-même, qui a lieu sur les hôtes ; il surveille les étapes antérieures, comme le beaconing, le balayage et le mouvement latéral, dans chaque offre.

Le cryptojacking, c'est l'utilisation par des criminels de vos ordinateurs, serveurs ou comptes cloud pour miner de la cryptomonnaie à leur profit. Il vole rarement des données, mais coûte de l'électricité et des dépenses cloud, ralentit les systèmes, use le matériel et montre que quelqu'un dispose d'une porte d'entrée, souvent par un serveur exposé à internet non corrigé ou des clés cloud volées. Sur l'hôte, il se manifeste par une charge processeur élevée et durable due à un processus inconnu. Sur le réseau, les mineurs maintiennent une connexion de longue durée avec un pool de minage, souvent sur des ports inhabituels, avec de petits messages réguliers dans les deux sens, jour et nuit. Bloquez sur le pare-feu les destinations de pools de minage connues quand c'est possible, surveillez les factures cloud à la recherche de calcul inexpliqué et corrigez les serveurs exposés. NetSenX signale comme beaconing les connexions régulières et persistantes vers une nouvelle destination extérieure, dans chaque offre ; la charge processeur relève de la supervision des postes ou du cloud.