Comment savoir si l'attaquant est vraiment parti ?

Vous ne pouvez pas en être certain, mais vous pouvez acquérir une confiance raisonnable. Vérifiez que vous comprenez comment il est entré et que cette voie est fermée, que chaque compte et outil qu'il a créé a été supprimé et que les identifiants ont été réinitialisés. Cherchez ensuite l'absence d'activité : aucune connexion vers ses serveurs connus, aucun nouveau compte administrateur, aucune connexion inexpliquée, aucun balayage entre hôtes. Recherchez dans vos journaux et sur vos postes les indicateurs issus de votre enquête, comme les adresses IP, les domaines et les empreintes de fichiers. Maintenez une vigilance renforcée pendant au moins plusieurs semaines, car certains attaquants attendent. Une évaluation de compromission par une société externe apporte un regard indépendant. NetSenX soutient ce test d'absence côté réseau : beaconing, balayage, mouvement latéral et volumes sortants inhabituels sont détectés dans chaque offre, Free comprise, si bien que le silence sur les segments surveillés a un sens.

← Les 60 questions sur Réponse à incidentTous les thèmes