Comment contenir un incident sans détruire les preuves ?
Coupez le réseau, pas le courant, et copiez avant de nettoyer. Isoler une machine touchée au niveau du port du commutateur, du pare-feu ou de l'outil de protection des postes empêche l'attaquant de s'en servir, tout en préservant la mémoire, les processus en cours et les connexions ouvertes pour l'enquête. Avant de réinstaller des machines, de supprimer des fichiers ou des comptes, exportez les journaux utiles, notez les comptes et fichiers suspects et, si des spécialistes le recommandent, réalisez une capture mémoire et une image disque. Bloquez les destinations de l'attaquant sur le pare-feu, mais notez lesquelles et quand. Si vous devez choisir entre rapidité et preuves, par exemple parce que le chiffrement se propage, la rapidité l'emporte : arrêtez d'abord les dégâts. Les preuves réseau sont les plus faciles à perdre, car beaucoup d'équipements ne gardent qu'un court historique ; NetSenX conserve ses alertes avec l'heure, les hôtes et les destinations pendant la durée d'historique de votre offre.
Cette réponse figure aussi, avec plus de contexte, ici : Réponse à incident
À lire ensuite
Questions liées
- Faut-il débrancher du réseau un ordinateur infecté ou l'éteindre ?
- Que faut-il éviter pendant un incident cyber ?
- Comment retrouver le patient zéro, la première machine compromise par l'attaquant ?
- Qu'est-ce qu'une image forensique, et quand en avons-nous besoin ?
- Qu'est-ce que la chaîne de conservation des preuves numériques ?