Comment reprendre l'activité en sécurité après un incident cyber ?

Dans un ordre maîtrisé, sur des bases saines et en restant vigilant. Assurez-vous d'abord que la voie d'entrée de l'attaquant est fermée et que ses comptes et outils ont disparu. Reconstruisez d'abord le cœur : l'annuaire, les comptes administrateur, le système de sauvegarde et le pare-feu, avec de nouveaux identifiants. Restaurez ensuite les systèmes par ordre de priorité métier, à partir de sauvegardes dont vous avez vérifié qu'elles sont antérieures à l'intrusion et qui ont été analysées avant usage. Remettez chaque système en service sur un segment réseau surveillé avant d'ouvrir l'accès à tous, et gardez les utilisateurs sur de nouveaux mots de passe avec authentification multifacteur (MFA). Dites au personnel quoi signaler si quelque chose semble anormal, et attendez-vous à ce que le rétablissement dure plus longtemps que l'attaque. Surveillez le réseau de près pendant des semaines ; NetSenX détecte un nouveau beaconing, du balayage et du mouvement latéral dans chaque offre, et c'est souvent ainsi qu'on découvre un nettoyage incomplet.

← Les 60 questions sur Réponse à incidentTous les thèmes