Réponse à incident

Des connexions régulières d'un poste vers un nouveau serveur extérieur, un hôte qui balaie les plages internes à la recherche de ports SMB, RDP ou de bases de données, de nouvelles sessions d'administration vers de nombreux serveurs et un gros envoi vers un stockage cloud depuis un serveur qui envoie d'ordinaire peu. Ils arrivent généralement dans cet ordre, avant qu'aucun fichier ne soit chiffré.

Souvent, parce que les étapes qui précèdent le chiffrement traversent le réseau : connexions de commande et de contrôle, balayage, mouvement latéral et vol de données. C'est la fenêtre pendant laquelle une attaque peut encore être arrêtée. Toutes les attaques ne montrent pas toutes ces étapes, et une attaque confinée à une seule machine laisse peu de chose à voir au réseau.

Non. NetSenX signale le comportement réseau qui précède généralement un rançongiciel, pour que votre équipe agisse tant qu'il est temps. Isoler les hôtes, chasser l'attaquant et restaurer les données restent du ressort de votre équipe, de votre protection des postes et de vos sauvegardes.

Déconnecter du réseau les hôtes concernés, conserver leurs journaux, réinitialiser les identifiants utilisés sur ces machines et appeler votre prestataire de réponse à incident. Si votre organisation relève de NIS2, le délai de 24 heures pour l'alerte précoce court dès que vous avez connaissance d'un incident important.

Déconnectez les machines touchées du réseau, au niveau du commutateur ou en débranchant le câble et en coupant le Wi-Fi. Laissez-les allumées si possible, car la mémoire contient des preuves, sauf si vous ne pouvez pas les isoler autrement. Ne contactez pas les attaquants et ne payez rien avant d'avoir pris conseil. Appelez votre prestataire de réponse à incident, la ligne d'assistance de votre assureur cyber si vous en avez une, ou votre CSIRT national. Changez les mots de passe administrateur depuis un appareil sain, vérifiez que vos sauvegardes sont intactes et déconnectées, et commencez un journal écrit, horodaté, de ce que vous voyez et faites. Si NIS2 s'applique à vous, le délai de 24 heures pour l'alerte précoce court à partir du moment où vous avez connaissance d'un incident important : associez dès le départ la personne chargée des notifications.

À peu près dans cet ordre, adapté à votre situation. Un : isolez du réseau les machines touchées sans les éteindre, et stoppez la propagation au niveau des commutateurs ou du pare-feu. Deux : appelez votre prestataire de réponse à incident, la ligne d'assistance de l'assureur et, si besoin, un avocat, et ouvrez un journal d'incident. Trois : sécurisez les preuves et vérifiez si les sauvegardes sont intactes et hors ligne. Quatre : établissez comment les attaquants sont entrés, quels systèmes ils ont atteints et si des données sont sorties, et évaluez les obligations de notification au titre de NIS2 et du RGPD, avec leurs délais. Cinq : décidez quoi dire au personnel, aux clients et aux partenaires. Six : chassez l'attaquant, réinitialisez les identifiants et fermez la voie d'entrée. Sept : reconstruisez et restaurez par ordre de priorité à partir de sauvegardes saines. Huit : surveillez de près pendant des semaines et tenez un retour d'expérience. NetSenX aide aux étapes quatre et huit, avec des preuves réseau et une détection continue.

C'est une décision commerciale et juridique, et les services de police déconseillent de payer : cela finance les attaquants, ne garantit ni le retour des fichiers ni la suppression des données volées, et payer un groupe sous sanctions peut être illégal. Décidez avec votre prestataire de réponse à incident, votre assureur et vos juristes, et signalez l'incident à la police et, le cas échéant, à votre CSIRT. NetSenX ne négocie pas et ne restaure pas les données ; il aide à voir plus tôt ce que les attaquants ont fait sur le réseau.

Payer n'annule pas le vol. Vous paieriez des criminels pour la promesse d'effacer des données qu'ils ont toutes les raisons de garder, et les services répressifs, dont Europol et les polices nationales, déconseillent de payer ; des cas de données publiées ou vendues après paiement ont été rapportés. Payer une personne ou un groupe sous sanctions peut en outre être illégal. La décision revient à la direction, avec votre prestataire de réponse à incident, votre assureur et vos avocats. Avant de décider, établissez les faits : ce qui est réellement sorti, si cela contient des données personnelles, quelles notifications sont dues quel que soit le paiement, et ce que vous direz aux personnes concernées. Au regard du RGPD, une violation de données à caractère personnel s'apprécie d'après ce qui s'est passé, non d'après le paiement ou non d'une rançon. NetSenX ne négocie pas ; il aide à établir les faits, avec des alertes qui montrent quels hôtes ont envoyé des volumes inhabituels et quand.

Un négociateur en rançongiciel est un spécialiste, souvent fourni par une société de réponse à incident ou par la liste de l'assureur, qui communique avec les attaquants au nom de la victime. Son rôle est de gagner du temps, d'obtenir la preuve de ce qui a été pris, de vérifier qu'un outil de déchiffrement fonctionne et, si l'entreprise décide de payer, de contrôler les listes de sanctions et de gérer les modalités. Y recourir ne signifie pas que vous avez décidé de payer : dialoguer peut faire gagner des jours pour restaurer depuis les sauvegardes. N'ouvrez pas vous-même la messagerie des attaquants et ne répondez pas à leurs e-mails avant d'avoir pris conseil, car vos propos peuvent affaiblir votre position. Demandez d'abord à votre assureur, car les polices imposent souvent la société qu'il a choisie, et conservez chaque message comme preuve. NetSenX ne joue aucun rôle dans la négociation ; ses alertes aident à établir ce qui a réellement quitté le réseau, ce qui compte quand on teste les affirmations des attaquants.

Regardez ce qui a quitté le réseau, et quand : journaux du pare-feu et du proxy, journaux d'audit des stockages cloud et journaux des machines concernées. De gros envois vers un stockage cloud ou vers une adresse inconnue dans les jours précédant le chiffrement sont le signe habituel. Demandez à votre prestataire de réponse à incident de comparer les volumes avec ce que contient chaque serveur, et préservez les journaux avant qu'ils ne soient écrasés. Si les attaquants publient un échantillon sur un site de fuite, cela renseigne sur ce qu'ils ont pris, mais rarement sur tout, et leurs affirmations ne prouvent rien dans un sens ni dans l'autre. NetSenX conserve ses alertes sur les volumes sortants inhabituels par hôte, avec l'heure, la destination et le volume, ce qui aide à mesurer un transfert. Il ne voit pas les noms de fichiers dans les sessions chiffrées.

Cherchez le transfert, pas l'affirmation. Les attaquants exagèrent parfois pour faire monter la pression, et parfois ils ont réellement pris tout ce qu'ils disent. Vérifiez dans les journaux du pare-feu et du proxy les gros transferts sortants des jours précédant le chiffrement, surtout vers des stockages cloud ou des adresses que personne d'autre n'utilise, et notez quels hôtes internes les ont envoyés. Comparez le volume avec ce que contiennent ces serveurs. Ne demandez un échantillon de preuve que par l'intermédiaire de votre intervenant, et regardez ce qu'il contient. Les journaux d'audit des stockages cloud et des services SaaS peuvent révéler des téléchargements massifs. Si les preuves ne montrent aucun transfert sortant significatif, cela aide la décision et une éventuelle notification, mais l'absence de preuve sur une voie ne prouve pas que rien n'est sorti par une autre. NetSenX conserve les alertes sur les volumes sortants inhabituels par hôte, avec heure, destination et volume ; il ne voit pas les noms de fichiers dans les transferts chiffrés.

Souvent, si les journaux de l'époque existent encore. Les fichiers publiés donnent des indices : leur date de modification la plus récente fixe la date de vol la plus précoce possible, et les dossiers d'origine désignent les serveurs concernés. Cherchez ensuite dans les journaux du pare-feu, du proxy et d'audit cloud de gros transferts sortants depuis ces serveurs à cette période, ainsi que le premier contact régulier avec un serveur extérieur inconnu, qui marque souvent le début de l'intrusion. Confiez ce travail à votre prestataire de réponse à incident et ne téléchargez pas vous-même les données publiées : associez votre intervenant et votre avocat, car manipuler des données volées comporte ses propres risques. Signalez la publication à la police. NetSenX conserve, pendant l'historique d'alertes de votre offre, les alertes sur les volumes sortants inhabituels par hôte avec l'heure et la destination, ce qui peut nettement resserrer la fenêtre.

Non. NetSenX analyse les métadonnées de flux et quelques champs de protocole, et ne déchiffre jamais le trafic. Quand des données sortent par une connexion chiffrée, ce qui est presque toujours le cas, il voit quel hôte a envoyé quelle quantité, vers quelle destination et quand, mais pas les noms ni le contenu des fichiers. C'est tout de même utile : cela vous indique quel serveur examiner, quelle était la taille du transfert et quand il a eu lieu, ce qui suffit souvent à cerner ce qu'il a pu contenir. Pour savoir quels fichiers ont été pris, croisez avec des sources qui voient les fichiers : journaux d'audit des serveurs de fichiers et des stockages cloud, télémétrie d'un outil de détection et réponse sur les postes (EDR), outils de prévention des fuites de données ou examen forensique du serveur. Si les attaquants publient des échantillons, ceux-ci indiquent aussi les dossiers concernés.

Ils essaient, s'ils se sont gardé une porte : mots de passe volés, outil d'accès à distance oublié, nouveau compte, tâche planifiée ou VPN jamais corrigé. Certains criminels revendent aussi ou transmettent l'accès, si bien qu'une seconde attaque peut venir de quelqu'un d'autre par la même porte. Après un incident, réinitialisez tous les identifiants susceptibles d'avoir été exposés, comptes de service compris, supprimez les outils d'accès à distance non approuvés, fermez la voie d'entrée, reconstruisez les machines touchées à partir d'images saines et surveillez le réseau de près pendant des semaines. De nouvelles connexions vers les serveurs de l'attaquant sont un signe typique ; NetSenX détecte le beaconing C2 dans chaque offre, Free comprise, et les indicateurs de votre rapport d'incident peuvent être recherchés dans vos journaux de pare-feu et DNS.

La réponse à incident est la manière organisée dont une entreprise détecte un incident de sécurité, le contient, s'en remet et en tire des leçons. Elle couvre le travail technique, comme isoler des machines, chasser l'attaquant et restaurer les systèmes, et les décisions qui l'entourent : qui dirige, qui est informé, quand faire appel à une aide extérieure, quoi déclarer aux autorités, aux assureurs et aux clients. Une petite entreprise n'a pas besoin d'une équipe de sécurité pour bien la mener. Elle a besoin d'un court plan écrit, de numéros de téléphone qui fonctionnent quand la messagerie ne fonctionne plus, de quelqu'un autorisé à décider la nuit, et de preuves de ce qui s'est passé. NetSenX aide pour les preuves et les délais : il détecte des comportements réseau qui signalent souvent une intrusion, explique chaque alerte et suit les délais de l'article 23 de NIS2 pour chaque incident. Il ne chasse pas les attaquants et ne restaure pas les systèmes.

Le modèle le plus connu en compte six : préparation, identification, confinement, éradication, rétablissement et retour d'expérience, tiré du manuel du SANS pour les gestionnaires d'incidents. L'ancien guide du NIST, SP 800-61 Revision 2, regroupait ce même travail en quatre phases. En avril 2025, le NIST l'a remplacé par SP 800-61 Revision 3, qui rattache la réponse à incident aux six fonctions de son Cybersecurity Framework 2.0 : gouverner, identifier, protéger, détecter, répondre et rétablir. Tous disent la même chose : l'essentiel du travail se fait avant l'incident, dans la préparation, et après, dans l'amélioration. Pour une petite entreprise, l'ordre pratique est simple : remarquer, limiter les dégâts, supprimer la cause, reprendre le travail en sécurité et changer ce qui a rendu l'incident possible. Écrire cette séquence pour vos propres systèmes est la première étape la plus utile.

En décidant dès maintenant ce que vous devriez sinon improviser en pleine nuit. Rédigez un plan d'une page : qui dirige, qui peut arrêter les systèmes, qui parle aux clients, aux assureurs et aux autorités. Gardez les numéros de téléphone sur papier et dans un second canal, car la messagerie et le chat peuvent être indisponibles ou compromis. Connaissez vos trois ou quatre systèmes les plus importants et l'ordre dans lequel vous les restaureriez, et testez une restauration depuis la sauvegarde. Convenez des conditions avec un prestataire de réponse à incident avant d'en avoir besoin, et vérifiez qui votre assurance cyber exige d'appeler en premier. Assurez-vous que les journaux dont vous auriez besoin existent et sont conservés assez longtemps : pare-feu, VPN, annuaire et historique réseau. NetSenX fournit l'historique réseau et des alertes expliquées, et les rapports PDF à partir de l'offre Starter facilitent la remise d'un dossier de preuves.

Moins que ne le suggèrent la plupart des modèles, pourvu qu'il fonctionne sous pression. L'essentiel tient en deux ou trois pages : qui dirige et qui le remplace, les numéros des personnes et prestataires à appeler, quand isoler un système ou couper l'entreprise d'internet, où se trouvent les sauvegardes et comment restaurer les systèmes les plus importants, et qui décide des notifications au CSIRT, à l'autorité de protection des données, aux assureurs et aux clients, avec leurs délais. Ajoutez une courte liste de contrôle pour la première heure et un modèle de journal d'incident. Imprimez-le, car le serveur de fichiers qui le contient pourrait être celui qui sera chiffré. Révisez-le après chaque incident et au moins une fois par an. NetSenX suit les délais de l'article 23 de NIS2 pour chaque incident et tient un journal d'audit des alertes et des décisions des analystes, ce qui soutient le volet notification du plan.

Moins de monde que vous ne le pensez, mais avec des rôles clairs. Une personne dirige et décide, généralement le dirigeant ou quelqu'un qu'il désigne, avec un suppléant nommé. Une personne réalise ou pilote le travail technique : votre administrateur informatique, votre prestataire de services managés ou une société externe de réponse à incident. Une personne gère la communication avec le personnel, les clients et les fournisseurs, et une autre suit le volet juridique et les notifications, souvent avec le délégué à la protection des données et un avocat. Dans une entreprise de 30 personnes, ce peuvent être trois personnes qui cumulent plusieurs casquettes. L'important est que chaque rôle soit écrit, que le responsable puisse décider la nuit sans attendre une réunion et que les numéros externes soient convenus à l'avance. À partir de l'offre Starter, qui inclut la gestion d'équipe, NetSenX donne à chacun son propre compte, si bien que les motifs des alertes et les décisions sont visibles de toute l'équipe.

Un retainer est un accord avec une société de réponse à incident, signé avant que quoi que ce soit n'arrive, qui vous garantit une intervention dans un délai convenu et fixe le prix et les conditions. Sans lui, vous cherchez un prestataire, négociez un contrat et ouvrez des accès alors que l'attaquant est toujours actif. Beaucoup d'assureurs cyber disposent de leur propre liste de sociétés d'intervention et attendent que vous les appeliez en premier : vérifiez donc votre police avant de signer quoi que ce soit séparément. Une petite entreprise n'a pas forcément besoin d'un retainer payant si la ligne d'assistance de l'assureur couvre ce besoin, mais elle doit savoir qui appeler, ce dont cette société aura besoin le premier jour et comment elle accédera à vos systèmes. NetSenX n'est pas une société de réponse à incident. Il fournit à celle que vous appelez des alertes expliquées et un historique réseau antérieur à l'incident, généralement la preuve la plus difficile à reconstituer après coup.

Un exercice sur table est une réunion où les personnes qui géreraient un incident déroulent pas à pas un scénario réaliste, sans toucher à aucun système. Un animateur présente la situation par étapes : une alerte en fin de soirée, une demande de rançon le lundi matin, l'appel d'un journaliste, une sauvegarde qui s'avère chiffrée elle aussi. À chaque étape, l'équipe dit ce qu'elle ferait, qui déciderait et qui elle appellerait. Quatre-vingt-dix minutes avec la direction, l'informatique, la communication et la personne chargée des questions juridiques suffisent. La valeur tient aux lacunes mises au jour : un numéro que personne n'a, une décision que personne n'est autorisé à prendre, un journal que personne ne tient. Notez-les, corrigez-les, puis répétez l'exercice une ou deux fois par an. Un scénario fondé sur une vraie alerte ou un incident passé apprend davantage qu'un scénario générique.

Ce sont les barreaux d'une même échelle. Un événement est tout ce qui se produit et peut être enregistré : une connexion, une session réseau, une modification de fichier. Une alerte est un événement, ou un ensemble d'événements, qu'un outil signale parce qu'il peut compter, par exemple un poste qui contacte un nouveau serveur extérieur toutes les quelques minutes. Un incident est ce que vous déclarez après avoir examiné une ou plusieurs alertes et conclu que la sécurité a réellement été, ou est en train d'être, compromise : un attaquant est à l'intérieur, des données ont été volées, un service a été perturbé. La différence compte, car les obligations portent sur les incidents, pas sur les alertes : les délais de notification de NIS2 courent à partir du moment où vous avez connaissance d'un incident important, pas du moment où un outil lève une alerte. NetSenX produit des alertes motivées en langage clair ; décider qu'elles forment un incident reste votre jugement, et cette décision est consignée dans le journal d'audit.

En confrontant l'alerte à ce que vous savez, rapidement et toujours dans le même ordre. Posez quatre questions : l'appareil et son propriétaire sont-ils connus, ce comportement a-t-il une raison métier, la destination ou le compte sont-ils familiers, et s'est-il passé autre chose d'inhabituel sur le même hôte ou au même moment ? Une sauvegarde, une mise à jour logicielle ou un administrateur qui travaille tard expliquent beaucoup d'alertes en quelques minutes. Ce que personne ne sait expliquer, qui touche plusieurs hôtes ou qui suit une autre alerte mérite une escalade. Notez ce que vous avez vérifié, même quand c'était anodin, pour que la personne suivante ne reparte pas de zéro. NetSenX explique sur chaque alerte quelles caractéristiques réseau l'ont déclenchée, cite la technique MITRE ATT&CK quand il y en a une, et vous permet de marquer un faux positif, la décision étant conservée dans le journal d'audit.

Par son effet sur l'activité, pas par son air alarmant. Une échelle simple suffit : faible quand un appareil est touché et contenu, moyenne quand un compte ou plusieurs appareils sont concernés, élevée quand des systèmes importants ou des données personnelles sont menacés, critique quand l'activité s'arrête ou que des données ont quitté l'entreprise. Demandez-vous ce qui est touché, combien de systèmes et de personnes, si des données personnelles ou des données clients sont en jeu, si cela se propage et si des services que vous fournissez à d'autres sont perturbés. La réponse détermine qui est appelé, à quelle vitesse et si des obligations de notification peuvent s'appliquer : NIS2 raisonne en incident important et le RGPD en violation de données à caractère personnel, chacun avec ses propres critères. Convenez de l'échelle à l'avance et inscrivez-la dans votre plan. NetSenX montre sur chaque alerte ce qui a été vu et sur quels hôtes, un point de départ pour ce jugement plutôt qu'un substitut.

Une personne nommément désignée, avec un suppléant désigné et le pouvoir d'agir sans réunion. Les décisions en incident sont urgentes et inconfortables : couper l'entreprise d'internet, arrêter un système de production, appeler la police, informer les clients. Si personne n'est clairement habilité à les prendre, des heures se perdent à attendre un accord. Dans la plupart des petites entreprises, c'est le dirigeant qui décide, conseillé par l'informatique et un intervenant externe ; dans les plus grandes, un responsable d'incident agit pour la direction dans des limites convenues. Écrivez quelles décisions cette personne peut prendre seule et lesquelles exigent la direction, et assurez-vous que le suppléant est joignable quand le responsable voyage. NIS2 rend aussi les organes de direction des entités concernées responsables d'approuver les mesures de gestion des risques en matière de cybersécurité et d'en superviser la mise en œuvre : la direction doit donc connaître le plan avant d'en avoir besoin.

Généralement cinq choses. S'il faut isoler des systèmes ou tout le site, en acceptant l'interruption que cela entraîne. Qui faire intervenir : une société de réponse à incident, la ligne d'assistance de l'assureur, un avocat. Si l'incident peut devoir être notifié, au CSIRT national au titre de NIS2 ou à l'autorité de protection des données au titre du RGPD, et qui prépare la notification. Quoi dire au personnel, aux clients et aux partenaires, et quand, sans promettre ce qu'on ne sait pas encore. Et comment poursuivre l'activité : processus manuels, communication de secours, clients à appeler en premier. Aucune de ces décisions n'est technique, c'est pourquoi une équipe technique ne peut pas les prendre seule. Préparez-les sous forme d'options dans votre plan. NetSenX donne à la direction un point de départ factuel : quels hôtes ont montré quel comportement et quand, et les délais de l'article 23 de NIS2 suivis pour l'incident.

Déplacez les échanges sur l'incident vers un canal que l'attaquant ne peut pas lire avant de dire quoi que ce soit de vos plans. Les attaquants qui contrôlent une boîte aux lettres ou l'annuaire lisent souvent les messages de l'équipe de réponse et s'adaptent. Convenez à l'avance d'un canal de secours : appels téléphoniques, groupe de messagerie sur des appareils sans comptes de l'entreprise, ou espace collaboratif séparé avec ses propres identifiants. Gardez une liste de contacts imprimée, car le carnet d'adresses peut être inaccessible. Demandez à votre assureur, à votre banque et à vos principaux clients de confirmer par téléphone toute demande venant de vous, car les criminels envoient parfois de faux messages en plein incident. Une fois l'annuaire et la messagerie reconstruits et les identifiants réinitialisés, revenez aux canaux habituels. Les alertes NetSenX se trouvent dans leur propre tableau de bord, que vous pouvez ouvrir depuis un appareil sain : la vision du réseau ne dépend pas de la messagerie de l'entreprise.

Parce que la mémoire flanche sous pression et que tout le monde demandera ensuite ce qui s'est passé et quand. Un simple journal note l'heure, ce qui a été observé, ce qui a été décidé, par qui et pourquoi, et ce qui a été fait. Il permet à une deuxième personne de prendre le relais la nuit sans tout recommencer, montre à l'assureur et à l'autorité que vous avez agi rapidement et de façon réfléchie, et sert de base à la chronologie d'une notification NIS2 ou RGPD. Il protège aussi les décideurs : un choix qui paraît mauvais après coup était souvent raisonnable au vu de ce que l'on savait alors, et le journal le montre. Tenez-le hors des systèmes touchés, sur papier ou dans un document partagé accessible depuis un appareil sain, et notez toutes les heures dans un seul fuseau horaire. NetSenX apporte des alertes horodatées et un journal d'audit des décisions des analystes, que vous pouvez joindre à votre propre dossier.

Coupez le réseau, pas le courant, et copiez avant de nettoyer. Isoler une machine touchée au niveau du port du commutateur, du pare-feu ou de l'outil de protection des postes empêche l'attaquant de s'en servir, tout en préservant la mémoire, les processus en cours et les connexions ouvertes pour l'enquête. Avant de réinstaller des machines, de supprimer des fichiers ou des comptes, exportez les journaux utiles, notez les comptes et fichiers suspects et, si des spécialistes le recommandent, réalisez une capture mémoire et une image disque. Bloquez les destinations de l'attaquant sur le pare-feu, mais notez lesquelles et quand. Si vous devez choisir entre rapidité et preuves, par exemple parce que le chiffrement se propage, la rapidité l'emporte : arrêtez d'abord les dégâts. Les preuves réseau sont les plus faciles à perdre, car beaucoup d'équipements ne gardent qu'un court historique ; NetSenX conserve ses alertes avec l'heure, les hôtes et les destinations pendant la durée d'historique de votre offre.

Débranchez-le du réseau, mais laissez-le allumé sauf raison contraire. Retirer le câble et couper le Wi-Fi empêche l'attaquant de le piloter et arrête la propagation, tandis que la mémoire conserve des preuves qui disparaissent à l'extinction : programmes en cours, connexions réseau, parfois des clés de chiffrement utiles à la récupération. Éteindre est le bon choix quand vous ne pouvez pas isoler la machine autrement et que les dégâts se propagent vite, ou quand des spécialistes le demandent. Ne vous connectez pas en administrateur pour fouiller, ne lancez pas d'outils de nettoyage et ne redémarrez pas avant d'avoir pris conseil, car chaque geste modifie les preuves. Notez l'heure et ce que vous avez fait. S'il s'agit d'un serveur dont d'autres dépendent, isolez-le au niveau du commutateur ou du pare-feu plutôt que de débrancher des câbles au hasard. Un capteur réseau comme NetSenX conserve la trace de ce que faisait la machine avant que vous ne la déconnectiez.

Voici une courte liste d'erreurs fréquentes. N'effacez ni ne réinstallez de machines avant d'avoir sauvegardé les preuves, sans quoi vous perdez le moyen de comprendre comment l'attaquant est entré. Ne réinitialisez pas les mots de passe un par un pendant que l'attaquant observe encore ; planifiez le confinement et faites-le d'un seul coup. Ne parlez pas de l'incident par une messagerie ou un chat qui pourraient être compromis. Ne contactez pas et ne payez pas les attaquants sans l'avis de votre intervenant, de votre assureur et de votre avocat. Ne restaurez pas de sauvegardes avant de savoir qu'elles sont antérieures à l'intrusion. N'annoncez pas publiquement ce que vous ne savez pas encore, et ne promettez pas aux clients qu'aucune donnée n'a été touchée avant d'avoir vérifié. Ne manquez pas les délais : une alerte précoce NIS2 ou une notification RGPD peut être envoyée avec des faits incomplets et complétée ensuite. Et ne cessez pas de surveiller le réseau une fois les systèmes rétablis.

Remontez le temps à partir de ce que vous savez, en vous appuyant sur les horodatages. Partez de la machine où l'incident a été remarqué, cherchez quel autre hôte s'y est connecté le premier de façon inhabituelle, puis recommencez pour cet hôte. Les journaux des postes montrent les connexions et les nouveaux programmes, ceux de l'annuaire quel compte a été utilisé depuis quel ordinateur, ceux du pare-feu et du VPN les premières connexions extérieures. Les premiers contacts réguliers avec un serveur de l'attaquant désignent souvent la première machine infectée. Le patient zéro compte parce qu'il révèle comment l'attaquant est entré, voie qu'il faut fermer avant de rétablir les systèmes. Gardez à l'esprit que la première machine trouvée n'est souvent pas la première infectée. Les alertes NetSenX portent heures, hôtes et destinations, et à partir de l'offre Pro la corrélation à l'échelle du réseau relie balayage, nouvelles sessions et beaconing entre hôtes en un seul récit, ce qui raccourcit la recherche.

Une image forensique est une copie exacte et vérifiée d'un disque ou de la mémoire d'un ordinateur, réalisée pour que les enquêteurs puissent l'examiner sans modifier l'original. Elle est faite avec des outils dédiés, assortie d'une empreinte comme SHA-256 pour que toute modification ultérieure soit détectable, et conservée avec la trace de qui l'a manipulée. Vous en avez besoin quand l'incident peut déboucher sur un litige, une déclaration de sinistre, une plainte ou des questions d'une autorité, et quand vous voulez savoir comment l'attaquant est entré avant de reconstruire la machine. Une sauvegarde ordinaire ne la remplace pas, car elle omet les fichiers supprimés, la mémoire et les zones système. Confiez-la à un spécialiste si possible. Les preuves réseau la complètent : NetSenX enregistre ce qui a traversé le réseau, ce que l'image disque d'une seule machine ne peut pas montrer.

La chaîne de conservation est la trace écrite de qui a recueilli une preuve, quand et comment, et de qui l'a eue entre les mains depuis. Pour une image disque, un export de journaux ou une capture réseau, cela signifie noter la source, la date et l'heure, la méthode ou l'outil utilisé, une empreinte qui prouve que la copie n'a pas changé, le lieu de stockage et chaque personne qui y a accédé. Sans cette trace, un tribunal, un assureur ou une autorité peut douter que la preuve soit ce que vous affirmez. Une petite entreprise peut la tenir simplement : une fiche par élément, des copies sur un support non réinscriptible ou à accès contrôlé, et aucun travail sur les originaux. NetSenX tient un journal d'audit des alertes, des décisions des analystes et des changements de configuration, et à partir de l'offre Starter une piste de preuve (proof trail), ce qui étaye cette trace pour le volet réseau d'un incident.

Exportez-les dès qu'un incident est soupçonné, avant de modifier quoi que ce soit d'autre. Beaucoup d'équipements ne gardent les journaux que quelques jours ou jusqu'à une taille limite : pare-feu, passerelles VPN, commutateurs et certains services cloud écrasent d'abord les entrées les plus anciennes, et un attaquant actif peut tenter de les effacer. Dressez à l'avance la liste des journaux utiles, en général pare-feu, VPN, annuaire et authentification, messagerie, console de protection des postes et DNS, avec la façon d'exporter chacun. Pendant l'incident, copiez-les sur un stockage extérieur aux systèmes touchés, notez l'heure et l'empreinte de chaque fichier et augmentez si possible la durée de conservation sur les équipements. Demandez à vos fournisseurs cloud jusqu'où remontent leurs journaux d'audit. NetSenX conserve ses alertes dans son propre service pendant la durée d'historique de votre offre, 30 jours avec Free et davantage avec les offres payantes, quoi qu'il arrive à vos équipements.

L'éradication consiste à supprimer complètement la présence de l'attaquant avant de remettre les systèmes en service. Elle comprend la suppression des logiciels malveillants et des outils, la fermeture de la voie d'entrée, le retrait des comptes, tâches planifiées et logiciels d'accès à distance créés par l'attaquant, la réinitialisation de tous les identifiants susceptibles d'avoir été exposés et la correction des vulnérabilités exploitées. En pratique, reconstruire les machines touchées à partir d'images saines est souvent plus fiable que les nettoyer, car il est difficile de prouver que chaque modification a été trouvée. L'éradication échoue quand elle est partielle : un attaquant qui garde un point d'appui revient, parfois des semaines plus tard. Elle doit être planifiée à partir des preuves de votre enquête, pas devinée. Surveiller le réseau ensuite permet de vérifier qu'elle a réussi : NetSenX détecte un nouveau beaconing vers des serveurs extérieurs connus ou nouveaux et de nouvelles sessions latérales, dans chaque offre.

Depuis un appareil sain, dans un ordre planifié et dans une seule courte fenêtre. Commencez par les comptes qui contrôlent tout : administrateurs du domaine et du cloud, système de sauvegarde, accès à distance et comptes de service aux droits étendus. Dans Active Directory, le compte qui signe les tickets Kerberos (krbtgt) est réinitialisé deux fois, avec le temps de réplication entre les deux, pour que les tickets falsifiés cessent de fonctionner. Réinitialisez ensuite les utilisateurs ordinaires, révoquez les sessions et jetons actifs dans les services cloud et exigez l'authentification multifacteur (MFA) partout où elle manque. N'envoyez pas les nouveaux mots de passe par une messagerie peut-être compromise. Si vous réinitialisez trop tôt, alors que l'attaquant garde un point d'appui, il capture tout simplement les nouveaux mots de passe : contenez d'abord. Les changements d'identité échappent à un capteur réseau ; NetSenX montre si les machines de l'attaquant continuent ensuite à contacter l'extérieur.

Vous ne pouvez pas en être certain, mais vous pouvez acquérir une confiance raisonnable. Vérifiez que vous comprenez comment il est entré et que cette voie est fermée, que chaque compte et outil qu'il a créé a été supprimé et que les identifiants ont été réinitialisés. Cherchez ensuite l'absence d'activité : aucune connexion vers ses serveurs connus, aucun nouveau compte administrateur, aucune connexion inexpliquée, aucun balayage entre hôtes. Recherchez dans vos journaux et sur vos postes les indicateurs issus de votre enquête, comme les adresses IP, les domaines et les empreintes de fichiers. Maintenez une vigilance renforcée pendant au moins plusieurs semaines, car certains attaquants attendent. Une évaluation de compromission par une société externe apporte un regard indépendant. NetSenX soutient ce test d'absence côté réseau : beaconing, balayage, mouvement latéral et volumes sortants inhabituels sont détectés dans chaque offre, Free comprise, si bien que le silence sur les segments surveillés a un sens.

Le matériel, en général oui, mais pas l'installation. Le rançongiciel et les outils qui l'accompagnent modifient le système d'exploitation, ajoutent des comptes et laissent des mécanismes de persistance difficiles à trouver : l'approche fiable consiste à effacer et réinstaller les machines touchées à partir d'images saines, puis à restaurer les données depuis une sauvegarde antérieure à l'intrusion. Conservez les disques, ou leurs images, des machines utiles à l'enquête avant de les réutiliser. Les infections au niveau du micrologiciel existent mais sont rares ; votre intervenant vous dira s'il y a une raison de remplacer du matériel. Les machines non touchées doivent quand même être vérifiées, car les attaquants touchent souvent plus de systèmes qu'ils n'en chiffrent. Avant de reconnecter les machines reconstruites, assurez-vous que la voie d'entrée est fermée. La cartographie réseau de NetSenX montre quels hôtes ont communiqué avec les machines touchées pendant l'incident, ce qui aide à décider quoi vérifier d'autre.

Dans un ordre maîtrisé, sur des bases saines et en restant vigilant. Assurez-vous d'abord que la voie d'entrée de l'attaquant est fermée et que ses comptes et outils ont disparu. Reconstruisez d'abord le cœur : l'annuaire, les comptes administrateur, le système de sauvegarde et le pare-feu, avec de nouveaux identifiants. Restaurez ensuite les systèmes par ordre de priorité métier, à partir de sauvegardes dont vous avez vérifié qu'elles sont antérieures à l'intrusion et qui ont été analysées avant usage. Remettez chaque système en service sur un segment réseau surveillé avant d'ouvrir l'accès à tous, et gardez les utilisateurs sur de nouveaux mots de passe avec authentification multifacteur (MFA). Dites au personnel quoi signaler si quelque chose semble anormal, et attendez-vous à ce que le rétablissement dure plus longtemps que l'attaque. Surveillez le réseau de près pendant des semaines ; NetSenX détecte un nouveau beaconing, du balayage et du mouvement latéral dans chaque offre, et c'est souvent ainsi qu'on découvre un nettoyage incomplet.

Souvent en partie, si vous l'avez prévu. Décidez à l'avance quels processus sont critiques et comment ils tournent quelques jours sans informatique : bons de commande papier, listes téléphoniques de clients et de fournisseurs, bons de livraison manuscrits, un portable de secours qui n'a jamais été sur le réseau de l'entreprise. Isoler les systèmes touchés peut permettre aux autres de continuer, c'est pourquoi une bonne segmentation paie pendant l'incident et pas seulement avant. Méfiez-vous des raccourcis : brancher des appareils personnels ou un portable de la maison sur le réseau endommagé peut propager le problème ou détruire des preuves. Communiquez avec le personnel par un canal extérieur aux systèmes touchés et dites clairement ce qu'il ne faut pas faire. Assureurs et clients apprécient une entreprise qui a continué à les servir. NetSenX montre quels segments et hôtes sont concernés, ce qui aide à décider ce qui peut rester en ligne sans risque.

Au moins plusieurs semaines, et plus longtemps après une intrusion grave. Les attaquants qui ont gardé un point d'appui attendent souvent que l'équipe de réponse se relâche, et un accès revendu à d'autres peut servir bien plus tard. Pendant cette période, passez les alertes en revue chaque jour, cherchez des connexions vers les indicateurs de votre enquête, vérifiez l'apparition de nouveaux comptes administrateur et d'outils d'accès à distance, et assurez-vous que les sauvegardes continuent de tourner sans être touchées par des hôtes inhabituels. Traitez toute répétition du schéma initial comme un nouvel incident, pas comme du bruit. Décidez à l'avance qui examine quoi et quand la vigilance renforcée prend fin. NetSenX détecte le beaconing, le balayage, le mouvement latéral et les volumes sortants inhabituels dans chaque offre, Free comprise, et son historique d'alertes, 30 jours avec Free et davantage avec les offres payantes, permet de comparer les semaines qui suivent l'incident à celles qui le précèdent.

C'est une réunion, organisée dans les semaines qui suivent l'incident, où toutes les personnes impliquées passent en revue ce qui s'est passé et ce qu'il faut changer. Reconstituez la chronologie à partir du journal d'incident, puis posez quatre questions : qu'est-ce qui a bien fonctionné, qu'est-ce qui a mal fonctionné, que ne savions-nous pas ou que nous manquait-il, et que allons-nous changer, avec un responsable et une date pour chaque changement. Sans chercher de coupable : le but est de corriger systèmes et procédures, pas de punir quelqu'un, sinon chacun cachera ses erreurs la fois suivante. Les résultats typiques sont un accès à distance fermé, une MFA là où elle manquait, une sauvegarde désormais hors ligne, une liste téléphonique qui fonctionne, un journal conservé plus longtemps. Intégrez les conclusions à votre plan et à votre prochain exercice sur table. Les alertes NetSenX et le journal d'audit donnent au retour d'expérience une chronologie factuelle côté réseau.

Fixez la règle à l'avance, car une petite entreprise a rarement une équipe de nuit. Écrivez quelles alertes justifient de réveiller quelqu'un, qui est cette personne et ce qu'elle peut faire seule : par exemple isoler un poste de travail, mais pas arrêter le serveur de l'ERP. Tout le reste attend le matin, avec une vérification à heure fixe. Si vous externalisez la surveillance, convenez des mêmes règles par écrit avec le prestataire. Rendez les premiers gestes assez simples pour un non-spécialiste : déconnecter l'appareil du réseau, noter l'heure, appeler le numéro désigné. Testez une fois la chaîne d'appel. NetSenX envoie des alertes motivées en langage clair avec les hôtes concernés, si bien que la personne réveillée voit vite s'il s'agit d'une sauvegarde ou d'un poste qui contacte un nouveau serveur extérieur au petit matin. Il ne vous fournit pas d'équipe de nuit.

Souvent, oui, car le chiffrement est la dernière étape d'une séquence plus longue. Avant lui, les attaquants doivent en général entrer, contacter leur propre serveur, explorer, atteindre les serveurs de fichiers et les sauvegardes et, dans la plupart des attaques actuelles, copier des données vers l'extérieur. Ces étapes prennent souvent des jours et traversent le réseau : un poste qui contacte un nouveau serveur extérieur à intervalles réguliers, un hôte qui balaye les plages internes, de nouvelles sessions d'administration vers des serveurs, un gros envoi la nuit. Les attaquants choisissent week-ends et jours fériés parce que personne ne regarde, pas parce que les étapes précédentes étaient invisibles. La bonne question est de savoir si quelque chose a enregistré ces signes et si quelqu'un aurait vu l'alerte. NetSenX détecte le beaconing, le balayage, le mouvement latéral et les volumes sortants inhabituels dans chaque offre, Free comprise ; qu'une alerte du vendredi soir soit traitée avant lundi dépend de votre chaîne d'appel.

Trop variable pour qu'un chiffre unique soit utile : de quelques heures, quand un groupe automatisé exploite un système exposé, à des semaines, quand l'accès est acheté à quelqu'un d'autre ou que les attaquants prennent leur temps pour trouver les sauvegardes et copier des données. Ce qui est constant, c'est la séquence : accès, contact avec le serveur de l'attaquant, reconnaissance, déplacement vers les serveurs, vol de données, et seulement ensuite chiffrement. Chaque étape est une occasion de s'en apercevoir. Planifiez comme si vous aviez peu de temps : gardez des sauvegardes hors ligne pour qu'elles survivent, exigez l'authentification multifacteur (MFA) pour l'accès à distance et décidez à l'avance qui isole un hôte la nuit. Traitez comme urgent tout signe des premières étapes, comme un poste qui balaye les plages internes. NetSenX alerte sur le comportement réseau de ces étapes dans chaque offre, et c'est de là que vient le temps d'agir.

De deux façons. Un support peut transporter le logiciel malveillant lui-même, qui s'exécute quand quelqu'un ouvre un fichier déguisé, et certains logiciels malveillants se copient sur chaque support trouvé pour voyager entre ordinateurs et sites. Par ailleurs, un disque branché au moment où le chiffrement commence est tout simplement chiffré avec le reste ; c'est pourquoi une sauvegarde sur un disque USB branché en permanence ne vous protège pas d'un rançongiciel. Désactivez l'exécution automatique depuis les supports amovibles, analysez les supports inconnus sur un ordinateur dédié, n'autorisez si possible que les appareils fournis par l'entreprise et débranchez les disques de sauvegarde après chaque exécution. L'INCIBE espagnol a publié un cas réel où un rançongiciel s'est propagé au fil du branchement d'appareils infectés. Un transfert par USB ne traverse pas le réseau, donc un capteur réseau ne le voit pas ; NetSenX voit ce que fait ensuite l'ordinateur infecté, comme un balayage ou des appels vers un serveur extérieur.

Conservez sans les modifier tous les éléments qui montrent ce qui s'est passé, quand, et ce que vous avez fait. Cela comprend le journal d'incident avec horaires et décisions ; les exports des journaux du pare-feu, du VPN, de l'annuaire, de la messagerie et des postes ; la demande de rançon et tous les messages des attaquants ; des captures d'écran de ce que les utilisateurs ont vu ; les images forensiques quand des spécialistes en ont réalisé ; et les justificatifs des coûts engagés. Notez pour chaque fichier une empreinte, le lieu de stockage et qui l'a manipulé. L'assureur a généralement besoin de la chronologie et des justificatifs de coûts ; la police, des messages des attaquants, des demandes de paiement et des indicateurs ; l'autorité veut savoir quelles données ont été touchées et comment vous avez réagi. Demandez tôt à chacun ce dont il a besoin, et gardez des copies hors des systèmes touchés. Les alertes NetSenX, avec heures, hôtes et destinations, et son journal d'audit peuvent faire partie de ce dossier, avec des rapports PDF à partir de l'offre Starter.

Pendant la durée d'historique des alertes de votre offre : 30 jours avec Free et davantage avec chaque offre payante, les durées exactes figurant sur la page des tarifs. Les alertes sont conservées avec leur heure, les hôtes concernés, les destinations, les volumes et les motifs qui les ont déclenchées, ainsi que les décisions des analystes dans le journal d'audit. Si un incident peut déboucher sur une déclaration de sinistre, des questions d'une autorité ou une procédure judiciaire, ne comptez pas sur la seule conservation : exportez ce qui compte pendant que l'incident est frais, avec les rapports PDF à partir de l'offre Starter, et gardez l'export avec vos autres preuves. Réfléchissez avant tout incident à la période dont vous aurez besoin : les durées de présence peuvent se compter en semaines, et un historique court peut s'arrêter avant le début de l'intrusion. Les journaux du pare-feu, du VPN et de l'annuaire ont leur propre durée de conservation, souvent plus courte, qu'il vaut mieux vérifier aujourd'hui qu'en plein incident.

Gérez vous-mêmes la première heure, et faites appel à une société pour tout ce qui dépasse un seul appareil maîtrisé. Votre équipe connaît les systèmes : c'est à elle d'isoler les machines, d'ouvrir le journal et de préserver les preuves. Une société externe apporte ce qu'une petite équipe a rarement : outils et expérience forensiques, connaissance des habitudes des attaquants, contacts avec les forces de l'ordre et crédibilité auprès des assureurs et des autorités. Appelez-la quand un attaquant peut encore être actif, quand des serveurs ou de nombreux appareils sont touchés, quand des données ont pu sortir, ou quand l'incident peut être à notifier ou donner lieu à une déclaration de sinistre. Vérifiez d'abord si votre assurance cyber désigne une société, car en choisir une autre peut affecter la couverture, et convenez à l'avance des accès dont elle aura besoin. NetSenX n'est pas une société de réponse à incident ; les alertes expliquées et l'historique réseau qu'il conserve sont ce que cette société vous demandera le premier jour.

Honnêtement, précisément et seulement avec ce que vous savez, puis en les tenant informés. Dites ce qui s'est passé et quand, quelles catégories de leurs données sont concernées, ce que vous avez fait, ce que vous examinez encore, ce qu'ils devraient faire, par exemple se méfier d'un hameçonnage utilisant leurs informations, et qui contacter. Évitez d'affirmer qu'aucune donnée n'a été touchée avant que l'enquête ne le confirme ; une correction coûte plus de confiance qu'un premier message prudent. Validez le texte avec votre avocat et votre délégué à la protection des données, car informer les personnes peut être une obligation légale au contenu imposé, ainsi qu'avec votre assureur. Envoyez-le par un canal non compromis et prévenez les clients que de faux messages de suivi peuvent circuler. Les preuves rendent le message précis : les alertes NetSenX montrent quels hôtes ont envoyé des volumes inhabituels et quand, ce qui aide à dire quels systèmes, et donc quels clients, sont concernés.

En partie. Les enregistrements réseau peuvent montrer qu'un serveur donné, celui qui contient les données de ce client, n'a envoyé aucun volume inhabituel vers l'extérieur sur la période, et qu'aucune nouvelle destination extérieure n'a reçu de données de sa part. C'est une preuve significative, surtout si le serveur envoie peu d'ordinaire. Ce n'est pas une preuve à elle seule : les données ont pu être copiées d'abord vers une autre machine interne et envoyées de là, envoyées par petites quantités sous les seuils évidents, ou prises par un canal que le capteur ne voit pas, comme un service cloud utilisé directement ou un segment non surveillé. Présentez-la au client pour ce qu'elle est : une preuve d'absence sur les chemins que vous surveillez, complétée par les journaux des serveurs et du cloud. NetSenX conserve des alertes par hôte sur les volumes sortants inhabituels, et sa cartographie réseau montre quels hôtes ont communiqué avec ce serveur.

Dans la plupart des pays de l'UE, le CSIRT national ou l'agence de cybersécurité est le premier appel gratuit, et plusieurs proposent des services aux petites entreprises. L'Espagne dispose de la ligne gratuite 017 de l'INCIBE ; la Pologne de CERT Polska, qui reçoit les signalements d'incidents ; l'Allemagne du BSI et des unités cybercriminalité des polices des Länder ; la France de la plateforme nationale Cybermalveillance pour les entreprises et de l'ANSSI pour les entités régulées ; l'Italie de CSIRT Italia, à l'ACN ; les Pays-Bas du Digital Trust Center pour les entreprises et du NCSC pour les secteurs vitaux. Ils peuvent orienter, fournir parfois des indicateurs et des contacts, mais ne font généralement pas le travail de rétablissement à votre place. La ligne d'assistance de votre assureur cyber, si vous en avez un, est l'autre appel à passer tôt, et les infractions se signalent à la police. NetSenX ne fournit pas de réponse à incident, mais ses alertes donnent à la personne que vous appelez un point de départ factuel.

Oui, dans la plupart des cas. Rançongiciel, extorsion, fraude et vol de données sont des infractions, et une plainte aide les enquêteurs à relier les affaires, permet parfois d'obtenir des clés de déchiffrement issues d'opérations policières et est souvent exigée par l'assureur pour un sinistre. La plainte est distincte de toute notification réglementaire à votre CSIRT ou à votre autorité de protection des données ; vous pourriez devoir faire plusieurs démarches. Beaucoup de pays ont des unités spécialisées en cybercriminalité ou un dépôt de plainte en ligne pour les entreprises, et votre CSIRT national vous dira où vous adresser. Apportez les faits : la chronologie, la demande de rançon et les messages, les exigences de paiement, des indicateurs comme les adresses IP et les domaines, et les coûts à ce jour. Porter plainte ne signifie pas perdre la maîtrise de votre rétablissement et ne rend en général pas l'incident public. Les alertes NetSenX, avec heures, hôtes et destinations, peuvent faire partie de ce que vous transmettez.

Parfois, par les effets secondaires plutôt que par l'intention. L'INCIBE espagnol a publié un cas réel dans lequel un salarié a introduit un code malveillant et volé un million d'euros. Ces cas reposent sur des accès que la personne possède déjà ; la prévention passe donc par les processus : séparation des tâches pour les paiements, validation par une seconde personne, revue du code pour toute modification des systèmes financiers, et retrait rapide des accès quand les rôles changent. Des signes techniques peuvent malgré tout apparaître : un poste qui contacte un serveur extérieur inconnu, de nouvelles connexions au système de paiement ou à l'ERP depuis une machine qui ne l'avait jamais utilisé, des envois inhabituels. NetSenX observe des appareils et des connexions, jamais des personnes : il peut détecter ce comportement sur le réseau, dans chaque offre, mais il ne juge pas l'intention et ne voit pas ce qui se passe dans une application. Enquêter sur une personne relève des RH et des juristes, et du comité social et économique là où il existe.

Vérifiez d'abord les causes ordinaires, puis cherchez les signes d'une attaque. Beaucoup de pannes viennent d'un certificat ou d'un domaine expiré, d'un disque plein, d'une mise à jour ratée ou d'un problème chez l'hébergeur. Interrogez votre hébergeur et consultez sa page d'état, puis les journaux du serveur web : un afflux soudain de requêtes venant de nombreuses adresses évoque une attaque par déni de service ; des pages modifiées, de nouveaux comptes administrateur ou des fichiers inconnus, une compromission du site lui-même ; un enregistrement DNS modifié, une attaque sur l'enregistrement de votre domaine. Conservez les journaux avant de redémarrer quoi que ce soit. Si le site contient des données clients ou encaisse des paiements, traitez une compromission comme une possible violation de données. NetSenX ne protège pas les sites publics hébergés hors de votre réseau ; si le serveur web se trouve dans votre réseau, il montre les connexions sortantes et les volumes inhabituels qui en partent.

Non, et la différence tient à l'endroit où chacune agit. Une attaque par déni de service distribué (DDoS) inonde votre site, votre VPN ou votre accès internet de trafic venant de nombreuses machines jusqu'à ce qu'ils ne répondent plus. L'arrêter demande de la capacité en amont : chez votre fournisseur d'accès, dans un réseau de diffusion de contenu (CDN) ou dans un service de filtrage qui absorbe et nettoie le flux avant qu'il n'atteigne votre ligne. La détection réseau dans l'entreprise, comme NetSenX, observe le comportement de vos propres hôtes pour trouver des intrus, du beaconing, du balayage, du mouvement latéral et des données qui sortent ; elle ne bloque pas le trafic et n'a pas la bande passante pour absorber un flux massif. Demandez à votre fournisseur quelle protection DDoS couvre votre ligne aujourd'hui et, pour les services publics, envisagez un hébergement protégé. Certaines attaques DDoS servent de diversion : vérifiez que rien d'autre ne se passe à l'intérieur pendant la panne.

Des preuves et des délais, pas des bras supplémentaires. Pendant un incident, NetSenX vous fournit des alertes de beaconing, de balayage, de mouvement latéral et de volumes sortants inhabituels, dans chaque offre, chacune avec un motif en langage clair, les hôtes concernés, les destinations, les volumes et les heures, et la technique MITRE ATT&CK quand il y en a une ; la cartographie réseau de qui parle à qui ; un journal d'audit des alertes et des décisions des analystes ; et le suivi des délais de l'article 23 de NIS2, avec une notification au titre de l'article 33 du RGPD préparée pour votre délégué à la protection des données, l'envoi restant de votre ressort. À partir de l'offre Starter s'ajoutent les rapports PDF et des recommandations de réponse, et à partir de l'offre Pro la corrélation des hôtes en un seul récit. Il ne chasse pas les attaquants, ne restaure pas les données et ne négocie pas, et il ne voit ni l'intérieur des sessions chiffrées ni les segments que vous ne surveillez pas. Votre intervenant, vos outils de protection des postes et vos sauvegardes couvrent ce terrain.

Fermez d'abord sa porte, puis posez vos questions. Suspendez les comptes du fournisseur, son accès VPN et ses outils d'assistance à distance sur vos systèmes jusqu'à ce qu'il confirme ce qui a été touché, et changez les identifiants partagés ou les clés d'API. Demandez-lui par écrit ce qui s'est passé et quand, quels systèmes étaient concernés, si vos données ou vos informations d'accès ont été exposées et de quels indicateurs de compromission il dispose, puis recherchez-les dans vos journaux. Vérifiez ce que son accès pouvait atteindre : quels serveurs, quelles données. Traitez avec prudence ses e-mails liés aux paiements, car les fils de messagerie volés servent à la fraude au virement. Si vos données ont été exposées par son intermédiaire, vous pourriez avoir vos propres obligations de notification. Relisez le contrat pour ses clauses de sécurité et de notification. NetSenX détecte le beaconing et les sessions inhabituelles depuis les hôtes utilisés par le fournisseur, et sa cartographie réseau montre avec quoi ces hôtes ont réellement communiqué.

Parce que le nettoyage n'est pas le même. Un compte compromis signifie que quelqu'un détient le mot de passe ou la session d'un utilisateur, utilisables de n'importe où : la solution consiste à réinitialiser les identifiants, révoquer les sessions, vérifier les règles de la boîte aux lettres et imposer l'authentification multifacteur (MFA), et les preuves sont dans les journaux d'identité et des services. Un appareil compromis signifie que quelqu'un contrôle la machine elle-même, souvent par un logiciel malveillant : la solution consiste à l'isoler et à la reconstruire, et les preuves sont sur le poste et dans son trafic réseau. Beaucoup d'incidents combinent les deux, comme des mots de passe volés sur un portable infecté ou un compte utilisé pour installer des outils sur un serveur. Établissez ce que vous avez avant de choisir vos actions, sinon vous réinitialiserez des mots de passe sur un appareil qui capture les nouveaux. NetSenX voit le côté appareil sur le réseau : une machine qui appelle un serveur extérieur, balaye ou ouvre de nouvelles sessions. L'abus d'un compte depuis l'extérieur de votre réseau relève des journaux d'identité.