Ai-je été piraté ?

Cherchez ce qui a changé : de nouvelles destinations sortantes, des connexions à intervalles réguliers, des connexions à des heures inhabituelles, une machine qui se connecte à beaucoup d'autres, un volume sortant inhabituel. Chacun se vérifie dans les journaux du pare-feu, du DNS et de l'annuaire. Deux ou plus réunis méritent une enquête ; une surveillance continue du réseau les guette chaque jour, pas seulement le jour où vous regardez.

Oui. Dans l'avis conjoint AA24-038A du 7 février 2024, la CISA, la NSA et le FBI ont indiqué que des acteurs de Volt Typhoon avaient conservé un accès aux environnements informatiques de certaines victimes pendant au moins cinq ans. Les attaquants qui utilisent les mêmes outils d'administration que votre équipe IT laissent peu de signatures, d'où l'importance du comportement sur le réseau.

Exportez les principales destinations sortantes depuis votre pare-feu ou votre serveur DNS et examinez les plus rares ; passez en revue les connexions réussies hors heures ouvrées ; comptez combien d'hôtes internes chaque poste contacte sur les ports SMB, RDP, SSH et WinRM ; comparez le volume sortant de chaque serveur avec sa propre moyenne.

Non. NetSenX apporte la vue réseau : il voit les appareils sans agent et les déplacements entre hôtes. La protection des postes couvre toujours ce qui se passe dans chaque machine. L'offre Free n'a pas de limite de durée et ne demande pas de carte bancaire : vous voyez d'abord ce qu'elle trouve sur votre propre réseau.

Oui. Des attaquants qui utilisent des mots de passe volés et les outils d'administration déjà présents sur vos systèmes peuvent rester discrets longtemps : rien ne casse, donc personne ne regarde. C'est leur comportement qui les trahit, par exemple un ordinateur qui contacte un nouveau serveur extérieur à intervalles réguliers, une machine qui se connecte à beaucoup d'autres ou des envois de données la nuit. NetSenX détecte le beaconing, le balayage, le mouvement latéral et les volumes de données sortants inhabituels dans chaque offre, Free comprise. Il ne voit pas une activité qui ne passe jamais par le réseau.

Souvent, oui. Un attaquant qui contrôle une machine s'en sert pour observer et aller plus loin : il recherche d'autres hôtes, essaie les mots de passe enregistrés sur la première machine et se connecte par des protocoles d'administration comme SMB, RDP ou SSH. Sur un réseau à plat, où chaque ordinateur atteint chaque serveur, rien ne le ralentit. Trois mesures gratuites limitent sa progression : segmentez le réseau pour que les postes de travail n'atteignent pas les serveurs dont ils n'ont pas besoin, retirez les droits d'administrateur local aux comptes du quotidien et utilisez un mot de passe différent pour chaque système. NetSenX détecte le balayage et les nouvelles sessions entre hôtes que ce mouvement crée, dans chaque offre, Free comprise. Il ne voit pas ce que l'attaquant fait à l'intérieur de la première machine avant que quoi que ce soit ne passe par le réseau.

Rarement à lui seul. La lenteur a le plus souvent des causes ordinaires : une sauvegarde, une mise à jour du système, une visioconférence, une liaison saturée. Elle mérite qu'on s'y attarde quand elle s'accompagne d'un trafic que vous ne savez pas expliquer, par exemple un serveur qui envoie de gros volumes la nuit, un ordinateur qui contacte une destination inconnue à intervalles réguliers ou un appareil qui n'envoyait presque rien et se met à envoyer beaucoup. Commencez par le pare-feu ou le routeur : quelle adresse interne consomme la bande passante, et où va le trafic ? Si c'est une tâche connue, l'affaire est close. Un outil de supervision des performances montre qu'une liaison est chargée ; NetSenX montre les volumes sortants inhabituels par hôte, comparés à la normale propre à cet hôte, et indique si le schéma ressemble à une fuite de données.

Cela peut en être un. Désactiver les outils de sécurité est une étape précoce fréquente des attaquants et des rançongiciels, car cela supprime un témoin avant que le vrai travail ne commence. Vérifiez dans la console de protection des postes qui ou quoi a modifié le réglage, et quand, cherchez sur cette machine de nouveaux comptes administrateur, de nouveaux services et des tâches planifiées, et isolez-la si vous ne savez pas expliquer le changement. Demandez au support de l'éditeur si une mise à jour a pu le provoquer ; c'est parfois la réponse. Il s'agit d'une preuve côté poste : un capteur réseau ne voit pas un réglage modifié sur un ordinateur. Il peut en revanche montrer si cette machine s'est ensuite comportée de façon inhabituelle sur le réseau, par exemple en contactant un nouveau serveur extérieur à intervalles réguliers ou en ouvrant des sessions vers d'autres hôtes, ce que NetSenX détecte dans chaque offre.

Commencez par ce que vous avez déjà : les baux DHCP du routeur ou du serveur, les tables d'adresses MAC des commutateurs et la liste des clients du contrôleur Wi-Fi. Comparez-les à votre inventaire et examinez tout ce qui reste inexpliqué ; la première moitié d'une adresse MAC désigne le fabricant, ce qui indique souvent s'il s'agit d'une imprimante, d'un téléphone ou d'un petit ordinateur. La sécurité de port ou 802.1X empêche d'emblée les appareils inconnus de rejoindre le réseau. La cartographie réseau de NetSenX, dans chaque offre, montre les hôtes vus sur les segments surveillés et avec qui ils communiquent, si bien qu'un nouvel appareil qui se met à émettre se remarque. Un appareil qui reste muet, ou qui se trouve sur un segment que vous ne surveillez pas, n'y apparaît pas.

Oui, depuis le point d'accès ou le contrôleur Wi-Fi : sa liste de clients affiche chaque appareil connecté avec son adresse MAC, la force du signal et souvent un nom d'appareil. Comparez-la avec ce que vous attendez et consultez les baux DHCP du routeur pour repérer les appareils qui ont obtenu une adresse récemment. Quelques réglages rendent cette liste plus fiable : un réseau invité séparé pour les visiteurs et les téléphones personnels, un mot de passe Wi-Fi changé au départ d'un salarié, et WPA2 ou WPA3 Enterprise avec des identifiants individuels plutôt qu'une clé partagée. Les téléphones récents utilisent une adresse MAC différente sur chaque réseau : une adresse inconnue ne prouve donc pas une intrusion. NetSenX ne gère pas le Wi-Fi, mais sa cartographie réseau montre les appareils qui communiquent sur les segments surveillés, si bien qu'un nouveau venu qui atteint des serveurs internes se remarque.

Oui, si la prise est brassée sur un port de commutateur actif. Un visiteur, un prestataire ou un intrus peut brancher un portable, ou laisser derrière une imprimante un petit ordinateur comme un Raspberry Pi, qui se trouve alors à l'intérieur de votre pare-feu. La prévention coûte peu : déconnectez les ports inutilisés, utilisez 802.1X ou au moins la sécurité de port pour que seuls les appareils connus obtiennent un accès, placez les salles de réunion et l'accueil sur un réseau invité, et regardez derrière les imprimantes et sous les bureaux lors des tournées. La détection est la seconde couche. La cartographie réseau de NetSenX, dans chaque offre, montre les nouveaux appareils qui se mettent à émettre sur les segments surveillés, et NetSenX signale comme beaconing un appareil caché qui contacte l'extérieur à intervalles réguliers. Si l'appareil joint l'attaquant par sa propre connexion mobile, seul ce qu'il fait à l'intérieur de votre réseau est visible, comme un balayage ; un appareil qui se contente d'écouter reste invisible.

Généralement de quelques jours à quelques semaines, parfois bien plus. Le rapport M-Trends 2026 de Mandiant situe la durée médiane de présence (dwell time), c'est-à-dire le temps entre le début d'une intrusion et sa découverte, à 14 jours pour les incidents examinés en 2025. Une médiane cache une longue traîne : la moitié de ces intrusions a duré davantage. Cette durée est courte quand l'attaquant fait du bruit, comme avec un rançongiciel, et longue quand il cherche un accès discret ou le vol de données ; les intrusions découvertes par un tiers ont en général duré plus longtemps que celles qu'une entreprise trouve elle-même. Ce qui la raccourcit, c'est l'observation des comportements et pas seulement des signatures : des contacts réguliers avec un nouveau serveur extérieur, un balayage, de nouvelles sessions entre hôtes. NetSenX les détecte dans chaque offre, Free comprise, sur les segments qu'il surveille.

La plupart des surveillances ne laissent rien de visible à l'écran : regardez donc ce qui est installé et qui gère l'ordinateur. Une surveillance par l'entreprise apparaît normalement dans la liste des programmes installés ou des profils de gestion et doit être décrite dans une politique écrite ; en cas de doute, demandez au service informatique ou aux RH. Peuvent signaler quelque chose de non autorisé : un outil d'accès à distance que vous n'avez pas installé, une souris ou des fenêtres qui bougent seules, une nouvelle extension de navigateur, le voyant de la webcam qui s'allume ou un logiciel de sécurité désactivé. Sur le réseau, un ordinateur qui envoie régulièrement des données vers un serveur extérieur inconnu est le signe technique le plus net. NetSenX observe des appareils et des connexions, jamais des personnes : il détecte ce type de beaconing dans chaque offre, mais ne voit pas ce qui s'exécute dans l'ordinateur.

En général pas directement. L'écoute passive, un appareil qui se contente d'écouter, n'émet rien et ne laisse donc presque rien à détecter. Ce qui se détecte, c'est le travail que l'attaquant doit fournir pour voir un trafic qui ne lui est pas destiné. Sur un réseau commuté, il doit le détourner, par exemple par usurpation ARP, ou se brancher sur un port miroir, un concentrateur ou un TAP. Des fonctions des commutateurs comme l'inspection ARP dynamique et le DHCP snooping bloquent le détournement, la sécurité de port limite qui peut se brancher, et chiffrer les services internes avec HTTPS, SSH et le chiffrement SMB rend le trafic capturé bien moins exploitable. Un capteur qui surveille le segment voit les annonces ARP inhabituelles et le nouvel appareil qui se met à émettre ; un écouteur parfaitement muet reste invisible pour NetSenX, comme pour tout capteur réseau.

De beaucoup d'entre eux, si le réseau le permet. Une fois entré, l'attaquant atteint tous les systèmes que la machine compromise peut atteindre et se connecte partout où les mots de passe enregistrés ou volés fonctionnent. Des dossiers partagés, un serveur de fichiers lisible par tous et un même mot de passe administrateur sur chaque poste allongent la liste. Trois choses la raccourcissent : des segments qui tiennent les postes de travail à l'écart des serveurs dont ils n'ont pas besoin, des comptes dotés des droits minimaux qui permettent encore de travailler, et l'authentification multifacteur (MFA) pour l'accès à distance et les connexions administrateur. Les données volées doivent en outre traverser deux fois le réseau : quand l'attaquant rassemble des fichiers depuis d'autres hôtes, puis quand il les envoie à l'extérieur. NetSenX détecte les nouvelles sessions entre hôtes et les volumes sortants inhabituels par hôte, dans chaque offre, Free comprise.

Par un service qui répond sur cette adresse, ou par une personne. Votre adresse IP publique n'est pas une porte en soi ; ce sont les ports ouverts derrière elle. Les attaquants balayent tout internet à la recherche de bureaux à distance, de passerelles VPN, de pare-feu administrables à distance, de serveurs de messagerie et web, puis essaient des mots de passe volés ou des vulnérabilités connues sur tout ce qui répond. L'autre voie courante contourne complètement l'adresse publique : un e-mail d'hameçonnage pousse un salarié à exécuter quelque chose, puis l'ordinateur infecté contacte lui-même l'attaquant. Vérifiez depuis l'extérieur quels ports vous exposez, fermez tout ce qui n'est pas nécessaire, placez le reste derrière un VPN avec authentification multifacteur (MFA) et corrigez en priorité les équipements exposés à internet. Sur les segments surveillés, NetSenX montre quels hôtes sont atteints depuis l'extérieur et détecte le beaconing qui suit une infection.

Oui, et souvent une porte facile. Imprimantes, caméras IP, enregistreurs vidéo, téléviseurs connectés et systèmes de contrôle d'accès tournent sur de petits systèmes d'exploitation rarement mis à jour, gardent souvent leurs mots de passe par défaut et ne peuvent pas exécuter d'antivirus. Les attaquants s'en servent de deux façons : comme point d'appui caché que personne ne surveille, et comme point de départ pour balayer le reste du réseau. Changez les mots de passe par défaut, mettez à jour le micrologiciel, désactivez les services inutiles et placez ces appareils dans un segment réseau à part, qui n'atteint ni vos serveurs ni internet au-delà de ce dont ils ont besoin. Comme vous ne pouvez pas y installer d'agent, surveillez-les depuis le réseau : à partir d'un port SPAN ou d'un TAP, NetSenX voit leurs destinations et détecte le beaconing et le balayage, dans chaque offre, sans aucun logiciel sur l'appareil.

Il peut l'être. Téléviseurs connectés, boîtiers de partage d'écran et systèmes de visioconférence sont des ordinateurs dotés de micros, de caméras et d'un accès réseau, mis à jour au rythme de leurs fabricants, quand ils le sont. Beaucoup contactent le cloud du fabricant toute la journée, même en veille, et certains acceptent le partage d'écran de n'importe qui sur le même réseau. Placez-les dans un segment réseau à part, qui n'atteint ni vos serveurs de fichiers ni les portables qu'on y affiche, désactivez les fonctions inutilisées, changez les mots de passe par défaut et appliquez les mises à jour. Vérifiez ensuite ce qu'ils font réellement : observés depuis un port SPAN ou un TAP, ils apparaissent dans NetSenX avec leurs destinations, et le beaconing comme le balayage sont détectés dans chaque offre, sans logiciel sur l'appareil. Qu'un cloud de fabricant à l'étranger soit acceptable relève de votre décision ; NetSenX montre le trafic, il ne juge pas le fabricant.

C'est souvent le salarié, mais vous ne le saurez qu'après vérification. Des connexions depuis un nouveau pays ou un nouvel opérateur surviennent lors d'un voyage, avec un nouveau téléphone ou un réseau mobile qui passe par une autre ville, mais aussi quand quelqu'un utilise un mot de passe volé. Demandez directement à la personne, par un autre canal que le compte concerné, si c'était bien elle. Consultez ensuite les journaux d'identité du service : l'authentification multifacteur (MFA) a-t-elle été validée, des règles de boîte aux lettres ou de nouveaux appareils ont-ils été ajoutés, le même compte s'est-il connecté depuis deux lieux éloignés en moins d'une heure ? Ces preuves se trouvent dans les journaux de votre fournisseur d'identité, de votre VPN et de vos services SaaS, pas sur le réseau. NetSenX apporte le côté réseau, par exemple un appareil qui se met ensuite à balayer ou ouvre de nouvelles sessions vers des serveurs ; il ne voit pas les événements d'identité et ne relie pas une connexion à une personne.

Parfois, car une réinstallation ne nettoie que les machines réinstallées. Ce qui subsiste se trouve généralement ailleurs : mots de passe et jetons de session volés, comptes créés dans l'annuaire ou dans des services cloud, outil d'accès à distance sur un serveur que personne n'a réinstallé, scripts planifiés sur un partage de fichiers, règles de pare-feu modifiées ou sauvegarde qui contenait déjà leurs outils. Avant de déclarer un incident clos, réinitialisez tous les identifiants susceptibles d'avoir été exposés, passez en revue partout les nouveaux comptes, les règles de transfert de messagerie et les logiciels d'accès à distance, comparez les réglages du pare-feu et du VPN avec une copie saine, et ne restaurez qu'à partir de sauvegardes antérieures à l'intrusion. Surveillez ensuite de près pendant plusieurs semaines. De nouvelles connexions vers les serveurs de l'attaquant signalent typiquement un oubli ; NetSenX détecte le beaconing C2 dans chaque offre, Free comprise.

En partie, oui. Plusieurs organismes nationaux proposent des services gratuits : en Espagne, le service Antibotnet de l'INCIBE vérifie si votre adresse IP publique figure dans des signalements d'appareils infectés, et les CERT nationaux d'autres pays transmettent des signalements comparables aux propriétaires des réseaux concernés ; demandez à votre fournisseur d'accès s'il vous les relaie. Des vérifications gratuites de votre côté aident aussi : le journal des connexions sortantes bloquées de votre pare-feu, les journaux DNS qui montrent des requêtes vers des domaines malveillants connus, et tout appareil qui contacte le même serveur extérieur jour et nuit. Une vérification de réputation vous dit que quelque chose derrière votre adresse publique a été signalé, pas de quel appareil il s'agit. NetSenX détecte le beaconing C2 par hôte dans chaque offre, Free comprise, ce qui désigne l'appareil lui-même.

Une évaluation de compromission (compromise assessment) est une enquête limitée dans le temps qui répond à une seule question : un attaquant se trouve-t-il dans notre environnement aujourd'hui, ou s'y trouvait-il récemment ? Des spécialistes examinent les preuves des postes, des journaux et du réseau à la recherche de traces d'intrusion, au lieu de vérifier si une intrusion est possible, comme le fait un test d'intrusion. Elle a du sens avant une acquisition, après l'attaque d'un fournisseur ou d'une entreprise de votre secteur, quand vous reprenez un réseau que personne n'a documenté, ou quand un fait étrange est resté inexpliqué. Demandez au prestataire de quelles données il a besoin, jusqu'où il peut remonter et ce qu'il ne couvrira pas. Sa qualité dépend des preuves qui existent déjà : un historique réseau enregistré avant le début de l'évaluation vaut plus que tout ce qui sera collecté ensuite. NetSenX conserve les alertes et leurs motifs pendant la durée d'historique de votre offre : 30 jours avec Free, davantage avec les offres payantes.

Découvrez comment elle a été attaquée, puis vérifiez précisément ce chemin chez vous. Lisez le communiqué public, l'avis de votre CSIRT national ou de votre organisme sectoriel et les articles qui citent la méthode : un VPN ou un pare-feu exploité, un fournisseur commun, de l'hameçonnage, un groupe de rançongiciel connu. Les groupes criminels réutilisent souvent la même vulnérabilité ou le même accès fournisseur contre de nombreuses entreprises à la fois : si vous partagez un logiciel ou un prestataire avec la victime, interrogez directement ce prestataire. Corrigez le produit cité, passez en revue les accès à distance et les comptes fournisseurs, et vérifiez que vos sauvegardes sont hors ligne et restaurables. Cherchez ensuite sur votre réseau les premières étapes : de nouveaux serveurs extérieurs contactés à intervalles réguliers, un balayage interne et de nouvelles sessions d'administration. NetSenX les détecte dans chaque offre, Free comprise ; il ne peut pas vous dire ce qui se passe sur des segments qu'il ne surveille pas.

Chaque lien avec elle, et tout ce qui est nouveau. Commencez par ce qui vous relie : tunnels VPN communs, comptes d'accès à distance qu'elle utilise sur vos systèmes, transferts de fichiers, fils d'e-mails et dossiers cloud partagés. Suspendez ou changez ces identifiants jusqu'à ce qu'elle confirme ce qui a été touché, et traitez avec prudence ses e-mails demandant un changement de coordonnées de paiement, car les attaquants réutilisent les fils de messagerie volés. Si son avis ou son communiqué liste des indicateurs de compromission, comme des adresses IP, des domaines ou des empreintes de fichiers, recherchez-les dans vos journaux de pare-feu, de proxy et DNS sur plusieurs semaines. Observez ensuite les comportements : des hôtes qui contactent soudain de nouveaux serveurs extérieurs à intervalles réguliers, du balayage, des envois inhabituels. NetSenX les détecte dans chaque offre, et sa cartographie réseau montre qui communique avec qui sur les segments surveillés.

Faites de l'incident de l'an dernier un test. Notez chaque étape de l'attaquant, du premier accès au moment où vous l'avez remarqué, et demandez-vous pour chacune quel contrôle ou quel journal la verrait aujourd'hui. Comblez ensuite les lacunes : si l'entrée s'est faite par un compte VPN sans authentification multifacteur (MFA), vérifiez que chaque compte d'accès à distance en a désormais une ; si vous n'avez rien vu avant le chiffrement, identifiez l'étape antérieure qui a traversé le réseau et vérifiez si quelque chose alerterait dessus aujourd'hui. Un exercice sur table ou une simulation d'intrusion et d'attaque (BAS) rejoue le scénario sans dommage réel. NetSenX couvre les étapes réseau communes à la plupart des incidents, comme le beaconing, le balayage, le mouvement latéral et les volumes sortants inhabituels, dans chaque offre ; la simulation d'intrusion et d'attaque est incluse à partir de l'offre Business. Ce qui se passe uniquement à l'intérieur d'un hôte relève de la protection des postes.

Parce que personne, en interne, ne regardait au bon endroit. Un client reçoit une fausse facture depuis votre messagerie piratée, une banque signale des virements étranges, la police ou un CERT national trouve vos données sur un serveur criminel, ou les attaquants l'annoncent sur leur site de fuite. Dans l'entreprise, les signes étaient souvent là mais non lus : des journaux de pare-feu que personne ne consulte, une alerte antivirus classée comme bruit, un serveur qui envoie des données la nuit. Les rapports M-Trends de Mandiant ont constaté à plusieurs reprises que les intrusions découvertes par un tiers duraient depuis plus longtemps que celles qu'une entreprise trouvait elle-même. L'apprendre de l'extérieur vous fait aussi perdre la maîtrise du calendrier et du message. Lire ce qui traverse déjà votre réseau change cela ; NetSenX en fait des alertes expliquées sur le beaconing, le balayage, le mouvement latéral et les envois inhabituels, dans chaque offre, Free comprise.

En se demandant qui, vers où et quand, puis en comparant avec la normale. Une sauvegarde déplace des données d'hôtes connus vers une destination connue, généralement à heure fixe et avec un volume semblable chaque nuit. Une mise à jour télécharge depuis les serveurs de l'éditeur vers de nombreux hôtes en une courte rafale. Un vol a une autre allure : un hôte qui envoie rarement des données en envoie beaucoup, vers une destination que personne d'autre n'utilise, à une heure où il est d'habitude silencieux, ou un poste de travail se met soudain à lire de nombreux partages de fichiers. Tenez une courte liste de vos tâches planifiées, avec leurs hôtes et leurs horaires, pour que chacun puisse y confronter une alerte. NetSenX juge chaque hôte d'après ses propres destinations, volumes et heures habituels, explique sur chaque alerte quelles caractéristiques réseau l'ont déclenchée et vous permet de marquer une alerte comme faux positif, la décision étant conservée dans le journal d'audit.

En l'enregistrant avant d'en avoir besoin. La normale décrit qui communique avec qui, quand et combien : quels serveurs chaque poste utilise, quels services extérieurs il contacte, quand tournent les sauvegardes, quels appareils restent silencieux la nuit. La plupart des petites entreprises ne l'ont jamais écrit, et c'est pourquoi une connexion étrange est difficile à juger en plein incident. Commencez par une simple liste de vos serveurs, tâches planifiées, outils d'accès à distance et fournisseurs qui se connectent de l'extérieur. Les journaux du pare-feu et DNS d'une semaine ordinaire donnent une première image. NetSenX apprend la normale de chaque hôte à partir du trafic des segments qu'il surveille et compare chaque nouvelle connexion avec elle, et sa cartographie réseau, dans chaque offre, montre qui parle à qui. Un capteur fraîchement installé a besoin de temps avec votre propre trafic avant que sa vision de la normale soit fiable, et NetSenX vous dit quand il n'a pas encore assez de données.

Un indicateur de compromission est un élément de preuve qui laisse penser qu'un système a été attaqué : une adresse IP ou un domaine connu pour être utilisé par des attaquants, l'empreinte d'un fichier malveillant, un nom de fichier suspect, l'empreinte TLS d'un client malveillant connu, ou une modification de configuration qu'opère un logiciel malveillant. Les avis de la CISA, des CERT nationaux et des chercheurs en sécurité les publient pour que chacun puisse fouiller ses propres journaux. Ils sont utiles et éphémères : les attaquants changent de serveurs et recompilent leurs outils, si bien qu'une adresse malveillante le mois dernier peut appartenir aujourd'hui à quelqu'un d'innocent. C'est pourquoi les indicateurs complètent l'observation des comportements sans la remplacer. Cherchez dans vos journaux de pare-feu, de proxy et DNS les indicateurs de tout avis qui vous concerne. À partir de l'offre Starter, NetSenX compare les handshakes TLS aux empreintes de logiciels malveillants connus là où l'agent capture les paquets, sous Linux ou en capteur SPAN/TAP, et détecte des comportements comme le beaconing dans chaque offre.

Oui. Les antivirus et les outils de protection des postes recherchent des fichiers malveillants connus et des comportements suspects sur la machine, et ils ne peuvent rendre compte que des machines où ils sont installés et actifs. Un attaquant qui se connecte avec un mot de passe volé et utilise les outils d'administration déjà présents leur donne peu à signaler, et une imprimante, une caméra ou un serveur sans agent ne signalent rien du tout. Un outil désactivé peut aussi paraître calme plutôt que rouge. Vérifiez quelles machines remontent réellement à la console, quand chacune s'est manifestée pour la dernière fois et si certaines sont muettes depuis des jours. Ajoutez ensuite un second regard, indépendant : le réseau. Sur les segments qu'il surveille, NetSenX observe les comportements qui le traversent, comme le beaconing vers un nouveau serveur extérieur, le balayage, les nouvelles sessions entre hôtes et les envois inhabituels, dans chaque offre, Free comprise, qu'un hôte ait un agent ou non.

Traitez-le comme un incident tant que vous n'avez pas d'explication. Créer de nouveaux comptes administrateur est un moyen courant pour les attaquants de garder un accès, et ces comptes portent souvent des noms anodins, comme une variante d'un compte de service ou de support. Ne le supprimez pas tout de suite : désactivez-le, notez son nom, sa date de création et qui ou quoi l'a créé, et conservez les journaux de l'annuaire et du système qui le montrent avant qu'ils ne soient écrasés. Demandez ensuite aux interlocuteurs évidents, comme votre prestataire informatique ou un éditeur de logiciel, s'ils l'ont créé. Si personne ne l'a fait, cherchez ce qui a changé au même moment, réinitialisez depuis un appareil sain les mots de passe des autres administrateurs et appelez votre prestataire de réponse à incident. Le compte lui-même est une preuve d'identité qu'un capteur réseau ne voit pas ; NetSenX montre si les hôtes utilisés à ce moment-là ont commencé à balayer le réseau ou à ouvrir de nouvelles sessions vers des serveurs.

D'abord, s'il s'agit d'une tâche que vous connaissez. Regardez l'heure, la destination et le volume, et comparez-les avec votre planning de sauvegarde, les mises à jour logicielles et toute synchronisation avec un service cloud. Une sauvegarde connue part à heure fixe vers une destination connue. Si la destination est nouvelle, le volume inhabituel ou le serveur d'ordinaire silencieux à cette heure, trouvez le processus responsable sur le serveur lui-même, vérifiez qui s'est connecté peu avant et regardez dans le journal du pare-feu ou du proxy depuis quand cela dure. Coupez le serveur d'internet si le transfert continue et que personne ne peut l'expliquer. NetSenX détecte les volumes sortants inhabituels par hôte dans chaque offre et conserve l'heure, la destination et le volume de chaque alerte pendant la durée d'historique de votre offre ; il ne voit pas quels fichiers se trouvaient dans un transfert chiffré.

Pas forcément, mais cela signifie que quelque chose derrière cette adresse s'est mal comporté, ou a été signalé comme tel. Les causes courantes sont une boîte mail ou un appareil compromis qui envoie du spam, un ordinateur infecté par un logiciel malveillant qui fait partie d'un botnet, un service ouvert utilisé abusivement par d'autres, ou une adresse qui appartenait à quelqu'un d'autre avant que votre fournisseur ne vous l'attribue. Identifiez la liste et le motif qu'elle donne, vérifiez dans les journaux du serveur de messagerie et du pare-feu les envois ou connexions sortantes inhabituels, et changez le mot de passe de toute boîte qui a envoyé des messages inattendus. Ne demandez le retrait qu'une fois la cause corrigée, sinon vous serez listé à nouveau. Une liste de blocage désigne votre adresse publique, que partagent de nombreux appareils ; NetSenX détecte le beaconing et le trafic sortant inhabituel par hôte, dans chaque offre, ce qui aide à trouver l'appareil.

C'est possible, alors vérifiez au lieu d'écarter la question. Le matériel explique beaucoup de cas : une souris défaillante, un récepteur sans fil qui capte un autre appareil, un pavé tactile qui réagit à une manche. L'autre explication est la prise de contrôle à distance, par votre propre support informatique ou par quelqu'un d'autre au moyen d'un outil d'accès à distance. Demandez au service informatique si quelqu'un était connecté à ce moment-là, regardez les programmes installés et les outils d'assistance à distance actifs, et vérifiez si de nouveaux comptes, des changements de mot de passe ou des paiements ont suivi. Si personne ne peut l'expliquer, déconnectez l'ordinateur du réseau, laissez-le allumé et appelez votre prestataire de réponse à incident. Les outils de prise de contrôle ont besoin d'une connexion réseau, souvent vers un serveur relais de l'éditeur, et ce trafic se voit : NetSenX montre les connexions de cet ordinateur et signale comme beaconing les contacts réguliers avec un nouveau serveur extérieur, dans chaque offre.

Observez avant d'agir, puis agissez d'un seul coup. Un attaquant qui remarque qu'on l'observe peut effacer des preuves, passer sur une autre machine ou lancer le chiffrement plus tôt : évitez donc les gestes bruyants, comme réinitialiser le mot de passe de l'utilisateur ou lancer une analyse complète, avant d'avoir un plan. Rassemblez d'abord discrètement ce que vous pouvez : l'historique de la console de protection des postes, les journaux du pare-feu et DNS, et les connexions qu'établit l'ordinateur. Décidez avec votre prestataire de réponse à incident quels comptes et hôtes contenir, puis faites-le ensemble : isoler, réinitialiser les identifiants depuis un appareil sain et bloquer les destinations de l'attaquant dans la même courte fenêtre. Travaillez depuis un appareil sain et ne parlez pas de l'incident par une messagerie qui pourrait être compromise. Un capteur NetSenX sur un port SPAN ou un TAP observe sans toucher l'ordinateur, et ses alertes indiquent les destinations, les horaires et les volumes dont un plan de confinement a besoin.