Que signifie l'éradication dans la réponse à incident ?

L'éradication consiste à supprimer complètement la présence de l'attaquant avant de remettre les systèmes en service. Elle comprend la suppression des logiciels malveillants et des outils, la fermeture de la voie d'entrée, le retrait des comptes, tâches planifiées et logiciels d'accès à distance créés par l'attaquant, la réinitialisation de tous les identifiants susceptibles d'avoir été exposés et la correction des vulnérabilités exploitées. En pratique, reconstruire les machines touchées à partir d'images saines est souvent plus fiable que les nettoyer, car il est difficile de prouver que chaque modification a été trouvée. L'éradication échoue quand elle est partielle : un attaquant qui garde un point d'appui revient, parfois des semaines plus tard. Elle doit être planifiée à partir des preuves de votre enquête, pas devinée. Surveiller le réseau ensuite permet de vérifier qu'elle a réussi : NetSenX détecte un nouveau beaconing vers des serveurs extérieurs connus ou nouveaux et de nouvelles sessions latérales, dans chaque offre.

← Les 60 questions sur Réponse à incidentTous les thèmes