Signes d'intrusion
Comment savoir si quelqu'un est dans votre réseau
Quelqu'un est dans votre réseau lorsqu'un attaquant dispose d'un accès fonctionnel à au moins une de vos machines ou à un de vos comptes et s'en sert pour explorer, passer à d'autres systèmes ou emporter des données. Il y a rarement une alarme. Les signes sont de petits changements de comportement : un hôte qui contacte une nouvelle destination à intervalles réguliers, un compte qui se connecte là où il ne l'a jamais fait, un serveur qui envoie bien plus de données vers l'extérieur que d'habitude. La plupart se vérifient dès aujourd'hui, gratuitement, avec les journaux dont un administrateur dispose déjà.
Le fait à retenir
Le 7 février 2024, la CISA, la NSA et le FBI, avec des agences partenaires, ont indiqué dans l'avis conjoint AA24-038A que des acteurs de Volt Typhoon avaient conservé un accès aux environnements informatiques de certaines victimes pendant au moins cinq ans, en s'appuyant surtout sur les propres outils d'administration des victimes plutôt que sur des malwares.
Ce qui quitte votre réseau après 18 h
Une nuit d'exemple dans le réseau d'une petite entreprise : six types d'appareils, quatre types de destinations. Déplacez l'horloge pour voir ce qui sort, en quelle quantité et quels flux déclencheraient une alerte. La taille seule n'est pas le signal : le gros transfert de la sauvegarde est normal, un petit envoi depuis un PC habituellement éteint ne l'est pas.
Données d'exemple, pas une détection capturée
| Appareil | Destination | Volume | Y aurait-il une alerte ? |
|---|---|---|---|
| PC de la comptabilité | Destinations inconnues | 180 Mo | Oui : volume inhabituel de données sortantes |
| Serveur ERP | Services métier connus | 20 Mo | Non : habituel pour cet appareil |
| Téléviseur de la salle de réunion | Services métier connus | 3 Mo | Non : habituel pour cet appareil |
| Enregistreur de vidéosurveillance | Services métier connus | 30 Mo | Non : habituel pour cet appareil |
| Portable d'un développeur | Destinations inconnues | 1 Mo | Oui : beaconing de commande et contrôle |
Afficher la nuit habituelle de chaque appareil sous forme de tableau
| Appareil | Sa nuit habituelle |
|---|---|
| PC de la comptabilité | Occupé aux heures de bureau avec des services métier et quelques outils d'IA ; calme la nuit. |
| Serveur ERP | Un peu de synchronisation avec des services métier chaque heure, jour et nuit. |
| Téléviseur de la salle de réunion | De petites mises à jour de son fabricant. |
| Enregistreur de vidéosurveillance | Un flux régulier vers le cloud de son fabricant. |
| Portable d'un développeur | Services métier et outils d'IA aux heures de bureau ; calme la nuit. |
| Serveur de sauvegarde | Une grosse copie vers son prestataire de sauvegarde habituel chaque nuit. |
Ce qu'un capteur réseau ne voit pas ici : les noms et le contenu des fichiers dans les sessions chiffrées, et quel programme de l'appareil a envoyé les données. La protection des postes (EDR) le voit.
Les signes à guetter, et les contrôles gratuits à faire aujourd'hui
Aucun de ces signes ne prouve à lui seul une intrusion. Chacun se vérifie à peu de frais, et deux ou plus réunis méritent une enquête.
01Destinations sortantes nouvelles ou rares
Un hôte qui se met à contacter un domaine ou une adresse IP que personne d'autre n'utilise dans l'entreprise, surtout s'il a été enregistré récemment. Contrôle : exportez les principales destinations des 30 derniers jours depuis le pare-feu ou le serveur DNS, et examinez celles contactées par un seul hôte.
02Connexions à intervalles réguliers
Un malware qui rend compte à son opérateur se connecte souvent toutes les quelques minutes, jour et nuit, avec de petits messages de taille similaire. Contrôle : dans les journaux du pare-feu ou du proxy, triez par heure les connexions d'un hôte vers une même destination et cherchez un rythme régulier hors des heures de travail.
03Connexions à des heures ou depuis des lieux inhabituels
Des connexions réussies la nuit, depuis des pays où vous n'avez personne, ou par des comptes qui ne se connectent normalement jamais de façon interactive, comme les comptes de service. Contrôle : passez en revue les connexions réussies des 30 derniers jours dans votre annuaire ou votre fournisseur d'identité, filtrées hors heures ouvrées.
04Une machine qui parle à beaucoup d'autres
Un poste qui se connecte à des dizaines d'hôtes internes sur des ports d'administration comme SMB (445), RDP (3389), SSH (22) ou WinRM (5985 et 5986) est en train de scanner ou de se déplacer latéralement. Contrôle : dans les flux du pare-feu ou du commutateur, comptez les destinations internes distinctes par hôte source sur ces ports.
05Volume sortant inhabituel
Un serveur qui envoie soudain des gigaoctets, souvent la nuit ou vers un stockage cloud qu'il n'utilise pas d'habitude. Contrôle : comparez les octets sortants de chaque hôte cette semaine avec sa propre moyenne.
06Nouveaux comptes admin, tâches et services
Des comptes ajoutés aux groupes d'administrateurs, de nouvelles tâches planifiées ou de nouveaux services, et des outils d'accès à distance que personne n'a approuvés. Contrôle : listez les membres des groupes privilégiés et les tâches et services créés récemment sur vos serveurs, puis demandez qui a ajouté chacun d'eux.
Ce que NetSenX fait aujourd'hui
- Observe le comportement de chaque hôte sur le réseau et signale le beaconing C2, les scans, les mouvements latéraux et les volumes inhabituels de données sortantes, sur toutes les offres, Free comprise.
- Voit les appareils sans agent, comme les imprimantes, les caméras et les automates, car un agent sur un port SPAN ou TAP observe tout le segment.
- Explique chaque alerte en langage clair, en listant les caractéristiques réseau à l'origine de son score : une petite équipe peut distinguer une intrusion d'une nouvelle tâche de sauvegarde.
- Inscrit les alertes, les décisions des analystes et les changements de configuration dans un journal d'audit, et suit les délais de l'article 23 de NIS2 si l'incident s'avère important.
Ce que NetSenX ne fait pas
NetSenX ne voit pas ce qui se passe dans un hôte sans toucher au réseau, comme un processus malveillant qui ne se connecte nulle part ; c'est le rôle de la protection des postes (EDR). Il ne déchiffre jamais le trafic et ne peut donc pas lire le contenu d'une session chiffrée. Il ne remplace pas la réponse à incident : isoler et reconstruire un hôte reste l'affaire de votre équipe ou de votre prestataire. Une alerte est une raison de vérifier, pas la preuve d'une intrusion.
Questions des acheteurs
Comment savoir si le réseau de mon entreprise est compromis ?
Cherchez ce qui a changé : de nouvelles destinations sortantes, des connexions à intervalles réguliers, des connexions à des heures inhabituelles, une machine qui se connecte à beaucoup d'autres, un volume sortant inhabituel. Chacun se vérifie dans les journaux du pare-feu, du DNS et de l'annuaire. Deux ou plus réunis méritent une enquête ; une surveillance continue du réseau les guette chaque jour, pas seulement le jour où vous regardez.
Un attaquant peut-il rester des années dans un réseau sans être repéré ?
Oui. Dans l'avis conjoint AA24-038A du 7 février 2024, la CISA, la NSA et le FBI ont indiqué que des acteurs de Volt Typhoon avaient conservé un accès aux environnements informatiques de certaines victimes pendant au moins cinq ans. Les attaquants qui utilisent les mêmes outils d'administration que votre équipe IT laissent peu de signatures, d'où l'importance du comportement sur le réseau.
Quels contrôles gratuits puis-je faire aujourd'hui ?
Exportez les principales destinations sortantes depuis votre pare-feu ou votre serveur DNS et examinez les plus rares ; passez en revue les connexions réussies hors heures ouvrées ; comptez combien d'hôtes internes chaque poste contacte sur les ports SMB, RDP, SSH et WinRM ; comparez le volume sortant de chaque serveur avec sa propre moyenne.
NetSenX remplace-t-il l'antivirus ou l'EDR ?
Non. NetSenX apporte la vue réseau : il voit les appareils sans agent et les déplacements entre hôtes. La protection des postes couvre toujours ce qui se passe dans chaque machine. L'offre Free n'a pas de limite de durée et ne demande pas de carte bancaire : vous voyez d'abord ce qu'elle trouve sur votre propre réseau.
Sources
- CISA, NSA, FBI and partners — Joint advisory AA24-038A (PRC state-sponsored actors, Volt Typhoon), 7 February 2024
- CISA, NSA, FBI and partner agencies — Joint guidance: Identifying and mitigating living off the land techniques, 7 February 2024 (published by NCSC New Zealand)
- MITRE ATT&CK — Lateral Movement (TA0008)
Cette page est une information générale et ne constitue pas un conseil juridique. Vérifiez vos obligations auprès de votre autorité nationale ou de votre conseil juridique.
Pages associées
Essayez NetSenX sur votre propre réseau
Commencez avec l'offre Free pour 3 appareils au maximum, ou réservez une démo de 20 minutes.