Qu'est-ce que la réponse aux incidents ?

Phases de la réponse aux incidents

L'objectif de la réponse aux incidents est d'amener une organisation à passer d'une connaissance limitée ou inexistante d'une intrusion potentielle (autre que son existence) à une remédiation complète.

Le processus pour atteindre cet objectif est divisé en six étapes principales :

1. Préparation : La préparation est la clé d'une réponse efficace aux incidents et d'une minimisation du coût et de l'impact d'un incident de cybersécurité. Pour se préparer à répondre aux incidents, une organisation doit créer une équipe de réponse aux incidents et définir et tester un plan de réponse aux incidents qui décrit comment chaque étape du processus de réponse aux incidents doit être gérée.
2. Détection & Triage : La réponse à l'incident commence par le triage de l'incident pour s'assurer qu'il s'agit bien d'un incident de cybersécurité, la collecte et la préservation de toutes les preuves disponibles avant les actions de confinement, et l'attribution de la catégorisation et de la priorisation correctes pour s'assurer qu'une équipe disposant des ressources appropriées est formée.
3. Confinement : L'équipe de sécurité utilise les informations recueillies lors de la phase précédente et peut utiliser des renseignements concernant les techniques d'attaque cybernétique pour élaborer un plan d'endiguement. Le confinement peut consister à isoler un ou plusieurs systèmes, à appliquer des règles de pare-feu ou des signatures IDS, à ajouter des hachages aux produits de protection des postes, à désactiver des comptes ou à isoler un réseau entier. L'objectif est de réduire les dommages causés par l'incident et de veiller à ce que le réseau ou les systèmes ne soient pas davantage compromis.
4. Remédiation/éradication : À ce stade du processus, l'équipe de réponse à l'incident a mené une enquête complète et pense avoir une compréhension totale de ce qui s'est passé. Les personnes chargées de répondre à l'incident s'efforcent ensuite de supprimer toutes les traces de l'infection dans les systèmes compromis. Il peut s'agir de la suppression du logiciel malveillant et des mécanismes de persistance ou de l'effacement complet et de la restauration des ordinateurs concernés à partir de sauvegardes propres.
5. Temps de récupération : après l'éradication, l'équipe d'intervention peut scanner ou surveiller les systèmes infectés pendant un certain temps pour s'assurer que le logiciel malveillant a été complètement éliminé. Une fois cette opération terminée, les ordinateurs sont remis en état de fonctionnement normal en levant la quarantaine qui les isole du reste du réseau de l'entreprise.
6. Enseignements tirés :Les incidents de cybersécurité se produisent parce que quelque chose a mal tourné, et il est important de se rappeler que la réponse aux incidents ne se déroule pas toujours sans faille. Après avoir remédié à l'incident, les personnes chargées de répondre à l'incident et les autres parties prenantes doivent effectuer une rétrospective afin d'identifier les manques de sécurité et les lacunes du plan de réponse aux incidents qui pourraient être corrigés afin de réduire la probabilité d'incidents futurs et d'améliorer la réponse aux incidents à l'avenir.

Processus et techniques de réponse aux incidents

Les éléments clés d'une stratégie de réponse aux incidents sont les suivants :

• Réduction des incidents : L'objectif de toute équipe de réponse aux incidents est de s'assurer que les contrôles de sécurité permettent de réduire le nombre d'incidents au sein d'une organisation. Il y aura toujours des incidents, c'est pourquoi la préparation et le test des contrôles ainsi qu'une réponse planifiée contribueront à réduire l'impact de l'incident ainsi que le nombre de cyberincidents.
• Techniques d'enquête sur les incidents : Plus vite une organisation peut déterminer la cause et les détails d'un incident de sécurité, plus vite elle peut le mettre en quarantaine et y remédier. La définition de processus d'enquête sur les incidents de sécurité permet de prendre rapidement des mesures correctives et de s'assurer qu'un incident n'est pas mal classé ou négligé.
• Manuels de réponse aux incidents :Les attaques par logiciel rançonneur et les attaques DDoS sont des menaces très différentes qui nécessitent des réponses uniques. Les organisations doivent avoir mis en place des guides pour gérer les principaux types d'incidents de sécurité, afin que les intervenants ne soient pas désorientés et ne cherchent pas à savoir ce qu'il faut faire au milieu d'une cyberattaque.
• Technologie et outils de réponse aux incidents : Pour mener à bien les activités de détection et de réponse aux incidents, les analystes de sécurité doivent avoir accès à certains outils et technologies. Après avoir défini ces processus et déterminé les capacités clés, l'organisation peut acquérir et former les intervenants sur les outils nécessaires pour soutenir les activités de réponse aux incidents de l'entreprise.