Remédiation après une cyberattaque : l’ANSSI a publié plusieurs guides !
À travers plusieurs guides, l'ANSSI s'attaque à un sujet très intéressant, mais pas évident : la remédiation après une cyberattaque. Pour le moment, il ne s'agit pas de la version définitive puisque l'agence française lance un appel à commentaires !
Lorsque l'on subit une attaque informatique, il y a forcément un avant et un après, et dans la phase de réponse à incident, il y a plusieurs activités dont la remédiation dans le but d'assainir et de reconstruire le ou les systèmes impactés par la cyberattaque. À cela s'ajoutent la gestion de crise et les différentes investigations, indispensables pour comprendre ce qu'il s'est réellement passé.
Le premier guide à lire s'intitule "Les clés de décision" et il donne quelques conseils pour bien gérer cette crise, ce moment où la tension est à son maximum, en prenant les bonnes décisions. Il s'agit d'un document plus synthétique. L'ANSSI aborde trois scénarios possibles comme plan de remédiation, notamment un premier scénario où l'on va chercher à restaurer le système le plus rapidement possible et un troisième scénario où l'on va investir dès la phase de remédiation pour sécuriser son système.
Pour aller plus loin et approfondir le sujet, l'ANSSI a mis en ligne un guide sur le pilotage de la phase de remédiation, qui aborde le sujet dans le détail en commençant par les grands principes de la remédiation en 3 grandes étapes selon le principe "E3R" :
- Endiguement de l'attaquant
- Éviction de l'intrus du cœur du SI
- Éradication des emprises de l'adversaire
À cela s'ajoute un troisième guide dédié à l'Active Directory et la remédiation du tier-0. Lorsqu'il y a une compromission du tier-0, cela implique que l'attaquant a pris le contrôle du domaine Active Directory. Que faire dans ce cas ? C'est ce que détaille l'ANSSI dans ce guide dédié.
Ce travail de l'ANSSI devrait être apprécié par de nombreuses personnes, à commencer par les équipes de sécurité et les RSSI. Tous les guides sont accessibles à cette adresse. Sachez que vous disposez jusqu'au 22 juin 2023 pour effectuer des retours à l'ANSSI.
