La première heure : ce que l’on fait, et surtout ce que l’on ne fait pas

Les dix premières minutes : est-ce réel

Le réflexe devant une alerte est d’agir. C’est le mauvais réflexe, car la grande majorité de ce qui arrive n’est pas un incident : un certificat expiré, une mise à jour qui a mal tourné, un collaborateur en vacances qui se connecte depuis un autre pays.

Commencez donc par trois questions, et notez les réponses dès la première minute :

• Que voyez-vous exactement, et où ? Pas « le serveur fait des siennes » mais quelle alerte, sur quel système, à quelle heure. Cette heure deviendra la première ligne de votre chronologie.
• Est-ce que cela s’étend ? Un poste avec des fichiers chiffrés n’est pas la même chose que trois services d’un coup. La différence décide si vous contenez ou si vous regardez d’abord plus loin.
• Qui a déjà fait quelque chose ? En général, quelqu’un a déjà redémarré ou supprimé quelque chose avant que l’alerte ne vous parvienne. Il faut le savoir, car cela expliquera plus tard l’absence d’une trace.

Notez tout avec les heures — dans un document partagé, ou sur papier au besoin, mais pas dans le système peut-être compromis. Ces notes ne sont pas de la bureaucratie : ce sont elles dont votre assureur, votre autorité de contrôle et vos propres équipes auront besoin dans trois semaines, et personne ne peut les reconstituer après coup.

Désignez aussi à ce stade une personne aux commandes. Pas le meilleur technicien — vous en avez besoin sur la technique — mais quelqu’un qui garde la vue d’ensemble, décide et répond au téléphone. Sans ce rôle, au bout de vingt minutes cinq personnes parlent en même temps.

Ce que l’on ne fait pas, et pourquoi

C’est la partie la plus importante de cet article, car les erreurs coûteuses de la première heure partent presque toutes d’une bonne intention.

• Ne pas éteindre. Débrancher paraît le geste le plus sûr et efface la mémoire vive. On y trouve souvent la seule preuve de ce qui tournait et de la façon dont c’est entré. Sortez l’appareil du réseau — câble débranché, wifi coupé — et laissez-le allumé. L’exception est un chiffrement visiblement en cours que vous ne pouvez arrêter autrement ; les dégâts pèsent alors plus que la trace.
• Ne pas réinstaller. Un système que l’on rase et restaure aussitôt est un système dont on ne saura jamais par où l’attaquant est entré. On ne referme donc pas la brèche, et il revient quinze jours plus tard.
• Ne pas fouiller sur le système compromis. Se connecter avec un compte administrateur pour « jeter un œil » pose ces identifiants sur une machine qui est entre d’autres mains. C’est ainsi qu’un administrateur qui enquête transforme un poste compromis en domaine compromis.
• Ne pas payer ni négocier dans la première heure. C’est une décision de la direction avec votre assureur. Payer ne garantit pas que vous récupériez quoi que ce soit, et il y a des complications juridiques sur l’identité de l’interlocuteur.
• Ne pas le taire à la direction. La tentation de vérifier d’abord si l’affaire est légère est forte et l’issue est toujours la même : la direction l’apprend trop tard et doit expliquer et l’incident et le retard.

Il y a une chose que l’on fait immédiatement : protéger ses sauvegardes. Dans une attaque ciblée, ce sont la première cible, car un chiffrement sans voie de reprise est ce qui rend le levier réel. Vérifiez que votre copie immuable est encore là et déconnectez l’environnement de sauvegarde du réseau où se trouve le problème. Pourquoi ce doit être une copie que personne ne peut effacer est exposé dans sauvegarde immuable.

Contenir sans tout arrêter

Une fois établi que c’est réel, il s’agit de couper. L’objectif n’est pas de nettoyer — cela viendra — mais d’empêcher que cela s’étende davantage.

Dans l’ordre qui fonctionne généralement :

• Le réseau avant l’appareil. Isoler un segment infecté au commutateur ou au pare-feu va plus vite que de faire le tour de vingt postes, et cela laisse les systèmes allumés.
• Les comptes avant les machines. Dans presque tout incident, un compte a été pris. Remplacez les mots de passe administrateurs, révoquez les sessions actives et invalidez les jetons — ce dernier point est presque toujours oublié, et sans lui quelqu’un reste connecté alors que vous avez déjà changé le mot de passe.
• Fermez les connexions externes. Fournisseurs disposant d’un accès d’administration, le VPN, les liaisons vers des systèmes clients. C’est aussi le moment de se demander si vous n’êtes pas en train d’en contaminer un autre.
• Isolez les sauvegardes, si ce n’est déjà fait.

Ce que vous acceptez ce faisant, c’est qu’une partie de l’organisation s’arrête. C’est une décision de direction et non de technique, et c’est précisément pourquoi ce rôle doit être attribué dans le premier quart d’heure. La question « peut-on sortir les magasins du réseau » n’a pas à être tranchée à une heure et demie du matin.

Qui appeler, et quelle horloge tourne

Plusieurs délais courent en même temps, et ils démarrent non quand vous comprenez l’incident mais quand vous en avez connaissance.

• Votre direction : immédiatement. Même si le tableau est incomplet. Un point d’étape « ceci nous le savons, cela non » est utilisable ; attendre la certitude ne l’est pas.
• Votre assureur : dans les heures qui suivent. Beaucoup de polices imposent qui mène l’investigation et fixent des exigences de notification. Engager d’abord son propre enquêteur, c’est risquer que ces frais ne soient pas couverts.
• L’autorité de protection des données : sous 72 heures. Si des données personnelles sont touchées, vous notifiez. Le délai court à partir du moment où vous savez, et une notification incomplète est admise — vous la complétez ensuite.
• L’autorité au titre du régime NIS2 : premier signal sous 24 heures. Si vous êtes dans le champ, une alerte précoce est due avant la notification elle-même, suivie d’une notification plus complète puis d’un rapport final. Ce que cela veut dire en pratique est exposé dans NIS2 : ce que vous devez pouvoir prouver.
• Clients et fournisseurs : dès que vous avez quelque chose à dire. Mieux vaut un message disant que vous enquêtez qu’un client qui l’apprend par un tiers.

Le problème pratique n’est pas que l’on ignore ces numéros. C’est qu’ils se trouvent dans le système qui vient de tomber. Une liste de numéros doit donc exister hors de votre environnement — sur papier dans un tiroir, ou sur un téléphone qui ne dépend pas de votre domaine.

Ce qui doit être prêt avant que cela n’arrive

Tout ce qui précède coûte un temps dont vous ne disposerez pas le jour venu. Ce qui sépare une première heure chaotique d’une première heure maîtrisée tient en quatre choses, et aucune n’est coûteuse.

• Une page sur papier. Qui dirige, qui appelle la direction, quels trois numéros vous composez, et comment vous vous joignez si la messagerie est tombée. Sur papier, car la version numérique est dans l’environnement que vous venez de couper.
• Un canal convenu hors de votre environnement. Si votre messagerie et votre messagerie instantanée sont peut-être lues par l’attaquant, il vous faut autre chose. Cela se convient à l’avance ; pendant l’incident, il n’y a pas le temps de monter quoi que ce soit et d’y faire entrer tout le monde.
• Savoir qui peut décider d’arrêter quelque chose. Nommément, avec un suppléant derrière au cas où cette personne ne répondrait pas.
• Le parcourir une fois par an. Pas un grand exercice avec un animateur externe, mais une heure autour d’une table avec la question : c’est vendredi soir et le serveur de fichiers est chiffré — qui appelle qui. Les trous qui apparaissent sont toujours les mêmes : le numéro n’est plus à jour, la personne qui connaissait la sauvegarde est partie, et personne ne sait si l’assurance couvre cela.

Ce dernier point est la raison pour laquelle nous répétons la reprise au lieu de seulement la décrire. Un plan de reprise juste sur le papier et jamais exécuté est une hypothèse. La seule façon de savoir combien de temps vous resterez sans vos systèmes est de le mesurer une fois, un jour où cela n’a pas d’importance.