Planifier la réponse aux incidents

Cet article fait partie de la discipline Opérations de sécurité (SecOps) dans la Sécurité Microsoft Adoption Framework (SAF). Il aide les responsables SecOps, les architectes, les responsables informatiques et les parties prenantes de l’entreprise à concevoir des capacités de réponse aux incidents permettant d’enquêter sur les cyberattaques en cours, de les contenir et de rétablir les activités, tout en limitant les répercussions commerciales, opérationnelles, juridiques et réputationnelles.

Utilisez cet article pour obtenir des conseils sur la stratégie de réponse aux incidents et sur le processus. Pour les activités de préparation, utilisez Préparer la réponse aux incidents. Pour obtenir des conseils d’exécution spécifiques au scénario, utilisez la vue d’ensemble des playbooks de réponse aux incidents. Pour obtenir des conseils d’implémentation spécifiques au contrôle et au niveau du produit, utilisez la technologie SecOps.

Vue d’ensemble des réponse aux incidents

La réponse aux incidents est la pratique de l’examen et de la correction des campagnes d’attaque actives contre votre organisation.

La réponse aux incidents a la plus grande influence directe sur les métriques SecOps critiques, en particulier :

  • Temps moyen de prise de connaissance (MTTA). Le temps nécessaire à votre équipe pour reconnaître une alerte ou un incident après son déclenchement.
  • Temps moyen de correction (MTTR). Le temps nécessaire pour résoudre un incident de sécurité après accusé de réception.

La réduction de ces métriques réduit les risques organisationnels et limite l’impact de l’attaquant.

La réussite de la réponse aux incidents dépend de la collaboration étroite entre les répondants aux incidents, la chasse aux menaces, le renseignement sur les menaces, les opérations informatiques, les communications et les équipes de direction.

Manuels de réponse aux incidents

Les playbooks de réponse aux incidents fournissent des conseils pas à pas spécifiques aux scénarios qui aident les équipes SecOps à répondre rapidement et de manière cohérente aux techniques d’attaque courantes.

Les playbooks sont un élément clé du processus de planification. Ils sont développés, examinés et validés avant que des incidents ne se produisent afin que les répondants puissent exécuter des enquêtes et des actions de confinement sous pression sans avoir à concevoir des flux de travail en temps réel.

Microsoft publie des playbooks de réponse aux incidents basés sur les meilleures pratiques de Microsoft réponse aux incidents, avec des conseils pour les scénarios d’attaque courants, notamment :

  • Hameçonnage
  • Pulvérisation de mots de passe
  • Abus de l’octroi du consentement d’application
  • Applications compromises ou malveillantes

Chaque playbook de réponse aux incidents comprend les éléments suivants :

Playbook | DétailsPrérequis | Journalisation requise, rôles, autorisations et configuration nécessaires avant qu’une investigation puisse commencer. Flux de travail | Flux d’investigation recommandé qui clarifie le séquencement et les dépendances. Liste de contrôle | Liste de contrôle orientée tâches qui prend en charge l’exécution, en particulier dans les environnements réglementés ou audités. Étapes d’investigation | Instructions détaillées et pas à pas adaptées à la technique d’attaque spécifique.

Les guides opérationnels complètent, mais ne remplacent pas, les plans de réponse aux incidents, les procédures de reprise ou les processus décisionnels de la direction. Au lieu de cela, ils opérationnalisent votre stratégie de réponse aux incidents en transformant les détections en actions de réponse à haute confiance reproductibles.

Principes de réponse efficace

Quels que soient les outils ou processus spécifiques que vous utilisez, une réponse efficace aux incidents nécessite une application cohérente des principes suivants.

  • Restez calme et concentré : les incidents de sécurité sont perturbants et émotionnellement chargés. Tout d’abord, concentrez-vous sur les actions les plus importantes.

  • Équilibrez l’urgence avec précision : agir rapidement pour contenir des menaces, mais valider des actions pour éviter les dommages involontaires, la perte de preuves ou la correction incomplète.

  • Ne pas nuire : assurez-vous que les actions de réponse ne sont pas les suivantes :

    • Détruire des preuves d’investigation
    • Provoquer une interruption inutile de l’activité
    • Empêcher l’analyse et l’apprentissage de la cause racine

  • Impliquer le service juridique dès le début : les conseils juridiques sont essentiels pour :

    • Intervention de l’application de la loi
    • Notifications réglementaires et de confidentialité
    • Communications externes
    • Conservation des privilèges

  • Contrôler le partage des informations : les communications publiques ou orientées client ne doivent se produire qu’avec des conseils juridiques, afin d’éviter la responsabilité et la mauvaise information.

  • Obtenez de l’aide si nécessaire : les attaques volumineuses ou sophistiquées nécessitent souvent une expertise approfondie, spécialisée, notamment des répondants externes, des fournisseurs ou des services professionnels.

La réponse aux incidents est similaire à la prise en charge d’un état médical critique : le système est extrêmement important, ne peut pas être arrêté et est trop complexe pour qu’un seul individu puisse bien comprendre.

Équilibrer la vitesse et le risque

Pendant les incidents, les équipes SecOps doivent équilibrer de façon cohérente :

  • Vitesse et précision : agir rapidement sans augmenter l’impact
  • Transparence et responsabilité : partage d’informations de manière appropriée avec les enquêteurs, le leadership et les clients

Il est important de suivre les actions recommandées qui réduisent les risques et évitent les pièges courants, tout en répondant aux attentes des parties prenantes.

Meilleures pratiques en ce qui concerne la réponse technique

Les principaux objectifs de la réponse aux incidents techniques sont les suivants :

  • Identifier l’étendue de l’attaque
  • Identifier les mécanismes de persistance
  • Déterminer l’objectif de l’attaquant, le cas échéant

Les attaquants persistants retournent souvent si leurs objectifs ne sont pas complètement perturbés.

Pratiques recommandées :

  • Évitez de charger des fichiers dans des scanneurs publics : les adversaires surveillent les services tels que VirusTotal pour la découverte de programmes malveillants ciblés.
  • Réfléchissez attentivement aux modifications du système : n’apportez des modifications que lorsque le risque de l’inaction l’emporte sur l’impact sur l’activité. Documentez toutes les modifications liées à un incident afin de permettre un retour arrière lors de la reprise.
  • Hiérarchisez rigoureusement l’investigation : concentrez l’analyse sur les ressources réellement utilisées ou modifiées par l’attaquant. Une couverture forensique complète est souvent irréalisable.
  • Partagez délibérément des informations : assurez-vous que les équipes internes et les enquêteurs externes approuvés partagent les résultats dans le cadre de conseils juridiques.
  • Intégrez une expertise approfondie du système : incluez des experts en plateforme, application et infrastructure, et non seulement des généraux de sécurité.
  • Planifier la réduction de la capacité : supposez 50% du personnel qui fonctionne à 50% efficacité en raison du stress et de la fatigue.
  • Gérer les attentes : dans certains incidents, l’identification du vecteur d’accès initial peut être impossible en raison de données de télémétrie supprimées ou indisponibles.

Meilleures pratiques en matière de réponse aux opérations

La coordination opérationnelle est tout aussi essentielle.

Les objectifs clés sont les suivants :

  • Maintien du focus sur les ressources critiques pour l’entreprise
  • Établissement de la clarté des rôles et de l’autorité de décision
  • Gestion de l’impact opérationnel et commercial

Pratiques recommandées :

  • Utiliser un système de commandes d’incident (ICS) : si aucune organisation de crise permanente n’existe, ICS fournit une structure temporaire.
  • Conserver les opérations secOps quotidiennes : la détection, le tri et la surveillance doivent continuer pendant les enquêtes.
  • Évitez les achats pilotés par la panique : n’achetez pas d’outils que vous ne pouvez pas déployer et utiliser pendant l’incident.
  • Passer aux propriétaires et fournisseurs de la plateforme : assurez-vous d’accéder à une expertise approfondie pour les systèmes d’exploitation, les applications et l’infrastructure principale.
  • Définissez les flux d’informations au début : définissez les attentes pour les mises à jour des cadres et des parties prenantes.

Meilleures pratiques concernant la récupération technique

La récupération doit être délibérée, consolidée et rapide.

Les objectifs clés sont les suivants :

  • Limiter l’étendue afin que la récupération puisse se produire dans les 24 heures si possible
  • Éviter les distractions non directement liées à la récupération

Pratiques recommandées :

  • Ne réinitialisez pas tous les mots de passe à la fois : hiérarchiser les comptes compromis connus, en particulier les comptes d’administrateur et de service. Utilisez des réinitialisations intermédiaires pour les utilisateurs si nécessaire.
  • Regrouper les actions de reprise : une remédiation coordonnée « Big Bang » limite la capacité d’adaptation des attaquants.
  • Utilisez d’abord les outils existants : tirez parti des outils déjà déployés et compris.
  • Évitez d’alerter l’attaquant : partez du principe que les attaquants peuvent avoir accès aux données de production et aux e-mails.

Le centre des opérations de sécurité de Microsoft utilise un tenant Microsoft 365 hors production pour une collaboration sécurisée en matière de réponse aux incidents.

Meilleures pratiques concernant la récupération des opérations

Les objectifs clés sont les suivants :

  • Propriété du plan claire
  • Étendue contrôlée
  • Communication continue des parties prenantes

Pratiques recommandées :

  • Désigner un responsable de la reprise : la prise de décision centralisée évite toute confusion.
  • Comprendre les limites : apportez une expertise externe lorsque les équipes sont submergées ou inexpérimentées.
  • Recensez les enseignements tirés: Mettez à jour les guides opérationnels, les procédures et les consignes propres aux rôles de la SecOps.

Les communications de direction et de conseil sont plus efficaces quand elles sont planifiées et répétées à l’avance.

Processus de réponse aux incidents SecOps

Décider et agir

Lorsque des outils tels que Microsoft Defender XDR ou Microsoft Sentinel créent un incident :

  • La MTTA se termine lorsqu’un analyste prend possession
  • Le MTTR commence lorsque la remédiation débute

En fonction de la confiance et de l’étendue, les analystes choisissent entre :

  • Nettoyez au fur et à mesure – concentrez-vous sur les incidents à un stade précoce.
  • Remédiation à grande échelle – Priorité aux adversaires bien implantés et persistants.

La correction partielle avertit souvent l’attaquant et augmente les dommages.

Les actions de correction courantes sont les suivantes :

  • Points de terminaison : isoler et réimager
  • Serveurs et applications : coordonner la correction avec les propriétaires
  • Comptes d’utilisateur : désactiver, réinitialiser les informations d’identification, expirer des jetons, valider l’authentification multifacteur
  • Comptes de service : coordonner avec les propriétaires et les opérations informatiques
  • E-mail : supprimer les messages malveillants et conserver les originaux
  • Autres actions : révoquer des jetons d’application, reconfigurer les services

Nettoyage après incident

Une réponse efficace aux incidents est incomplète sans l’apprentissage institutionnel. Les activités post-incident sont les suivantes :

  • Enregistrement d’indicateurs de compromission (IoCs)
  • Résolution des vulnérabilités inconnues ou non corrigées
  • Activation ou amélioration de la journalisation et de la télémétrie
  • Mise à jour des bases de référence de sécurité
  • Améliorer les processus de réponse et les guides opérationnels

Ces améliorations réduisent les efforts manuels et réduisent les temps de réponse dans les incidents futurs.

Étapes suivantes

  • Dernière mise à jour :