Le scénario : l'infrastructure de LogiTrans SA
Bonne lecture et bon apprentissage ! Junior TSAFACK – 26/09/2026 ⏱️ Temps de lecture estimé : 9 minutes
ℹ️ Scénario entièrement fictif. LogiTrans SA, ses employés et ses adresses sont inventés à des fins pédagogiques. Les adresses IP publiques utilisées appartiennent aux plages réservées à la documentation (RFC 5737).
L’entreprise
Section titled “L’entreprise”LogiTrans SA est une PME de transport et de logistique de 180 salariés, basée à Douala avec une agence à Yaoundé. Elle travaille avec des clients européens, ce qui la soumet au RGPD pour les données de ses contacts européens.
| Élément | Valeur |
|---|---|
| Activité | Transport routier, entreposage, suivi de livraisons |
| Chiffre d’affaires | ~6 milliards FCFA |
| Équipe IT | 1 responsable IT, 2 administrateurs, 1 RSSI à temps partiel |
| SOC | Externalisé (prestataire, surveillance 24/7) |
| Outils de sécurité | Pare-feu nouvelle génération, SIEM Wazuh, EDR sur les postes, sauvegardes quotidiennes |
L’architecture
Section titled “L’architecture” Internet │ ┌─────────┴─────────┐ │ Pare-feu (NGFW) │ └──┬──────┬──────┬──┘ ┌──────────┘ │ └───────────┐ ┌──────┴──────┐ ┌──────┴──────┐ ┌───────┴───────┐ │ DMZ │ │ Zone serv. │ │ Zone postes │ │ 10.10.1.0/24│ │ 10.10.2.0/24│ │ 10.10.3.0/24 │ ├─────────────┤ ├─────────────┤ ├───────────────┤ │ srv-web01 │ │ srv-erp01 │ │ 170 postes │ │ (site vitrine│ │ Odoo + PgSQL│ │ Windows + EDR │ │ portail │ │ srv-ad01 │ └───────────────┘ │ client) │ │ (annuaire) │ │ srv-vpn01 │ │ srv-files01 │ ┌───────────────┐ └─────────────┘ │ srv-bkp01 │ │ Zone admin │ │ (sauvegardes│ │ 10.10.0.0/24 │ └─────────────┘ │ postes admins │ │ SIEM Wazuh │ └───────────────┘ Sauvegarde externalisée hebdomadaire (bandes, coffre hors site)L’inventaire des actifs
Section titled “L’inventaire des actifs”La criticité combine l’importance pour le métier et la sensibilité des données (échelle 1 à 4).
| Actif | Rôle | Données | Criticité | Propriétaire métier | RTO* | RPO* |
|---|---|---|---|---|---|---|
| srv-erp01 | ERP Odoo : commandes, facturation, suivi livraisons | Clients, factures, données personnelles | 4 | Directeur financier | 8 h | 24 h |
| srv-ad01 | Annuaire, authentification | Comptes de tous les salariés | 4 | Responsable IT | 4 h | 24 h |
| srv-bkp01 | Sauvegardes | Copie de tout le SI | 4 | Responsable IT | 24 h | – |
| srv-files01 | Partages de fichiers | Documents internes, RH | 3 | DRH | 24 h | 24 h |
| srv-vpn01 | Accès distant | Journaux de connexion | 3 | Responsable IT | 8 h | – |
| srv-web01 | Site vitrine + portail de suivi client | Identifiants du portail client | 3 | Directeur commercial | 24 h | 24 h |
| Postes | Poste de travail | Courriels, documents locaux | 2 | Chaque manager | 48 h | – |
* RTO (Recovery Time Objective) : durée maximale d’interruption acceptable. RPO (Recovery Point Objective) : perte de données maximale acceptable.
Le registre des risques avant l’incident
Section titled “Le registre des risques avant l’incident”Extrait du registre tenu par le RSSI, trois mois avant les faits :
| ID | Scénario de risque | Actif | G | V | Niveau | Traitement décidé | Statut |
|---|---|---|---|---|---|---|---|
| R-01 | Compromission d’un compte administrateur par vol d’identifiants | srv-ad01, srv-erp01 | 4 | 2 | 8 | Déployer le MFA sur les accès d’administration | En retard (prévu T2) |
| R-02 | Service d’administration exposé sur Internet par erreur | Toute la zone serveurs | 4 | 2 | 8 | Revue trimestrielle des règles de pare-feu | Non réalisée ce trimestre |
| R-03 | Rançongiciel chiffrant les serveurs et les sauvegardes | srv-bkp01 | 4 | 2 | 8 | Sauvegarde hors ligne hebdomadaire | En place |
| R-04 | Fuite de la base clients | srv-erp01 | 4 | 2 | 8 | Chiffrement des sauvegardes, journalisation | Partiel |
| R-05 | Hameçonnage ciblant la comptabilité | Postes | 3 | 3 | 9 | Sensibilisation annuelle | En place |
🔎 Observez bien R-01 et R-02. Deux mesures décidées mais non appliquées. C’est très fréquent, et c’est souvent là que commence un incident réel.
Le contexte de l’incident
Section titled “Le contexte de l’incident”- Il y a six semaines, un prestataire a eu besoin d’un accès temporaire à srv-erp01 pour une mise à jour d’Odoo. Une règle de pare-feu a été ouverte « pour la journée »… et n’a jamais été refermée. Aucune demande de changement n’a été enregistrée.
- Un compte technique local, utilisé par ce prestataire, a conservé un mot de passe faible et dispose de droits d’administration.
- Le MFA sur les accès d’administration (R-01) n’est pas encore déployé.
L’alerte de départ
Section titled “L’alerte de départ”Dimanche 14 septembre 2026, 02 h 41 (UTC). Le SIEM Wazuh lève une alerte de niveau 12 : modification massive de fichiers dans le répertoire des sauvegardes de l’ERP sur srv-erp01. Le SOC externalisé tente de joindre l’astreinte LogiTrans.
À partir de là, c’est à vous de jouer. Les chapitres suivants déroulent la réponse phase par phase.
Prochaine étape : Détection et qualification →