Analyse et prise de décision
Bonne lecture et bon apprentissage ! Junior TSAFACK – 26/09/2026 ⏱️ Temps de lecture estimé : 12 minutes
Objectifs de la phase d’analyse
Section titled “Objectifs de la phase d’analyse”- Comprendre : comment l’attaquant est entré, ce qu’il a fait, s’il est encore présent.
- Délimiter : quels systèmes, comptes et données sont touchés.
- Préserver : conserver des preuves exploitables (enquête interne, assurance, plainte).
- Décider : fournir à la cellule de crise les éléments pour arbitrer.
Préserver les preuves
Section titled “Préserver les preuves”L’ordre de volatilité (RFC 3227)
Section titled “L’ordre de volatilité (RFC 3227)”On collecte d’abord ce qui disparaît le plus vite :
| Priorité | Élément | Disparaît… |
|---|---|---|
| 1 | Mémoire vive, processus, connexions réseau actives | à l’extinction |
| 2 | Fichiers temporaires, tâches planifiées actives | au redémarrage ou nettoyage |
| 3 | Disques (image complète) | à la réinstallation |
| 4 | Journaux distants (SIEM, pare-feu) | à la rotation des journaux |
| 5 | Sauvegardes, archives | selon la politique de rétention |
💡 Chez LogiTrans, les journaux du SIEM et du pare-feu sont déjà centralisés hors du serveur compromis. C’est une excellente nouvelle : même si l’attaquant efface les traces locales, la chronologie reste reconstituable.
Empreintes et chaîne de conservation
Section titled “Empreintes et chaîne de conservation”Chaque preuve collectée reçoit une empreinte cryptographique (SHA-256) calculée au moment de la collecte, puis est stockée sur un support en lecture seule. Exemple, sur la station d’analyse :
sha256sum srv-erp01_disque.img srv-erp01_memoire.raw > empreintes.sha256sha256sum -c empreintes.sha256 # vérification ultérieureLa fiche de chaîne de conservation (chain of custody) trace chaque manipulation :
| N° preuve | Description | Empreinte SHA-256 (début) | Collectée par | Date/heure UTC | Remise à | Lieu de stockage |
|---|---|---|---|---|---|---|
| P-01 | Image mémoire srv-erp01 | 9f2c… |
Analyste SOC | 14/09 03:25 | RSSI | Coffre IT, disque chiffré n°3 |
| P-02 | Image disque srv-erp01 | 41ab… |
Admin système | 14/09 05:40 | RSSI | Coffre IT, disque chiffré n°3 |
| P-03 | Export SIEM 13/09 20:00 → 14/09 06:00 | c07e… |
Analyste SOC | 14/09 06:10 | RSSI | Coffre IT, disque chiffré n°3 |
| P-04 | Export journaux pare-feu même période | 5d19… |
Admin réseau | 14/09 06:15 | RSSI | Coffre IT, disque chiffré n°3 |
Reconstituer la chronologie
Section titled “Reconstituer la chronologie”À partir des preuves P-01 à P-04, l’équipe reconstitue la séquence suivante (heures UTC) :
| Heure | Étape de l’attaque | Preuve |
|---|---|---|
| Début août (6 semaines avant) | Règle de pare-feu temporaire ouverte pour un prestataire, jamais refermée | Configuration pare-feu, absence de demande de changement |
| 01:52 | Reconnaissance : balayage de ports depuis une IP externe | P-04 |
| 02:03 → 02:11 | Tentatives répétées de connexion SSH sur plusieurs noms de comptes | P-03 |
| 02:11 | Connexion réussie avec le compte technique du prestataire (mot de passe faible) | P-03 |
| 02:13 | Élévation de privilèges (le compte disposait de droits d’administration sans restriction) | P-03 |
| 02:15 | Création d’un compte local de persistance | P-03 |
| 02:16 | Ajout d’une tâche planifiée de persistance | P-02 |
| 02:21 | Copie de la base de données de l’ERP | P-02 |
| 02:24 → 02:37 | Transfert de ~1,8 Go vers une IP externe | P-04 |
| 02:40 | Début du chiffrement des sauvegardes locales de l’ERP | P-02, alerte FIM |
| 03:32 | Isolation réseau du serveur (voir chapitre 6) : l’activité s’arrête | P-04 |
✅ Ce que l’analyse n’a pas trouvé : aucune connexion depuis srv-erp01 vers srv-ad01 ou d’autres serveurs, aucune trace sur le serveur de sauvegarde central srv-bkp01. La propagation latérale semble ne pas avoir eu lieu. Cette conclusion doit rester une hypothèse de travail tant que la surveillance renforcée ne l’a pas confirmée.
Cartographier l’attaque sur MITRE ATT&CK
Section titled “Cartographier l’attaque sur MITRE ATT&CK”MITRE ATT&CK est une base de connaissances qui décrit les tactiques et techniques des attaquants. La cartographie sert à communiquer avec un vocabulaire commun, à vérifier la couverture de détection et à prioriser les mesures.
| Tactique | Technique | ID | Détectée ? | Mesure qui aurait bloqué |
|---|---|---|---|---|
| Reconnaissance | Active Scanning | T1595 | ✅ (niveau faible) | – |
| Accès initial | External Remote Services | T1133 | ❌ | Revue des règles de pare-feu (R-02) |
| Accès aux identifiants | Brute Force | T1110 | ✅ | Blocage après N échecs, MFA (R-01) |
| Accès initial / Persistance | Valid Accounts | T1078 | ⚠️ (non corrélé) | MFA, désactivation des comptes prestataires |
| Élévation de privilèges | Abuse Elevation Control Mechanism | T1548 | ❌ | Moindre privilège |
| Persistance | Create Account | T1136 | ✅ | – |
| Persistance | Scheduled Task/Job | T1053 | ❌ | FIM sur les tâches planifiées |
| Collecte | Data from Local System | T1005 | ❌ | – |
| Exfiltration | Exfiltration Over C2 Channel | T1041 | ✅ (niveau faible) | Filtrage des flux sortants des serveurs |
| Impact | Data Encrypted for Impact | T1486 | ✅ | Sauvegardes hors ligne (R-03) |
Évaluer l’impact
Section titled “Évaluer l’impact”| Dimension | Évaluation au 14/09, 06 h 30 |
|---|---|
| Disponibilité | ERP arrêté depuis 03 h 32 (isolation). Sauvegardes locales chiffrées. Sauvegarde hors ligne de la veille intacte |
| Intégrité | Serveur à considérer comme non fiable : réinstallation obligatoire |
| Confidentialité | Copie probable de la base ERP : ~12 000 fiches clients dont ~2 300 contacts européens (nom, courriel, téléphone), historique de facturation |
| Financier | Arrêt de la facturation et du suivi de livraison : estimation 25 M FCFA par jour d’arrêt |
| Juridique | Violation de données personnelles → analyse RGPD à mener (chapitre 7) |
| Réputation | Risque de publication des données par l’attaquant |
Préparer les décisions de la cellule de crise
Section titled “Préparer les décisions de la cellule de crise”L’Incident Manager présente à la cellule de crise de 07 h 00 une note de décision d’une page :
NOTE DE DÉCISION — INC-2026-0914-01 — 14/09/2026 07:00 UTC──────────────────────────────────────────────────────────────SITUATION : srv-erp01 compromis via un accès SSH exposé par erreur. Données clients probablement copiées. Chiffrement stoppé. Pas de propagation détectée à ce stade.
DÉCISIONS DEMANDÉES : D1. Reconstruire srv-erp01 à partir de la sauvegarde hors ligne du 13/09 (perte max. 1 journée de saisie, RPO respecté) → Délai estimé : 10 h. Alternative : attendre l'enquête complète (2-3 j) D2. Réinitialiser les mots de passe de TOUS les comptes à privilèges → Impact : interruption courte pour les administrateurs D3. Lancer l'analyse RGPD en vue d'une notification < 72 h (avant le 17/09 03:05 UTC) D4. Déposer plainte et prévenir l'assureur cyber D5. Ne PAS entrer en contact avec l'attaquant ; ne pas payer en cas de demande de rançon
RECOMMANDATION : D1 à D5 approuvés.──────────────────────────────────────────────────────────────Chaque décision validée est reportée dans le registre des décisions (chapitre 6), avec son approbateur conformément au RACI.
Prochaine étape : Confinement, éradication et restauration →