Comment sait-on que l'attaquant est parti ?

On ne le sait jamais avec une certitude absolue : on l’établit par un faisceau de preuves. L’investigation reconstitue tout ce que l’attaquant a fait et tous ses accès, une éviction coordonnée ferme ces accès en même temps, puis une surveillance renforcée vérifie pendant une période définie qu’aucune activité malveillante ne réapparaît. Le résultat s’exprime en niveau de confiance.

Cet article fait partie de notre série sur le déroulé d’une réponse à incident. Pour la vue d’ensemble, voir Comment se déroule une réponse à incident ?.

Pourquoi « on ne voit plus rien » ne suffit pas

Après le confinement, les alertes se calment souvent, ce qui est trompeur. Un attaquant expérimenté cherche justement à rester discret : il utilise des comptes légitimes, des outils d’administration déjà présents sur le réseau, des accès à distance ou des règles de transfert dans la messagerie. Rien de tout cela ne déclenche forcément une alerte antivirus.

L’avis AA20-245A de l’agence américaine CISA et de ses homologues décrit ce piège. Si l’on bloque une adresse IP ou supprime un fichier sans comprendre comment il est arrivé là, l’attaquant garde la possibilité de changer de méthode et de conserver son accès. Le même avis déconseille de réinitialiser des identifiants dans la précipitation, car l’attaquant peut disposer d’autres identifiants ou de tickets d’authentification falsifiés.

Les preuves qu’on cherche à réunir

Preuve	Ce qu’elle établit	Comment on l’obtient
Point d’entrée identifié	On sait par où l’attaquant est entré	Analyse des journaux, des postes et des accès distants
Chronologie complète	On sait ce qu’il a fait, et depuis quand	Corrélation des journaux EDR, annuaire, messagerie, pare-feu
Périmètre de la compromission	On connaît les machines, comptes et données touchés	Recherche d’indicateurs de compromission sur tout le parc
Persistance retirée	Les portes dérobées sont fermées	Inventaire des comptes créés, tâches planifiées, services, règles de messagerie
Identités assainies	Les secrets volés ne servent plus	Changement coordonné des mots de passe et secrets exposés
Absence de récidive	Rien ne réapparaît après l’éviction	Surveillance renforcée sur une période définie

Toute zone d’ombre (journaux manquants sur une période, serveur non analysé) doit être signalée, car c’est souvent là que se cache un accès oublié.

Les signaux discrets qui trahissent une présence persistante sont décrits dans Les 3 signaux faibles qu’un EDR ne voit pas sans SOC.

L’éviction coordonnée : tout fermer au même moment

Une erreur fréquente consiste à fermer les accès au fil de leur découverte. L’attaquant le remarque et se replie sur un accès que l’équipe n’a pas encore trouvé. La bonne pratique, décrite par la CISA, est d’attendre d’avoir une vision suffisante du périmètre, puis d’agir de façon coordonnée :

• retrait simultané des mécanismes de persistance ;
• changement des mots de passe exposés, comptes à privilèges et comptes de service en tête ;
• dans un environnement Active Directory, double réinitialisation du compte krbtgt, la seconde après réplication de la première, comme le recommande l’avis AA20-245A ;
• blocage des infrastructures de l’attaquant identifiées ;
• correction de la faille d’entrée.

L’ANSSI, dans son guide « Cyberattaques et remédiation : les clés de décision », présente cette reprise de contrôle du système d’information comme une étape à part entière de la remédiation, à planifier et piloter, pas comme une suite de gestes isolés.

La surveillance renforcée après l’éviction

Une fois l’éviction réalisée, la question devient : l’attaquant tente-t-il de revenir ? Pendant une période fixée avec le prestataire, on surveille de près :

• les connexions aux comptes réinitialisés et aux comptes à privilèges ;
• les connexions depuis des pays ou des adresses inhabituels, notamment sur Microsoft 365 ;
• les indicateurs de compromission relevés pendant l’investigation ;
• toute nouvelle tâche planifiée, nouveau service ou outil d’accès à distance.

C’est le rôle naturel d’un SOC 24/7. Chez Cyna, le SOC est opéré depuis la France par des équipes internes et s’appuie sur les EDR SentinelOne ou Microsoft Defender et sur les connecteurs Microsoft 365, Google Workspace, Stormshield et Fortinet. Le CERT partage avec le SOC les indicateurs relevés pendant l’investigation, et la durée comme le périmètre de cette surveillance sont précisés dans le contrat conclu avec votre infogérant partenaire. Voir Que se passe-t-il quand un SOC managé détecte une attaque ?.

Ce que doit dire le rapport

Le rapport d’incident ne devrait jamais affirmer « l’attaquant est parti » sans nuance. Il doit indiquer les preuves réunies, le niveau de confiance qui en découle et les zones d’incertitude restantes, avec les mesures de surveillance qui les compensent. C’est sur cette base que la direction décide de clore l’incident et de relancer pleinement l’activité. Voir Que contient un rapport d’incident ? et Quand peut-on redémarrer la production après une cyberattaque ?.

Faire le point avec un expert

Vous voulez vérifier qu’un ancien incident est bien clos, ou savoir comment votre SOC surveillerait un retour de l’attaquant ? Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur. Sinon, contactez-nous.

Vous êtes attaqué ? Déclarez un incident : l’astreinte Cyna est joignable 24h/24 et 7j/7.

Questions fréquentes

Un scan antivirus complet suffit-il à prouver que l'attaquant est parti ?

Non. Un attaquant peut rester présent sans aucun logiciel malveillant, avec des comptes légitimes, des accès à distance ou des règles de messagerie. Il faut une investigation qui reconstitue ses actions, puis une surveillance comportementale. Voir Antivirus ou EDR : quelles différences ?.

Faut-il changer tous les mots de passe ?

Tous ceux qui ont pu être exposés, en commençant par les comptes à privilèges, les comptes de service et les secrets techniques. Le changement doit être coordonné et fait au même moment que les autres actions d'éviction, sinon l'attaquant peut réutiliser un accès oublié.

Et si l'attaquant revient quelques semaines plus tard ?

C'est un risque réel, notamment si des identifiants ont été revendus ou si la faille d'origine n'a pas été corrigée. D'où l'importance de la surveillance après l'incident et du plan d'action. Voir Comment éviter une seconde attaque dans la foulée ?.

Qui atteste que l'attaquant est parti ?

Le prestataire de réponse à incident donne un avis argumenté, avec un niveau de confiance et les zones d'incertitude. La direction décide ensuite de clore l'incident en connaissance de cause.