Comment éviter une seconde attaque dans la foulée ?

Pour éviter une seconde attaque dans la foulée, il faut fermer tous les accès de l’attaquant, pas seulement celui qu’on a vu : corriger le point d’entrée, renouveler tous les mots de passe et secrets exposés, rechercher les portes dérobées, reconstruire les machines compromises plutôt que les nettoyer, puis surveiller de près pendant plusieurs semaines.

Cet article fait partie de notre série sur le déroulé d’une réponse à incident. Pour la vue d’ensemble, voir Comment se déroule une réponse à incident ?.

Pourquoi une seconde attaque est fréquente

Après un incident, l’entreprise est fragile. L’attaquant connaît le réseau, il a peut-être gardé des identifiants valides ou installé plusieurs accès de secours. Les causes les plus courantes d’un retour :

• Le point d’entrée n’est pas corrigé : la vulnérabilité, le VPN exposé ou le compte sans authentification multifacteur est toujours là.
• Des identifiants volés restent valides : mots de passe, jetons de session, clés d’API, comptes de service.
• Une persistance n’a pas été trouvée : tâche planifiée, compte créé par l’attaquant, outil d’accès à distance légitime détourné.
• Les données volées sont réutilisées : pour des courriels d’hameçonnage très crédibles envers l’entreprise, ses clients ou ses fournisseurs.
• L’accès est revendu : un groupe peut céder l’accès à un autre.

Les mesures qui ferment la porte

L’ANSSI structure la remédiation en trois temps : endiguer l’attaque, évincer l’attaquant du cœur du système d’information, puis éradiquer ses points d’appui. Concrètement :

Corriger la cause

Le rapport d’investigation doit identifier le point d’entrée. Tant qu’il n’est pas corrigé, toute reconstruction est fragile. Voir Que contient un rapport d’incident ?.

Renouveler tous les secrets exposés

Après une compromission de l’annuaire, cela concerne en pratique tous les comptes : utilisateurs, administrateurs, comptes de service, et le compte krbtgt d’Active Directory. Microsoft recommande de réinitialiser ce dernier deux fois, en respectant un délai entre les deux réinitialisations (10 heures avec les paramètres par défaut). Dans Microsoft 365, il faut aussi révoquer les sessions actives et vérifier les applications autorisées et les règles de transfert de messagerie. Voir Microsoft 365 : les attaques que les MSP ne voient pas venir.

Rechercher la persistance

Une chasse aux menaces ciblée passe en revue les comptes récents, les tâches planifiées, les services, les outils d’accès à distance et les connexions sortantes inhabituelles. C’est elle qui permet de dire, avec un niveau de confiance raisonnable, que l’attaquant est parti. Voir Comment sait-on que l’attaquant est parti ?.

Reconstruire plutôt que nettoyer

Une machine compromise au niveau administrateur se reconstruit à partir d’une source saine. Les sauvegardes restaurées sont vérifiées avant remise en service, car elles peuvent contenir l’accès de l’attaquant. Voir Quand peut-on redémarrer la production après une cyberattaque ?.

Durcir les accès les plus exposés

Authentification multifacteur sur tous les accès distants et comptes à privilèges, suppression des comptes inutilisés, séparation des comptes d’administration, correctifs sur les équipements exposés à Internet.

Surveiller pour détecter un retour

Les mesures ci-dessus réduisent fortement le risque, sans l’annuler. La surveillance renforcée sert à détecter vite une tentative de retour : connexion depuis un pays inhabituel, création de compte, réactivation d’un outil d’administration à distance, exécution sur une machine reconstruite.

Elle suppose des sondes sur les postes et serveurs (un EDR) et des journaux remontés vers des analystes disponibles en permanence. Une attaque qui revient un dimanche à 3 heures du matin doit être traitée à 3 heures du matin. Voir Faut-il un EDR pour un SOC managé ?.

Prévenir ses partenaires

Si des données ont été volées, prévenez les clients et fournisseurs exposés qu’ils peuvent recevoir des messages frauduleux utilisant ces informations. Cette information factuelle coupe court à une partie des tentatives de rebond.

Ce que fait Cyna dans cette phase

Le SOC managé de Cyna, opéré 24/7 depuis la France par des équipes internes, travaille avec le CERT de Cyna, membre de l’InterCERT France, qui peut être mobilisé rapidement. L’astreinte réponse à incident est joignable 24h/24 et 7j/7 depuis la page Déclarer un incident. Après une intervention, la surveillance continue sur SentinelOne ou Microsoft Defender, ainsi que sur Microsoft 365 ou Google Workspace, prend le relais, en lien avec l’infogérant qui mène la remédiation. Les modalités du service SOC (périmètre, licences) sont précisées dans le contrat conclu avec l’infogérant partenaire.

Faire le point avec un expert

Vous voulez vérifier qu’aucun accès n’a été oublié après un incident ? Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur. Sinon, contactez-nous.

Vous êtes attaqué ? Déclarez un incident : l’astreinte Cyna est joignable 24h/24 et 7j/7.

Questions fréquentes

Faut-il changer tous les mots de passe après une cyberattaque ?

Tous ceux qui ont pu être exposés, ce qui, après une compromission de l'annuaire, signifie en pratique tous les comptes, y compris les comptes de service et le compte krbtgt d'Active Directory, à réinitialiser deux fois selon Microsoft.

Payer une rançon protège-t-il d'une nouvelle attaque ?

Non. Le paiement ne ferme aucun accès et ne garantit rien. Le dispositif national cybermalveillance.gouv.fr recommande de ne pas payer la rançon.

Combien de temps faut-il maintenir une surveillance renforcée ?

Il n'existe pas de durée réglementaire. On la maintient au moins jusqu'à la fin de la remédiation et tant que des signaux suspects apparaissent, puis on revient à la surveillance normale, qui doit elle-même être continue.

Faut-il mettre à jour le plan de réponse à incident après une attaque ?

Oui. L'incident montre quels contacts, procédures et décisions ont fonctionné, et lesquels non. Mettre le plan à jour tout de suite, quand les souvenirs sont frais, est l'une des façons les moins coûteuses d'être mieux préparé. Voir Que se passe-t-il après la réponse à incident ?.