Comment isoler un système sans détruire les preuves ?

Pour isoler un système sans détruire les preuves, on coupe ses communications réseau sans l’éteindre, idéalement depuis la console de l’EDR. La machine reste allumée, sa mémoire vive est préservée et les analystes peuvent continuer à l’examiner à distance. On collecte ensuite les preuves de la plus volatile à la moins volatile, sans rien supprimer, en traçant chaque action.

Isoler sans détruire est un moment clé du confinement. Pour le replacer dans l’ensemble de la réponse, voir notre guide Comment se déroule une réponse à incident ?.

Pourquoi il ne faut pas éteindre

La mémoire vive d’une machine compromise contient des éléments qui n’existent nulle part ailleurs : processus malveillants en cours, connexions réseau actives, clés de chiffrement parfois, commandes exécutées, outils chargés uniquement en mémoire. L’extinction les efface. cybermalveillance.gouv.fr recommande donc de ne pas éteindre les machines touchées, et de ne pas rallumer celles qui étaient éteintes.

Les méthodes d’isolement, de la plus propre à la plus brutale

Méthode	Avantage	Limite
Isolement réseau par l’EDR	À distance, immédiat, la machine reste joignable par la console	Nécessite un EDR déployé et fonctionnel
Mise en quarantaine sur le commutateur ou le pare-feu	Pas besoin d’agent sur la machine	Demande un accès réseau et une bonne cartographie
Câble débranché, Wi-Fi coupé	Simple, à la portée de tous	Plus d’accès à distance pour les analystes
Coupure de l’accès Internet du site	Stoppe les communications avec l’attaquant	Arrête aussi l’activité légitime
Extinction	Stoppe tout	Détruit les preuves en mémoire : à éviter

Avec Microsoft Defender for Endpoint, par exemple, l’action « Isoler l’appareil » coupe les connexions réseau tout en maintenant la liaison avec le service Defender, et l’action « Collecter le package d’investigation » rassemble des éléments utiles à l’enquête. Voir Faut-il un EDR pour un SOC managé ?.

Isoler aussi les comptes et le cloud

Une attaque ne se limite pas aux machines. Pour les identités et les services cloud :

• Désactiver les comptes compromis plutôt que les supprimer, et réinitialiser leurs mots de passe.
• Révoquer les sessions et les jetons actifs, notamment sur Microsoft 365 ou Google Workspace.
• Conserver les boîtes aux lettres et les règles de messagerie suspectes : on les documente avant de les retirer.
• Exporter les journaux d’audit avant qu’ils n’atteignent leur durée de rétention.

Voir Microsoft 365 : les attaques que les MSP ne voient pas venir.

Collecter dans le bon ordre

La RFC 3227, référence sur la collecte de preuves, recommande de procéder de la donnée la plus volatile à la moins volatile. En pratique :

1. Mémoire vive : processus, connexions, contenu de la mémoire.
2. État du système : table de routage, cache ARP, sessions ouvertes.
3. Fichiers temporaires.
4. Disque : copie complète, ou au minimum les artefacts clés.
5. Journaux distants : EDR, pare-feu, annuaire, cloud.
6. Supports d’archives.

Pour une machine virtuelle, un instantané qui inclut la mémoire est souvent le moyen le plus rapide de tout figer. On conserve aussi la note de rançon et quelques fichiers chiffrés, comme le recommande cybermalveillance.gouv.fr.

Garder des preuves exploitables

Une preuve ne sert que si l’on peut montrer qu’elle n’a pas été modifiée :

• Calculer une empreinte (hash) de chaque copie au moment de la collecte.
• Tracer la chaîne de conservation : qui a collecté quoi, quand, où c’est stocké, qui y a accédé.
• Travailler sur des copies, jamais sur l’original.
• Tenir le journal de bord de toutes les actions menées sur le système, y compris l’isolement lui-même.

Le NIST SP 800-86 détaille comment intégrer ces techniques d’investigation à la réponse à incident.

Les erreurs les plus fréquentes

• Redémarrer « pour voir si ça repart ».
• Lancer un nettoyage antivirus complet avant la collecte.
• Supprimer les fichiers ou les comptes malveillants dès leur découverte.
• Réinstaller ou restaurer avant la fin de l’investigation. Voir Quand peut-on redémarrer la production après une cyberattaque ?.
• Prévenir l’attaquant par une action visible et isolée, alors qu’un confinement coordonné aurait coupé tous ses accès d’un coup.

Ce que fait Cyna

Le SOC managé de Cyna s’appuie sur SentinelOne ou Microsoft Defender, qui permettent l’isolement à distance des postes. Le CERT de Cyna, membre de l’InterCERT France, travaille avec les équipes du SOC et peut être mobilisé rapidement pour mener la collecte et l’investigation avec l’infogérant, qui garde la main sur le système de son client. L’astreinte réponse à incident est joignable 24h/24 et 7j/7 depuis la page Déclarer un incident.

Faire le point avec un expert

Vous voulez vérifier que vos procédures d’isolement préservent bien les preuves ? Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur. Sinon, contactez-nous.

Vous êtes attaqué ? Déclarez un incident : l’astreinte Cyna est joignable 24h/24 et 7j/7.

Questions fréquentes

Et si le chiffrement est en cours ?

Limiter les dégâts devient prioritaire. cybermalveillance.gouv.fr indique qu'un arrêt maîtrisé peut alors être envisagé, de préférence par mise en veille prolongée, qui conserve le contenu de la mémoire sur le disque.

Peut-on lancer un scan antivirus complet sur la machine isolée ?

Pas avant la collecte des preuves. Un scan peut supprimer ou mettre en quarantaine des fichiers utiles à l'enquête et modifier les dates d'accès. L'équipe de réponse décide du moment.

Faut-il supprimer le compte utilisé par l'attaquant ?

Le désactiver, oui ; le supprimer, non. Un compte supprimé perd son historique et ses attributs, utiles pour comprendre ce que l'attaquant a fait. Voir Comment sait-on que l'attaquant est parti ?.

Pourquoi conserver des preuves si l'on ne porte pas plainte ?

Elles servent d'abord à l'investigation : sans elles, on ne sait pas par où l'attaquant est entré ni ce qu'il a touché. Elles peuvent aussi être demandées par l'assureur et servir aux notifications prévues par les textes applicables.