Qualifier un incident, l’investiguer, le remédier, gérer la crise qui l’accompagne : quatre étapes de la réponse à une cyberattaque. L’ANSSI publie un ensemble de guides consacrés à deux d’entre elles, la qualification et l’investigation, présentées comme “des dimensions majeures de la réponse à incident”. Pour aider les organisations touchées, ou celles qui soupçonnent une compromission.
Comprendre avant d’agir
Le corpus décrit les principes de pilotage et de mise en œuvre d’une qualification et d’une investigation. Il ne couvre qu’un périmètre précis : les incidents de cybersécurité d’origine malveillante. Notez que les pannes, erreurs de configuration ou incidents accidentels ne sont pas pris en compte.
Premier volet publié : la phase de compréhension de l’incident. Le document propose une décomposition d’un incident et, surtout, formalise cinq stratégies d’investigation, à mobiliser en fonction de chaque incident. Cinq façons d’aborder une même situation, chacune répondant à une logique différente selon ce que l’organisation sait, ou ignore encore, de ce qui l’a frappée.
Il n’y a pas de recette universelle
L’investigation sous isolement ouvre la liste : le système est coupé pour permettre l’analyse. Vient ensuite l’investigation en environnement dégradé, quand l’activité se poursuit malgré tout, sous contrainte. La stratégie “observer et contraindre” place l’attaquant sous surveillance tout en limitant les marges de manœuvre, tandis que “observer et laisser faire” pousse la logique plus loin en renonçant à toute intervention immédiate. Cinquième option, l’investigation exploratoire, pensée pour les situations où la nature exacte de l’incident reste encore a à préciser.
Un guide construit avec les prestataires qualifiés
Ce premier document a été élaboré en collaboration avec les prestataires de réponse à incident, les PRIS, ceux qui interviennent concrètement lors d’une crise. Un guide qui ouvre donc la voie à un corpus plus large, l’agence annonçant un ensemble de publications.
