Nederlands
English
DeutschRecherche de compromission
Un e-mail envoyé à votre insu, une facture modifiée chez un client, des identifiants retrouvés dans une fuite : avant de conclure à une intrusion, ou de l'écarter, il faut des faits. Nous recherchons les traces d'un attaquant dans vos systèmes, sur un périmètre et avec des livrables fixés à l'avance.
Quand la demander
- Un client ou un fournisseur a reçu un e-mail ou une facture frauduleuse qui semble venir de chez vous.
- Vos identifiants, ou ceux de vos collaborateurs, apparaissent dans une fuite de données.
- Un partenaire, votre prestataire informatique ou un logiciel que vous utilisez a été piraté.
- Un incident a été « nettoyé » sans investigation, et vous voulez savoir si l'attaquant est vraiment parti.
- Avant une reprise d'entreprise, ou après le départ conflictuel d'une personne disposant de droits d'administration.
Ce que nous examinons
Comptes et messagerie
Connexions inhabituelles, règles de transfert, délégations d'accès, applications autorisées et e-mails envoyés à votre insu.
Postes et serveurs
Mécanismes de persistance, tâches planifiées, outils de prise de contrôle à distance installés à votre insu et traces d'exécution.
Annuaire et comptes à privilèges
Comptes créés ou réactivés, ajouts aux groupes d'administration et changements de droits inexpliqués.
Accès à distance et périmètre
Journaux du VPN, du pare-feu et des accès à distance, services exposés sur Internet.
Fuites d'identifiants
Présence de vos domaines et de vos adresses dans des fuites de données connues.
Indicateurs de compromission
Comparaison avec les indicateurs publiés pour les campagnes en cours, notamment par le CCB.
Déroulement
Une recherche de compromission ne prouve pas l'absence d'attaquant : elle établit ce que montrent les traces examinées, et ce qu'elles ne couvrent pas. C'est pourquoi le périmètre est fixé par écrit.
Cadrage
Périmètre (comptes, postes, serveurs, période), sources disponibles et accès, fixés par écrit avec le délai et le prix.
Collecte
Récupération des journaux et des traces avec des outils reconnus, sans interrompre votre activité et en préservant leur valeur de preuve.
Analyse
Recherche des signes d'intrusion et de persistance, recoupement des sources et vérification manuelle de chaque alerte.
Conclusions
Rapport : ce qui a été examiné, ce qui a été trouvé et les limites de l'examen. Si une compromission est confirmée, l'intervention se poursuit en réponse à incident, avec votre accord.
Questions fréquentes
Quelle différence avec un test d'intrusion ?
Le test d'intrusion cherche les portes qu'un attaquant pourrait utiliser. La recherche de compromission cherche les traces d'un attaquant qui serait déjà passé. Les deux se complètent.
Et si vous trouvez quelque chose ?
Nous vous prévenons sans attendre le rapport. Les éléments collectés sont préservés, et l'intervention peut se poursuivre en réponse à incident, avec votre accord.
Faut-il installer un logiciel sur nos machines ?
Cela dépend des sources disponibles. Les journaux de vos services en ligne se consultent avec un accès en lecture ; sur les postes et les serveurs, un outil de collecte peut être lancé temporairement. Le cadrage précise ce qui sera utilisé.
« Rien trouvé » veut-il dire « aucun risque » ?
Non. Cela signifie qu'aucune trace de compromission n'a été trouvée dans le périmètre examiné, sur la période couverte par les journaux disponibles. Le rapport le dit explicitement et propose des mesures pour mieux détecter une prochaine tentative.