Lorsqu’un incident cybern\u00e9tique touche votre entreprise, vous devez d\u00e9terminer quels syst\u00e8mes peuvent continuer \u00e0 fonctionner et quelles donn\u00e9es peuvent \u00eatre restaur\u00e9es en toute s\u00e9curit\u00e9. Vous devez \u00e9galement d\u00e9terminer si des informations sensibles ont \u00e9t\u00e9 expos\u00e9es et si le pirate dispose toujours d’un acc\u00e8s. Ces d\u00e9cisions reposent sur une analyse fiable des faits.<\/p>\n
La criminalistique num\u00e9rique et la gestion des incidents (DFIR) apportent l’expertise n\u00e9cessaire pour \u00e9tablir ces faits et prendre les mesures qui s’imposent.<\/strong>Des enqu\u00eateurs et des intervenants exp\u00e9riment\u00e9s contribuent \u00e0 ma\u00eetriser l’incident, \u00e0 orienter la reprise des activit\u00e9s et \u00e0 rem\u00e9dier aux failles qui ont permis l’attaque. Pour votre organisation, cela peut se traduire par une perturbation moindre, des d\u00e9cisions mieux \u00e9clair\u00e9es et une pression r\u00e9duite sur l’teams interne.<\/p>\n Endpoint detection and response (EDR) offre une visibilit\u00e9 sur l’activit\u00e9 des appareils et fournit des outils permettant d’analyser et de contenir les menaces. Le service Managed detection and response (MDR) met \u00e0 disposition des experts charg\u00e9s de surveiller, d’analyser et d’intervenir dans le cadre d’un p\u00e9rim\u00e8tre convenu.<\/p>\n Ces capacit\u00e9s s’av\u00e8rent pr\u00e9cieuses en cas d’incident. Une \u00e9quipe DFIR d\u00e9di\u00e9e s’appuie sur ce travail lorsque la situation n\u00e9cessite une enqu\u00eate forensic plus approfondie, une coordination \u00e0 plus grande \u00e9chelle ou un soutien suppl\u00e9mentaire \u00e0 la restauration. Les enqu\u00eateurs rassemblent les preuves provenant des terminaux, des identit\u00e9s, des services cloud et d’autres syst\u00e8mes afin de d\u00e9terminer l’\u00e9tendue de la compromission et d’orienter les d\u00e9cisions \u00e0 prendre.<\/p>\n Les sc\u00e9narios illustratifs suivants montrent pourquoi il est important de mener une enqu\u00eate plus approfondie.<\/p>\n La facture frauduleuse dans le cadre d’une conversation de confiance :<\/strong>\u00a0Une \u00e9quipe financi\u00e8re re\u00e7oit de nouvelles coordonn\u00e9es bancaires dans le cadre d’un \u00e9change d’e-mails existant avec un fournisseur. Le paiement semble l\u00e9gitime jusqu’\u00e0 ce que le fournisseur appelle pour demander o\u00f9 en est le virement. Les enqu\u00eateurs DFIR d\u00e9couvrent une bo\u00eete mail pirat\u00e9e que le cybercriminel a utilis\u00e9e pour surveiller les discussions relatives au paiement. Ils identifient les \u00e9changes concern\u00e9s ainsi que des r\u00e8gles de transfert cach\u00e9es, aidant ainsi l’entreprise \u00e0 s\u00e9curiser ses comptes, \u00e0 r\u00e9pondre aux demandes de la banque et \u00e0 \u00e9valuer quelles informations ont \u00e9t\u00e9 expos\u00e9es.<\/p>\n L’attaque par ransomware qui a eu lieu quelques jours avant la panne :<\/strong>\u00a0EDR d\u00e9tecte le ransomware et isole le serveur affect\u00e9. L’enqu\u00eate r\u00e9v\u00e8le l’utilisation ant\u00e9rieure d’un compte administrateur compromis ainsi qu’un acc\u00e8s suppl\u00e9mentaire \u00e0 un serveur de sauvegarde. Les intervenants DFIR identifient les voies d’acc\u00e8s restantes, \u00e9valuent les indices de vol de donn\u00e9es et aident \u00e0 d\u00e9terminer quelles sauvegardes sont fiables. La restauration permet ensuite de rem\u00e9dier \u00e0 la compromission dans son ensemble, r\u00e9duisant ainsi le risque de reconnecter des syst\u00e8mes alors que l’attaquant conserve encore un acc\u00e8s.<\/p>\n Une intrusion discr\u00e8te visant des informations pr\u00e9cieuses :<\/strong>\u00a0Les activit\u00e9s se poursuivent normalement alors qu\u2019un intrus passe plusieurs semaines \u00e0 acc\u00e9der \u00e0 des fichiers de projet sensibles. Une connexion inhabituelle d\u00e9clenche une enqu\u00eate qui permet de relier les activit\u00e9s entre les postes de travail et les services cloud. Les sp\u00e9cialistes DFIR reconstituent la chronologie des \u00e9v\u00e9nements, identifient les m\u00e9canismes utilis\u00e9s pour maintenir l\u2019acc\u00e8s et \u00e9valuent les preuves de collecte et de transfert de donn\u00e9es. L\u2019organisation acquiert ainsi une meilleure compr\u00e9hension de l\u2019exposition au risque et \u00e9labore un plan pour \u00e9liminer l\u2019intrus.<\/p>\n M\u00eame apr\u00e8s qu’un pirate a caus\u00e9 des dommages, une intervention efficace peut emp\u00eacher d’autres pertes et prot\u00e9ger les activit\u00e9s non touch\u00e9es. Des intervenants exp\u00e9riment\u00e9s aident \u00e0 hi\u00e9rarchiser les actions en fonction de leur impact sur l’activit\u00e9, tout en pr\u00e9servant les \u00e9l\u00e9ments de preuve n\u00e9cessaires \u00e0 l’enqu\u00eate.<\/p>\n Des rapports clairs fournissent \u00e0 la direction une base factuelle pour prendre ses d\u00e9cisions. Ils contribuent \u00e9galement \u00e0\u00a0sinistres li\u00e9s \u00e0 la cyberassurance et d\u00e9clarations r\u00e9glementaires<\/strong>\u00a0gr\u00e2ce \u00e0 des chronologies document\u00e9es, des conclusions sur les syst\u00e8mes et les donn\u00e9es affect\u00e9s, ainsi que des comptes rendus des mesures prises. Les \u00e9quipes juridiques et de conformit\u00e9 teams peuvent s’appuyer sur ces conclusions pour \u00e9valuer les obligations de notification et \u00e9tablir des rapports conform\u00e9ment \u00e0 la directive NIS2 et au RGPD, le cas \u00e9ch\u00e9ant. Les rapports distinguent les conclusions confirm\u00e9es des \u00e9valuations et expliquent toute incertitude persistante.<\/p>\n Chez WithSecure,\u00a0Notre \u00e9quipe d’intervention en cas d’incident est totalement ind\u00e9pendante de toute technologie particuli\u00e8re<\/strong>. Nous intervenons ind\u00e9pendamment des fournisseurs, des plateformes et des environnements, en collaboration avec votre \u00ab teams \u00bb et vos prestataires actuels. Nos enqu\u00eates portent sur les attaques par usurpation de messagerie professionnelle, les ransomwares, le cyberespionnage et les menaces internes. Ou tout autre besoin.<\/p>\n Un expert DFIR sous contrat chez WithSecure offre\u00a0Acc\u00e8s \u00e0 des sp\u00e9cialistes 24 h\/24, 7 j\/7, garanti par un accord de niveau de service (SLA)<\/strong>, avec des services disponibles \u00e0 la demande \u00e0 des tarifs convenus au pr\u00e9alable et sans obligation d’acheter \u00e0 l’avance des journ\u00e9es d’enqu\u00eate. Votre organisation dispose d’un interlocuteur attitr\u00e9 et d’un processus d’activation bien \u00e9tabli, ce qui r\u00e9duit le temps n\u00e9cessaire \u00e0 l’organisation d’une intervention d’experts en cas d’incident. Les \u00e9quipes d’teams s internes b\u00e9n\u00e9ficient ainsi de capacit\u00e9s suppl\u00e9mentaires lorsque la pression sur elles est la plus forte.<\/p>\n Nous vous aidons \u00e9galement \u00e0 vous pr\u00e9parer gr\u00e2ce \u00e0\u00a0exercices de simulation sur table sur mesure, manuels d’intervention et r\u00e9visions des plans<\/strong>, couvrant la r\u00e9ponse aux incidents, la gestion de crise et la reprise des activit\u00e9s. Chaque mission est adapt\u00e9e \u00e0 votre environnement, \u00e0 vos priorit\u00e9s m\u00e9tier et aux responsabilit\u00e9s de vos \u00e9quipes. Vos collaborateurs peuvent s’entra\u00eener \u00e0 prendre des d\u00e9cisions difficiles, tester les proc\u00e9dures d’escalade et combler les lacunes avant qu’un incident r\u00e9el ne mette ces dispositifs \u00e0 rude \u00e9preuve.<\/p>\n Il en r\u00e9sulte une organisation mieux \u00e0 m\u00eame de comprendre un incident, de prendre des d\u00e9cisions \u00e9clair\u00e9es et de r\u00e9tablir ses activit\u00e9s en s’appuyant sur des donn\u00e9es factuelles.<\/p>\n Pour en savoir plus sur nos services d’intervention en cas d’incident, cliquez ici : <\/p>\nTirer parti de vos investissements existants en mati\u00e8re de s\u00e9curit\u00e9<\/h2>\n
Ce que le DFIR permet de mettre au jour<\/h2>\n
Donn\u00e9es probantes pour la prise de d\u00e9cision, le reporting et le redressement<\/h2>\n
Une expertise \u00e0 votre disposition quand vous en avez besoin<\/h2>\n