Fiche concept 4.2.3¶

📌 4.2.3 Détecter une attaque - gérer une crise¶

#GestionDeCrise #AttaqueInformatique #Détection #IndicateursDeCompromission #PCA # PRA #Forensic #AnalyseDeRisques #Remédiation #RetourDExpérience #EBIOSRiskManager #ANSSI #Détecter #Identifier #Anticiper #Capitaliser #Durcissement #Plainte #SortieDeCrise #FinDeSortieDeCrise

Résumé

Le cycle complet d'une crise: prévention → détection → réponse et rétablissement des services → partage des retours d'expérience en vue d'une amélioration continue.
Avant l'attaque : Effectuer une cartographie des risques et analyser les vulnérabilités du système d'information pour établir des solutions de prévention.
Détection d'une attaque : Surveiller des indicateurs de compromission, comme un comportement inhabituel des systèmes, des connexions suspectes ou des fichiers modifiés, et utiliser des outils et systèmes de détection d'intrusion.
Gestion de crise : Lors d'une attaque, identifier et localiser le problème, confiner les systèmes affectés (PCA), communiquer avec les parties concernées et restaurer les services (PRA).
Après l'attaque : Enquêter et analyser les logs pour comprendre l'attaque, mener une analyse post-mortem, et mettre à jour les processus pour éviter de futures intrusions.

Le 3 décembre 2022, l'hôpital de Versailles a été victime d’une cyberattaque¹. Le système informatique, Internet et les communications téléphoniques ont été coupés : plus d’ordinateurs, plus d'accès aux fichiers, plus d’emails, plus de site web… Dans ce genre de situation, on ne peut pas juste "redémarrer l’ordinateur" : il faut agir vite, bien, et en équipe, gérer la crise. Si les organismes d'État et les grandes entreprises ont mis en place des mesures, seul un faible nombre de petites et moyennes entreprises se sentent véritablement armées face aux cybermenaces².

La gestion de crise cyber³ est un processus structuré (un plan par étapes) que les organisations mettent en place pour prévenir une attaque informatique ou réagir en cas d’attaque. L’objectif est de continuer à fonctionner, de protéger leur réputation et de respecter la loi. La gestion de crise nécessite des règles claires, des procédures bien définies, des personnes désignées, et une bonne préparation.

→ Comment prévenir une attaque ? ¶

Une attaque informatique n’est pas une fatalité. En se préparant bien, en protégeant son système d’information(1) (SI) et en organisant une réponse claire, une organisation peut limiter les dégâts, éviter l’interruption de ses activités et reprendre le contrôle rapidement.

🔎 Définition : Le système d’information (SI) est un ensemble de ressources interconnectées (matériel informatique, logiciels, données, réseaux, ressources humaines) visant à collecter, stocker, traiter et diffuser l’information au sein d’une organisation. Ses objectifs vont de la facilitation de la prise de décision à l’optimisation des processus internes, en passant par l’amélioration de la communication et de la collaboration.

Mais avant qu'une attaque ne survienne, il faut identifier les vulnérabilités(1) et ce qui est critique dans le système d'information.

🔎 Définition : Une vulnérabilité informatique est une faiblesse présente dans un logiciel, un système informatique ou un équipement connecté. Elle peut être comportementale (liée aux actions, habitudes ou décisions humaines), physique (liée à l'accès aux équipements et aux locaux) ou technique (réseau et logicielle). Si elle est exploitée par un acteur malveillant, elle peut permettre un accès non autorisé, un vol de données ou une perturbation du système. Les vulnérabilités sont souvent corrigées grâce à des mises à jour ou des correctifs de sécurité.

Cela passe par l’analyse de risques qui permet d’identifier les menaces(1), d’évaluer les risques(2) et de mettre en place des mesures pour les réduire efficacement.

🔎 Définition : En cybersécurité, une menace (threat) désigne un danger potentiel susceptible de causer des dommages à un système, des données ou une organisation. Qu'elle soit d'origine humaine (cybercriminel, erreur interne) ou technique (logiciel malveillant, panne), une menace représente une possibilité de sinistre, et non un incident déjà survenu.
🔎 Définition : En cybersécurité, le risque (risk) est la probabilité qu’une menace exploite une vulnérabilité et provoque des conséquences négatives. Il se situe à l'intersection de la menace, des vulnérabilités du système et des impacts possibles (vol de données, l’interruption d’activité ou une perte financière). La gestion des risques vise à réduire cette équation en renforçant les défenses.

Quels sont les outils et les méthodes à mettre en place ?

Mise au point de la cartographie du système d'information⁴¶

Avant de protéger un système informatique, il faut identifier ce qu’il contient, comprendre comment les informations y circulent, et déterminer les interdépendances entre ses composants. La cartographie du SI doit être mise à jour au moins une fois par an pour être efficace. Cette démarche peut être décomposée en trois étapes :

Étape 1 : Connaître les actifs. Il s’agit d’identifier tous les éléments à protéger : matériels, logiciels, données, services numériques, personnels… L’objectif est de savoir ce qui a de la valeur ou qui joue un rôle critique dans le SI.
Étape 2 : Cartographier les flux. Il s'agit de repérer les échanges de données entre les actifs, comment les informations circulent, par quels canaux (réseaux internes, Internet, cloud, etc.) et entre quels points. L’objectif est de détecter les points de vulnérabilité et les flux sensibles qu’il faut sécuriser.
Étape 3 : Identifier les dépendances. Il s'agit d’analyser les relations de dépendance entre les actifs. Car dans un SI, tout est souvent lié : un service peut sembler fonctionner seul, mais en réalité, il repose sur d'autres éléments techniques ou externes. L’objectif est de comprendre les enchaînements possibles en cas de panne ou d’attaque, d’éviter l’effet domino et de renforcer la résilience(1).
1. 🔎 Définition : La résilience numérique (cyber resilience), ou résilience informatique, désigne la capacité d’une organisation à continuer de fonctionner malgré une panne, un sinistre, une cyberattaque ou un incident informatique. Elle repose sur des mesures prévues à l’avance, comme les sauvegardes, les plans de reprise ou la surveillance des systèmes. L’objectif n’est pas seulement de protéger les données, mais aussi de maintenir l’activité et de rétablir rapidement les services en cas de problème.

Analyse des risques : la méthode EBIOS Risk Manager (EBIOS RM)⁵¶

Recommandée par l’ANSSI(1), c’est l’outil indispensable pour les OIV(2) et le secteur public. Elle permet d’établir les risques, de déterminer les mesures de sécurité adaptées à la menace pour un SI donné et de mettre en place le cadre de suivi et d’amélioration continue pour la mise en œuvre de solutions permettant de minimiser ces risques. Par exemple : si l’on identifie une menace d’intrusion externe sur un serveur exposé à Internet, des mesures possibles peuvent inclure un pare-feu applicatif, une authentification forte ou une surveillance renforcée.

🔎 Définition : Acronyme de "Agence Nationale de la Sécurité des Systèmes d'Information", l'ANSSI est l'autorité nationale en matière de sécurité et de défense des systèmes d'information.
🔎 Définition : Un opérateur d'importance vitale (OIV) désigne une organisation identifiée par l'État français comme ayant des activités indispensables à la survie de la nation ou dangereuses pour la population. Le terme OIV est défini par l'article R. 1332-1 du Code de la défense.

La méthode EDIOS Risk Manager en 5 points-clés. — La méthode EDIOS Risk Manager en 5 points-clés

- Point 1 - Cadrage et socle de sécurité pour comprendre ce qu’on protège et pourquoi : Définition du périmètre étudié (projet, SI), des enjeux métiers, des valeurs à protéger (données, services), du socle de sécurité existant. - Point 2 - Sources de risque pour savoir qui menace, dans quel but : Identification des acteurs malveillants, de leurs motivations et capacités, des menaces pertinentes pour l’organisation. - Point 3 - Scénarios stratégiques pour imaginer les attaques plausibles : Construction des scénarios généraux : comment une source de risque pourrait menacer les valeurs identifiées, quelles seraient les conséquences majeures. - Point 4 - Scénarios opérationnels pour analyser comment les attaques pourraient réussir : Détail technique de chemins d’attaque, des vulnérabilités exploitables, de la vraisemblance des attaques. - Point 5 - Traitement du risque pour réduire les risques à un niveau maîtrisé et piloter un plan d’action : Choix des mesures de sécurité à mettre en place, des priorités, du niveau de risque acceptable.

Avant même qu’une attaque ne survienne, une organisation doit être prête à réagir rapidement avec les bons outils et les bons réflexes. Outre le guide de la méthode EBIOS Risk Manager⁶, l’État français, via l’ANSSI ou le dispositif Cybermalveillance.gouv.fr, propose des ressources et des supports méthodologiques destinés aux particuliers comme aux professionnels ou aux collectivités⁷. Comme par exemple des guides pour aider les dirigeants à piloter leur cybersécurité ou à gérer correctement une cyberattaque⁸^,⁹.

→ Comment détecter une attaque ?¶

Une cyberattaque ne commence pas toujours par une alerte franche. C’est pourquoi la détection est capitale et constitue la première étape d’une réponse efficace : plus elle est rapide, moins les dommages seront importants. Elle ne consiste donc pas uniquement à identifier une attaque déjà avérée, mais aussi à repérer les indices précurseurs d’une compromission(1) potentielle.

🔎 Définition : En cybersécurité, une compromission désigne l'accès, le contrôle ou la modification non autorisés d'un système, d'un appareil ou de données. Elle survient lorsque la sécurité est brisée (via un piratage, un malware ou une faille), entraînant une perte de confidentialité, d'intégrité ou de disponibilité, avec des risques majeurs de vol de données ou d'espionnage.

Il est d’autant plus important de surveiller l’activité du système d'information en combinant outils de détection automatisée et analyse humaine.

Les signaux faibles, utilisés AVANT ou PENDANT l’attaque¶

Il s'agit des indices discrets et inhabituels qui peuvent suggérer qu’une activité malveillante est en préparation ou en cours. Ils ne prouvent pas nécessairement une attaque, mais attirent l’attention des analystes. Parmi les signaux faibles, on trouve : l’augmentation inexpliquée du trafic réseau, la connexion à une heure ou dans un lieu inhabituel, des tentatives de connexion répétées ou échecs d'authentification, l’activité inhabituelle d'un serveur…

Les indicateurs de compromission, utilisés PENDANT ou AVANT l’attaque¶

Il s'agit des traces qui permettent de comprendre comment la compromission s'est produite.

Les indicateurs de compromission les plus courants sont¹⁰ :

Des comportements suspects pouvant apparaître comme des signaux faibles : connexions à des heures inhabituelles, irrégularités géographiques, augmentation soudaine du trafic, actions anormales de comptes utilisateurs, exécution d’un programme inhabituel sur un serveur, échecs d’authentification répétés, transfert de données anormalement élevé…
Des marqueurs techniques permettant une détection automatisée : modifications suspectes du registre ou du fichier système, URL suspectes, présence de logiciels inconnus, alertes déclenchées par un antivirus ou un pare-feu…
Des indicateurs critiques, preuve forte d’intrusion, exigeant une réponse immédiate : exécution d’un ransomware(1), chiffrement brutal de fichiers, inondation du trafic vers un site ou un emplacement spécifique (appareils utilisés en réseau zombie pour une attaque DDoS(2)), création d’un compte administrateur non autorisé, présence d’un malware identifié…
1. 🔎 Définition : Programme malveillant dont le but est d’obtenir de la victime le paiement d’une rançon.
2. 🔎 Définition : Une attaque par déni de service distribué, DDoS (Distributed Denial of Service) en anglais, implique l'utilisation de plusieurs sources et vise à rendre un serveur inaccessible en le saturant de multiples requêtes ou en exploitant une faille de sécurité afin de provoquer une panne ou un fonctionnement fortement dégradé du service.

Les indicateurs de compromission sont analysés en continu par les équipes de cybersécurité (Security Operation Center – SOC, Computer Emergency Response Team – CERT) à l’aide d’outils spécialisés. Ils permettent d’anticiper une crise ou de détecter une attaque en cours avant qu’elle ne devienne incontrôlable.

Depuis 2020, l'ANSSI met à disposition des indicateurs de compromission (Indicators of Compromise – IOC). Ces marqueurs techniques permettent de détecter rapidement des intrusions, d’identifier les modes opératoires des attaquants et d’anticiper certaines menaces. Ils constituent un outil essentiel pour la cybersurveillance et contribuent au respect des exigences réglementaires pour certaines organisations, notamment les établissements de santé français¹¹.

Les outils de détection les plus courants¹²^,¹³¶

Antivirus (antimalware) : logiciel de sécurité qui détecte, bloque et supprime les codes malveillants sur un appareil ou un serveur.
Pare-feu (firewall) : outil de sécurité qui filtre le trafic réseau entrant et sortant selon des règles définies afin de protéger un réseau interne contre les accès non autorisés.
IDS (Intrusion Detection System) : outil qui surveille le trafic réseau et les appareils afin de détecter des activités suspectes ou des attaques connues et générer des alertes.
EDR (Endpoint Detection & Response) : solution qui surveille les terminaux (postes, serveurs) pour détecter les comportements malveillants et aider à répondre aux incidents (proposition de mesures correctives, réponses d’atténuation automatisées).
NDR (Network Detection & Response) : outil qui analyse le trafic réseau afin d’identifier des activités anormales, détecter les intrusions et y répondre avant qu’elles ne se propagent.
XDR (eXtended Detection & Response) : plateforme qui corrèle les données de plusieurs sources de sécurité pour améliorer la détection et offrir une réponse plus globale aux menaces.

→ Comment gérer la crise après la détection d’une attaque ?¶

En décembre 2021, l’ANSSI a publié le guide Crise d’origine cyber, les clés d’une gestion opérationnelle et stratégique qui propose une démarche en 4 phases¹⁴, adaptée de la norme ISO/IEC 27035-1:2023, norme de référence pour structurer la gestion des incidents de sécurité de l’information¹⁵.

Phase 1 - Alerter, mobiliser et endiguer¶

Mobiliser les équipes et adapter le dispositif de crise aux enjeux et au rythme de la crise cyber.
Mettre en place les premières mesures d’endiguement (confiner les systèmes touchés) et de continuité d’activité (PCA(1)).
1. 🔎 Définition : Le Plan de Continuité d’Activité (PCA) est un ensemble de mesures prévues à l’avance pour permettre à une organisation de continuer ses activités essentielles en cas d’incident majeur : cyberattaque, panne, sinistre ou interruption de service. Il définit les actions prioritaires, les ressources nécessaires et les procédures à suivre pour limiter les perturbations et rétablir rapidement les services importants. Le PCA contribue à protéger l’activité, les données, les clients et la réputation de l’organisation.
Alerter les réseaux de soutien.

Phase 2 - Analyser et limiter les impacts immédiats¶

Communiquer sur la situation pour rassurer les partenaires de confiance.
Comprendre le déroulé de l’attaque, bloquer l’attaquant, maintenir un fonctionnement minimal.

Phase 3 - Relancer les activités métiers et durcir les systèmes d’information¶

Restaurer les applications et les données critiques, mettre en œuvre des actions de sécurisation et de durcissement pour permettre la
Reprise d’activité (PRA(1)), surveiller l’attaquant.
1. 🔎 Définition : Le Plan de Reprise d’Activité (PRA) est un ensemble de procédures permettant de rétablir les systèmes informatiques et les données après un incident majeur, comme une cyberattaque, une panne ou un sinistre. Il prévoit les actions à mener pour remettre en service les applications et restaurer les données sauvegardées dans les meilleurs délais. Le PRA aide l’organisation à limiter les interruptions d’activité, réduire les pertes et s’assurer que chacun connaît son rôle en cas de crise.
Adapter l’activité de l’organisation aux contraintes persistantes.

Phase 4 - Tirer les leçons de la crise et capitaliser¶

Définir et organiser le plan de sortie de crise.
Tirer parti de l’expérience de crise pour progresser (renforcer les protections, mettre à jour les procédures).
Organiser le retour d’expérience(1) (RETEX).
1. 🔎 Définition : Un retour d'expérience (abrégé en RetEx ou Rex) est un processus qui vise à identifier collectivement les points forts, les points faibles et les pistes d'améliorations possibles, de ce qui a été réalisé.

→ Que faire après l’attaque ? La remédiation, c’est quoi ?¶

Une fois l’urgence passée et les systèmes stabilisés, il ne faut pas refermer la crise trop vite. La phase post-attaque permet de comprendre ce qui s’est passé, de corriger les failles, et de renforcer la résilience pour éviter que cela ne se reproduise.

La remédiation fait partie intégrante de la réponse à incident, aux côtés de l’investigation et de la gestion de crise. Elle vise à reprendre le contrôle du système d’information compromis et à le remettre dans un état sécurisé et fonctionnel.

L’ANSSI, qui consacre 3 guides au pilotage de la remédiation¹⁶, souligne que "si la remédiation est bien pilotée, l’incident devient une opportunité d’amélioration significative de la résilience de l’organisme qui le subit"¹⁷. Elle suit les étapes suivantes :

Endiguement : freiner l’attaquant pour limiter l’impact.
Éviction : recréer un cœur de confiance pour exclure l’attaquant.
Éradication : supprimer toute trace et persistance de l’adversaire.
Reconstruction : activité transversale pour restaurer les systèmes.

→ L’investigation technique, ça veut dire quoi ?¶

L’analyse forensique (digital forensics) consiste à rechercher et analyser des preuves sur des supports numériques afin de comprendre un incident de sécurité, d’y remédier et d’aider à la prise de décision¹⁸. Aussi appelée investigation technique, elle vise notamment à reconstituer le déroulement d’une attaque afin d’en comprendre les mécanismes techniques et de collecter des preuves numériques pouvant être utilisées dans un cadre interne ou lors d’une procédure judiciaire.

L’analyse forensique permet de confirmer ou d’infirmer les hypothèses initiales en corrélant les différentes traces collectées. Elle s’appuie notamment sur les étapes suivantes :

Collecte et préservation des preuves : extraction de fichiers supprimés, récupération de journaux (logs(1)) réseau ou système, création d’images disque, collecte d’alertes de sécurité.
1. 🔎 Définition : Un log, ou journal de bord, est un fichier qui enregistre chronologiquement les activités d'un système informatique. Chaque action y est datée : connexion d'un utilisateur, erreur système ou accès à un fichier. Les logs sont la "boîte noire" de l'informatique : ils permettent de surveiller le réseau, de dépanner des bugs et d'analyser le déroulement d'une cyberattaque.
Traitement et analyse des traces laissées par l’attaquant : adresses IP, fichiers modifiés, journaux système, élévation de privilèges(1) ou encore données temporelles permettant de reconstruire la chronologie de l’incident.
1. 🔎 Définition : Une élévation de privilèges (privilege escalation ) est une attaque où un pirate exploite des failles (mots de passe faibles, erreurs de configuration, etc.) pour obtenir des droits supérieurs à ceux d'un compte initialement compromis. Cela lui permet, par exemple, de passer d’utilisateur standard à administrateur. Ainsi, il peut accéder à des données sensibles, modifier des paramètres système ou installer des logiciels malveillants, souvent sans être détecté.
Interprétation et conclusion : étude de l’intrusion afin de comprendre les techniques utilisées et d’établir des conclusions exploitables.

Par exemple, après une intrusion sur un serveur, l’analyse forensique peut permettre de déterminer comment l’attaquant est entré, quelles actions il a réalisées et quelles données ont été compromises.

→ Faut-il engager des poursuites judiciaires en cas de cyberattaque ?¶

Le traitement en justice d'une attaque informatique fait partie des mesures de remédiation possibles après une cyberattaque. Ainsi, en plus de réparer les dégâts techniques et organisationnels, la victime peut engager une action en justice contre les attaquants. La première étape est le dépôt de plainte¹⁹ dès la détection de l’attaque.

Porter plainte permet notamment de :

Participer à la lutte contre la cybercriminalité (interpellation et dissuasion des criminels ; amélioration des stratégies de sécurité via les informations fournies qui aident les autorités et les chercheurs en sécurité à comprendre les tactiques, techniques et procédures utilisées ; possibilité de former le public aux menaces les plus récentes). se prémunir des conséquences d’une usurpation d’identité ;
Être accompagné dans des situations complexes (rançons, etc.) ;
Bénéficier des résultats de l’enquête (connaître l’auteur des faits, être indemnisé, récupérer des données dérobées, déchiffrement) ;
Être reconnu comme victime et faire valoir ses droits ;
Se prémunir des conséquences d’une usurpation d’identité…

→ Qu’est-ce qui définit la fin de sortie de crise ?¶

La fin d’une période de crise cyber ne signifie pas que l’organisation va retrouver un fonctionnement opérationnel immédiatement : la reconstruction et le durcissement de l’ensemble des systèmes peuvent prendre plusieurs mois²⁰. La fin de sortie de crise s’envisage donc lorsque les activités essentielles de l’organisation peuvent reprendre de manière habituelle.

Trois points à retenir :

La fin de la remédiation est atteinte quand les objectifs stratégiques sont satisfaits.
L’éradication n’est jamais parfaite à 100%, il faut viser un niveau d’assurance raisonnable et continuer la surveillance.
Le retour à la normale inclut souvent des changements durables dans les outils, les pratiques et parfois l’abandon de certains services.

→ À quoi sert le retour d’expérience (RETEX ou REX)?¶

Selon l’ANSSI¹⁷, le retour d’expérience de la remédiation doit aider à établir un plan d’action de sécurisation post-incident.

Il s’agit de :

Tirer les leçons de l’attaque :
au niveau technique, il s’agit de comprendre comment l’attaque a pu réussir, de vérifier si les outils de sécurité ont bien fonctionné et de renforcer les protections pour éviter que cela se reproduise ;
au niveau organisationnel, il s’agit d’analyser comment la crise a été gérée, de voir ce qui a bien ou mal fonctionné dans la coordination, la communication et la prise de décision, et d'améliorer les procédures.
Organiser des réunions à chaud avant que les prestataires externes ne repartent.
Construire un plan d’amélioration continue et renforcer la sécurité.

Le schéma ci-dessous permet de mieux visualiser les différents temps de la gestion d’un incident cyber¹⁷ :

Les differents temps de la gestion d'un incident cyber

- Phase de pilotage : de la gestion et suivi de la crise, jusqu'à la sortie de crise. - Phase de compréhension : détection / investigation / supervision - Phase de remédiation : endiguement/ éviction/ éradication. Un temps de reconstruction se met en place dès que l’incident a été endigué, et ce jusqu’à la fin de sortie de crise. - Phase de sécurisation : après la fin de sortie de crise vient un temps de modification du système de sécurisation (pour éviter que l'incident ne se reproduise).

→ Qu'est-ce qu'on peut conclure ? ¶

Gérer une crise, ce n’est pas seulement réparer ce qui ne fonctionne plus. C’est aussi l’occasion de rendre l’organisation plus solide face aux problèmes. L’objectif, à long terme pour les organisations, est d’apprendre à mieux comprendre et maîtriser les risques liés au numérique.

C'est sur un cas pratique de gestion de crise que nous souhaitons terminer ce chapitre. Il s'agit en effet d'un des très rares cas documentés d'une intervention des experts de l'ANSSI, mandatés pour endiguer une crise.

Un cas à relever

Dans la nuit du 8 au 9 avril 2015, l’astreinte du bureau “Réponse à incidents” de l’ANSSI a été appelée par TV5 Monde car la chaîne de télévision subissait un incident majeur et n’était plus en mesure de diffuser ses programmes. Lors du Symposium sur la sécurité des technologies de l'information et des communications 2017, une conférence menée par des agents de l’ANSSI a fait un retour technique inédit de cet incident. Une captation vidéo d’environ 1h et 15min est disponible, qui détaille l’analyse de l’incident et sa remédiation.

Source : Retour technique de l’incident de TV5Monde, static.sstic.org - Symposium sur la sécurité des technologies de l'information et des communications, juin 2017.

Qu’avez-vous pensé de ce contenu ? Clair : Utile :

Si vous souhaitez nous faire part de vos suggestions d'amélioration contactez-nous !

Envoyer un email à cyberclass@class-code.fr

¶

Pour aller plus loin ?¶

Fiches concepts liées¶

Licence¶

🎯 Attribution : Une réalisation collective produite par Class’Code dans le cadre du programme TalCyb. Ce travail a bénéficié d’une aide de l’État gérée par l’Agence nationale de la recherche au titre de France 2030 portant la référence ANR-23-CMAS-0020.

Cette ressource éducative a été produite sous licence CC BY-SA Class’Code 4.0 FR (1) - Publication : mars 2026 ; Dernière mise à jour : juin 2026.

Creative Commons - Attribution obligatoire et crédit à l’auteur - Liberté d’utilisation et d’adaptation - Pas de restriction spécifique

Sources¶

Voir la fiche dans le portail