Réponse aux incidents

Fait partie de la section Principes fondamentaux de la sécurité du Journey Cybersecurity de Coddy. Leçon 38 sur 43.

Lorsqu’un attaquant accède au compte d’une entreprise, la première chose à faire est de l’empêcher de causer davantage de dégâts. Ensuite, vous enquêtez, supprimez tout ce qu’il a laissé derrière lui et aidez le personnel à reprendre le travail en toute sécurité. Ce processus s’appelle la réponse aux incidents.

Un attaquant peut parfois voler la session d’un navigateur sur un ordinateur. La session est déjà ouverte, donc l’attaquant n’aura peut-être pas à saisir de mot de passe ni à repasser par l’authentification multifacteur. Par exemple, supposons que Lee signale que la session externe ci-dessous n’est pas la sienne :

seclab sessions lee

Vous devriez voir :

user  address       machine  since
lee   203.0.113.77  mail     2026-10-25 21:04:00

Désactivez le compte de Lee pendant que vous enquêtez. Cela empêche les nouvelles connexions et met fin aux sessions déjà ouvertes :

seclab disable lee

Vous devriez voir :

Disabled lee. They can no longer log in.

Lee ne pourra pas travailler avec ce compte tant qu’il sera désactivé. Conservez l’enregistrement du compte pour pouvoir enquêter, puis rétablissez l’accès une fois le problème résolu.

Défi

Facile

Ticket de Sam, responsable informatique

Une alerte de création d’un nouveau compte administrateur s’est déclenchée pendant que nous déplacions les systèmes. Un attaquant a déjà copié un petit échantillon de commandes et s’apprête à copier la liste complète des clients. Trouve le compte du personnel qu’il utilise et désactive-le avant que davantage de données ne soient exfiltrées. Conserve son dossier, mon compte et notre service de sauvegarde approuvé.

Essayez vous-même

Terminal