Méthodologie et référentiels

1. SOC

Le SOC doit être considéré comme le cœur de la supervision de sécurité. Il s’agit de l’entité qui se doit de connaître au maximum les systèmes d’information, leur fonctionnement et leurs particularités. Pour l’aider dans sa mission, le personnel du SOC travaille en étroite collaboration avec les opérationnels pour obtenir des schémas réseau et des indications sur la vie des systèmes. Il a ainsi une vision holistique de la sécurité de l’entreprise, ce qui lui permettra de corréler plusieurs événements suspects provenant de systèmes différents et de mettre en évidence un incident de sécurité.

Le SOC est considéré comme la première ligne de défense et possède à ce titre de nombreuses fonctions telles que :

À cela, ajoutons des actions d’évaluations de vulnérabilités ou la réalisation de simulations d’attaques telles que les tests d’intrusions. Une liste complète des fonctions proposées par le SOC est disponible aux pages 14-16 de l’ouvrage 11 Strategies of a World-Class Cybersecurity Operations Center, que vous retrouverez à l’adresse suivante : https://www.mitre.org/sites/default/files/2022-04/11-strategies-of-a-world-class-cybersecurity-operations-center.pdf

L’identification et la caractérisation d’une menace apportent un contexte induisant la conduite à tenir. Si la menace est considérée comme valide, le CSIRT prendra le relais.

2. CSIRT/CERT

Le Computer Security Incident Response Teams (CSIRT) correspond aux équipes qui coordonnent, réalisent et soutiennent la réponse aux incidents impliquant des sites au sein d’une circonscription définie...

1. Réponse à incident

Un incident de sécurité est défini par l’ANSSI comme un événement qui porte atteinte à la disponibilité, la confidentialité ou l’intégrité d’un bien. Il s’agit par exemple de l’utilisation illégitime d’un mot de passe, du vol d’équipements informatiques, de l’intrusion dans un fichier ou d’une application, etc.

La réponse à incident est donc une approche permettant l’identification jusqu’à la résolution d’un incident de sécurité. Il s’agit de comprendre factuellement quel est le vecteur initial de l’attaque (le point d’entrée), quelles sont les tactiques, techniques et procédures de l’attaquant, quel est l’impact sur le SI (nombre de machines, rôles, etc.), puis savoir si l’incident est toujours en cours et enfin déterminer une suite chronologique des événements (timeline) de l’incident. Le tout dans l’optique de contenir et de remédier à la situation le plus rapidement possible.

De nombreux auteurs et équipes de recherche se sont penchés sur des cycles de vie régissant l’ordre dans lequel cette réponse doit s’exécuter. Nous allons présenter les plus connus. Il faut garder à l’esprit que les méthodes qui vont être présentées sont issues de nombreuses réflexions sur une période de temps relativement longue, aussi de nombreuses similitudes existent entre elles, autant sur le fond que sur la forme. La présentation de ces méthodologies doit permettre au lecteur d’avoir une vision d’ensemble du découpage et du contenu des différentes phases.

1. Normes

Il ne s’agit pas ici d’une liste exhaustive tant le nombre de documents est important. Ce choix est donc subjectif et représente selon nous une base minimale vers laquelle se référer.

ISO/CEI 27037:2012(fr)

Technologies de l’information - Techniques de sécurité - Lignes directrices pour l’identification, la collecte, l’acquisition et la préservation de preuves numériques. 

ISO/IEC 17025

Propose un cadre et un ensemble de recommandations pour la mise en place d’un laboratoire d’investigation numérique en spécifiant les « exigences générales concernant la compétence des laboratoires d’étalonnages et d’essais ». Il ne s’agit pas d’une norme mais d’un ensemble de recommandations pouvant s’appliquer au contexte qui est le nôtre.

NIST SP 800-86

Il s’agit du Guide to Integrating Forensic Techniques into Incident Response (https://csrc.nist.gov/publications/detail/sp/800-86/final) qui apporte de nombreux éléments relatifs au processus permettant de réaliser une investigation numérique.

NIST 800-34

Cette norme offre les éléments, dans le cadre d’une réponse à incident, permettant d’assurer la continuité des services et la restauration de son SI. Ce n’est pas le sujet de cet ouvrage aussi nous vous invitons à poursuivre votre lecture ici : https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-34r1.pdf.

2. Standardisation des échanges

Les investigations numériques s’opèrent sur des systèmes hétérogènes et s’appuient sur un ensemble d’outils qui le sont tout autant. Que ce soit via des distributions dédiées telles que SIFT proposée par le SANS ou bien des outils développés en interne, il est devenu compliqué de partager les résultats produits par ces outils tant les formats sont différents et nécessitent un traitement plus ou moins long...