Les premières actions
Les premiers réflexes à avoir vont tous converger dans un seul but : protéger les équipements qui ne sont pas encore corrompus.
- Déconnecter le système de sauvegarde du réseau. Les sauvegardes seront dans la majorité des cas le seul moyen de retrouver rapidement des données
- Couper l’accès à Internet de toute l’entité
- Arrêter tout le réseau interne : switchs réseaux, bornes Wifi afin qu’aucun équipement ne puisse communiquer avec un autre
- Dans la mesure du possible, et pour permettre une analyse des traces mémoires, il est recommandé de ne pas éteindre les équipements . Ne rien effacer également pour permettre une enquête approfondie
- En cas de doute sur un chiffrementChiffrement : Transformation de données pour qu'elles ne soient lisibles qu'avec une clé. Il protège les échanges et les sauvegardes ; les rançongicielsRançongiciel : Logiciel malveillant qui chiffre les fichiers et réclame une rançon pour les débloquer, souvent après avoir volé des données. Ne payez pas et appelez le CSIRT-BFC. le détournent pour bloquer les fichiers des victimes. en cours sur un équipement, éteindre cet équipement afin de bloquer le chiffrement
- Essayer de conserver au moins un équipement chiffré sous tension (ne pas le redémarrer ni l’arrêter) mais déconnecté du réseau. Cet équipement servira de preuve et de moyens d’investigation par des personnes spécialisées ou les services de police judiciaire.
Et ensuite ?
La seconde phase consistera à alerter les services qui permettront la remédiation (remise en état nominal) de votre production informatique. Pour cela, contacter votre CSIRT.