28.5.2 Module 28 – Questionnaire d’évaluation des alertes

Explication: Une chaîne de responsabilité désigne la prise en compte des preuves recueillies sur un incident et utilisées dans le cadre d’une enquête. La chaîne de responsabilité doit contenir l’emplacement de toutes les preuves, les informations d’identification de toutes les preuves, telles que les numéros de série et noms d’hôte, les informations d’identification de toutes les personnes en charge du traitement des preuves, ainsi que la date et l’heure auxquelles les éléments de preuve ont été recueillis.

Explication: La chaîne de cybercriminelle spécifie les sept étapes (ou phases) et séquences qu’un hacker doit effectuer pour exécuter une attaque:

• Reconnaissance – L’acteur de menace réalise des recherches, recueille des informations et sélectionne des cibles.
• Déploiement des armes – L’acteur de menace utilise les informations de reconnaissance en vue de développer une arme contre les systèmes ou les individuels ciblés dans l’entreprise.
• Livraison – L’arme est transmise à la cible à l’aide d’un vecteur de livraison.
• Exploitation – L’acteur de menace utilise l’arme diffusée pour tirer parti de la vulnérabilité et prendre le contrôle de la cible.
• Installation – L’acteur de menace crée une porte dérobée dans le système afin de bénéficier d’un accès continu à la cible.
• Commande et contrôle (CnC) – L’acteur de menace établit une connexion entre un serveur de type commande et le contrôle (CnC) et le système cible.
• Action en fonction des objectifs – L’acteur de menace est en mesure d’effectuer des actions spécifiques sur le système cible et atteint ainsi son objectif initial.

Explication: L’élément Ressources du modèle Diamond sert à décrire une ou plusieurs ressources externes utilisées par le hacker pour l’événement d’intrusion. Les ressources comprennent les logiciels, connaissances acquises par le hacker, informations (noms d’utilisateur/mots de passe, par exemple) et ressources utilisés pour mener l’attaque.

Explication: Le NIST recommande de définir des politiques, des plans et des procédures pour créer et mettre en œuvre un modèle CSIRT. L’un des objectifs de l’élément du plan est d’élaborer des métriques pour mesurer la capacité de gestion des incidents et son efficacité.

Explication: Voici les mesures qui peuvent être prises pour identifier plus facilement un hôte attaquant lors d’un incident de sécurité:
– Utiliser les bases de données d’incidents pour rechercher des activités associées.
– Valider l’adresse IP du hacker afin de déterminer si elle est viable
– Utiliser un moteur de recherche Internet pour obtenir des informations supplémentaires sur l’attaque.
– Surveiller les canaux de communication que certains acteurs de menace utilisent, tels que le canal IRC.

Explication: Le MITRE Framework est une base de connaissances mondiale sur le comportement des acteurs de menace. Il est basé sur l’observation et l’analyse des exploits du monde réel dans le but de décrire le comportement de l’attaquant, et non l’attaque elle-même. Il est conçu pour permettre le partage automatisé de l’information en définissant des structures de données pour l’échange d’informations entre sa communauté d’utilisateurs et MITRE.

Explication: NIST se compose des quatre étapes suivantes:

• Collection – l’identification des sources potentielles de données d’investigation et acquisition, gestion et stockage de ces données.
• Examen – évaluation et extraction des informations pertinentes à partir des données recueillies. La décompression ou le déchiffrement des données peuvent faire partie du processus.
• Analyse – déduction de conclusions à partir des données. Les principales caractéristiques, telles que les personnes, les lieux, les dates et heures, les événements et ainsi de suite, doivent être documentées.
• Rapport – préparation et présentation des informations issues de l’analyse. Les rapports doivent être impartiaux et doivent inclure des explications détaillées si cela est nécessaire.

Explication: Une fois qu’une arme est diffusée, les exploits ciblent le plus souvent les applications, les vulnérabilités du système d’exploitation et les comptes utilisateur. Entre autres mesures, l’organisation d’une formation de sensibilisation des employés, l’exécution de tests par e-mail et l’audit des terminaux pour déterminer l’origine des exploits peuvent contribuer à bloquer les exploitations potentielles d’un système.

Explication: Le modèle d’intrusion Diamond se compose de quatre parties:

• Adversaire – il s’agit des parties responsables de l’intrusion
• Capacité – un technique ou outil utilisé par le hacker pour attaquer la victime.
• Infrastructure – les chemins d’accès réseau que les adversaires empruntent pour commander et contrôler leurs capacités.
• Victime – cible de l’attaque

Explication: Le NIST recommande de définir des politiques, des plans et des procédures pour créer et mettre en œuvre un modèle CSIRT. L’un des objectifs de l’élément de stratégie est de détailler la manière dont les incidents doivent être gérés sur la base de la mission et des fonctions de l’entreprise.

Explication: NIST se compose des quatre étapes suivantes:

• Collection – l’identification des sources potentielles de données d’investigation et acquisition, gestion et stockage de ces données.
• Examen – évaluation et extraction des informations pertinentes à partir des données recueillies. La décompression ou le déchiffrement des données peuvent faire partie du processus.
• Analyse – déduction de conclusions à partir des données. Les principales caractéristiques, telles que les personnes, les lieux, les dates et heures, les événements et ainsi de suite, doivent être documentées.
• Rapport – préparation et présentation des informations issues de l’analyse. Les rapports doivent être impartiaux et doivent inclure des explications détaillées si cela est nécessaire.

Explication: La chaîne cybercriminelle a été créée pour identifier et empêcher les cyberattaques en stipulant ce que les hackers doivent faire pour atteindre leur objectif.

Explication: Pour récupérer des postes de travail utilisateurs infectés, utilisez des sauvegardes propres et récentes ou régénérez les PC avec des supports d’installation s’ils ont été infectés ou si aucune sauvegarde n’est disponible. Veuillez également mettre à jour le système d’exploitation et les logiciels installés sur tous les hôtes, et leur appliquer les correctifs nécessaires. Tous les utilisateurs sont invités à modifier les mots de passe du ou des postes de travail qu’ils utilisent. La régénération des serveurs DHCP n’est nécessaire que s’ils sont touchés par l’incident. Ajoutons encore que le paramètre de configuration du nom et du mot de passe ne doit être modifié que sur les périphériques qui ont été touchés par l’incident.

Explication: La chaîne de cybercriminelle spécifie les sept étapes (ou phases) et séquences qu’un hacker doit effectuer pour exécuter une attaque:

• Reconnaissance – L’acteur de menace réalise des recherches, recueille des informations et sélectionne des cibles.
• Déploiement des armes – L’acteur de menace utilise les informations de reconnaissance en vue de développer une arme contre les systèmes ou les individuels ciblés dans l’entreprise.
• Livraison – L’arme est transmise à la cible à l’aide d’un vecteur de livraison.
• Exploitation – L’acteur de menace utilise l’arme diffusée pour tirer parti de la vulnérabilité et prendre le contrôle de la cible.
• Installation – L’acteur de menace crée une porte dérobée dans le système afin de bénéficier d’un accès continu à la cible.
• Commande et contrôle (CnC) – L’acteur de menace établit une connexion entre un serveur de type commande et le contrôle (CnC) et le système cible.
• Action en fonction des objectifs – L’acteur de menace est en mesure d’effectuer des actions spécifiques sur le système cible et atteint ainsi son objectif initial.

Explication: Attribuer une menace consiste à identifier l’individu, l’entreprise ou le pays responsable d’une intrusion ou d’une attaque. L’équipe en charge de l’enquête met en corrélation toutes les preuves afin d’identifier les points communs entre les tactiques, techniques et procédures (TTP) des hackers connus et inconnus.