La réponse aux incidents (IR) suit le cycle de vie du NIST SP 800-61 : préparation, détection et analyse, confinement/éradication/récupération, et retour d'expérience ; la forensique numérique préserve les preuves grâce à la chaîne de possession et au hachage SHA-256. NIS2, toujours en attente de transposition en Espagne, prévoit une alerte précoce sous 24 heures et une notification de l'incident sous 72 heures (le même délai que le RGPD fixe pour les violations de données), puis un rapport final sous un mois.
Lorsqu'une alerte de violation de sécurité se déclenche, les premières heures déterminent si l'organisation gère un incident maîtrisé ou une crise ouverte. La réponse aux incidents (IR) et la forensique numérique sont les disciplines qui transforment ce chaos initial en un processus ordonné : contenir les dégâts, comprendre ce qui s'est passé et préserver les preuves sous une forme qui a un poids juridique et probatoire. Cet article couvre le cycle de vie de l'IR, les principes forensiques qui sous-tendent la chaîne de possession, et les obligations légales de notification qui, en 2026, font du signalement une exigence réglementée et non une option.
Le cycle de vie de la réponse aux incidents
Le cadre le plus largement adopté est celui du NIST, publié dans la Special Publication 800-61, qui structure l'IR en quatre phases itératives : préparation ; détection et analyse ; confinement, éradication et récupération ; et activité post-incident. Le SANS décrit six phases avec un niveau de détail similaire. Ce qui compte n'est pas le nombre précis d'étapes mais le fait de comprendre que l'IR est une boucle : les enseignements tirés d'un incident alimentent la préparation du suivant.
- Préparation : la phase la plus précieuse et la plus négligée. Elle comprend le plan écrit, les playbooks par type de menace, la formation de l'équipe (CSIRT), l'inventaire des actifs et l'instrumentation de la télémétrie. Une équipe qui improvise pendant un incident a déjà perdu.
- Détection et analyse (triage) : distinguer l'événement réel du flot d'alertes. La priorité est fixée par l'impact sur l'activité et l'étendue de la compromission.
- Confinement, éradication et récupération : isoler ce qui a été affecté, supprimer la persistance de l'attaquant et restaurer le service tout en vérifiant que la menace n'est plus présente.
- Retour d'expérience : la réunion post-mortem sans recherche de coupable qui documente ce qui a échoué et quels contrôles ajouter.
Triage : prioriser sous pression
Le triage est l'art de prendre des décisions rapides avec des informations incomplètes. Trois questions guident la priorisation : quels systèmes sont affectés et quelle est leur criticité pour l'activité ; l'attaquant est-il encore actif dans le réseau ; et des données personnelles ou réglementées sont-elles concernées ? Une infection par rançongiciel sur un serveur de fichiers de production contenant des données clients est un incident de sévérité maximale ; un signal de malware sur une machine de test isolée ne l'est pas. La matrice de sévérité doit être définie pendant la phase de préparation, car la calibrer sous le feu de l'action conduit à des erreurs coûteuses. Un principe opérationnel clé est de ne pas éteindre immédiatement les machines compromises : cela détruit la mémoire volatile, où réside souvent la preuve la plus précieuse.
La forensique numérique et l'ordre de volatilité
La forensique numérique acquiert, préserve et analyse les preuves électroniques de manière recevable et reproductible. Son principe directeur est l'ordre de volatilité, défini dans la RFC 3227 : les données les plus éphémères sont collectées en premier. La hiérarchie standard est la suivante :
| Priorité | Source de preuve | Volatilité | Outil type |
|---|---|---|---|
| 1 | Registres CPU, cache, table de routage, connexions réseau actives | Secondes | Commandes système, scripts de collecte |
| 2 | RAM (image mémoire complète) | Jusqu'à l'arrêt | Volatility, FTK Imager, LiME |
| 3 | Processus en cours et fichiers temporaires | Minutes à heures | osquery, EDR |
| 4 | Disque (image bit à bit) | Persistant | dd, Guymager, bloqueur d'écriture |
| 5 | Journaux centralisés et sauvegardes | Jours à mois | SIEM, stockage WORM |
L'analyse mémoire à l'aide d'un cadre comme Volatility permet de reconstituer des processus malveillants qui n'ont jamais touché le disque — les logiciels malveillants dits « fileless » —, de récupérer des clés de chiffrement de volume conservées en mémoire, et de cartographier les connexions de commande et contrôle. Les images disque sont toujours obtenues à l'aide d'un bloqueur d'écriture pour garantir que l'original n'est pas altéré pendant la copie.
La forensique ne se limite pas aux disques et à la mémoire des postes. Les sources de preuves se sont considérablement multipliées : les journaux du proxy et du pare-feu révèlent le trafic d'exfiltration ; les journaux d'authentification Active Directory montrent le mouvement latéral et l'élévation de privilèges ; dans les environnements cloud, les journaux d'audit de la plateforme — qui a créé quelle ressource, depuis quelle IP, avec quels identifiants — sont souvent l'élément clé nécessaire pour reconstituer une compromission qui n'a jamais touché de serveur physique. La forensique cloud ajoute un défi particulier : la preuve est éphémère et partagée, donc activer et préserver la journalisation d'audit avant un incident est décisif. Une organisation qui découvre, en pleine investigation, que ses journaux cloud ne sont conservés que sept jours a perdu l'essentiel de l'histoire qu'elle devait raconter.
Reconstitution de la chronologie et attribution
Le livrable central d'une investigation forensique est la timeline : une chronologie unifiée qui organise chaque artefact — création de fichiers, exécutions de processus, connexions réseau, événements d'authentification — en une séquence cohérente. Des outils comme Plaso et son moteur log2timeline fusionnent les horodatages de dizaines de sources en un seul fil, ce qui permet de répondre aux questions qui comptent : quand l'attaquant est-il entré (le vecteur d'accès initial), qu'a-t-il fait ensuite, quelles données a-t-il touchées, et quand a-t-il été détecté. La fiabilité de cette chronologie dépend entièrement de la synchronisation des horloges : si les horloges système ne pointent pas toutes vers une source NTP commune, les horodatages de différents systèmes ne peuvent pas être alignés et la reconstitution devient de la conjecture.
L'attribution — déterminer qui est derrière l'attaque — est délibérément prudente dans un travail forensique sérieux. Plutôt que de nommer des suspects, le comportement observé est cartographié par rapport à des cadres comme MITRE ATT&CK pour caractériser l'adversaire par ses tactiques et techniques, et il est croisé avec la threat intelligence pour l'associer, avec des niveaux de confiance explicites, à des campagnes connues. L'attribution prématurée est un piège courant : elle conduit à des conclusions qui ne résistent pas à un contre-interrogatoire et peut détourner toute la réponse vers le mauvais suspect.
Chaîne de possession : l'intégrité comme exigence légale
La chaîne de possession est l'enregistrement documentaire ininterrompu de qui a eu accès à chaque élément de preuve, quand, où et dans quel but, depuis l'acquisition jusqu'à la présentation. Si elle est rompue, la preuve perd sa valeur probatoire même si elle est techniquement correcte. Les piliers sont :
- Hachage cryptographique : une empreinte SHA-256 de chaque image est calculée au moment de l'acquisition et vérifiée à chaque copie ultérieure. Si le hash correspond, la preuve est identique à l'original ; sinon, la preuve a été altérée.
- Travailler sur des copies : l'analyse n'est jamais effectuée sur la preuve originale, uniquement sur une copie vérifiée, en préservant la source intacte.
- Documentation complète : des formulaires de possession signés à chaque transfert, enregistrant la date, l'heure et la personne responsable.
- Stockage sécurisé : accès restreint et journalisé aux preuves stockées.
Erreurs courantes
La première et la plus grave est d'agir sur un système actif sans collecter la mémoire au préalable : redémarrer ou éteindre détruit des preuves volatiles irrécupérables. La deuxième est d'analyser l'original plutôt qu'une image, contaminant la seule copie authentique. La troisième est de ne pas synchroniser les horloges : si les horodatages de différents systèmes ne sont pas alignés sur une source NTP fiable, reconstituer la chronologie de l'attaque devient impossible. La quatrième est une mauvaise communication : alerter par inadvertance l'attaquant — par exemple en changeant visiblement les mots de passe avant d'avoir une vision complète — ou, à l'inverse, notifier les autorités trop tard et enfreindre les délais légaux.
Obligations de notification : NIS2 et RGPD
En 2026, la notification des incidents n'est plus discrétionnaire. NIS2 (Directive UE 2022/2555), toujours en attente de transposition en Espagne, prévoit que les entités essentielles et importantes notifient à leur CSIRT national un incident significatif avec une alerte précoce sous 24 heures et une notification de l'incident sous 72 heures, suivie d'un rapport final sous un mois. Parallèlement, lorsqu'un incident implique une violation de données personnelles, le RGPD exige une notification à l'autorité de contrôle dans un délai maximal de 72 heures à compter de la prise de connaissance de la violation, ainsi qu'une notification aux personnes concernées lorsqu'il existe un risque élevé pour leurs droits et libertés. Ces délais font de la rapidité du triage un enjeu de conformité et renforcent la nécessité que la phase de préparation inclue des procédures de notification déjà rédigées et prêtes à l'emploi.
Questions fréquentes
Ai-je besoin d'une équipe forensique interne ou puis-je externaliser ?
De nombreuses organisations combinent un CSIRT interne pour le triage et le confinement avec un prestataire spécialisé pour la forensique approfondie et le travail d'expertise judiciaire. Le point critique est que les contrats-cadres soient signés avant que l'incident ne survienne, et non négociés pendant la crise.
Quelle est la différence entre un IOC et un TTP ?
Un indicateur de compromission (IOC) est une donnée spécifique — un hash, une adresse IP, un domaine — qui révèle une intrusion connue. Les tactiques, techniques et procédures (TTP), cataloguées dans des cadres comme MITRE ATT&CK, décrivent le comportement de l'attaquant et sont bien plus difficiles à contourner qu'un simple changement d'IP.
Combien de temps dois-je conserver les preuves ?
Jusqu'à l'expiration du délai de prescription pour une éventuelle action en justice et la clôture de toutes les obligations réglementaires, ce qui implique généralement plusieurs années. La politique de conservation doit être définie avec un conseil juridique.
Le chiffrement du disque complique-t-il la forensique ?
Oui, si le système est éteint. C'est précisément pour cela que l'acquisition mémoire à chaud est si précieuse : les clés de chiffrement des volumes montés résident généralement dans la RAM tant que la machine fonctionne.
Conclusion
La capacité de réponse aux incidents ne se démontre pas le jour de l'attaque, mais dans les mois précédents de préparation silencieuse : playbooks répétés, télémétrie déployée, horloges synchronisées, et procédures de possession et de notification écrites. La forensique numérique ajoute la rigueur qui transforme un soupçon en preuve recevable, et la chaîne de possession est ce qui soutient cette preuve devant un juge ou un régulateur. La leçon opérationnelle est brutale : chaque minute de la première heure consomme une preuve volatile irrécupérable, et chaque heure des premières 72 heures rapproche ou éloigne l'organisation de la conformité avec NIS2 et le RGPD. Chez Summum Sistemas, nous structurons l'IR comme une capacité permanente, et non comme une mesure réactive, car la seule réponse aux incidents qui fonctionne est celle qui était prête avant que l'incident ne survienne.