Les entreprises face aux cyberattaques : comment s’organiser ?

Il existe une partie plus émergée : le lien avec le client. Dans un tel contexte, celui-ci se révèle primordial. Comprendre l’attaque passe en effet par des échanges approfondis avec les équipes qui, du côté de l’organisation impactée, sont confrontées à l’agression, et peuvent parfois être désemparées.

Rassurer, assister, rechercher, orienter… Voici les missions qui sont confiées à certains Consulting analysts. Son travail : assurer le lien avec le client attaqué lorsque les dommages se déclarent. L’un d’entre eux témoigne :

« Parfois, l’attaque est assez classique, sans nuance : c’est noir ou c’est blanc, et donc assez aisé à contrer », explique-t-il. « Dès que l’attaque est déclenchée et que le client nous la signale, nous allons le voir. Nous réalisons un brief sur ce que les équipes pensent qu’il est arrivé. Qu’est-ce qui a été découvert ? Quels sont les faits ? Nous recherchons alors à collecter un maximum d’informations, à un moment où tout est encore frais dans l’esprit de chacun. Car nous devons bien sûr intervenir rapidement. »

Dans un grand nombre de cas, l’attaque s’inscrit dans un format classique, que les experts en cyber défense ont déjà rencontré et pour lequel ils disposent de réponses balisées. Mais dans d’autres cas, par exemple lorsqu’une attaque est massive, il faut procéder de manière méthodique afin d’apporter une réponse plus personnalisée.

« Nous réalisons alors une timeline très précise des événements qui se sont produits, explique notre Consulting analyst. Quelle est la machine qui a été touchée ? Y a-t-il eu des mouvements latéraux ? Quand ? Vers quel poste ? A-t-on été attaqué par la “front door” ? Par la “back door” ? »

Dans certaines configurations, le client dispose d’un SOC, un Security operation center, ce qui permet au Consulting analyst et à ses collègues d’avoir accès à des données techniques claires. Dans d’autres configurations, il faut se lancer à la recherche d’un ensemble de détails, investiguer, refaire le puzzle…

« Cela peut prendre pas mal de temps, parfois des semaines », détaille notre Consulting analyst. « Tout le scénario doit être retracé : qui sont les attaquants, pourquoi veulent-ils faire certaines choses… Connaître leur stratégie est essentiel car nous avons une très bonne connaissance des groupes APT qui sont actifs et pouvons, une fois qu’ils sont identifiés, trouver des réponses. J’ai le souvenir d’une attaque dans laquelle les informations d’identification avaient été compromises, rendant l’identification de la source très délicate. Dans ces cas, notamment lorsque l’attaque est massive, nous multiplions la présence d’analystes dans les équipes. Il faut de l’intelligence collective, mais il faut aussi toujours un second regard. »

Cette mixité permet aux équipes d’effectuer un bilan d’ensemble, une fois que l’attaque a pu être circonscrite et que tout est rentré dans l’ordre. Qu’est-ce qui est arrivé ? Comment cela est-il advenu ? Est-ce que le pare-feu est en cause ? Est-ce l’authentification qui a été violée ? Un ransomware a-t-il été utilisé ou la faiblesse vient-elle d’une application ?

« En agissant de la sorte, au plus près du client, nous essayons avant tout d’agir avec méthode, en demeurant très factuel et processé », conclut notre Consulting analyst. « Surtout, nous ne jugeons jamais les entreprises. Une attaque peut être très traumatisante pour elle et notre rôle – au-delà de la dimension technique du travail – est de rassurer, d’épauler, d’aider. En espérant que le bilan effectué à la fin des opérations permettra à l’organisation de recouvrer toutes ses données, et de repartir de plus belle. »