La réponse à incident, méthode et étapes

Quand une alerte se confirme et qu’une intrusion est avérée, la pression monte d’un coup : la direction veut savoir, les utilisateurs ne peuvent plus travailler, l’attaquant est peut-être encore là. Et c’est le moment où l’on fait le plus d’erreurs. La réponse à incident est une discipline qui s’appuie sur des méthodes éprouvées, pour agir vite sans agir n’importe comment.

Les cadres de référence

NIST SP 800-61

Le guide du NIST SP 800-61 est la référence la plus citée. Sa révision 2 (2012) décrit un cycle en quatre phases :

   Préparation ──► Détection et analyse ──► Confinement, éradication ──► Activités
        ▲                     ▲              et rétablissement           post-incident
        │                     └──────────────────────┘                          │
        └──────────────────────────────────────────────────────────────────────┘

Sa révision 3, publiée en 2025, élargit la perspective : elle intègre la réponse à incident dans la gestion globale des risques et l’aligne sur les six fonctions du NIST Cybersecurity Framework 2.0 (Govern, Identify, Protect, Detect, Respond, Recover). Les étapes opérationnelles restent les mêmes, mais l’accent est mis sur le fait que la réponse à incident se prépare et s’améliore en continu, à l’échelle de toute l’organisation.

SANS : PICERL

Le SANS propose une découpe en six étapes, très utilisée sur le terrain :

Étape	Objectif
Préparation	Outils, procédures, contacts, journaux, exercices, avant l’incident
Identification	Détecter, qualifier, déterminer le périmètre
Confinement	Stopper la propagation et l’action de l’attaquant
Éradication	Supprimer les accès, outils et persistances de l’attaquant
Rétablissement	Remettre en service de façon sûre, surveiller
Leçons apprises	Retour d’expérience et améliorations

La préparation : tout se joue avant

Un incident bien géré est d’abord un incident préparé :

• un plan de réponse et des fiches réflexes par type d’incident (rançongiciel, compromission de messagerie, fuite de données) ;
• les contacts à jour : équipe technique, direction, juridique, communication, assureur, prestataire de réponse à incident, autorités ;
• les journaux collectés et conservés assez longtemps ;
• des outils prêts : EDR capable d’isoler, outils de collecte, comptes d’urgence ;
• des sauvegardes hors ligne testées ;
• des exercices de crise réguliers, pour que chacun sache son rôle.

Les premières heures

À faire	À éviter
Qualifier : que se passe-t-il, quelle étendue probable ?	Conclure trop vite sur la base d’une seule machine
Isoler les machines touchées du réseau	Éteindre brutalement (perte de la mémoire vive)
Préserver les traces : journaux, mémoire, copies de disques	Réinstaller ou « nettoyer » avant d’avoir collecté
Mobiliser la cellule de crise et la direction	Agir seul, sans coordination
Tenir une main courante horodatée	Garder les informations dans sa tête ou dans des messages épars
Communiquer par un canal sûr	Utiliser la messagerie compromise pour parler de l’incident

Confiner, éradiquer, rétablir

Le confinement

Objectif : stopper la propagation et l’action de l’attaquant, en gardant les traces. Les moyens, du plus ciblé au plus large :

• isoler une machine via l’EDR ou en la débranchant ;
• bloquer des adresses ou des domaines au pare-feu et au proxy ;
• désactiver des comptes, révoquer des sessions ;
• couper des flux entre zones du réseau, voire couper l’accès à Internet.

L’éradication

Une fois l’étendue comprise, on retire tout ce que l’attaquant a mis en place : outils, persistances, comptes créés, droits modifiés, et on réinitialise les identifiants compromis (voire tous, et le compte krbtgt deux fois si le domaine est touché, voir la série Active Directory). On corrige aussi la porte d’entrée, sinon l’attaquant reviendra par le même chemin.

Le rétablissement

On remet en service progressivement, à partir de systèmes sains (reconstruits ou restaurés depuis des sauvegardes antérieures à la compromission), sous surveillance renforcée, en vérifiant que l’attaquant ne revient pas.

Les obligations de notification

En France, plusieurs obligations peuvent s’appliquer selon la situation :

Destinataire	Quand	Délai
CNIL	Violation de données personnelles présentant un risque	72 heures après en avoir pris connaissance (RGPD, art. 33)
Personnes concernées	Risque élevé pour leurs droits et libertés	Dans les meilleurs délais
ANSSI / CERT-FR	Entités soumises à une réglementation (NIS, NIS2, OIV…)	NIS2 : alerte précoce sous 24 h, notification sous 72 h, rapport final sous un mois
Police, gendarmerie	Dépôt de plainte	Le plus tôt possible
Assureur	Selon le contrat	Souvent très court

Les victimes peuvent aussi s’appuyer sur Cybermalveillance.gouv.fr, sur les CSIRT régionaux (pour les entreprises, collectivités et associations de leur région) et, pour les entités concernées, sur le CERT-FR.

Le retour d’expérience

Une fois l’incident clos, le retour d’expérience (RETEX) répond à quelques questions simples :

• quelle est la chronologie complète, de l’accès initial à la détection ?
• quelles sont les causes racines (techniques et organisationnelles) ?
• qu’est-ce qui a bien fonctionné, qu’est-ce qui a manqué ?
• quelles mesures prendre, par qui, pour quand ?
• quelles nouvelles détections auraient permis de voir l’attaque plus tôt ?

C’est cette étape qui transforme un incident subi en progrès réel.

L’article suivant détaille la préservation des preuves et l’ordre de volatilité.