Rapprocher les indices, n'agir que sur une attaque confirmée
DIWALL-BCOMINFO réunit les signaux d'un même poste sur une heure. Un seul indice donne une alerte à nos techniciens ; deux sources d'accord font une attaque, et la riposte part.
Quatre étapes, de l'indice à la riposte
Écouter
Antivirus WithSecure, journal de sécurité du poste, programmes connectés à Internet, pare-feu.
Rapprocher
Les indices d'un même poste sont mis ensemble et notés.
Confirmer
Un incident WithSecure élevé ou sévère, plus une autre source.
Riposter
Isoler, arrêter, bloquer, et prévenir B COM INFO.
Deux sources d'accord sur quatre avant toute riposte automatique. Un logiciel métier détecté par erreur ne coupe rien : il suffit de le déclarer comme logiciel de confiance pour qu'il ne compte plus.
Ce que DIWALL-BCOMINFO écoute
Antivirus WithSecure
Incidents de la détection comportementale (EDR) et détections de l'antivirus. Isolement du poste et arrêt d'un programme.
Comportement du poste
Journal de sécurité de Windows : journal effacé, administrateur ajouté, service suspect, mots de passe essayés en série.
Programmes connectés
Toutes les 10 minutes, les programmes qui parlent à Internet, si vous l'activez.
Pare-feu pfSense
Journal de filtrage lu ; adresses de l'attaquant bloquées, poste mis en quarantaine.
Renseignement
Serveurs de pilotage de logiciels malveillants connus (abuse.ch), alertes et avis du CERT-FR.
Vos logiciels métier
Réservation, caisse, gestion de cabinet : déclarés de confiance, ils ne déclenchent plus rien.
Et si la riposte se trompait ?
Plafonds, serveurs épargnés, blocages limités dans le temps : voyez les garde-fous.