Aller au contenu

TP – Gérer un rançongiciel (exercice de crise) et collecter des preuves

BTS SIO SISR 1re année – Bloc 3 – S17

Note

But. Situation : Quand une attaque a réussi, que faire dans l'ordre, qui prévenir, et comment garder des preuves utilisables ?

Comment ce TP fonctionne. Avant de manipuler, tu écris ce que tu anticipes (« J'anticipe »). Puis tu testes et tu notes ce que tu constates. Tu comprends ce que fait chaque commande (« Je comprends »). Un bilan de compétences clôt la séance. Les manipulations se font sur des machines virtuelles de laboratoire, isolées du réseau de l'établissement. Les identifiants communs d'un TP sont des identifiants de laboratoire : ils ne se réutilisent jamais ailleurs.

Objectif

Gérer un rançongiciel dans un exercice de crise (qualification, premières actions, communication, décisions), puis collecter des informations volatiles sur une machine en garantissant leur intégrité et rédiger un retour d'expérience.

Contraintes

  • Groupes de 3 ou 4 pour la partie A (rôles : responsable de crise, pilote technique, scribe, DPO/communication), binômes pour la partie B.
  • Cas fictif : aucune action n'est faite sur de vrais systèmes. La partie B se fait sur ta VM de laboratoire.
  • Les injects de l'annexe Delmas sont donnés un par un par l'enseignant.

Partie A. Exercice de crise « Delmas » (95 min)

A1. Avant le premier inject (10 min)

Lis le contexte du cabinet (partie « Le cabinet » de l'annexe seulement). Complète :

Question Réponse
Quelles sont les forces de la préparation du cabinet ?
Quelles sont les faiblesses (sauvegardes, réseau, compétences) ?

A2. Au fil des injects

Pour chaque inject, le scribe écrit une ligne de main courante et le groupe répond aux questions.

Heure Ce que nous constatons Ce que nous décidons Qui Pourquoi
08 h 10
08 h 25
08 h 40
09 h 10
09 h 40
10 h 30
11 h 00

J'anticipe. À 08 h 10, quelle est la première action que tu proposes ? Éteindre les ordinateurs, débrancher le réseau, appeler la police, ou payer ? ______________________

Éléments de réponse

Isoler du réseau les machines touchées (câble, Wi-Fi), pour arrêter la propagation et protéger les sauvegardes, tout en gardant les machines allumées si possible pour ne pas perdre les indices en mémoire. On prévient la direction, on note l'heure. Le paiement n'est pas une action immédiate.

Questions de fin d'exercice.

  1. Qualification : de quel type d'incident s'agit-il ? Quels principes (disponibilité, confidentialité) sont atteints ? ______________________
  2. À 08 h 40, que décides-tu pour le NAS et le disque USB ? Peut-on restaurer ? Comment s'assurer que la sauvegarde est saine ? ______________________
  3. À 09 h 10, la menace de publier les données change-t-elle la qualification ? Quelles obligations en découlent (S08) ? ______________________
  4. Faut-il payer ? Quels arguments donnes-tu à Mme Delmas ? ______________________
  5. À 10 h 30, que réponds-tu au prestataire qui veut « nettoyer » et restaurer tout de suite ? ______________________
  6. Complète le tableau des notifications :
Qui Faut-il prévenir ? Délai Par qui
CNIL
Clients du cabinet
Assureur
Police / gendarmerie
Cybermalveillance.gouv.fr
Journaliste (11 h 00)
  1. Rédige trois lignes de réponse au journaliste (sans détails techniques, sans nom de client). ______________________
  2. Rédige un courriel d'alerte de trois lignes aux clients qui ont pu recevoir un message suspect. ______________________
  3. Quelle est la cause racine probable ? Quelles mesures de prévention auraient réduit l'impact (au moins quatre) ? ______________________
  4. Établis le plan de reprise : dans quel ordre restaurer (postes, serveur, accès) et avec quelles vérifications ? ______________________

Partie B. Collecter des preuves (40 min)

Sur ta VM Debian, enregistre le script collecte.sh :

#!/bin/bash
# Collecte des informations volatiles (laboratoire), dans l'ordre de volatilité
set -u
DEST=~/preuves/$(hostname)-$(date +%Y%m%d-%H%M%S)
mkdir -p "$DEST" && cd "$DEST" || exit 1
{
  date --iso-8601=seconds; echo "Opérateur : $(whoami)"; echo "Machine : $(hostname)"
} > 00-contexte.txt
uptime                          > 01-uptime.txt
ss -tupan                       > 02-connexions.txt 2>&1
ps -eo pid,ppid,user,lstart,cmd --sort=start_time > 03-processus.txt
who -a                          > 04-sessions.txt
last -n 30                      > 05-dernieres-connexions.txt 2>&1
journalctl --no-pager -n 500    > 06-journal-systeme.txt 2>&1
ls -la /tmp /var/tmp            > 07-fichiers-tmp.txt 2>&1
sha256sum ./*.txt               > SHA256SUMS
echo "Collecte terminée dans $DEST"

chmod 750 collecte.sh
sudo ./collecte.sh
ls ~/preuves/*/
cd ~/preuves/*/ && sha256sum -c SHA256SUMS

Falsifie volontairement une pièce, puis revérifie :

echo "modification" >> 05-dernieres-connexions.txt
sha256sum -c SHA256SUMS

Je comprends.

Élément Rôle
Ordre des fichiers 01, 02… Du plus volatil (état du système, connexions) au moins volatil
ss -tupan Connexions réseau avec les processus
ps -eo … lstart Processus avec leur date de démarrage (repérer un processus récent suspect)
who -a, last Sessions en cours et récentes
sha256sum … > SHA256SUMS Empreintes pour prouver l'intégrité
sha256sum -c Vérifie qu'aucun fichier n'a changé

Questions.

  1. Pourquoi collecte-t-on 02-connexions.txt avant les journaux du disque ? ______________________
  2. Que se passe-t-il à la vérification après la falsification ? Que prouve cela ? ______________________
  3. Où devrait être copié le dossier de preuves en situation réelle ? Pourquoi pas sur la machine analysée ? ______________________
  4. Une empreinte seule ne prouve pas qui a produit le dossier. Comment rendre le dossier authentique (S11) ? ______________________
  5. Rédige les trois mentions d'une fiche de chaîne de possession (qui, quand, quoi). ______________________

Partie C. Retour d'expérience (15 min)

Question Réponse
Ce qui a bien fonctionné
Ce qui a manqué
Cause racine
Actions d'amélioration (action, responsable, échéance) 1. 2. 3.

Retour en entreprise

Si ta situation le permet : observe comment ton entreprise traite ce sujet, note en quelques lignes l'écart avec le TP, et, avec l'accord de ton tuteur, réalise une partie sur une situation réelle. Anonymise tes captures. Voir Transfert en entreprise.

Bilan de la séance

Remplis ce bilan seul, honnêtement : il sert à décider ce qu'il faut reprendre. Niveau : Non maîtrisé, Maîtrise partielle, Bonne maîtrise ou Excellente maîtrise (le vocabulaire des grilles nationales d'évaluation) ; Non évalué si tu n'as pas travaillé la compétence aujourd'hui.

Compétence du référentiel Ce que j'ai fait dans cette séance Niveau
B3.2 – Préserver l'identité numérique de l'organisation
B3.4 – Garantir la disponibilité, l'intégrité et la confidentialité des services informatiques et des données de l'organisation face à des cyberattaques
B3.5A – Assurer la cybersécurité d'une infrastructure réseau, d'un système, d'un service

Note

Les codes sont ceux du référentiel (l'arrêté numérote des activités : les codes « B… » sont un usage courant).

Je sais faire, sans aide :

  • Qualifier un incident et lister les premières actions ;
  • Tenir une main courante horodatée ;
  • Dire qui prévenir et dans quel délai ;
  • Collecter des informations volatiles et en garantir l'intégrité ;
  • Conduire un retour d'expérience avec des actions d'amélioration.

Ce que je dois reprendre : ______________________

Ma question à poser à l'enseignant : ______________________