TP – Un lundi matin : enquêter sur un rançongiciel
BTS SIO SISR 2e année – Bloc 3 – S15 – en binôme ; partie F individuelle
Note
But. À partir de journaux fictifs de l'Atelier Verdier, préserver les preuves, reconstituer la chronologie d'une attaque par rançongiciel, délimiter le périmètre, décider des premières mesures et rédiger le compte rendu et la communication à la direction.
Durée : 3 h 10. Prérequis : cours S15 lu ; S01, S04, S11.
Note
Comment ce TP fonctionne. Tu anticipes (« J'anticipe »), tu analyses, tu notes ce que tu constates (en citant la ligne du journal), puis tu expliques (« Je comprends »). Un bilan de compétences clôt la séance.
Binôme : ____________ / ____________
Le scénario (fictif)
Lundi 9 mars, 7 h 45. Le bureau d'études de l'Atelier Verdier ne peut plus ouvrir ses plans : les fichiers du serveur portent l'extension .verrou et un fichier LISEZ-MOI.txt demande une rançon. Le responsable administratif (deux heures d'informatique par semaine) vous appelle. Aucune donnée ne vous est encore connue : vous disposez de trois journaux fournis, extraits du collecteur et de la box. Toutes les adresses et tous les noms sont fictifs ; les adresses 203.0.113.x et 198.51.100.x sont réservées à la documentation.
| Fichier | Contenu |
|---|---|
authentification.log |
Connexions, comptes créés, services arrêtés |
pare-feu.log |
Flux notables de la box |
fichiers.log |
Opérations sur le serveur de fichiers |
Le réseau de l'atelier est celui du dossier de la séance S02 : un seul réseau, l'accès distant (port 3389) redirigé sur la box vers le PC de la comptable (192.168.1.20), le serveur de fichiers 192.168.1.10, le NAS de sauvegarde 192.168.1.50.
Contraintes. Une machine Linux (celle de tes séances). Télécharge les trois fichiers dans un dossier ~/incident/originaux.
Partie A – Le premier quart d'heure (≈ 20 min)
J'anticipe. Tu viens de recevoir l'appel. Sans consulter le cours, liste cinq gestes, dans l'ordre : ______________________
Puis complète, avec le cours (partie 1) :
| Geste | Fait / à faire | Pourquoi |
|---|---|---|
Je comprends. Le responsable propose d'éteindre le serveur de fichiers « pour arrêter l'attaque ». Quels sont les avantages et les inconvénients ? Qui doit décider ? ______________________
Partie B – Préserver les preuves (≈ 30 min)
B1 – Copier et prendre l'empreinte
cd ~/incident
mkdir -p copies
sha256sum originaux/*.log > empreintes.sha256
cat empreintes.sha256
cp originaux/*.log copies/
(cd copies && sha256sum -c ../empreintes.sha256 2>&1 | head -3) || true
Les deux dernières lignes sont piégeuses : relis le chemin dans empreintes.sha256 et explique pourquoi la vérification doit se faire dans le bon dossier. Corrige la commande pour vérifier les copies.
B2 – Constater qu'une altération se voit
echo "ligne ajoutee" >> copies/pare-feu.log
sha256sum copies/*.log | sed 's#copies/#originaux/#' | diff - empreintes.sha256
J'anticipe. Quel fichier la commande signale-t-elle ? Que se passe-t-il si un seul octet change ? ______________________
Retire ensuite la ligne ajoutée en recopiant depuis les originaux (cp originaux/pare-feu.log copies/) et vérifie que tout est conforme.
B3 – La fiche de preuve
| Pièce | Empreinte (début) | Prise par | Date et heure | Rangée où | Accès |
|---|---|---|---|---|---|
authentification.log |
|||||
pare-feu.log |
|||||
fichiers.log |
Je comprends. Pourquoi l'empreinte est-elle conservée à part des fichiers ? Que vaudrait-elle si elle était rangée dans le même dossier modifiable ? ______________________
Point de contrôle : capture des empreintes et de la fiche.
Partie C – Reconstituer la chronologie (≈ 60 min)
Travaille sur les copies.
C1 – Premiers constats
cd ~/incident/copies
# Echecs de connexion par adresse source
grep echec_connexion authentification.log | grep -o 'source=[^ ]*' | sort | uniq -c | sort -rn
# Premiere et derniere ligne de cette adresse suspecte
grep 'source=203.0.113.77' authentification.log | head -1
grep 'source=203.0.113.77' authentification.log | tail -2
# Le succes
grep 'succes_connexion' authentification.log | grep 203.0.113.77
J'anticipe. Que vas-tu trouver comme adresse dominante parmi les échecs ? Les deux échecs isolés sont-ils inquiétants ? ______________________
C2 – Les actions de l'attaquant
grep -E 'creation_compte|arret_service|suppression_sauvegardes' authentification.log
grep -E 'sortant-inhabituel|volume_envoye' pare-feu.log
C3 – La chronologie fusionnée
cat authentification.log pare-feu.log fichiers.log | sort | grep -E '203\.0\.113\.77|svc-maint|suppression_sauvegardes|sortant-inhabituel|sauvegarde-nocturne|LISEZ' | grep -v 'echec_connexion compte=[a-z-]* source=203'
Complète la chronologie (cours, partie 3) en citant la ligne de journal pour chaque entrée :
| Heure | Source | Événement | Interprétation | Certitude |
|---|---|---|---|---|
C4 – Le chiffrement
grep -c renommage fichiers.log
grep renommage fichiers.log | head -1 | cut -c1-19
grep renommage fichiers.log | tail -1 | cut -c1-19
grep renommage fichiers.log | grep -o 'dossier=[^ ]*' | sort | uniq -c | sort -rn
Je comprends.
- Quel est le point d'entrée de l'attaque ? Quelle faiblesse du dossier de la séance S02 l'explique ? ______________________
- Combien de temps s'écoule entre l'entrée et le début du chiffrement ? Pourquoi l'attaquant a-t-il attendu ? ______________________
- Quelles actions visaient à empêcher la reprise ? ______________________
- Le journal du pare-feu montre un flux sortant inhabituel avant le chiffrement : que faut-il en conclure, et pourquoi cela change-t-il les obligations de l'entreprise ? ______________________
- Un journal manque : lequel, et que cela empêche-t-il de prouver ? (Aide : de quelle machine viennent les journaux de l'authentification du PC de la comptable, et que faire pour en avoir un autre ?) ______________________
Point de contrôle : chronologie remplie, avec les lignes citées.
Partie D – Le périmètre et les données (≈ 25 min)
| Question | Réponse (avec la preuve) |
|---|---|
| Machines touchées (chiffrement ou action de l'attaquant) | |
| Machines menacées (accessibles avec le compte créé) | |
| Données chiffrées (dossiers) | |
| Données personnelles concernées | |
| Données probablement volées | |
| L'attaquant est-il encore présent ? Comment le vérifier ? |
Je comprends. Les dossiers RH contiennent des fiches de paie : conséquence en matière de notification (séance S04) ? À partir de quel moment le délai court-il ? ______________________
Partie E – Décider : contenir, éradiquer, reprendre (≈ 30 min)
Remplis le plan de réponse :
| Phase | Action | Responsable proposé | Quand |
|---|---|---|---|
| Contenir | |||
| Contenir | |||
| Préserver | |||
| Éradiquer | |||
| Éradiquer | |||
| Reprendre | |||
| Notifier |
Je comprends.
- Les 14 sauvegardes du NAS ont été supprimées par un compte administrateur par défaut. Quelles sont les options de reprise ? Que dit cette situation sur la préparation de l'entreprise (S02, S10) ? ______________________
- Le dirigeant demande : « Et si on payait ? » Que réponds-tu, en trois points ? ______________________
- Avant de rebrancher quoi que ce soit : quelles vérifications ? ______________________
Partie F – Le compte rendu et la communication, individuels (≈ 25 min)
Rédige :
- Un message de dix lignes au dirigeant, à envoyer ce matin : faits établis, hypothèses, décisions à prendre, prochain point à heure précise.
- Une consigne de cinq lignes aux salariés.
- Un compte rendu d'incident d'une page : chronologie résumée, causes, périmètre, mesures prises, obligations, trois actions d'amélioration.
Critères : on distingue établi et supposé ; aucune donnée personnelle reproduite ; aucun sigle non expliqué.
Retour en entreprise (si ta situation le permet)
- Observer : ton entreprise a-t-elle une procédure d'incident, une liste de contacts, des sauvegardes testées ?
- Documenter : compare avec le plan de la partie E.
Rendu
Compte rendu PDF, nommé RENDU-B3A2-S15-NOM.pdf, contenant la fiche de preuve (B), la chronologie (C), le tableau du périmètre (D), le plan de réponse (E) et les trois textes de la partie F.
Prolongement dans InfraLab (facultatif)
Remonter la piste d'une modification grâce au journal d'audit, puis prioriser en cas d'incident majeur.
Le simulateur InfraLab propose des TP guidés sur ce thème : vue TP, choisis le TP. Ils s'ajoutent à la séance (en classe si le temps le permet, sinon en autonomie) ; ils ne remplacent pas la manipulation sur machine réelle ci-dessus.
| TP | Titre | Durée |
|---|---|---|
| 37 | Audit : qui a fait quoi ? | 40 min |
| 20 | Incident majeur | 50 min |
Note
InfraLab simule : le score ne valide aucune compétence. Exporte le rapport du TP (HTML) et joins-le à ton compte rendu.
Bilan de la séance
| Compétence du référentiel | Ce que j'ai fait dans cette séance | Niveau |
|---|---|---|
| B3.1 – Protéger les données à caractère personnel | ||
| B3.4 – Garantir la disponibilité, l'intégrité et la confidentialité des services informatiques et des données de l'organisation face à des cyberattaques | ||
| B3.5A – Assurer la cybersécurité d'une infrastructure réseau, d'un système, d'un service |
Note
Je sais faire, sans aide :
- Dérouler les phases d'une réponse à incident ;
- Préserver des preuves (copie, empreinte, fiche) ;
- Reconstituer une chronologie à partir de plusieurs journaux ;
- Distinguer établi et supposé ;
- Rédiger une communication de crise.
Ce que je dois reprendre : ______________________