Réponse aux incidents basée sur l'intelligence, 2e édition

Chapitre 6. Finir

Cet ouvrage a été traduit à l'aide de l'IA. Tes réactions et tes commentaires sont les bienvenus : [e-mail]

L'important n'est pas tant de savoir qui commence le jeu que de savoir qui le termine.

John Wooden

Une fois que tu as identifié les menaces auxquelles tu es confronté et que tu as étudié la façon dont ces menaces ont accédé à ton réseau et s'y sont déplacées, il est temps de les éliminer. Cette phase est connue sous le nom de Finish et implique non seulement d'éradiquer les points d'appui que les acteurs malveillants ont mis en place dans ton réseau, mais aussi de travailler à la remédiation de ce qui leur a permis d'obtenir l'accès en premier lieu.

Finir implique plus que l'élimination des logiciels malveillants d'un système, c'est pourquoi nous passons autant de temps dans les étapes Trouver et Réparer. Pour terminer correctement l'activité d'un attaquant, il est essentiel de comprendre comment cet acteur de la menace opère et de supprimer non seulement les logiciels malveillants ou les artefacts laissés par une attaque, mais aussi les canaux de communication, les points d'appui, les accès redondants et tous les autres aspects d'une attaque que nous avons découverts au cours de la phase de réparation. Terminer correctement un adversaire nécessite une compréhension profonde de l'attaquant, de ses motivations et de ses actions, ce qui te permettra d'agir en toute confiance lorsque tu sécuriseras les systèmes et reprendras le contrôle ...