Playbooks Incident Response — Référence CERT

🔐 AD Reconstruction

Phase 0 — Immédiat (0–2h) · Confinement initial

#	Action	Domaine	Criticité
0.1	Désactiver ou restreindre tous les accès VPN entrants	Réseau	🔴 Critique
0.2	Bloquer tout le trafic entrant et sortant non essentiel (règles firewall d’urgence)	Réseau	🔴 Critique
0.3	Activer le geo-fencing sur le firewall (restreindre aux pays autorisés)	Réseau	🔴 Critique
0.4	Créer les comptes d’urgence CERT si inexistants — AD, O365, EDR, SIEM (MFA obligatoire, mot de passe aléatoire 32+ chars)	AD	🔴 Critique
0.5	Triage serveurs et postes : identifier les machines compromises, isolées ou à préserver en priorité	EDR	🟡 Important

Phase 1 — Court terme (2–12h) · Infrastructure & outillage

#	Action	Domaine	Criticité
1.1	Reconstruction des hôtes ESXi de virtualisation (si environnement virtualisé) à partir d’une image saine ou golden image	Infra	🟡 Important
1.2	Montage et vérification de l’intégrité du stockage EMC / SAN	Infra	🟡 Important
1.3	Déployer l’EDR sur l’ensemble des machines (serveurs + postes) — vérifier la couverture à 100%	EDR	🔴 Critique
1.4	Déployer les autres outils CERT (SIEM, collecte de logs, sondes réseau, honeypots si applicable)	EDR	🟡 Important

Phase 2 — Active Directory · Audit & nettoyage des comptes

#	Action	Domaine	Criticité
2.1	Audit des comptes créés dans les 30 derniers jours — valider chaque compte avec le client (légitime ou suspect)	AD	🟡 Important
2.2	Audit des comptes membres de groupes à privilèges (Domain Admins, Enterprise Admins, Administrators, etc.)	AD	🟡 Important
2.3	Audit des GPO récemment créées ou modifiées — rechercher les GPO malveillantes (scripts de démarrage, permissions, logon)	AD	🟡 Important
2.4	Réinitialisation des mots de passe de tous les comptes administrateurs (locaux et de domaine)	AD	🔴 Critique
2.5	Rotation du compte Kerberos (KRBTGT) : 2 réinitialisations immédiates consécutives + 1 réinitialisation 12h plus tard	AD	🔴 Critique
2.6	Réinitialisation des mots de passe de tous les utilisateurs et comptes de service du domaine	AD	🔴 Critique
2.7	Déployer une GPO Windows Credential Guard pour protéger les credentials en mémoire (LSA protection)	AD	🟡 Important
2.8	Auditer et révoquer tous les trusts AD suspects ou non documentés entre domaines / forêts	AD	🟡 Important
2.9	Vérifier et désactiver les protocoles d’authentification faibles (NTLMv1, LDAP non signé, WDigest)	AD	🟡 Important

Phase 3 — Consolidation · Éradication & durcissement

#	Action	Domaine	Criticité
3.1	Changer tous les mots de passe restants : SaaS, applications tierces, coffres-forts locaux (PAM, KeePass, etc.)	SaaS	🟡 Important
3.2	Révoquer et renouveler tous les certificats et tokens d’API exposés (Azure AD app registrations, service principals)	SaaS	🟡 Important
3.3	Activer et vérifier les alertes SIEM sur les comportements post-compromission (Pass-the-Hash, DCSync, Golden Ticket)	EDR	🟡 Important
3.4	Revue complète du tier model AD (Tier 0 / 1 / 2) et mise en place des PAW si absentes	AD	Normal
3.5	Documenter toutes les actions, IoCs et timeline pour le rapport de clôture	Rapport	Normal

---

💀 Ransomware

Phase 0 — Immédiat (0–1h) · Confinement d’urgence

#	Action	Domaine	Criticité
0.1	Isoler immédiatement les machines chiffrées du réseau (déconnexion physique ou isolement EDR)	Réseau	🔴 Critique
0.2	Couper les partages réseau (SMB) et désactiver les connexions RDP exposées	Réseau	🔴 Critique
0.3	Suspendre toutes les tâches de sauvegarde automatique (risque de chiffrement des backups)	Infra	🔴 Critique
0.4	Identifier le patient zéro et le vecteur d’entrée initial (phishing, RDP, vulnérabilité exposée)	EDR	🔴 Critique
0.5	Capturer les images mémoire et forensiques des machines actives avant extinction	Forensic	🟡 Important

Phase 1 — Court terme · Évaluation des dommages

#	Action	Domaine	Criticité
1.1	Cartographier l’étendue du chiffrement : volumes, serveurs, partages NAS touchés	Infra	🟡 Important
1.2	Identifier la souche de ransomware (extension des fichiers, note de rançon, ID sur ID-Ransomware)	Forensic	🟡 Important
1.3	Vérifier l’intégrité et l’accessibilité des dernières sauvegardes hors ligne ou immutables	Backup	🟡 Important
1.4	Rechercher les mécanismes de persistance : tâches planifiées, services, clés de registre Run*, GPO	EDR	🟡 Important
1.5	Vérifier si une exfiltration de données a eu lieu avant le chiffrement (double extorsion)	Réseau	🟡 Important

Phase 2 — Remédiation · Reconstruction & restauration

#	Action	Domaine	Criticité
2.1	Reconstruire à partir de sauvegardes saines — valider l’intégrité avant restauration	Infra	🟡 Important
2.2	Ne jamais restaurer sur une infrastructure non assainie (risque de rechiffrement immédiat)	Infra	🔴 Critique
2.3	Appliquer tous les patchs critiques avant reconnexion au réseau (vulnérabilité exploitée initiale)	Infra	🟡 Important
2.4	Réinitialiser tous les credentials (AD + comptes de service) — cf. playbook AD reconstruction	AD	🟡 Important
2.5	Segmenter le réseau pour limiter la propagation latérale lors de la remise en production	Réseau	🟡 Important

Phase 3 — Consolidation · Durcissement & surveillance

#	Action	Domaine	Criticité
3.1	Déployer des règles de détection spécifiques à la souche identifiée dans l’EDR et le SIEM	EDR	Normal
3.2	Mettre en place une politique de sauvegarde 3-2-1 avec copies immutables et hors ligne	Backup	Normal
3.3	Notifier les autorités compétentes si données personnelles exposées (CNIL, ANSSI, assureur cyber)	Juridique	🟡 Important

---

🎣 Phishing / BEC

Phase 0 — Immédiat · Confinement

#	Action	Domaine	Criticité
0.1	Révoquer immédiatement les sessions actives et tokens OAuth du compte compromis (O365 / Google)	SaaS	🔴 Critique
0.2	Réinitialiser le mot de passe et forcer la MFA sur le compte victime	SaaS	🔴 Critique
0.3	Bloquer et supprimer les règles de redirection mail créées par l’attaquant	SaaS	🔴 Critique
0.4	Identifier et bloquer le domaine / expéditeur phishing auprès du gateway mail (SEG)	Réseau	🟡 Important

Phase 1 — Investigation · Évaluation de l’impact

#	Action	Domaine	Criticité
1.1	Analyser les logs de connexion : IPs, user-agents, pays d’origine inhabituels, heures de connexion	SaaS	🟡 Important
1.2	Rechercher les applications OAuth tierces ajoutées par l’attaquant (consentements suspects)	SaaS	🟡 Important
1.3	Vérifier si des emails frauduleux ont été envoyés depuis le compte compromis (BEC, fraude au virement)	SaaS	🟡 Important
1.4	Identifier l’ensemble des autres utilisateurs ayant reçu le même email phishing (blast radius)	SaaS	🟡 Important
1.5	Vérifier si des données sensibles ont été consultées ou exfiltrées depuis la boîte mail	Forensic	🟡 Important

Phase 2 — Remédiation · Nettoyage & protection

#	Action	Domaine	Criticité
2.1	Supprimer les emails malveillants restants dans les boîtes de tous les destinataires (eDiscovery / purge)	SaaS	🟡 Important
2.2	Vérifier les délégations mail et les accès partagés configurés sur le compte compromis	SaaS	🟡 Important
2.3	Activer / vérifier les politiques DMARC, DKIM, SPF sur le domaine de messagerie	Réseau	Normal
2.4	Alerter les partenaires ou clients potentiellement contactés par l’attaquant via le compte piraté	Communication	🟡 Important

Phase 3 — Durcissement · Prévention & formation

#	Action	Domaine	Criticité
3.1	Déployer la MFA résistante au phishing (FIDO2 / clés physiques) sur les comptes à privilèges	SaaS	Normal
3.2	Activer les politiques Conditional Access / Zero Trust (blocage par pays, conformité device)	SaaS	Normal
3.3	Former les utilisateurs concernés et réaliser un test de phishing ciblé dans les 30 jours	Formation	Normal

---

📤 Exfiltration de données

Phase 0 — Immédiat · Confinement

#	Action	Domaine	Criticité
0.1	Couper les connexions sortantes vers les IPs / domaines de C2 identifiés	Réseau	🔴 Critique
0.2	Isoler la ou les machines sources de l’exfiltration du réseau	Réseau	🔴 Critique
0.3	Capturer les flux réseau en cours (PCAP) et les logs proxy / firewall avant rotation	Forensic	🟡 Important
0.4	Identifier le canal d’exfiltration : HTTPS, DNS tunneling, SFTP, cloud storage (OneDrive, Google Drive, Mega)	Réseau	🟡 Important

Phase 1 — Investigation · Évaluation de l’impact

#	Action	Domaine	Criticité
1.1	Quantifier le volume de données exfiltrées (Go / nombre de fichiers) et identifier les répertoires sources	Forensic	🟡 Important
1.2	Classifier les données exposées : données personnelles (RGPD), secrets industriels, données financières, propriété intellectuelle	Forensic	🟡 Important
1.3	Déterminer la durée de l’accès non autorisé (première connexion de l’attaquant vs découverte)	Forensic	🟡 Important
1.4	Rechercher les outils d’exfiltration déposés sur les systèmes (rclone, WinSCP, MEGAsync, curl, certutil)	EDR	Normal
1.5	Vérifier si des données apparaissent sur des sites de leak ou forums dark web (threat intelligence)	TI	Normal

Phase 2 — Remédiation · Éradication & notification

#	Action	Domaine	Criticité
2.1	Supprimer les outils et backdoors laissés par l’attaquant (implants, web shells, tâches planifiées)	EDR	🟡 Important
2.2	Révoquer tous les credentials exposés (AD, SaaS, API keys, certificats) — cf. playbook AD	AD	🟡 Important
2.3	Notifier la CNIL dans les 72h si données personnelles exfiltrées — préparer la notification aux personnes concernées	Juridique	🔴 Critique
2.4	Notifier l’assureur cyber et les partenaires / clients potentiellement impactés	Juridique	🟡 Important

Phase 3 — Durcissement · Prévention

#	Action	Domaine	Criticité
3.1	Déployer un DLP (Data Loss Prevention) sur les endpoints et le proxy sortant	Réseau	Normal
3.2	Bloquer les services cloud d’upload non autorisés (Mega, WeTransfer, etc.) au niveau proxy	Réseau	Normal
3.3	Mettre en place la surveillance du DNS (détection de tunneling) et des flux sortants volumineux	Réseau	Normal

---

🛠 Exploitation de vulnérabilité

Phase 0 — Immédiat · Confinement

#	Action	Domaine	Criticité
0.1	Isoler ou couper le service / système vulnérable exploité (web app, VPN, firewall, serveur exposé)	Réseau	🔴 Critique
0.2	Appliquer une règle WAF ou firewall d’urgence si le patch n’est pas immédiatement disponible (virtual patching)	Réseau	🔴 Critique
0.3	Capturer les logs d’accès du système compromis avant tout redémarrage ou modification	Forensic	🟡 Important
0.4	Identifier la CVE exploitée et son score CVSS — vérifier l’existence d’un exploit public	Forensic	🟡 Important

Phase 1 — Investigation · Évaluation de l’impact

#	Action	Domaine	Criticité
1.1	Déterminer si l’attaquant a obtenu une exécution de code — vérifier web shells, reverse shells, tâches planifiées	EDR	🟡 Important
1.2	Analyser les mouvements latéraux possibles depuis le système compromis (pivoting réseau)	Réseau	🟡 Important
1.3	Identifier tous les autres systèmes exposant la même vulnérabilité dans l’infrastructure	Infra	🟡 Important
1.4	Vérifier si une escalade de privilèges a été réalisée depuis la compromission initiale	AD	🟡 Important

Phase 2 — Remédiation · Patch & éradication

#	Action	Domaine	Criticité
2.1	Appliquer le patch officiel sur tous les systèmes affectés — prioriser l’exposition externe	Infra	🔴 Critique
2.2	Supprimer les artefacts malveillants déposés (web shells, binaires, cron jobs, services)	EDR	🟡 Important
2.3	Reconstruire proprement les systèmes fortement compromis plutôt que de les nettoyer	Infra	🟡 Important
2.4	Révoquer les credentials exposés lors de la compromission (tokens, clés API, certificats serveur)	SaaS	🟡 Important

Phase 3 — Durcissement · Réduction de la surface d’attaque

#	Action	Domaine	Criticité
3.1	Réaliser un scan de vulnérabilités complet sur le périmètre exposé (externe + interne)	Infra	Normal
3.2	Mettre en place un processus de patch management avec SLA selon la criticité CVE (critique : 24–72h)	Infra	Normal
3.3	Segmenter les services exposés dans une DMZ et limiter les flux vers le réseau interne	Réseau	Normal
3.4	Activer les alertes de threat intelligence sur les CVE affectant les technologies utilisées	EDR	Normal

---

🕵️ Insider Threat (Menace interne)

Incidents impliquant un employé, prestataire ou ex-collaborateur agissant de façon malveillante ou négligente. Requiert une coordination RH et juridique dès le début.

Phase 0 — Immédiat · Confinement discret

#	Action	Domaine	Criticité
0.1	Ne pas alerter le suspect — mener les premières actions de confinement de façon silencieuse	RH/Juridique	🔴 Critique
0.2	Révoquer discrètement les accès à distance (VPN, RDP) de l’individu concerné	Réseau	🔴 Critique
0.3	Préserver en urgence les logs d’activité (AD, DLP, proxy, badge, SIEM) avant toute modification ou expiration	Forensic	🔴 Critique
0.4	Engager immédiatement le service juridique et RH — obtenir l’autorisation pour la collecte forensique	Juridique	🔴 Critique
0.5	Prendre une image forensique du poste et des supports de stockage de l’individu (clé USB, disque externe)	Forensic	🟡 Important

Phase 1 — Investigation · Analyse de l’activité

#	Action	Domaine	Criticité
1.1	Analyser les logs d’accès aux données sensibles dans les 30 à 90 derniers jours (SharePoint, OneDrive, NAS, bases de données)	Forensic	🔴 Critique
1.2	Rechercher les transferts de données inhabituels : volumes importants, accès hors horaires, téléchargements massifs	DLP	🔴 Critique
1.3	Vérifier les emails sortants avec pièces jointes vers des adresses personnelles ou comptes cloud	SaaS	🟡 Important
1.4	Contrôler les logs des équipements de badge / accès physiques pour corréler avec l’activité numérique	Forensic	🟡 Important
1.5	Identifier si l’individu avait des complices internes ou externes (partage de credentials, accès partagés)	AD	🟡 Important
1.6	Vérifier l’usage de supports amovibles (DLP endpoint), d’outils de chiffrement ou d’applications non autorisées	DLP	🟡 Important
1.7	Analyser l’activité sur les derniers jours avant le départ ou la découverte (pic d’activité, accès inhabituels)	Forensic	🟡 Important

Phase 2 — Remédiation · Containment & préservation des preuves

#	Action	Domaine	Criticité
2.1	Révoquer l’intégralité des accès de l’individu (AD, SaaS, VPN, badges, accès physiques) en coordination avec RH	AD	🔴 Critique
2.2	Récupérer et mettre sous séquestre le matériel de l’individu (laptop, téléphone pro, clés USB) avec chaîne de custody	Forensic	🔴 Critique
2.3	Préserver une copie forensique certifiée de toutes les preuves numériques (hash SHA-256 des images)	Forensic	🔴 Critique
2.4	Évaluer si un dépôt de plainte est pertinent — transmettre les éléments au service juridique	Juridique	🟡 Important
2.5	Auditer les accès partagés ou délégations configurées par l’individu (backdoor via compte tiers)	AD	🟡 Important
2.6	Notifier les partenaires ou clients si des données les concernant ont été compromises	Communication	🟡 Important

Phase 3 — Durcissement · Prévention & surveillance

#	Action	Domaine	Criticité
3.1	Mettre en place un processus de départ sécurisé (offboarding checklist) avec révocation immédiate des accès	RH/AD	Normal
3.2	Déployer ou renforcer la solution DLP avec alertes sur exfiltration massive et accès hors scope	DLP	Normal
3.3	Activer l’UBA (User Behavior Analytics) dans le SIEM pour détecter les comportements anormaux	EDR	Normal
3.4	Appliquer le principe du moindre privilège — revoir les accès en fonction du rôle réel de chaque collaborateur	AD	Normal
3.5	Mettre en place une revue périodique des accès (access review trimestrielle) validée par les managers	AD	Normal
3.6	Former les managers à signaler les comportements suspects (employé démotivé, départ prochain, conflits)	Formation	Normal

---

🔗 Supply Chain Attack (Compromission de la chaîne d’approvisionnement)

Incidents où un fournisseur, partenaire ou composant logiciel tiers (librairie, outil de build, MSP) est utilisé comme vecteur d’attaque. Périmètre souvent difficile à délimiter rapidement.

Phase 0 — Immédiat · Identification & confinement

#	Action	Domaine	Criticité
0.1	Identifier précisément le composant ou le fournisseur compromis (version, lot affecté, période d’exposition)	Forensic	🔴 Critique
0.2	Couper immédiatement les canaux de communication et d’accès avec le fournisseur compromis (VPN partenaire, accès MSP, connecteurs API)	Réseau	🔴 Critique
0.3	Désactiver ou isoler tous les systèmes ayant intégré la version compromise du composant / logiciel	Infra	🔴 Critique
0.4	Alerter l’éditeur / fournisseur concerné et vérifier s’ils ont émis un advisory ou un patch	Juridique	🟡 Important
0.5	Vérifier si d’autres clients du même fournisseur sont exposés — partager les IoCs avec la communauté CERT si autorisé	TI	🟡 Important

Phase 1 — Investigation · Cartographie de l’exposition

#	Action	Domaine	Criticité
1.1	Recenser tous les systèmes et environnements (prod, dev, staging) ayant intégré le composant ou l’outil compromis	Infra	🔴 Critique
1.2	Rechercher les IoCs publiés (hashes, domaines C2, signatures) et les croiser avec les logs SIEM et EDR	EDR	🔴 Critique
1.3	Analyser les connexions sortantes anormales générées par le composant compromis (ex. beacon C2 post-installation)	Réseau	🔴 Critique
1.4	Vérifier si le composant a été utilisé dans des pipelines CI/CD — analyser les artefacts de build générés pendant la période d’exposition	Infra	🟡 Important
1.5	Déterminer si l’attaquant a utilisé l’accès initial pour se déplacer latéralement vers d’autres systèmes	Forensic	🟡 Important
1.6	Identifier les données auxquelles le composant avait accès (secrets, credentials, clés d’API injectées dans l’environnement)	Forensic	🟡 Important
1.7	Auditer les autres fournisseurs tiers disposant d’accès similaires (évaluation du risque en cascade)	TI	Normal

Phase 2 — Remédiation · Éradication & reconstruction

#	Action	Domaine	Criticité
2.1	Mettre à jour ou remplacer le composant compromis par une version saine et vérifiée (hash officiel)	Infra	🔴 Critique
2.2	Reconstruire les artefacts de build produits pendant la période de compromission (binaires, images Docker, packages)	Infra	🔴 Critique
2.3	Révoquer et renouveler tous les secrets, credentials et clés d’API ayant été exposés à l’environnement compromis	SaaS	🔴 Critique
2.4	Supprimer les backdoors ou implants déposés par l’attaquant via le composant compromis	EDR	🟡 Important
2.5	Vérifier l’intégrité des dépôts de code source (commits suspects, modifications de fichiers de configuration)	Infra	🟡 Important
2.6	Notifier les clients ou partenaires potentiellement exposés via les artefacts compromis distribués	Juridique	🟡 Important

Phase 3 — Durcissement · Sécurisation de la chaîne d’approvisionnement

#	Action	Domaine	Criticité
3.1	Mettre en place une vérification des intégrités (hash / signature) sur tous les composants tiers intégrés	Infra	Normal
3.2	Déployer un registre de dépendances privé avec validation des packages avant intégration (Artifactory, Nexus)	Infra	Normal
3.3	Appliquer le principe du moindre privilège aux accès accordés aux fournisseurs et MSP (MFA + accès limité dans le temps)	AD	Normal
3.4	Mettre en place un processus de qualification sécurité des fournisseurs tiers (questionnaire, audit, SLA sécurité)	Juridique	Normal
3.5	Surveiller les advisories de sécurité des composants utilisés (Dependabot, NVD, flux CERT)	TI	Normal
3.6	Intégrer des contrôles SBOM (Software Bill of Materials) dans le pipeline CI/CD pour tracer l’origine de chaque composant	Infra	Normal

---

Légende criticité :

🔴 Critique — action bloquante, à réaliser en priorité absolue ·

🟡 Important — à réaliser dans les premières heures ·

Normal — à planifier dans la phase de consolidation