Intrusions et données
Particuliers et entreprisesIntrusion dans un système informatique
System intrusion
Un accès non autorisé permet d’explorer ou de modifier un système.
Je pense être concerné : que faire ?
Comprendre et agir
À la fin de cette lecture, vous pourrez expliquer le piège et choisir une première réaction adaptée à votre rôle. Aucun prérequis informatique n’est nécessaire.
Une situation concrète
Un compte se connecte la nuit et crée un nouvel accès administrateur. Le service fonctionne encore normalement. L’entrée non autorisée peut ainsi passer inaperçue, alors que l’intrus prépare déjà d’autres actions.
Comment cela fonctionne
Une intrusion est un accès non autorisé à un système. Elle peut utiliser une faille, un mot de passe volé ou un accès oublié. Ce terme décrit une situation générale ; il ne dit pas à lui seul comment l’attaquant est entré ni ce qu’il a fait. Une intrusion n’entraîne pas forcément un blocage visible. L’objectif peut être de rester discret pour lire des documents, préparer une fraude ou atteindre un autre ordinateur.
- Une porte est franchie
Faille, compte ou accès détourné.
- L’intrus explore
Il cherche des droits et des données.
- Les conséquences se préparent
Vol, fraude, sabotage ou maintien d’accès.
Les signes qui doivent attirer l’attention
- Des connexions ou comptes inconnus sont enregistrés.
- Des droits, tâches ou paramètres changent sans justification.
- Des accès à plusieurs systèmes se succèdent de façon inhabituelle.
Ces signes invitent à vérifier la situation. Pris isolément, ils ne prouvent pas tous qu’une attaque a réussi.
Ce que vous pouvez faire
Vos premiers réflexes
Gardez les appareils à jour et fermez les accès distants inutiles. Signalez les nouveaux comptes ou changements que vous ne reconnaissez pas, même si le service fonctionne.
Si vous êtes responsable du service ou de l’organisation
Inventoriez les services exposés et conservez des journaux protégés. Après une intrusion, recherchez les accès ajoutés avant de reconnecter les systèmes restaurés.
Le fonctionnement normal du service ne prouve pas qu’aucun intrus n’est présent.
À vous de décider
Le site reste disponible pendant toute l’intrusion. Est-ce contradictoire ?
Choisissez votre réponse et expliquez pourquoi avant de lire la correction.
Voir la réponse expliquée
Non. Un intrus peut lire les données ou installer un autre accès sans interrompre le service. La disponibilité ne démontre pas l’absence d’intrusion.
Analyser un cas technique
Pour les personnes qui développent, administrent ou analysent les systèmes concernés. Commencez par « Comprendre et agir » si ces notions sont nouvelles pour vous.
Étude de cas fictive
Plusieurs journaux décrivent un même incident avec des horloges différentes
La connexion VPN V7 apparaît à 10:00. Un événement serveur semble la précéder de quinze secondes, mais l’horloge du serveur a trente secondes de retard. Après correction, l’ordre devient cohérent. Une chronologie construite avec les heures brutes aurait pu écarter à tort le lien entre les événements.
Conserver les heures d’origine, les fuseaux et les corrections appliquées. Les identifiants de session, attributions d’adresses VPN et GUID de processus renforcent les rapprochements. Une adresse IP seule peut être réutilisée ou partagée. Il faut retrouver son attribution pendant la période exacte, puis les comptes et actions observés sur les machines.
Dans ce cas, le processus P8 et l’action applicative R8 du compte svc_export ne sont pas encore reliés par une preuve suffisante. Leur proximité temporelle ouvre une piste ; elle ne démontre pas une même chaîne d’exécution. Rechercher les mécanismes de délégation, les appels et les secrets accessibles. Une intrusion se comprend en reliant des accès et des actions confirmés, tout en conservant les étapes encore incertaines.
Le déroulement en schéma
Faites défiler le diagramme pour suivre les échanges ; les noms des acteurs restent en haut. Sur petit écran, faites aussi défiler de gauche à droite.
- Action
Accès interne
VPN vers Serveur S1
Trace allocation 10.8.0.17
- Action sur place
Logon L9
Serveur S1
Trace horloge corrigée
- Action sur place
Processus P8
Serveur S1
Trace parent et identité
- Action
Requête R8 à rapprocher
Serveur S1 vers Application
Trace lien encore incertain
- Action
Période d’allocation
VPN vers Analyse
Trace session V7
- Action
Traces locales
Serveur S1 vers Analyse
Trace GUID et LogonId
- Action sur place
Qualification des relations
Analyse
Trace faits et hypothèses
Comment repérer cette attaque
Indices à rechercher
Rechercher les connexions non reconnues, les usages inhabituels de comptes de service et les exécutions ou accès qui se propagent entre plusieurs machines.
Éléments à croiser
Corriger les décalages d’horloge connus, puis suivre VPN → adresse interne → session cible → processus → opération métier. Qualifier chaque lien comme établi ou seulement compatible avec la chronologie.
Limites de l’interprétation
Deux événements proches ne prouvent pas leur causalité. Une IP réattribuée, un compte partagé ou une horloge décalée peuvent faire relier à tort deux personnes ou deux sessions.
Comment réagir
Conserver les preuves et fermer les sessions, identités et chemins confirmés. Traiter les persistances sur chaque branche et reconstruire les systèmes dont l’intégrité est incertaine. Maintenir une chronologie révisable avec les hypothèses écartées et les lacunes de collecte.
Vérifier la correction
Ces contrôles s’adressent à l’équipe responsable du système. Les simulations se préparent dans un environnement de test autorisé ; la lecture du cas ne nécessite aucune manipulation.
- Tester la réattribution d’une IP VPN à deux comptes sans fusion de leurs activités.
- Vérifier les jointures avec un décalage d’horloge supérieur à l’intervalle entre événements.
- Confirmer le refus des sessions et secrets compromis après confinement.
À vous de raisonner
Une action serveur apparaît quinze secondes avant une connexion VPN, mais son horloge retarde de trente secondes. Peut-on écarter le lien sur cet ordre apparent ?
Formulez votre décision et l’élément qui la justifie avant d’ouvrir la correction.
Comparer avec le raisonnement expliqué
Après correction, l’action serveur se situe quinze secondes après la connexion. Le lien devient possible, mais reste à vérifier avec les sessions, les comptes et l’attribution des adresses. Conservez les heures brutes et la correction appliquée : corriger la chronologie ne prouve pas à lui seul la causalité.
Consulter les détails techniques
Pour aller plus loin après l’étude du cas : les extraits servent à s’exercer à la lecture des traces ; le guide de collecte aide les personnes qui disposent des outils et des accès nécessaires.
Lire les extraits commentés — reconstitution fictive
Ces extraits utilisent des valeurs fictives. Certains reprennent des champs documentés ; d’autres regroupent plusieurs sources dans un format pédagogique. Ce ne sont pas des exports bruts à retrouver tels quels dans vos outils. Commencez par les champs expliqués, puis retrouvez-les dans les extraits.
offset- Décalage mesuré de l’horloge dans ce cas, à appliquer avant la comparaison des événements.
not_yet_established- Le lien n’est pas démontré : la reconstitution ne doit pas transformer cette lacune en certitude.
Chronologie avec décalage connu
JournalLes heures brutes sont conservées ; l’ajustement est une colonne séparée, pas une modification des originaux.
vpn raw=10:00:00Z offset=0 session=V7 user=u8 assigned_ip=10.8.0.17
server raw=09:59:45Z offset=+30s host=S1 logon=L9 source=10.8.0.17
edr raw=10:00:20Z offset=0 host=S1 process=P8 parent=P3 account=u8
app raw=10:01:00Z offset=0 request=R8 actor=svc_export source=S1
link P8_to_R8=not_yet_establishedPréparer une collecte dans votre environnement
Choisissez les sources qui correspondent à vos outils et à votre périmètre d’intervention. Cette liste n’est pas un équipement requis pour comprendre la fiche. Vérifiez que les journaux nécessaires étaient activés pendant la période étudiée. Conservez l’export original, son fuseau horaire et sa provenance dans un espace à accès restreint ; travaillez sur une copie expurgée des secrets.
Service concerné — audit et historique à vérifier
- Où les trouver
- Dans l’outil d’administration ou les journaux du service concerné. Demander à son mainteneur où sont enregistrées les décisions d’autorisation et les opérations métier.
- Quoi relever
- Sur la passerelle VPN utilisée, demander début/fin de session, compte, IP publique d’origine et IP interne attribuée. Le chemin du journal dépend de la passerelle ; le nom de l’utilisateur seul ne suffit pas.
- Accès et prérequis
- Il n’existe ni fichier ni vocabulaire universels. Les champs proposés ici doivent être instrumentés s’ils manquent ; ne pas enregistrer mots de passe, jetons ou contenu privé intégral.
Windows — journal Sécurité de la machine cible
- Où les trouver
- Observateur d’événements → Journaux Windows → Sécurité. Chercher les connexions réussies 4624 sur la machine qui reçoit l’accès, pas seulement sur le poste de départ.
- Quoi relever
- Sur le serveur atteint, retrouver la connexion depuis l’adresse interne attribuée, avec le compte et TargetLogonId. Conserver le nom de la machine source du journal.
- Accès et prérequis
- Accès délégué aux événements et stratégie d’audit des ouvertures de session active. Une adresse IP ou un champ peuvent être absents selon le protocole utilisé.
Microsoft Defender for Endpoint — DeviceProcessEvents
- Où les trouver
- Portail Microsoft Defender → Advanced hunting → table DeviceProcessEvents : examiner les créations de processus et leur processus initiateur.
- Quoi relever
- Sur cette cible, reconstruire l’arbre de processus autour de la session puis comparer aux opérations d’export consignées par l’application. Les identifiants de chaque produit doivent être reliés explicitement.
- Accès et prérequis
- Poste intégré à Defender, droits et licence adaptés. Rapprocher DeviceId, ProcessId et ProcessCreationTime ; un PID seul peut être réutilisé. Les lignes de commande peuvent contenir des secrets.
Dans l’histoire des cyberattaques
Groupes et campagnes documentés
Des faits réels pour situer ce mécanisme. Les années sont celles des faits ; chaque notice précise qui établit le lien avec le groupe ou la campagne.
- GroupeAPT29 / SVR
Repères de nommage : NOBELIUM
SolarWinds : une mise à jour qui transporte l’intrusion
Une modification malveillante des produits SolarWinds Orion ouvre un accès aux installations de clients. La confiance accordée au fournisseur devient le moyen d’atteindre d’autres organisations, ce qui caractérise une attaque de la chaîne d’approvisionnement.
Ce qu’établit la source. En avril 2021, le NCSC et ses partenaires attribuent avec une forte probabilité l’opération au SVR russe. Mandiant a ensuite rattaché l’activité SolarWinds à APT29 en 2022.
Consulter le rapport Assembling the Russian Nesting Doll: UNC2452 Merged into APT29Mandiant / Google Cloud · Publié le
Sélection de cas documentés, non exhaustive. Une technique peut être utilisée par de nombreux acteurs. Les cas fictifs de la fiche ne sont attribués à aucun de ces groupes.
Si vous pensez être concerné
- Prévenez le responsable du système et documentez les premiers constats.
- Contenez les accès suspects selon une procédure adaptée à l’activité.
- Recherchez les accès secondaires avant de considérer l’incident clos.
Pour qualifier votre situation et être orienté : obtenir une assistance sur 17Cyber. Dans une organisation, prévenez aussi le responsable ou prestataire chargé de la sécurité.
Sources et repères pour approfondir
- MITRE ATT&CK — Enterprise — attack.mitre.org
- NIST SP 800-61 Rev. 3 — csrc.nist.gov
- Microsoft — événement 4624 — learn.microsoft.com
