Intrusions et données
Particuliers et entreprisesIntrusion dans un système informatique
System intrusion
Un accès non autorisé permet d’explorer ou de modifier un système.
Je pense être concerné : que faire ?
Comprendre et agir
Découvrez le piège à partir d’un exemple, puis les gestes que vous pouvez faire. Vous pouvez suivre cette lecture sans connaissances en informatique.
Une situation concrète
Un compte se connecte la nuit et crée un nouvel accès administrateur. Le service fonctionne encore normalement. L’entrée non autorisée peut ainsi passer inaperçue, alors que l’intrus prépare déjà d’autres actions.
Comment cela fonctionne
Une intrusion est un accès non autorisé à un système. L’attaquant peut utiliser une faille, un mot de passe volé ou un ancien accès resté ouvert. Le mot ne dit pas, à lui seul, comment il est entré ni ce qu’il a fait. Votre appareil peut continuer à fonctionner normalement pendant que l’intrus lit des documents, prépare une fraude ou cherche à atteindre un autre ordinateur.
- Une porte est franchie
Faille, compte ou accès détourné.
- L’intrus explore
Il cherche des droits et des données.
- Les conséquences se préparent
Vol, fraude, sabotage ou maintien d’accès.
Les signes qui doivent attirer l’attention
- Des connexions ou comptes inconnus sont enregistrés.
- Des droits, tâches ou paramètres changent sans justification.
- Des accès à plusieurs systèmes se succèdent de façon inhabituelle.
Si vous remarquez l’un de ces signes, vérifiez la situation. Un indice isolé ne suffit pas à prouver qu’une attaque a réussi.
Ce que vous pouvez faire
Vos premiers réflexes
Gardez les appareils à jour et fermez les accès distants inutiles. Signalez les nouveaux comptes ou changements que vous ne reconnaissez pas, même si le service fonctionne.
Si vous êtes responsable du service ou de l’organisation
Inventoriez les services exposés et conservez des journaux protégés. Après une intrusion, recherchez les accès ajoutés avant de reconnecter les systèmes restaurés.
Le fonctionnement normal du service ne prouve pas qu’aucun intrus n’est présent.
À vous de décider
Le site reste disponible pendant toute l’intrusion. Est-ce contradictoire ?
Prenez un moment pour répondre et expliquer votre choix, puis ouvrez la correction.
Voir la réponse expliquée
Non. L’intrus peut consulter les données ou préparer un autre accès tout en laissant le site fonctionner. La disponibilité du service ne permet pas d’écarter une intrusion.
Analyser un cas technique
Ce cas s’adresse aux personnes qui développent, administrent ou analysent ces systèmes. Si vous découvrez le sujet, commencez par « Comprendre et agir ».
Étude de cas fictive
Plusieurs journaux décrivent un même incident avec des horloges différentes
La connexion VPN V7 est enregistrée à 10:00. Un événement serveur paraît survenir quinze secondes avant, mais l’horloge du serveur retarde de trente secondes. Une fois ce décalage corrigé, les événements retrouvent un ordre cohérent. Utiliser leurs heures brutes aurait pu faire écarter un lien possible.
Conserver les heures d’origine, les fuseaux et les corrections appliquées. Les identifiants de session, attributions d’adresses VPN et GUID de processus renforcent les rapprochements. Une adresse IP seule peut être réutilisée ou partagée. Il faut retrouver son attribution pendant la période exacte, puis les comptes et actions observés sur les machines.
Dans ce cas, le processus P8 et l’action applicative R8 du compte svc_export ne sont pas encore reliés par une preuve suffisante. Leur proximité temporelle ouvre une piste ; elle ne démontre pas une même chaîne d’exécution. Rechercher les mécanismes de délégation, les appels et les secrets accessibles. Une intrusion se comprend en reliant des accès et des actions confirmés, tout en conservant les étapes encore incertaines.
Le déroulement en schéma
Faites défiler le diagramme pour suivre les échanges ; les noms des acteurs restent en haut. Sur petit écran, faites aussi défiler de gauche à droite.
- Action
Accès interne
VPN vers Serveur S1
Trace allocation 10.8.0.17
- Action sur place
Logon L9
Serveur S1
Trace horloge corrigée
- Action sur place
Processus P8
Serveur S1
Trace parent et identité
- Action
Requête R8 à rapprocher
Serveur S1 vers Application
Trace lien encore incertain
- Action
Période d’allocation
VPN vers Analyse
Trace session V7
- Action
Traces locales
Serveur S1 vers Analyse
Trace GUID et LogonId
- Action sur place
Qualification des relations
Analyse
Trace faits et hypothèses
Comment repérer cette attaque
Indices à rechercher
Rechercher les connexions non reconnues, les usages inhabituels de comptes de service et les exécutions ou accès qui se propagent entre plusieurs machines.
Quelles informations comparer
Corriger les décalages d’horloge connus, puis suivre VPN → adresse interne → session cible → processus → opération métier. Qualifier chaque lien comme établi ou seulement compatible avec la chronologie.
Ce que ces indices ne permettent pas de conclure
Deux événements proches ne prouvent pas leur causalité. Une IP réattribuée, un compte partagé ou une horloge décalée peuvent faire relier à tort deux personnes ou deux sessions.
Comment réagir
Conserver les preuves et fermer les sessions, identités et chemins confirmés. Traiter les persistances sur chaque branche et reconstruire les systèmes dont l’intégrité est incertaine. Maintenir une chronologie révisable avec les hypothèses écartées et les lacunes de collecte.
Vérifier la correction
L’équipe responsable du système peut utiliser ces contrôles dans un environnement de test autorisé. Vous pouvez lire et comprendre le cas sans effectuer ces manipulations.
- Tester la réattribution d’une IP VPN à deux comptes sans fusion de leurs activités.
- Vérifier les jointures avec un décalage d’horloge supérieur à l’intervalle entre événements.
- Confirmer le refus des sessions et secrets compromis après confinement.
À vous de raisonner
Une action serveur apparaît quinze secondes avant une connexion VPN, mais son horloge retarde de trente secondes. Peut-on écarter le lien sur cet ordre apparent ?
Quelle décision prendriez-vous, et sur quel indice vous appuieriez-vous ? Répondez avant d’ouvrir la correction.
Comparer avec le raisonnement expliqué
Après correction, l’action serveur se situe quinze secondes après la connexion. Le lien devient possible, mais reste à vérifier avec les sessions, les comptes et l’attribution des adresses. Conservez les heures brutes et la correction appliquée : corriger la chronologie ne prouve pas à lui seul la causalité.
Consulter les détails techniques
Les extraits permettent de s’exercer à lire les traces du cas. Si vous disposez des outils et des accès nécessaires, le guide de collecte vous aide aussi à rechercher ces informations.
Lire les extraits commentés (reconstitution fictive)
Ces extraits contiennent des valeurs fictives. Certains champs correspondent à ceux des outils documentés ; d’autres réunissent plusieurs sources pour faciliter l’explication. Vos propres exports pourront donc avoir une autre forme. Lisez d’abord les explications des champs, puis repérez-les dans les extraits.
offset- Décalage mesuré de l’horloge dans ce cas, à appliquer avant la comparaison des événements.
not_yet_established- Le lien n’est pas démontré : la reconstitution ne doit pas transformer cette lacune en certitude.
Chronologie avec décalage connu
JournalLes heures brutes sont conservées ; l’ajustement est une colonne séparée, pas une modification des originaux.
vpn raw=10:00:00Z offset=0 session=V7 user=u8 assigned_ip=10.8.0.17
server raw=09:59:45Z offset=+30s host=S1 logon=L9 source=10.8.0.17
edr raw=10:00:20Z offset=0 host=S1 process=P8 parent=P3 account=u8
app raw=10:01:00Z offset=0 request=R8 actor=svc_export source=S1
link P8_to_R8=not_yet_establishedPréparer une collecte dans votre environnement
Utilisez les sources disponibles dans vos outils et auxquelles vous êtes autorisé à accéder. Vous pouvez comprendre la fiche sans posséder ces outils. Vérifiez que les journaux étaient activés pendant la période étudiée. Gardez l’export original avec son fuseau horaire et sa provenance dans un espace à accès restreint. Pour l’analyse, travaillez sur une copie dont vous avez retiré les secrets.
Service concerné — audit et historique à vérifier
- Où les trouver
- Dans l’outil d’administration ou les journaux du service concerné. Demander à son mainteneur où sont enregistrées les décisions d’autorisation et les opérations métier.
- Quoi relever
- Sur la passerelle VPN utilisée, demander début/fin de session, compte, IP publique d’origine et IP interne attribuée. Le chemin du journal dépend de la passerelle ; le nom de l’utilisateur seul ne suffit pas.
- Accès et prérequis
- Il n’existe ni fichier ni vocabulaire universels. Les champs proposés ici doivent être instrumentés s’ils manquent ; ne pas enregistrer mots de passe, jetons ou contenu privé intégral.
Windows — journal Sécurité de la machine cible
- Où les trouver
- Observateur d’événements → Journaux Windows → Sécurité. Chercher les connexions réussies 4624 sur la machine qui reçoit l’accès, pas seulement sur le poste de départ.
- Quoi relever
- Sur le serveur atteint, retrouver la connexion depuis l’adresse interne attribuée, avec le compte et TargetLogonId. Conserver le nom de la machine source du journal.
- Accès et prérequis
- Accès délégué aux événements et stratégie d’audit des ouvertures de session active. Une adresse IP ou un champ peuvent être absents selon le protocole utilisé.
Microsoft Defender for Endpoint — DeviceProcessEvents
- Où les trouver
- Portail Microsoft Defender → Advanced hunting → table DeviceProcessEvents : examiner les créations de processus et leur processus initiateur.
- Quoi relever
- Sur cette cible, reconstruire l’arbre de processus autour de la session puis comparer aux opérations d’export consignées par l’application. Les identifiants de chaque produit doivent être reliés explicitement.
- Accès et prérequis
- Poste intégré à Defender, droits et licence adaptés. Rapprocher DeviceId, ProcessId et ProcessCreationTime ; un PID seul peut être réutilisé. Les lignes de commande peuvent contenir des secrets.
Dans l’histoire des cyberattaques
Groupes et campagnes documentés
Ces cas réels montrent où ce mécanisme a été observé. Les années indiquent quand les faits ont eu lieu. Chaque notice précise la source qui les relie à un groupe ou à une campagne.
- GroupeAPT29 / SVR
Noms et appellations : NOBELIUM
SolarWinds : une mise à jour qui transporte l’intrusion
Les attaquants modifient les produits SolarWinds Orion pour ouvrir un accès aux installations de clients. Ils passent par le fournisseur de confiance pour atteindre d’autres organisations : c’est une attaque de la chaîne d’approvisionnement.
Ce qu’établit la source. En avril 2021, le NCSC et ses partenaires attribuent avec une forte probabilité l’opération au SVR russe. Mandiant a ensuite rattaché l’activité SolarWinds à APT29 en 2022.
Consulter le rapport Assembling the Russian Nesting Doll: UNC2452 Merged into APT29Mandiant / Google Cloud · Publié le
Cette sélection ne couvre pas tous les incidents. Plusieurs acteurs peuvent utiliser une même technique. Les exemples fictifs de la fiche ne décrivent les actions d’aucun de ces groupes.
Si vous pensez être concerné
- Prévenez le responsable du système et documentez les premiers constats.
- Contenez les accès suspects selon une procédure adaptée à l’activité.
- Recherchez les accès secondaires avant de considérer l’incident clos.
Pour comprendre votre situation et trouver de l’aide : obtenir une assistance sur 17Cyber. Dans une organisation, prévenez aussi le responsable ou prestataire chargé de la sécurité.
Sources et repères pour approfondir
- MITRE ATT&CK — Enterprise — attack.mitre.org
- NIST SP 800-61 Rev. 3 — csrc.nist.gov
- Microsoft — événement 4624 — learn.microsoft.com
