L'investigation numérique, quand il vous faut des réponses
Quelque chose s'est produit. Nous établissons quoi, comment, depuis quand et ce qui a été touché, à partir des traces laissées par vos systèmes. Et avant que quoi que ce soit n'arrive, nous vous aidons à vous préparer à réagir.
Présentation
Ce que la forensique peut vous dire
Après un incident, les questions sont toujours les mêmes : comment sont-ils entrés, qu'ont-ils atteint, est-ce terminé, et que dit-on à qui. Les suppositions ne coûtent rien et sont souvent fausses. Les réponses viennent des journaux, des disques, de la mémoire, du trafic réseau et des fichiers laissés par l'intrus, examinés avec soin et dans le bon ordre.
Black Fox réalise des analyses post-incident, de la forensique réseau et stockage, de la rétro-ingénierie de code malveillant ou suspect, et de la récupération de données. Nous préservons les preuves pour qu'on puisse encore s'y fier plus tard, reconstituons la chronologie et la consignons sous une forme exploitable par votre direction, vos assureurs ou vos avocats.
La meilleure moitié de la réponse à incident a lieu avant l'incident. Nous vous aidons à rédiger un plan de réponse, à décider qui fait quoi et à le répéter lors d'exercices sur table, pour que la première exécution du plan par votre équipe ne soit pas la vraie.
À qui s'adresse ce service
Les organisations qui ont subi ou soupçonnent un incident de sécurité et doivent savoir ce qui s'est passé, et celles qui veulent être prêtes avant, y compris lorsque leurs obligations au titre de NIS2, de DORA ou du règlement général sur la protection des données (RGPD) imposent de gérer et de notifier les incidents.
Le travail, du cadrage aux preuves.
Ce que nous faisons
Analyse post-incident
Une reconstitution des faits : accès initial, déplacements, persistance, ce qui a été touché ou emporté, et les failles qui l'ont permis.
Forensique réseau
Analyse de captures de trafic et de journaux de pare-feu, de proxy et de DNS, entre autres, pour retracer connexions, transferts de données et canaux de commande.
Forensique des supports
Images de disques et de systèmes examinées à la recherche d'artefacts, de fichiers supprimés, de chronologies et de traces d'outils, avec une gestion des preuves dont l'intégrité peut être démontrée.
Rétro-ingénierie
Binaires, scripts et documents suspects démontés pour comprendre ce qu'ils font, comment ils persistent et avec quoi ils communiquent.
Récupération de données
Récupération de données supprimées, endommagées ou dissimulées à partir des supports et sauvegardes disponibles, lorsqu'elles sont encore récupérables.
Préparation à la réponse
Plans de réponse à incident, rôles, listes de contacts et procédures, répétés avec votre équipe lors d'exercices sur table.
Déroulement de la mission
Premier contact
Vous nous dites ce que vous observez. Nous convenons du périmètre, des interlocuteurs et du traitement des preuves, et signons d'abord un accord de confidentialité si vous le souhaitez.
Préservation
Nous vous conseillons sur ce qu'il faut laisser tourner, isoler ou collecter en premier, pour ne pas perdre de preuves pendant le confinement.
Analyse
Nous examinons les preuves, construisons la chronologie et confrontons chaque hypothèse aux données, en partageant les résultats intermédiaires dès qu'ils sont solides.
Recommandations
Nous vous disons quoi fermer, quoi reconstruire et quoi surveiller, pour que la même porte ne s'ouvre pas deux fois.
Rapport et clôture
Un rapport de synthèse pour la direction et un rapport technique avec les preuves, puis une séance de clôture où nous faisons le bilan de la mission avec vous.
Ce que vous recevez
- Chronologie de l'incident avec les preuves à l'appui
- Rapport technique d'investigation
- Rapport de synthèse pour la direction, les assureurs ou les conseils
- Analyse de logiciel malveillant ou d'artefacts, le cas échéant
- Données récupérées, lorsque la récupération était possible
- Plan de réponse à incident et compte rendu d'exercice, pour la préparation
Questions
En combien de temps pouvez-vous intervenir ?
Nous ne nous engageons pas sur des délais d'intervention. Contactez-nous dès que vous soupçonnez quelque chose, et nous vous dirons franchement ce que nous pouvons faire et quand. Si vous souhaitez un cadre défini, convenez d'un contrat d'assistance avec nous à l'avance, avant d'en avoir besoin.
Faut-il tout éteindre ?
Pas sans réfléchir. Éteindre peut détruire des preuves présentes en mémoire, tandis que laisser connecté peut permettre à un intrus de continuer. Isolez ce que vous pouvez, notez ce que vous faites et à quel moment, et parlez-nous avant d'effacer ou de réinstaller quoi que ce soit.
Notifiez-vous les autorités à notre place ?
Les décisions de notification vous appartiennent, avec vos conseils juridiques. Nous vous donnons les faits nécessaires pour décider, par exemple au titre du RGPD ou de NIS2, et vous aidons à préparer le contenu technique d'une notification.
Nos preuves peuvent-elles servir devant un tribunal ?
Nous collectons et traitons les preuves de façon à pouvoir démontrer leur intégrité, chaque étape étant documentée. Leur recevabilité relève de vos avocats et du tribunal.
Services associés
- Conseil et réponseSensibilisation à la sécuritéFormations Black Fox Security : sensibilisation à la sécurité et à l'ingénierie sociale, réponse à incident, DevSecOps, pour équipes, développeurs et direction.
- Gouvernance et risquesContinuité d'activité et reprise après sinistrePCA et PRA avec Black Fox Security : bilan d'impact sur l'activité, plans de continuité et de reprise, tests de sauvegarde et de restauration, exercices sur table.
- Conformité et certificationNIS 2NIS 2 avec Black Fox Security : analyse d'assujettissement, écarts face aux mesures de gestion des risques, notification des incidents, fournisseurs.
- Sécurité managéeDurcissement de la sécuritéDurcissement par Black Fox Security : postes de travail, serveurs et réseaux, référentiels de configuration sécurisée, supervision et sécurité personnelle.
Quand il vous faut des réponses, demandez
Dites-nous ce que vous observez, ou ce à quoi vous voulez être prêts. Nous vous dirons ce que nous pouvons établir et comment.