Répondre : isoler une machine

La détection n’a d’importance que si elle mène à l’action. Cette leçon concerne les premières minutes après que vous avez remarqué quelque chose qui ne va pas : une application qui se connecte à un endroit où elle ne devrait pas, un Mac se comportant étrangement ou un avertissement d'une personne de confiance indiquant que vous avez peut-être été ciblé. Le but ici n’est pas de résoudre vous-même le problème sous-jacent ; il s'agit d'empêcher que la situation ne s'aggrave et de conserver ce dont vous aurez besoin pour obtenir une réelle aide.

Isoler d’abord, enquêter ensuite

Le Computer Security Incident Handling Guide (SP 800-61) du NIST considère le confinement comme un choix qui doit être fait rapidement et prévient qu’« un attaquant pourrait intensifier un accès non autorisé ou compromettre d’autres systèmes » aussi longtemps que le confinement est retardé. Sur un Mac, le confinement signifie couper son accès au réseau : désactiver le Wi-Fi, débrancher un câble Ethernet ou activer le mode avion si disponible, plutôt que de continuer à l'utiliser normalement pendant que vous réfléchissez. Cela ne résout rien en soi, mais cela arrête une connexion en cours avec un attaquant et empêche le Mac d'être utilisé pour atteindre autre chose, comme un autre appareil sur le même réseau ou un compte auquel vous êtes toujours connecté.

• Se déconnecter du réseau : Wi-Fi désactivé, Ethernet débranché. Il s’agit de la première action la plus utile, car elle coupe simultanément les instructions entrantes et les données sortantes.
• N'éteignez pas et ne redémarrez pas le Mac à moins que quelqu'un vous l'ait demandé. La mise hors tension peut perdre des informations en mémoire qui autrement aideraient à expliquer ce qui s'est passé, et peut déclencher des logiciels nuisibles conçus pour remarquer un arrêt et brouiller les traces.
• Ne désinstallez pas l’application suspecte, ne supprimez pas de fichiers ou ne « nettoyez » pas avant d’obtenir de l’aide. C’est tentant, mais cela détruit les preuves dont un assistant aurait besoin pour comprendre ce qui s’est passé.
• Si le Mac est utilisé à des fins professionnelles ou si l'incident peut impliquer les données de quelqu'un d'autre, informez-en immédiatement la personne responsable (le contact informatique ou de sécurité d'un employeur, le responsable de la sécurité d'une organisation), plutôt qu'après avoir examiné la situation vous-même.

Préserver ce que vous pouvez, brièvement

Le guide du NIST recommande de documenter « chaque étape franchie depuis la détection de l’incident jusqu’à sa résolution finale », horodatée, idéalement par une personne autre que la personne effectuant le travail technique. Sur un Mac, sans équipe formelle, cela peut être simple : notez ou photographiez ce que vous avez vu et quand (l'application, la destination, l'heure), notez tout ce que vous avez modifié (avez-vous déconnecté le réseau ? avez-vous fermé une application ?) et conservez toutes les captures d'écran que vous avez déjà prises. C'est exactement le genre de détails que les outils de la leçon précédente, tels qu'un journal de connexion par application, sont utiles pour capturer avant de vous déconnecter.

Obtenir de l'aide

La personne à contacter dépend de qui vous êtes et des enjeux. Pour la plupart des gens, cela commence par celui qui gère l’appareil s’il n’est pas personnel (un employeur, le service informatique d’une organisation), ou par une personne de confiance et techniquement compétente s’il l’est. Pour les journalistes, militants, défenseurs des droits humains et autres personnes susceptibles d’être ciblées en raison de leur travail, deux organisations offrent spécifiquement ce type de soutien gratuitement :

• La ligne d’assistance sur la sécurité numérique d’Access Now offre une aide rapide, dans plusieurs langues, aux groupes de la société civile et aux individus qui pensent être en danger ou déjà attaqués, après un processus de vérification visant à confirmer qu’ils relèvent de son mandat.
• La Freedom of the Press Foundation propose une formation à la sécurité numérique et des conseils personnalisés aux journalistes et aux salles de rédaction, notamment des conseils sur la sécurité des appareils et la protection des sources.

Ni l’organisation, ni cette leçon, ne peuvent promettre qu’un ensemble d’étapes assure la sécurité d’une personne ciblée ; l’objectif honnête est de réduire les risques et d’impliquer rapidement une personne bien informée, et non de les éliminer.