Cybersécurité 4 — Détection et réponse à incident

1. Réflexion — Prévenir, détecter, réagir

La sécurité ne se limite pas à empêcher (prévention). On ne peut pas tout bloquer : il faut aussi détecter ce qui passe et savoir réagir. C’est la logique de la défense en profondeur.

Phase	Objectif	Exemple d’outil
Prévention	Empêcher l’intrusion	Pare-feu, durcissement, mises à jour
Détection	Repérer l’anomalie	Journaux, IDS, supervision (Zabbix)
Réaction	Contenir et corriger	Isolement, analyse, restauration

Q1. Une entreprise a un excellent pare-feu mais ne regarde jamais ses journaux. Quel maillon est faible ? Quel risque concret ?

2. Pratique — Observer le trafic (tcpdump)

Sur la VM « observateur », on capture le trafic pendant qu’on génère des connexions depuis l’autre VM.

1. Lancez une capture du trafic SSH :

sudo apt install -y tcpdump
sudo tcpdump -n -i any 'tcp port 22' -c 20

2. Depuis la VM cible, lancez quelques connexions SSH (réussies et échouées) vers l’observateur, puis observez la capture.

Q2. Repérez les paquets d’ouverture de connexion (drapeau [S] = SYN). Que voit-on circuler ? Les mots de passe apparaissent-ils en clair ?

Q3. En quoi un protocole non chiffré comme Telnet ou HTTP serait-il différent dans cette capture ?

3. Pratique — Lire les journaux Linux

3. Affichez les tentatives d’authentification SSH :

sudo journalctl -u ssh --since "today" | grep -Ei 'fail|accept|invalid'

Q4. Distinguez une connexion réussie (« Accepted ») d’un échec (« Failed » / « Invalid user »). Que révèle une longue série de « Invalid user » depuis une même IP ?

4. Croisez avec Fail2ban si installé :

sudo fail2ban-client status sshd

4. Pratique — Lire les journaux Windows

Côté Windows, les connexions sont tracées dans le journal Sécurité (événements 4624 = réussite, 4625 = échec).

5. Depuis PowerShell (administrateur), listez les derniers échecs de connexion :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} `
    -MaxEvents 20 | Select-Object TimeCreated, Message

Q5. À quoi correspond l’ID 4625 ? Et l’ID 4624 ? Pourquoi surveiller les 4625 en priorité ?

5. Réflexion — Dérouler une réponse à incident

Un poste se met à envoyer un trafic anormal vers une IP inconnue. Vous êtes le technicien de permanence.

Q6. Classez ces 5 actions dans le bon ordre d’une réponse à incident : (a) restaurer/corriger ; (b) isoler le poste du réseau ; (c) identifier ce qui se passe ; (d) consigner / documenter ; (e) tirer les leçons (post-mortem).

6. Synthèse