Que faire en cas de cyberattaque, jusqu'où faut-il isoler le réseau ?

Un EDR isole un poste commercial après avoir détecté l’exécution d’un programme suspect. Quelques minutes plus tard, le serveur de fichiers enregistre une activité inhabituelle. Puis un compte d’administration apparaît dans les journaux d’une machine sur laquelle il n’est normalement jamais utilisé.

Que faire en cas de cyberattaque lorsqu’on ignore encore jusqu’où l’incident s’est propagé ? La tentation est forte de couper rapidement beaucoup de choses, l’accès Internet, le réseau de l’agence, les tunnels vers les autres sites, parfois même tout le WAN. Pourtant, ce n’est pas la quantité de connexions interrompues qui fait la qualité du confinement. Ce qui compte est de trouver suffisamment vite la frontière entre les systèmes auxquels on peut encore faire confiance et ceux qu’il faut isoler.

Le CERT-FR recommande justement d’adapter les mesures d’endiguement au périmètre affecté, à l’impact possible de l’incident et à l’urgence. Sur le terrain, toute la difficulté tient dans ces quelques mots. Au début d’une attaque, le périmètre est rarement connu avec certitude. La DSI doit donc avancer par étapes, en élargissant l’isolement lorsque les faits montrent que la première frontière choisie ne suffit plus.

Une cyberattaque ne se contient pas en coupant le plus possible. Elle se contient en isolant assez vite le périmètre auquel on ne peut plus faire confiance.

Que faire en cas de cyberattaque, déterminer d’abord jusqu’où elle s’est propagée

L’alerte EDR indique sur quelle machine un comportement suspect a été détecté. Elle ne dit pas nécessairement où l’attaque a commencé, ni si cette machine est la seule concernée. Avant son isolement, le poste a pu accéder à un partage de fichiers, ouvrir une session sur un serveur ou utiliser des identifiants qui permettent de se connecter ailleurs.

La première étape consiste donc moins à chercher immédiatement le nom du malware qu’à comprendre ce que le poste a pu atteindre. Il faut regarder les connexions qu’il a établies, les comptes utilisés, les ressources consultées et vérifier si d’autres machines présentent des événements similaires. Lorsqu’un SIEM centralise les journaux de plusieurs équipements, ce rapprochement peut être beaucoup plus rapide. L’intérêt n’est pas d’ajouter une console de plus, mais de voir si plusieurs événements qui paraissent isolés racontent en réalité la même compromission.

Si aucun autre poste n’est suspect, qu’aucun compte n’a été utilisé de façon inhabituelle et que les serveurs ne présentent pas d’activité anormale, l’incident peut encore être traité comme local. Dans le cas inverse, l’équipe doit accepter une idée moins confortable, le poste qui a déclenché l’alerte n’est peut-être que le premier symptôme visible.

Isoler le poste compromis reste la bonne première mesure

La plupart des solutions EDR permettent de placer à distance un poste en quarantaine. Concrètement, la machine ne communique plus normalement avec le reste du réseau, tout en restant généralement joignable depuis la console de sécurité. L’équipe peut poursuivre l’analyse sans laisser le poste continuer à accéder aux serveurs ou aux autres machines.

Lorsque cette fonction n’est pas disponible, l’isolement peut être réalisé au niveau du réseau, par exemple en coupant le port du switch utilisé par la machine ou en appliquant une règle sur le firewall. Dans une situation urgente, une déconnexion physique du réseau reste évidemment possible.

Le CERT-FR recommande de privilégier l’isolation via l’EDR lorsqu’elle est disponible, notamment parce qu’elle permet de contenir rapidement la machine tout en conservant des informations utiles à l’investigation. Mais il faut garder en tête ce que cette action fait réellement. Elle bloque les communications futures du poste. Elle n’efface pas les connexions qu’il a déjà ouvertes, les identifiants qu’il a pu exposer ni les actions réalisées avant l’alerte.

C’est la raison pour laquelle l’isolement du poste marque le début du confinement, pas sa fin.

Quand faut-il élargir l’isolement au-delà du poste compromis ?

La situation change dès qu’un autre indice apparaît ailleurs. Si le serveur de fichiers continue d’enregistrer une activité anormale après l’isolement du premier poste, l’équipe doit déterminer si un second système est compromis ou si un compte a été détourné. De la même manière, l’utilisation inhabituelle d’un compte d’administration oblige à regarder beaucoup plus loin que la machine sur laquelle l’événement a été détecté.

Un compte privilégié peut être utilisé depuis plusieurs postes et donner accès à des serveurs, des outils d’administration ou des équipements réseau. Dans ce cas, isoler uniquement le premier ordinateur donne une vision trop étroite de l’incident. C’est aussi l’un des principes que cherche à traiter une approche Zero Trust en limitant la confiance accordée par défaut à une identité ou à une machine.

Le périmètre de confinement doit donc évoluer avec les faits. Tant que l’incident semble limité à un poste, on isole ce poste. Si plusieurs machines d’une même zone deviennent suspectes, on peut devoir isoler le segment réseau ou le VLAN auquel elles appartiennent. Si une agence entière commence à présenter des signes de compromission, la question devient celle de son isolement par rapport au reste du groupe. Et lorsqu’une identité centrale ou plusieurs sites sont concernés, la frontière à protéger peut devenir beaucoup plus large.

Ce que l’équipe observe	Périmètre à envisager	Pourquoi
Un seul poste compromis, aucun autre signal	Le poste	L’incident paraît encore localisé
Plusieurs machines d’une même zone sont suspectes	Le segment ou VLAN	La propagation locale devient probable
Un serveur sensible est compromis	Le serveur et ses flux	Il peut donner accès à plusieurs zones
Une agence présente plusieurs signes de compromission	Le site et ses interconnexions	Il faut protéger les autres implantations
Un compte administrateur est détourné	Les accès privilégiés associés	L’identité peut être utilisée ailleurs
Le périmètre reste impossible à borner	Une zone beaucoup plus large	L’isolement ciblé n’apporte plus assez de garanties

La progression n’est donc pas une procédure figée. Elle traduit un principe de prudence assez simple. La bonne mesure est la plus petite coupure qui contient réellement l’incident.

Segmentation réseau, ce qui change vraiment le jour de l’attaque

Cette capacité à isoler progressivement dépend largement de l’architecture du réseau d’entreprise telle qu’elle a été conçue avant l’incident.

Dans certaines entreprises, les postes utilisateurs, les serveurs et les équipements d’administration communiquent encore très librement entre eux. On parle parfois de réseau « plat ». Le terme importe finalement moins que sa conséquence. Lorsqu’un poste est compromis, il dispose de nombreux chemins pour atteindre d’autres ressources. Et lorsque l’équipe cherche à contenir l’incident, elle dispose de peu de frontières fiables sur lesquelles s’appuyer.

À l’inverse, un réseau segmenté sépare les grandes catégories de systèmes. Les postes bureautiques peuvent être placés dans une zone, les serveurs dans une autre, l’administration dans une troisième. Des règles de filtrage définissent ensuite les communications réellement nécessaires entre ces zones.

Il faut d’ailleurs distinguer segmentation et simple découpage technique. Créer plusieurs VLAN ou plusieurs sous-réseaux n’apporte pas grand-chose si toutes les zones peuvent ensuite communiquer librement entre elles. La segmentation devient utile lorsque les flux autorisés correspondent aux besoins réels de l’entreprise et que les autres communications sont bloquées.

La segmentation réduit aussi le coût de la réponse à incident

Imaginons deux entreprises confrontées à la compromission du même poste.

Dans la première, les utilisateurs peuvent joindre de nombreux serveurs, les interfaces d’administration sont accessibles depuis le réseau bureautique et les agences communiquent largement entre elles. Lorsqu’un incident survient, l’équipe peut avoir du mal à isoler finement la zone concernée. Pour protéger le reste du système d’information, elle risque d’être contrainte de couper beaucoup plus large.

Dans la seconde, les postes utilisateurs n’accèdent qu’aux services dont ils ont besoin, les interfaces d’administration sont séparées et les agences peuvent être isolées les unes des autres. Le même incident peut alors être contenu avec beaucoup moins d’impact sur l’activité.

Plus le réseau est cloisonné avant l’attaque, moins il faut couper large pendant l’incident.

La segmentation n’a donc pas seulement pour fonction de ralentir un attaquant. Elle donne aussi davantage de choix à l’équipe qui doit réagir. C’est une différence importante, car la réponse à incident ne consiste pas uniquement à protéger le SI. Elle doit aussi éviter de transformer une compromission locale en arrêt général provoqué par les mesures de défense elles-mêmes.

Cyberattaque multi-sites, isoler une agence sans condamner tout le WAN

Le raisonnement devient particulièrement concret dans une entreprise dont les sites communiquent à travers un réseau WAN ou un VPN MPLS.

Supposons que plusieurs postes d’une agence remontent des alertes alors que le siège et les autres implantations ne présentent rien d’anormal. La solution la plus radicale consisterait à couper l’ensemble du WAN. Elle protégerait probablement les sites les uns des autres, mais elle interromprait aussi leurs communications, y compris celles qui ne sont pas concernées par l’incident.

Si l’architecture le permet, une réponse plus précise consiste à isoler uniquement l’agence suspecte. Les communications vers le siège et les autres sites sont interrompues ou fortement filtrées, tandis que le reste du groupe continue de fonctionner. L’agence devient temporairement une zone à laquelle on ne fait plus confiance.

Cette faculté devrait faire partie de la conception d’un réseau multi-sites. Un WAN ne doit pas seulement permettre aux sites de communiquer. Il doit aussi permettre d’en isoler un lorsque sa fiabilité devient douteuse.

La décision change évidemment si les mêmes événements apparaissent ensuite sur une autre agence, ou si un compte d’administration central a été utilisé sur plusieurs sites. Dans cette situation, isoler uniquement le premier site peut donner une impression de contrôle qui ne correspond plus à la réalité. Le périmètre de confinement doit être élargi, éventuellement jusqu’à filtrer ou couper certains flux WAN entre plusieurs implantations.

Couper le WAN n’est donc ni un réflexe à bannir, ni une règle automatique. Cela devient pertinent lorsque l’équipe ne peut plus garantir qu’un site compromis est effectivement séparé des autres.

Ransomware, compte administrateur ou exfiltration ne créent pas les mêmes priorités

Le principe reste celui du bon périmètre, mais toutes les cyberattaques ne laissent pas le même temps pour décider.

Un ransomware qui commence déjà à chiffrer plusieurs partages exige un confinement rapide. Chaque minute supplémentaire peut étendre le nombre de postes et de données touchés. Notre guide consacré aux ransomwares détaille le fonctionnement de cette menace, et la CISA recommande d’isoler immédiatement les systèmes touchés lorsqu’un incident de ce type est identifié.

La compromission d’un compte administrateur pose un problème différent. L’attaquant peut utiliser cette identité depuis plusieurs machines. La réponse doit alors porter autant sur les accès du compte que sur le poste ayant déclenché l’alerte. Les sessions actives, les secrets exposés et les systèmes auxquels ce compte donne accès doivent être examinés.

Une exfiltration de données crée encore une autre priorité. Si un serveur envoie soudainement un volume important de données vers l’extérieur, le filtrage des communications Internet peut devenir la première mesure utile. Dans ce scénario, couper une destination ou certains flux sortants peut être plus urgent que d’isoler un site entier.

Ces exemples montrent pourquoi la consigne générale « coupez Internet en cas de cyberattaque » est trop pauvre pour guider une réponse réelle. Couper Internet peut arrêter certains échanges externes, mais ne contient pas à lui seul une attaque qui circule déjà dans le réseau interne.

Après le confinement, reconnecter demande autant de méthode que couper

Lorsque l’activité malveillante semble stoppée, la pression pour remettre les services en fonctionnement arrive très vite. Les utilisateurs veulent retrouver leurs postes, une agence isolée doit accéder à l’ERP, les équipes métiers réclament la remise en production des serveurs.

C’est précisément à ce moment qu’une reprise trop rapide peut recréer l’incident.

Réinstaller un poste ne sert à rien si les identifiants volés restent valides. Restaurer un serveur depuis une sauvegarde ne suffit pas si le compte qui a permis la compromission peut encore être utilisé. Réouvrir une agence sur le WAN est prématuré si plusieurs machines du site n’ont pas encore été vérifiées.

Le NIST SP 800-61r3 intègre la reprise au processus de réponse à incident. C’est une manière utile de voir les choses, car le retour à la normale n’est pas une étape administrative après la crise. Il fait partie du traitement de la crise elle-même.

Reconnecter revient à rétablir progressivement la confiance

Une reprise maîtrisée peut donc se faire par étapes. Une agence peut retrouver certains services essentiels avant la réouverture complète de toutes ses communications. Un serveur restauré peut être replacé dans une zone contrôlée avant de retrouver l’ensemble de ses dépendances. La surveillance reste renforcée pendant cette phase afin de vérifier que l’activité suspecte ne réapparaît pas.

La cyber-résilience et le PRA/PCA prennent alors le relais de l’endiguement.

La fin d’une cyberattaque n’est pas le moment où tout a été reconnecté. C’est le moment où l’entreprise sait pourquoi elle peut reconnecter.

Préparer avant l’incident ce qu’il faudra pouvoir couper

Le principal enseignement de ce type d’incident se joue finalement bien avant l’attaque.

Une équipe peut isoler rapidement un poste si la fonction de quarantaine de l’EDR a été testée. Elle peut isoler une agence si le WAN a été conçu pour le permettre. Elle peut protéger ses serveurs si les postes utilisateurs n’ont pas accès librement aux zones sensibles. À l’inverse, découvrir pendant une crise qu’une coupure de VLAN arrête une application critique ou que toutes les agences doivent être déconnectées ensemble fait perdre un temps précieux.

La préparation ne consiste donc pas seulement à rédiger un plan de réponse à incident. Elle consiste à vérifier que les actions prévues dans ce plan sont réellement possibles sur le réseau.

Décision possible pendant l’incident	Ce qu’il faut préparer
Isoler un poste compromis	Fonction EDR ou mécanisme réseau testé
Isoler une zone	Règles de filtrage et dépendances connues
Retirer une agence du WAN	Possibilité d’isoler ses interconnexions
Protéger l’administration	Comptes et réseaux d’administration séparés
Couper certains flux Internet	Politiques de filtrage rapidement modifiables
Reconnecter progressivement	Dépendances et critères de retour documentés

Un service MDR peut aider à détecter et qualifier rapidement l’incident. Une offre de cybersécurité managée peut réunir les briques de protection et de supervision. Mais ces outils ne remplacent pas une architecture qui permet d’agir lorsque l’attaque touche réellement le réseau. C’est aussi ce qui fait le lien avec une approche globale de la cybersécurité en PME.

La sécurité détecte qu’une machine, une identité ou une zone n’est plus digne de confiance. Le réseau détermine ensuite avec quelle précision cette défiance peut être appliquée.

Questions fréquentes sur une cyberattaque dans le réseau

Faut-il couper le réseau en cas de cyberattaque ?

Il faut isoler rapidement les systèmes compromis, mais une coupure générale du réseau n’est pas systématiquement nécessaire. L’isolement doit s’élargir lorsque l’attaque dépasse le premier système ou lorsque l’équipe ne parvient plus à délimiter avec suffisamment de confiance le périmètre touché.

Que faut-il isoler en premier lorsqu’un poste est compromis ?

Le premier système à isoler est la machine confirmée ou fortement suspectée d’être compromise. Il faut ensuite vérifier les connexions qu’elle a établies, les comptes qu’elle a utilisés et les autres ressources qu’elle a pu atteindre avant son isolement.

Couper Internet suffit-il à stopper une cyberattaque ?

Couper Internet peut interrompre certains échanges externes, mais ne stoppe pas une attaque déjà présente dans le réseau interne. Les communications entre postes, serveurs, partages et sites peuvent continuer tant que les flux internes restent autorisés.

Quand faut-il isoler un VLAN ou un segment réseau ?

Un VLAN ou un segment doit être isolé lorsque plusieurs systèmes de cette zone sont compromis ou lorsqu’un simple isolement du premier poste ne suffit plus à maîtriser l’incident. L’objectif est d’empêcher la propagation vers les autres parties du système d’information.

Quand faut-il couper le WAN entre plusieurs sites ?

Le WAN doit être filtré ou partiellement isolé lorsqu’un site compromis peut atteindre d’autres implantations et qu’une mesure plus fine n’est pas disponible assez vite. Une coupure plus large devient pertinente lorsque l’équipe ne peut plus garantir que l’incident reste limité à un seul site.

La segmentation réseau réduit-elle l’impact d’une cyberattaque ?

Une segmentation réseau correctement filtrée réduit les communications possibles entre les différentes zones du système d’information. Elle limite les possibilités de propagation et permet d’isoler un périmètre plus petit pendant l’incident.

Un EDR peut-il isoler un poste compromis ?

De nombreuses solutions EDR disposent d’une fonction permettant de mettre un poste en quarantaine à distance. La machine ne peut plus communiquer normalement avec le reste du réseau, tout en restant généralement administrable depuis la console de sécurité.

Pourquoi un compte administrateur compromis change-t-il le périmètre de l’incident ?

Un compte privilégié peut être utilisé depuis plusieurs machines et donner accès à de nombreuses ressources. Isoler le poste qui a déclenché l’alerte ne suffit donc pas si l’identité elle-même a pu être détournée.

Quand peut-on reconnecter une machine isolée après une cyberattaque ?

Une machine ne doit être reconnectée qu’après investigation, remédiation et vérification de son environnement. L’équipe doit avoir une raison suffisante de considérer à nouveau le système et les accès associés comme fiables.

Qui doit décider d’une coupure générale du réseau ?

La décision doit être prévue dans le dispositif de réponse à incident et associer les responsables techniques aux responsables métier. Une coupure générale peut protéger le système d’information, mais aussi arrêter la production, la téléphonie et certains outils utilisés pour gérer la crise.