Le confinement est l'acte de limiter la propagation et l'impact d'un incident en isolant les systèmes touchés et en coupant la capacité de l'adversaire à s'étendre. Son but est d'arrêter l'hémorragie : empêcher un problème de grandir pendant que l'organisation s'efforce de le comprendre et de l'éliminer.
Au sein de la phase de réponse, le confinement fait suite au tri et se déroule en parallèle de l'investigation. Une fois un incident confirmé et son périmètre initial compris, les intervenants s'emploient à prévenir de nouveaux dommages avant de tenter une éradication complète. Le moment et le discernement importent, car confiner de manière trop étroite peut laisser à l'adversaire une marge de manœuvre, tandis que confiner de manière trop agressive peut perturber l'activité ou alerter l'attaquant prématurément.
En pratique, le confinement va de mesures à court terme qui font gagner du temps à une isolation à plus long terme qui tient pendant que la restauration est planifiée. Les intervenants peuvent déconnecter ou segmenter les hôtes touchés, désactiver les comptes compromis, bloquer les chemins réseau malveillants ou restreindre l'accès aux systèmes sensibles. Les décisions pèsent le besoin d'arrêter la propagation face à la préservation des preuves et au maintien des opérations essentielles. Une stratégie de confinement bien choisie dépend de l'investigation pour définir le périmètre, et elle prépare l'éradication en figeant la position de l'adversaire afin que sa présence puisse être retirée proprement.
Références#
- NIST SP 800-61, Computer Security Incident Handling Guide
- SANS, Incident Handler's Handbook