Comment l'armée française analyse, contient et éradique une cyberattaque sur une machine militaire

La réponse à une cyberattaque militaire repose sur une méthode en trois phases : comprendre, contenir et éradiquer. L'objectif est de neutraliser l'adversaire en s'appuyant sur l'information, qui est la clé de la défense.

La première étape consiste à collecter des preuves pour identifier la nature de l'intrusion. On analyse les captures réseau pour voir le trafic, on copie la mémoire vive (RAM) pour détecter les malwares actifs et on sauvegarde le disque dur secteur par secteur pour trouver les outils cachés. Les journaux d'événements Windows (EVTX) sont cruciaux car ils révèlent les actions précises de l'attaquant, comme la création d'un utilisateur ou l'exécution d'un script à une heure précise.

Une fois l'analyse faite, il faut isoler immédiatement la machine compromise pour empêcher la propagation de l'attaque. La dernière phase est l'éradication : on supprime tous les éléments malveillants identifiés, on change tous les mots de passe et on réinitialise le système pour garantir sa sécurité.

Exemple : Si les logs montrent qu'un utilisateur a été créé à 3h du matin, l'équipe de défense sait que l'attaquant a établi un accès persistant. Elle peut alors supprimer cet utilisateur, bloquer l'IP source et vérifier que aucun autre compte n'a été modifié, avant de remettre la machine en ligne.