InterCERT France créé les Fiches Réflexes

L’association InterCERT France, acteur majeur dans la coopération des équipes de détection et de réponse aux incidents de sécurité informatique, vient de créer une série de 10 Fiches Réflexes. Sous l’impulsion du CERT-FR de l’ANSSI et de travaux préexistants au sein des CERT-SG et CERT-Advens sur des fiches méthodologiques, le collectif des CERTs réunis au sein de l’association a décidé de développer des Fiches Réflexes.

“Lors de nos échanges entre CERTs, nous avons identifié un besoin : celui de fournir un socle de réponses à incidents cyber en français, faisant l’objet d’un consensus entre nos membres et largement partageable. L’arrivée des Jeux Olympiques cet été draine avec elle des inquiétudes quant à notre capacité collective à faire face aux menaces cyber. Nous souhaitons adresser un message de confiance : nous sommes prêts !” introduit Frédéric Le Bastard, Président de l’InterCERT France.

Les meilleurs experts cyber à la manœuvre pour partager leurs bonnes pratiques

Une vingtaine de CERT a participé à l’élaboration des Fiches Réflexes. L’InterCERT France a mis en place deux Groupes de travail dédiés :

Le premier groupe de travail, piloté par le CERT-FR, a pris en charge les Fiches Réflexes de remédiation à destination des organisations.
Le deuxième groupe de travail, piloté par le CERT-KERING, a pris en charge le Playbook de remédiation à destination des équipes de sécurité internes membres de l’association.
Chaque fiche a été placée sous la responsabilité d’un « porteur » volontaire, qui avait la charge de synthétiser et de rédiger les retours d’expérience des CERT et CSIRT. Puis chaque fiche a été revue dans des sessions publiques où les CERTs volontaires ont pu contribuer en partageant leur vision et leurs retours d’expériences.

A l’origine des Fiches Réflexes, une volonté d’entraide et de partage

InterCERT France a créé les Fiches Réflexes pour pallier le manque d’outils pratiques détaillant les actions à mener en cas de cyberattaque, afin de faciliter la protection et réduire les impacts.

Les membres de l’association ont souhaité proposer leur aide par ce moyen, conscients du fait que, si une organisation victime d’une attaque n’est pas prise en charge rapidement par une équipe spécialisée comme un CERT ou CSIRT, ces Fiches Réflexes peuvent l’aider à exécuter de manière autonome les 2 premières étapes d’un incident : la qualification et l’endiguement.

Une fois l’organisation protégée, une équipe spécialisée peut ensuite prendre le relais.

Les Fiches Réflexes de l’InterCERT France sont utilisables par toute organisation opérant un système d’information et donc susceptible de subir un incident cyber.

Et au sein de ces organisations, elles s’adressent aux personnes qui se trouvent en première ligne lors de la découverte d’un incident de sécurité informatique, en particulier aux administrateurs de ses systèmes d’information, aux RSSI, et aux équipes de sécurité internes.

Chacune des 10 Fiches Réflexes est introduite par un sommaire très didactique et des questions qui permettent à l’utilisateur de savoir quand et comment l’utiliser.

• Chiffrement ou Effacement en cours – Qualification
• Chiffrement ou Effacement en cours – Endiguement
• Compromission d’un compte de messagerie – Qualification
• Compromission d’un compte de messagerie – Endiguement
• Compromission système – Qualification
• Compromission système – Endiguement
• Défacement de site web – Qualification
• Défacement de site web – Endiguement
• Déni de service réseau – Qualification
• Déni de service réseau – Endiguement

Les Fiches Réflexes InterCERT France sont conçues avec l’idée qu’une équipe de CERT/CSIRT puisse les transmettre ou préconiser leurs actions à la victime d’un incident, avant de pouvoir engager des moyens de support plus spécialisés. De surcroit, elles peuvent permettre aux CERT/CSIRT de comparer leurs pratiques avec celles d’une vingtaine d’autres CERT/CSIRT et de les intégrer dans leurs traitements.

L’InterCERT France publie ces Fiches Réflexes dans la perspective d’utilisations diverses :

• Fournir des conseils pratiques, utilisables rapidement, à toute organisation subissant un incident cyber sur son système d’information.
• L’objectif n’est pas de donner des conseils « en temps froid » ; l’objectif est de donner des conseils en « temps chaud » d’un incident en cours.
• L’association conseille aux utilisateurs des Fiches de les maintenir à jour et de les exporter hors du système d’information, voire de les imprimer pour les inclure dans un kit de réaction.