Spécial - Panel Bsides Montreal 2026
19 septembre 2026
Parce que... c'est l'épisode 0x351!
Vincetopia - Deux fois sur le métier remettez votre ouvrage
06 octobre 2026
Parce que... c'est l'épisode 0x350!
SéQCure - La sécurité appliquée pour les praticiens de l'IA
16 septembre 2026
Parce que... c'est l'épisode 0x34F!
Teknik - Série l'IA dans les CtF - BreizhCTF
11 septembre 2026
Parce que... c'est l'épisode 0x34E!
Actu - 04 octobre 2026
04 octobre 2026
Parce que... c'est l'épisode 0x34D!
Teknik - Série l'IA dans les CtF - FCSC
27 août 2026
Parce que... c'est l'épisode 0x34C!
SéQCure - Souveraineté Numérique - La réalité, au-delà des campagnes de peurs
11 avril 2026
Parce que... c'est l'épisode 0x34B!
Teknik - Sécurité de l'univers OT
11 juin 2026
Parce que... c'est l'épisode 0x34A!
Actu - 27 septembre 2027
27 septembre 2026
Parce que... c'est l'épisode 0x349!
Spécial - Sur l'équilibre à trouver en entreprise autour du "Do more with less" avec l'IA et l'enjeu de la taille des modèles de langage utilisés
19 août 2026
Parce que... c'est l'épisode 0x348!
SéQCure - Faut-il porter une toge pour vraiment protéger un secret ?
24 mars 2026
Parce que... c'est l'épisode 0x347!
Quand le pervers se cache dans les lunettes par Cyber Citoyen et PolySécure
15 septembre 2026
Parce que... c'est l'épisode 0x346!
Actu - 20 septembre 2026
20 septembre 2026
Parce que... c'est l'épisode 0x345!
Teknik - Série l'IA dans les CtF - Northsec
09 juillet 2026
Parce que... c'est l'épisode 0x344!
SéQCure - Quantique - Les opportunités d'un risque, les risques d'une opportunité
19 mars 2026
Parce que... c'est l'épisode 0x343!
Teknik - Finding the Needle in the Haystack with Dicozorus - A New Companion for Advanced Web Fuzzing (PTS)
02 juillet 2026
Parce que... c'est l'épisode 0x342!
Actu - 13 septembre 2026
13 septembre 2026
Parce que... c'est l'épisode 0x341!
SéQCure - Faillite et reconstruction - décisions rationnelles dans un marché changeant
09 mars 2026
Parce que... c'est l'épisode 0x340!
Vincetopia - First thing first!
07 septembre 2026
Parce que... c'est l'épisode 0x33F!
Teknik - Série l'IA dans les CtF - SSTIC
01 juillet 2026
Parce que... c'est l'épisode 0x33E!
Actu - 06 septembre 2026
06 septembre 2026
Parce que... c'est l'épisode 0x33D!
Teknik - CAIDO, le proxy offensif, ou la complexité de coder un proxy
24 août 2026
Parce que... c'est l'épisode 0x33C!
Teknik - CVE-2025-54068 - Deep dive into Livewire, from weak typing to pre-authenticated remote command execution (Pass the Salt)
01 juillet 2026
Parce que... c'est l'épisode 0x33B!
Teknik - L'IA en pratique ou comment ne pas se bruler dans nos expérimentations
09 juillet 2026
Parce que... c'est l'épisode 0x33A!
Actu - 30 août 2026
30 août 2026
Parce que... c'est l'épisode 0x339!
PME - CyberBBQ part 5 - La place de la gouvernance durant un incident
22 août 2026
Parce que... c'est l'épisode 0x338!
PME - CyberBBQ part 4 - La place du red teaming durant un incident
22 août 2026
Parce que... c'est l'épisode 0x337!
PME - CyberBBQ part 3 - La place de la protection des courriels durant un incident
22 août 2026
Parce que... c'est l'épisode 0x336!
PME - CyberBBQ part 2 - La place de la des postes et des serveurs durant un incident
22 août 2026
Parce que... c'est l'épisode 0x335!
Parce que… c’est l’épisode 0x335!
Shameless plug
- 19 septembre 2026 - Montréal Canada - Bsides Montréal 2026
- 22 septembre 2026 - Belgique - BE-Cyber
- 24 au 25 septembre 2026 - Belgique - BruCON
- 1er au 3 octobre 2026 - Krakow, Pologne - AligatorCon
- 13 et 14 novembre 2026 - Worldwide - DEATHCon
- 16 au 19 novembre - Rennes, France - European Cyber Week 2026
- I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle
- 16 novembre 2026 - Paris, France - CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes
- 13 au 16 septembre 2026 - Montréal, Canada - MTL Connecte
Description
Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées.
Mise en contexte
Ce deuxième épisode du Cyber Barbecue poursuit l’analyse d’une simulation d’incident, cette fois sous l’angle des postes de travail et des serveurs, volet confié à Steve Lavoie. L’attaque est entrée par le web et l’équipe tente de comprendre jusqu’où les attaquants ont pivoté dans le réseau interne, avec des inquiétudes sur l’infection potentielle des serveurs. L’animateur précise que l’écoute du premier épisode est nécessaire pour saisir la mise en situation.
Investiguer à l’aveugle
Steve souligne que, dans ce type d’entreprise, le site web est souvent hébergé à l’externe et semble indépendant de la plateforme interne. Or, des preuves suggèrent des filtrations et un pivotage vers le réseau local. Il faut d’abord identifier cette piste, puis contenir l’incident en circonscrivant les postes touchés et les usagers concernés.
La question de l’inventaire revient rapidement. En l’absence de gouvernance, les employés utilisent parfois leurs ordinateurs personnels au travail, des cellulaires ne sont pas gérés et le périmètre devient immense, sans visibilité ni journalisation adéquate. Steve rappelle que la journalisation par défaut de Windows, limitée à 20 mégas depuis Windows 2000, est déficiente. On investigue donc à l’aveugle et, après une à trois semaines, les journaux ont rotationné et il ne reste plus rien à analyser.
Le MSP, prêcheur dans le désert ou chasseur d’ambulances
Un participant aborde le sujet des prestataires de services managés (MSP), souvent accusés d’être des chasseurs d’ambulances. Steve relativise en expliquant qu’avant l’incident, le MSP n’est qu’un prêcheur dans le désert qui répète ses recommandations depuis des années sans être écouté. Quand la crise survient, il passe pour opportuniste alors qu’il ramasse simplement les dommages qu’il avait avertis.
Un autre panéliste nuance en admettant que certains voient le nom d’une entreprise circuler sur le dark web et appellent ensuite pour offrir leurs services, ce qui s’avère dérangeant. Paradoxalement, lorsque l’entreprise a déjà un MSP, c’est lui qui détient l’inventaire le plus fiable et qui arrive en premier. L’animateur évoque l’achat de disques durs chez Bureau en Gros pour économiser quelques dollars, ce qui amène Steve à plaisanter sur le beau-frère du cloud.
Steve classe les relations client-MSP en trois niveaux, entre la confiance totale, les recommandations suivies à contrecœur et le MSP traité comme un plombier qu’on appelle quand la toilette déborde. Il arrive aussi que plusieurs prestataires cohabitent dans un même dossier.
Quand cesser l’investigation
Thomas Veynachter demande à quel moment s’arrêter de chercher et pouvoir redormir tranquille, d’autant que les recherches coûtent cher. Steve répond en invoquant l’honnêteté intellectuelle. Il faut expliquer au client ce qui a été trouvé, exprimer ses doutes et ses intuitions, puis chiffrer ce que coûterait l’obtention de preuves supplémentaires, souvent 10 à 20 heures pendant lesquelles le reste du dossier n’avance pas. C’est généralement là que le client décide d’arrêter et de basculer vers la remédiation plutôt que l’investigation.
Gouverner la crise et éviter le doigt pointé
Un participant insiste sur l’importance d’un gestionnaire de crise, capable de remettre chacun à sa place quand plusieurs prestataires veulent tirer la couverture de leur côté. Il rappelle que le symbole chinois de la crise signifie à la fois danger et opportunité.
Un autre intervenant note qu’un inventaire solide et une bonne visibilité facilitent le découpage du travail et permettent d’éviter le finger pointing. Steve ajoute que l’idéal est de convenir dès le départ qu’il faut travailler ensemble pour le client, quitte à ce que la faute revienne tantôt à l’un, tantôt à l’autre.
Un minimum vital d’hygiène numérique
Les échanges convergent vers une idée simple. On ne demande pas aux PME d’être parfaites, mais il y a un minimum à faire, comme lorsque le médecin recommande de manger des légumes et de courir. Un intervenant illustre le propos avec un incident où une demi-journée de cartographie du réseau a révélé un second accès internet oublié, par lequel le pirate entrait toujours.
Steve distingue la cybersécurité de la cyberhygiène et évoque un cadre de contrôles bien connu comme le strict minimum à mettre en place. Il rappelle aussi la réalité du propriétaire de PME, souvent un plombier qui aime la plomberie mais qui perçoit l’informatique comme une dépense qu’il ne comprend pas.
Couper et brûler ou investiguer
La question du moment où l’on coupe et où l’on brûle est soulevée. Pour une PME de 30 postes, il peut être plus rapide de sauvegarder les preuves, puis de tout réinstaller, plutôt que de chercher l’aiguille dans une botte de foin. Cependant, un participant exprime des préoccupations liées à la loi 25 et au RGPD, ainsi qu’au sort de recettes secrètes susceptibles d’avoir circulé, ce qui justifie parfois d’aller plus loin dans l’examen.
Les outils et la surveillance
La prévention passe d’abord par la gestion des mises à jour, l’hygiène de base et des mots de passe qui ont de l’allure. Vient ensuite le MDR, qui ajoute à l’EDR une surveillance humaine assurée par le MSP ou un partenaire, pour qu’une personne compétente intervienne en cas d’alerte. Sur la pertinence de séparer ces deux rôles, l’expert préfère ne pas rouvrir la guerre des MDR, mais souligne que les petits MSP ne sont pas structurés pour du 24 sur 7, alors que les pirates opèrent depuis d’autres fuseaux horaires.
Les conseils pour rebâtir
En conclusion, ce même expert recommande de suivre les recommandations de son MSP, puis de s’entourer d’un partenaire de confiance capable d’évaluer la maturité de l’entreprise, de prioriser l’essentiel et d’agir au besoin comme CISO ou CIO as a service. La prévention et l’hygiène de base restent les maîtres mots de l’épisode.
Contributeurs
|
|
|
|
|
|
|
Nicolas-Loïc Fortin
|
Thomas Veynachter
|
Dominique Derrier
| Cédric Boivin |
Martin Dubé
|
Steve Lavoie
|
Mickael Nadeau
|
Crédits
- Montage par Intrasecure inc
- Locaux réels par Claude
Tags: edr, incident, inventaire, serveur
