13 prestations
Cybersécurité défensive : durcir, détecter, répondre aux incidents
La cybersécurité défensive regroupe ce qui réduit le risque une fois les failles connues : durcir les systèmes pour fermer ce qui peut l’être, détecter les comportements anormaux, et savoir réagir quand une attaque aboutit. Elle transforme un constat en protection effective. Reconmind propose 13 prestations dans cette famille, dont 3 avec un prix d’entrée publié, à partir de 290 € HT.
Qu’est-ce que la cybersécurité défensive ?
La défensive est la partie du métier qui rend un système plus difficile à attaquer, plus rapide à surveiller et plus simple à remettre debout. Elle commence par le durcissement : réduire les comptes, les services et les droits au strict nécessaire, appliquer des configurations de référence, vérifier que les sauvegardes se restaurent. Elle se poursuit par la détection, qui consiste à collecter les bons journaux et à savoir quoi faire d’une alerte.
Le troisième volet est la réponse à incident : un plan écrit, des rôles connus, des preuves préservées, une communication préparée. Une organisation qui improvise ces décisions pendant l’attaque les prend plus lentement et plus mal. Les trois volets se testent : un exercice, une simulation d’attaque ou une restauration chronométrée disent ce qu’un document ne dit pas.
Cette famille prolonge la cybersécurité offensive, qui trouve les failles en attaquant, et s’appuie sur la conformité cybersécurité, qui fixe le cadre à respecter. Une mesure défensive se choisit en fonction de ce que les tests ont montré.
Quelles prestations relèvent de la cybersécurité défensive ?
13 prestations, chacune avec son périmètre, ses livrables, sa durée et son prix d’entrée.
Durcissement
Accompagnement de correction et de durcissement : priorisation, architecture cible, configurations de référence, revue des correctifs appliqués.
Supervision & SOC
Mise en place de la journalisation, des règles de détection et des alertes utiles, puis supervision continue avec astreinte en cas d’incident.
Réponse à incident
Intervention en cas de compromission : endiguement, investigation numérique, éradication, remise en service et rapport exploitable pour vos obligations.
Gestion des vulnérabilités
Mise en place d’un programme de gestion des vulnérabilités : inventaire, scans, priorisation par exploitation réelle (EPSS, catalogue KEV), délais de correction et suivi chiffré.
Veille et CTI
Veille ciblée sur votre organisation : fuites d’identifiants et de données, noms de domaine imitant le vôtre, menaces visant votre secteur et vulnérabilités exploitées sur vos technologies.
Exercice de crise cyber
Exercice de gestion de crise cyber sur table ou en simulation technique : scénario sur mesure, animation, observation et plan d’amélioration. Direction, informatique, communication et juridique autour de la même table.
Sauvegardes et PCA/PRA
Revue et conception de la stratégie de sauvegarde (règle 3-2-1, copies immuables ou hors ligne), plan de continuité et de reprise adapté au scénario cyber, et tests de restauration chronométrés.
DevSecOps
Intégration de contrôles de sécurité dans votre chaîne de livraison : analyse statique, dépendances, secrets, conteneurs, infrastructure as code, et durcissement du pipeline lui-même.
Sécurité OT industrielle
Cartographie passive, analyse de risque, découpage en zones et conduits et plan de sécurisation des réseaux industriels, selon IEC 62443 et les guides de l’ANSSI, sans scan intrusif sur les automates.
Sécurité de la messagerie
Déploiement de SPF, DKIM et DMARC jusqu’à la politique de rejet, durcissement de la passerelle de messagerie, protection contre l’hameçonnage et l’usurpation de la direction.
Analyse forensique
Investigation numérique approfondie après un incident, une fraude ou un départ conflictuel : acquisition des preuves avec chaîne de conservation, analyse des disques, de la mémoire et des journaux, chronologie datée.
Identités et accès
Revue et renforcement de la gestion des identités : cycle de vie des comptes, authentification multifacteur, comptes à privilèges, administration par paliers et revue périodique des droits.
Threat hunting
Recherche active de traces de compromission dans les journaux et les données de votre EDR ou de votre SIEM, à partir d’hypothèses issues de MITRE ATT&CK et des menaces de votre secteur. Mission ponctuelle, sans nouvel outil à déployer.
Dans quels cas faut-il investir dans la défense ?
Ces signaux indiquent que l’effort doit porter sur la protection et la réaction.
- Un audit ou un test d’intrusion a listé des constats, et personne n’a le temps ni la méthode pour les corriger.
- Vous ne sauriez pas dire si un poste ou un compte est compromis en ce moment.
- Une attaque a déjà eu lieu, ou un partenaire a subi un rançongiciel, et vous voulez savoir ce qui se passerait chez vous.
- Un client, un assureur ou une autorité attend une preuve que vous savez détecter et notifier un incident.
Combien coûte une prestation de cybersécurité défensive ?
3 des 13 prestations ont un prix d’entrée publié, de 290 € à 1 190 € HT ; les autres sont établies sur devis. Une mission de durcissement ou de détection se chiffre au périmètre, une réponse à incident se cadre sur l’urgence. Le cadrage est gratuit.
Quelles lectures aident à choisir une prestation défensive ?
Articles
- MéthodeQue faire en cas de cyberattaque ou de rançongiciel : la première heureLes gestes à faire et à ne pas faire dans la première heure d’une cyberattaque ou d’un rançongiciel : isoler, préserver, alerter, notifier, et à quel moment faire appel à un prestataire.
- MéthodeSauvegarde et rançongiciel : la règle 3-2-1 suffit-elle ?La règle 3-2-1 reste une base, mais les rançongiciels visent les sauvegardes. Copie immuable, comptes séparés et test de restauration : ce qu’il faut en plus.
- VulnérabilitésGestion des vulnérabilités : comment prioriser les correctifs (CVSS, EPSS, KEV)Un parc compte des milliers de vulnérabilités et une équipe ne peut pas toutes les corriger. Comment choisir par où commencer avec le CVSS, l’EPSS et le catalogue KEV.
- ConformitéNIS 2 : qui est concerné, et par où commencer sans tout bureaucratiserLes critères d’assujettissement, les cinq chantiers qui bloquent souvent, et l’ordre dans lequel les traiter pour que la conformité produise de la sécurité réelle.
- VulnérabilitésRançongiciel : les chemins les plus courts dans un Active DirectoryLes quelques configurations qui, dans de nombreux audits internes, mènent d’un poste utilisateur ordinaire à l’administration du domaine, et comment les fermer.
- VulnérabilitésAudit Active Directory : ce qui est vérifié, et pourquoi c’est décisifPourquoi l’annuaire est la cible centrale d’un rançongiciel, les sept points qu’un audit Active Directory examine, ce qu’il livre et le périmètre couvert par le prix d’entrée.
- VulnérabilitésSécurité Microsoft 365 et Entra ID : les points de contrôle prioritairesLes configurations Microsoft 365 et Entra ID qui font la différence : authentification multifacteur, accès conditionnel, rôles d’administration, applications et messagerie, et comment les faire auditer.
- MéthodeSimulation de phishing : mode d’emploi d’une campagne utileComment mener une campagne de simulation de phishing qui mesure sans piéger : objectifs, scénarios, indicateurs utiles, cadre juridique à vérifier et erreurs qui détruisent la confiance.
Comparatifs
- ComparatifTest d’intrusion ou red team : quelle différence et lequel acheter ?Le test d’intrusion cherche le plus de failles possible sur un périmètre, la red team mesure si votre défense détecte un adversaire déterminé. Pourquoi la red team est souvent achetée trop tôt.
- ComparatifScan ou test d’intrusion : lequel choisir, critère par critère ?Un scan automatisé et un test d’intrusion portent des noms proches, mais ne répondent pas à la même question et ne coûtent pas le même prix. Critères, situations et erreur d’achat la plus fréquente.
- ComparatifTest d’intrusion interne ou externe : lequel choisir ?Un test d’intrusion externe part d’Internet, un test interne part d’un poste ou d’un compte déjà dans le réseau. Ce que chacun révèle, son prix d’entrée et dans quel ordre les mener.
- ComparatifNIS 2 ou ISO 27001 : quelle démarche pour quelle situation ?NIS 2 est une obligation légale, ISO 27001 une norme certifiable : l’une ne remplace pas l’autre. Ce que chacune exige, ce qui se recoupe, le coût d’une analyse d’écarts et par où commencer.
Termes du glossaire
- DéfinitionEDR et XDR : définition
- DéfinitionEPSS et catalogue KEV : définition
- DéfinitionExfiltration de données : définition
- DéfinitionPersistance : définition
- DéfinitionPlan de réponse à incident : définition
- DéfinitionRançongiciel : définition
- DéfinitionSegmentation réseau : définition
- DéfinitionSIEM et SOC : définition
- DéfinitionThreat hunting : définition
- DéfinitionZero-day : définition
- DéfinitionBlue team et purple team : définition
- DéfinitionCVE : définition
- DéfinitionCVSS : définition
- DéfinitionDéfense en profondeur : définition
- DéfinitionDéveloppement sécurisé : définition
- DéfinitionDevSecOps : définition
- DéfinitionDMARC, SPF et DKIM : définition
- DéfinitionIEC 62443 : définition
- DéfinitionKerberoasting : définition
- DéfinitionMITRE ATT&CK : définition
- DéfinitionMoindre privilège : définition
- DéfinitionMouvement latéral : définition
- DéfinitionNIS 2 : définition
- DéfinitionRed team : définition
- DéfinitionSauvegarde immuable : définition
- DéfinitionZero trust : définition
Les autres familles de prestations
- Famille de prestationsCybersécurité offensiveTests d’intrusion et audits menés du point de vue de l’attaquant, avec une preuve pour chaque constat.
- Famille de prestationsConformité cybersécuritéNIS 2, ISO 27001 et sensibilisation : la partie organisationnelle, traitée sans bureaucratie inutile.
- CatalogueCatalogue complet des prestationsToutes les prestations, avec leur durée et leur prix d’entrée.
- CabinetCybersécurité à ParisLe cabinet est à Paris 3e : ce qui se fait sur site, ce qui se fait à distance, et comment prendre rendez-vous.
Quelles questions se pose-t-on sur la cybersécurité défensive ?
Par où commencer : durcissement, détection ou réponse à incident ?
Par le durcissement, parce qu’un système bien configuré présente moins de chemins d’attaque et produit moins d’alertes inutiles. La détection vient ensuite, une fois les journaux utiles identifiés. Le plan de réponse à incident s’écrit dès le départ, car c’est le seul des trois qui sert le jour où les deux autres ont échoué.
Un antivirus et des sauvegardes suffisent-ils contre un rançongiciel ?
Non. Un antivirus ne voit pas un compte légitime utilisé par un intrus, et une sauvegarde accessible depuis le réseau compromis est chiffrée avec le reste. Il faut des sauvegardes isolées, dont la restauration a été testée et chronométrée, des comptes à privilèges limités, une authentification multifacteur et une détection des connexions inhabituelles.
Une PME a-t-elle besoin d’une surveillance 24 heures sur 24 ?
Pas forcément. L’essentiel est de collecter les journaux qui comptent (identités, messagerie, accès distants, postes critiques) et qu’une personne sache quoi faire d’une alerte. Une astreinte permanente se justifie quand une interruption coûte cher en heures ; elle est proposée aux clients sous contrat de supervision. Ailleurs, un traitement en heures ouvrées suffit souvent.
Comment vérifier qu’un durcissement a bien porté ses fruits ?
En le mesurant, pas en le supposant. On compare la configuration obtenue à un référentiel reconnu, puis on rejoue les constats d’origine pour vérifier qu’ils sont fermés. Un test ciblé sur le périmètre durci confirme que les variantes voisines ne passent plus. Sans cette passe, un correctif appliqué reste une hypothèse.
Réponse à toute demande sous 24 h ouvrées
Un dispositif à mettre à l’épreuve ?
Trente minutes de cadrage suffisent à savoir par quelle prestation défensive commencer, sur quel périmètre, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début