Attaque
Persistance
Aussi appeléPersistenceMaintien d’accès
En résumé
L’ensemble des mécanismes par lesquels un attaquant conserve son accès à un système après un redémarrage, un changement de mot de passe ou la correction du défaut initial. Il crée ainsi plusieurs points de retour indépendants, ce qui complique l’éradication de l’intrusion.
Persistance, en détail
Un accès obtenu par une vulnérabilité ou un mot de passe volé est fragile : il disparaît au prochain correctif ou à la prochaine réinitialisation. L’attaquant installe donc des mécanismes de retour. Sur un poste ou un serveur Windows, il peut s’agir d’une tâche planifiée, d’un service, d’une clé de démarrage, d’un abonnement WMI. Sur un serveur web, d’un fichier de commande déposé dans l’application (webshell). Dans un annuaire, d’un compte créé ou d’un droit discrètement ajouté.
Dans le cloud et les services en ligne, la persistance passe par des clés d’API supplémentaires, des utilisateurs ou rôles créés, des applications autorisées à accéder à une messagerie ou à un stockage, et des règles de redirection de courrier. Ces mécanismes survivent à un changement de mot de passe, puisqu’ils s’appuient sur des jetons ou des autorisations déjà accordés. Pour le défenseur, cela signifie que corriger le point d’entrée ne suffit pas. Une réponse à incident sérieuse inventorie ces mécanismes avant de couper l’accès, puis éradique l’ensemble en une fois, sans quoi l’attaquant revient par un autre chemin. La recherche de persistance, comme la liste des tâches planifiées nouvelles ou des applications autorisées, fait partie de la chasse aux menaces : définition.
Qu’est-ce que cela change pour vous ?
Une intrusion jugée terminée parce que la faille a été corrigée peut reprendre quelques jours plus tard. Lors d’un incident, la décision de couper l’accès doit suivre l’inventaire des points de retour, pas le précéder.
Exemple illustratif (fictif)
Prenons une compromission de messagerie dans une société de services. L’équipe réinitialise les mots de passe, mais l’attaquant garde l’accès par une application tierce, autorisée plusieurs semaines plus tôt sur les boîtes ciblées, que la réinitialisation n’affecte pas.
La confusion fréquente
Croire qu’un changement de mot de passe ferme l’incident. Les jetons, clés d’API, comptes créés et autorisations d’applications survivent à une réinitialisation de mot de passe.
Comment le détecter chez vous ?
- Réponse à incident : la prestationComprendre, contenir, puis remettre en service, dans cet ordre.
- Analyse forensique : la prestationÉtablir ce qui s’est passé, avec des éléments qui tiennent face à un tiers.
Aller plus loin
- ArticleAudit Active Directory : ce qui est vérifié, et pourquoi c’est décisifPourquoi l’annuaire est la cible centrale d’un rançongiciel, les sept points qu’un audit Active Directory examine, ce qu’il livre et le périmètre couvert par le prix d’entrée.
- ArticleSauvegarde et rançongiciel : la règle 3-2-1 suffit-elle ?La règle 3-2-1 reste une base, mais les rançongiciels visent les sauvegardes. Copie immuable, comptes séparés et test de restauration : ce qu’il faut en plus.
- ComparatifTest d’intrusion ou red team : quelle différence et lequel acheter ?Le test d’intrusion cherche le plus de failles possible sur un périmètre, la red team mesure si votre défense détecte un adversaire déterminé. Pourquoi la red team est souvent achetée trop tôt.
Termes liés
- AttaqueMouvement latéral : définitionL’ensemble des techniques qu’un attaquant utilise, une fois entré dans un réseau, pour passer d’une machine ou d’un compte à d’autres afin d’atteindre ses objectifs.
- AttaqueExfiltration de données : définitionLe transfert non autorisé de données depuis un système d’information vers un emplacement contrôlé par un attaquant.
- DéfenseEDR et XDR : définitionL’EDR est un agent installé sur les postes et serveurs qui enregistre l’activité des machines pour détecter des comportements malveillants et permettre de les contenir à distance.
- DéfenseSIEM et SOC : définitionLe SIEM est une plateforme qui collecte et corrèle les journaux de sécurité de l’ensemble du système d’information pour produire des alertes.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début