Incident response en Belgique
Une attaque est en cours, ou vous en soupçonnez une. Je vous aide à la stopper, à comprendre ce qui s’est passé et à relancer votre activité, avec un intervenant certifié GSE qui reste joignable du premier appel au rapport final.
Quand m’appeler
- Vos fichiers sont chiffrés, ou une demande de rançon s’affiche sur vos écrans
- Un compte Microsoft 365 envoie du phishing, ou des connexions suspectes apparaissent
- Votre EDR ou votre SOC lève une alerte que vous ne savez pas qualifier
- Un attaquant affirme détenir vos données, ou elles apparaissent en ligne
- Des serveurs ou des comptes se comportent étrangement, sans explication
Ma façon de travailler
- 01
Premier appel et triage
On évalue la situation ensemble : ce qui est touché, le niveau d’urgence et les mesures à prendre immédiatement.
- 02
Containment
Stopper la propagation : isoler les systèmes, couper les accès de l’attaquant et préserver les preuves avant qu’elles ne disparaissent.
- 03
Investigation
Trouver l’initial access, l’étendue de la compromission et la chronologie des actions de l’attaquant, avec des outils comme Velociraptor.
- 04
Eradication et recovery
Supprimer la persistance de l’attaquant, fermer la porte d’entrée et restaurer vos systèmes dans le bon ordre.
- 05
Rapport et lessons learned
Un rapport clair et un débriefing, pour que la même attaque ne fonctionne pas deux fois.
Ce que vous obtenez
- La chronologie de l’incident, de l’initial access au containment
- La cause racine et la liste des systèmes et comptes touchés
- Des actions priorisées, des corrections rapides aux améliorations de fond
- Un résumé pour votre direction et, si nécessaire, votre assureur cyber
Voir un extrait de rapport d’incident responsePDF, 3 pages, en anglais. Scénario fictif et anonymisé. Demander le rapport complet de 30 pages
Pourquoi Cyber Horizon
- GIAC Security Expert (GSE #433), l’une des certifications les plus exigeantes du domaine
- Des années d’expérience terrain en incident response, y compris face à des ransomwares de grande ampleur
- Une expérience dans les équipes d’incident response de la Défense et du secteur financier
- Vous travaillez directement avec moi : pas de call center, pas de relais vers un junior
Incident response retainer
N’attendez pas l’attaque pour chercher de l’aide. Avec un retainer, tout est convenu à l’avance : quand un incident survient, vous appelez, et on démarre immédiatement.
Parler d’un retainer- Contrat et contacts en place avant l’incident : pas de négociation en pleine crise
- Une prise en charge prioritaire et un délai d’intervention convenus ensemble
- Des heures prépayées, utilisables pour un incident ou, si tout reste calme, pour la préparation : playbooks, revue des logs, exercices tabletop
- Un point annuel sur votre niveau de préparation
Questions fréquentes
En combien de temps pouvez-vous intervenir ?
Sous 24 heures pour un incident en cours. Le premier appel sert à qualifier la situation et à décider des mesures immédiates.
Faut-il payer la rançon ?
Cette décision appartient à votre direction et à vos conseillers juridiques. Je vous donne les éléments pour décider : ce que l’attaquant détient vraiment, ce qui peut être restauré, et ce que l’on sait du groupe. Voir ransomware support.
Pouvez-vous travailler avec notre prestataire IT ou notre assureur ?
Oui. L’incident response est un travail d’équipe : je me coordonne avec votre équipe IT, vos prestataires et, si nécessaire, votre assureur cyber, et le rapport peut leur être transmis.
De quoi avez-vous besoin de notre part ?
Une personne de contact, un accès à vos logs, à votre EDR et à vos consoles d’administration, et la liste de vos systèmes critiques. On organise le reste ensemble lors du premier appel.
Quelle différence avec le digital forensics ?
L’incident response pilote la crise : containment, coordination, recovery. Le digital forensics est l’enquête approfondie, preuves à l’appui. Il appuie la réponse, et peut aussi être demandé seul, après coup.