Remédiation : corriger après une compromission

La remédiation désigne l'ensemble des actions techniques menées pour corriger après une compromission les dommages causés par une attaque. Elle intervient après les phases de détection et de confinement dans le cycle de réponse à incident (PICERL : Preparation, Identification, Containment, Eradication, Recovery, Lessons Learned). Son périmètre couvre l'éradication des accès persistants, la suppression des artefacts malveillants (implants, tâches planifiées, clés de registre modifiées, comptes backdoor), la restauration de l'intégrité des systèmes et la correction des vulnérabilités exploitées. La remédiation se distingue du simple patch management : elle adresse un état de compromission avéré, ce qui impose de vérifier que l'attaquant ne dispose plus d'aucun vecteur de réentrée. Mal exécutée, elle peut laisser des persistances actives ou provoquer une réinfection en quelques heures. Une remédiation efficace nécessite une cartographie précise de l'étendue latérale de l'attaque, une chronologie des actions adverses et une priorisation des actifs critiques à rétablir en premier.

La phase de détection préalable à la remédiation s'appuie sur la corrélation d'événements Windows et de logs réseau pour délimiter précisément le périmètre compromis. Les événements clés à analyser incluent : l'Event ID 4720 (création de compte), 4698 (création de tâche planifiée), 4657 (modification de clé de registre), 7045 (installation d'un service) et 4624/4625 (authentifications réussies et échouées). Côté réseau, les connexions sortantes persistantes vers des plages IP inhabituelles, les balises C2 à intervalles réguliers et les transferts de données volumineuses hors plages horaires métier constituent des indicateurs forts. Les outils SIEM comme Splunk ou Elastic Security permettent de construire des timelines d'attaque. L'usage de Velociraptor ou d'un EDR centralisé facilite la collecte forensique sur les endpoints sans modifier les artefacts. L'inventaire des tâches planifiées, des services, des clés Run/RunOnce et des pilotes non signés doit être systématiquement réalisé sur chaque machine du scope. Sans cette cartographie complète, toute remédiation reste partielle.

Côté Red Team, la remédiation est une phase que les attaquants anticipent en multipliant les mécanismes de persistance redondants : tâches planifiées imbriquées, DLL hijacking dans des chemins légitimes, WMI subscriptions et comptes de service dormants créés des semaines avant l'action finale. Cette redondance vise à survivre à une remédiation incomplète. Côté Blue Team et CSIRT, les contre-mesures s'articulent autour de plusieurs axes. La reconstruction complète (reimaging) des systèmes compromis est préférable à la désinfection sur place lorsque l'étendue de l'intrusion est incertaine. La rotation systématique des credentials, notamment des comptes de service, des secrets LSASS dumpés et des hashes NTLM exposés, est impérative. L'activation de Windows Credential Guard et d'LSASS Protected Process Light (PPL) réduit la surface d'extraction. Le durcissement Active Directory passe par la revue des délégations Kerberos, la purge des groupes privilégiés et l'audit des ACL sensibles via BloodHound. Enfin, un plan de remédiation documenté, testé sur environnement de qualification avant déploiement en production, limite le risque d'interruption de service lors de l'exécution en conditions réelles.