Machines virtuelles
Auditer une VM après incident de sécurité
Analyser sans effacer les traces puis repartir d’une base saine si nécessaire.
Figer l’état avant correction
Copiez journaux, processus, connexions et fichiers modifiés avant nettoyage. L’audit commence par la conservation.
Rechercher le vecteur probable
Compte compromis, faille applicative, secret exposé ou service non patché : la correction dépend de l’entrée réelle.
Évaluer la confiance dans la VM
Si l’intégrité système est douteuse, reconstruire depuis une image saine est souvent plus sûr que réparer.
Renouveler les accès
Clés, mots de passe, tokens et secrets applicatifs doivent être changés après exposition possible.
Documenter impact et prévention
Le rapport doit dire ce qui s’est passé, ce qui a été touché, ce qui a changé et comment éviter la répétition.
Décider de la reconstruction
Si le doute persiste, planifiez une reconstruction propre plutôt qu’un durcissement cosmétique.
Pour terminer
- Traces conservées
- Vecteur identifié
- Secrets renouvelés