Après correction d’un équipement périphérique dont une faille a été exploitée : preuves, restauration et vérifications de remise en service

Objectif

État au 25 octobre 2026. Constituer un dossier de restauration étayé après l’exposition à une vulnérabilité exploitée touchant un équipement périphérique. Cette proposition de procédure s’appuie sur les consignes de triage de la CISA mises à jour le 25 août 2026 et sur les guides de restauration des produits cités. Consulter à nouveau les révisions actuelles des avis, les limites des outils de vérification d’intégrité et les exigences de restauration propres au matériel. Considérer l’équipement comme potentiellement compromis tant que l’investigation ne permet pas de circonscrire davantage cette conclusion.

Prérequis

Désigner un responsable de l’incident ; mettre en place un accès d’administration de confiance, des communications distinctes, un stockage des preuves à accès restreint et une fenêtre de restauration. Inventorier l’appliance, le serveur d’administration, les autres membres du cluster et les services d’identité connectés. Obtenir la procédure applicable du fournisseur et une configuration de référence conservée hors de l’appliance suspecte. La CISA recommande des dossiers de configuration centralisés plutôt que de considérer le contenu des équipements comme la référence faisant autorité. Consignes de durcissement.

Étapes

1. Définir le périmètre et contenir l’incident. Consigner les versions installées, les services accessibles, la période d’exposition et les systèmes liés. Coordonner l’isolement avec la collecte des preuves et la continuité du service. Confier au responsable de l’incident l’arbitrage des besoins urgents de confinement ; ne pas laisser ouvert un accès malveillant actif dans le seul but d’achever une liste de contrôle. Établir des communications en dehors de l’infrastructure suspecte.

2. Collecter avant toute perturbation lorsque c’est possible. Préserver les preuves volatiles à l’aide des méthodes de collecte prises en charge par le fournisseur avant tout redémarrage, mise à niveau ou réinitialisation. Sauvegarder les journaux, configurations et dossiers de diagnostic pertinents ; recueillir les éléments de preuve sur les disques virtuels lorsque cela s’applique. Consigner l’équipement source, la personne chargée de la collecte, l’heure de collecte et toute action ayant modifié l’état du système. Si le correctif a déjà été installé, documenter les preuves manquantes et récupérer les journaux externes. Consignes de triage de la CISA.

3. Vérifier séparément le correctif et les contrôles d’intégrité. Consigner la version en cours d’exécution sur chaque nœud du périmètre, la ligne correspondante de l’avis, la version de l’outil d’analyse et le résultat de son exécution. Vérifier l’intégrité de l’image par rapport à la référence de confiance du fournisseur lorsque cette vérification est prise en charge. Conserver les anomalies et les échecs d’analyse. Compléter les sorties de l’équipement par les preuves issues du réseau et des services d’identité ; ne pas transformer l’absence d’indicateurs connus en preuve d’absence de compromission.

4. Choisir la méthode de restauration. Suivre les critères du fournisseur en cas de compromission suspectée ou confirmée. Une réinitialisation d’usine ne suffit que si la procédure de restauration applicable l’indique. Par exemple, le matériel PAN-OS nécessite une restauration renforcée avec l’aide du support, tandis que ses appliances virtuelles doivent être remplacées. Vérifier le modèle et le type de déploiement réels. Exemple de restauration fourni par un éditeur.

5. Restaurer une configuration examinée. Comparer la configuration conservée à la référence externe : comptes administrateurs, destinations d’authentification, routage, règles d’accès, services d’administration et transfert des journaux. Enquêter sur les différences inexpliquées. Recréer les paramètres lorsque le fournisseur l’exige ; sinon, utiliser la méthode de restauration qu’il autorise. Avant toute reconnexion, s’assurer que la restauration ne réinstalle pas de logiciel vulnérable. Principe de restauration du NCSC.

6. Remplacer les accès et les secrets exposés. Inventorier les identifiants administrateurs et de service, les jetons d’API, les secrets partagés et les clés privées présents sur l’équipement. Révoquer les accès par l’intermédiaire de systèmes de confiance selon les besoins du confinement ; n’introduire les nouveaux secrets que dans les systèmes restaurés. Suivre les consignes du fournisseur pour la réémission des certificats et le remplacement des clés. Fermer les sessions VPN, d’administration et de fournisseur d’identité affectées à l’aide des mécanismes pris en charge ; vérifier chaque type de session séparément. La réponse préconisée par la CISA en cas d’exposition d’identifiants comprend explicitement la fermeture des sessions et la réinitialisation des mots de passe. Exemple de la CISA.

7. Valider et surveiller. Confirmer que le trafic prévu fonctionne, que l’accès d’administration est restreint, que les journaux externes arrivent et que la configuration examinée reste intacte. Enquêter sur les connexions d’administrateurs, les règles modifiées, les connexions inattendues et l’activité des systèmes liés. Consigner séparément les constats confirmés, les soupçons non levés et les lacunes dans les preuves, en attribuant un responsable à chaque action de suivi.

Résultat attendu

Un dossier vérifiable relie chaque équipement à son correctif installé, aux preuves recueillies, à la conclusion de l’investigation, aux actions de restauration, aux identifiants remplacés, au traitement des sessions et au plan de surveillance. Un autre opérateur peut distinguer le rétablissement du service de la clôture de l’investigation sur la compromission.

Limites et base de vérification

Il s’agit d’une synthèse documentaire, et non d’un exercice de restauration d’appliance ayant été testé. La directive de la CISA s’adresse aux agences fédérales concernées ; cette méthode n’impose ni ses obligations légales ni ses délais aux autres opérateurs. Les consignes du fournisseur régissent la collecte et la restauration propres à l’équipement. L’absence de preuves antérieures à la mise à niveau reste une limite, même lorsque les vérifications ultérieures réussissent.