Cybersécurité des services informatiques (partie SISR)

Vérifier les éléments qui contribuent à la sûreté d'une infrastructure, choisir un référentiel de sécurité daté, durcir les serveurs Linux, les commutateurs et le Wi-Fi (surface d'attaque, comptes par défaut, SSH, correctifs, journalisation centralisée), auditer la conformité avec un outil, traiter les écarts et intégrer ces exigences dans un projet d'infrastructure.

Choisir et mettre en œuvre les équipements de sécurité du périmètre (pare-feu à états, DMZ, mandataire, relais inverse, VPN de site à site et nomade) à partir d'une politique de filtrage écrite, tester les règles, les journaliser et les revoir pour prévenir les attaques.

Organiser la journalisation de sécurité (événements, heure, conservation), centraliser et corréler les journaux avec un SIEM, détecter les intrusions sur le réseau (Suricata, IDS et IPS) et sur les hôtes (fail2ban, détection sur hôte), rechercher des indicateurs de compromission, qualifier une alerte, piloter la détection par un tableau de bord, organiser la veille sur les vulnérabilités et rendre la chaîne de détection résiliente.

Qualifier un incident de sécurité, confiner le réseau sans détruire les traces, préserver et analyser les journaux, éradiquer l'attaquant, remettre les services en état après vérification, surveiller, puis rendre compte à chaque interlocuteur et savoir quand faire appel au CERT-FR ou à un prestataire qualifié.