La première heure après un incident

Un guide indiquant quelles fonctions de RoamSwitch utiliser, et dans quel ordre, pendant la première heure après la détection d'une menace grave et son confinement.

1. À propos de cette page

Lorsque RoamSwitch détecte une menace grave, il la confine automatiquement, par exemple en isolant le réseau (Air-Gap) ou en gelant un processus. Cette page indique, pour chaque environnement, ce qu'il faut vérifier, ce qu'il faut conserver et quand lever le confinement. Pour le détail de chaque écran et de chaque opération, consultez les manuels correspondants.

Cette page explique comment utiliser les fonctions de RoamSwitch. Elle ne traite ni de la communication de votre organisation, ni de la réponse juridique, ni du plan de reprise.

2. Le même ordre dans tous les environnements

Un confinement se déclenche pour une raison. Avant de le lever précipitamment, suivez ces étapes dans l'ordre.

1. Vérifier. Consultez, sur une chronologie, ce qui a été détecté, quand et dans quel ordre.
2. Conserver. Exportez les enregistrements et les preuves avant de lever quoi que ce soit ou de redémarrer. Les informations sur l'état d'exécution peuvent être perdues ensuite.
3. Décider. Déterminez s'il s'agissait d'une opération que vous reconnaissez ou d'une activité réellement suspecte.
4. Lever. Ne levez le confinement qu'après vous être assuré que tout est sûr.
5. Surveiller. Après la levée, surveillez pendant un moment si la même détection réapparaît.

Pour enquêter à partir des journaux, vous pouvez aussi utiliser PersonalSOC et AccessScope (section 6).

Si vous avez été isolé à cause d'une usurpation ARP, lisez aussi la section 8.

Si un rançongiciel est la cause sur l'édition Linux de bureau, lisez aussi la section 9.

Tant qu'un ordinateur est isolé, il ne peut pas ouvrir cette page. Sur Mac, la fenêtre « Pourquoi vous êtes isolé et comment lever l'isolement… » affiche un code QR de cette page ; sur l'édition Linux de bureau, c'est la fenêtre de confirmation de la levée. Scannez-le avec un téléphone sur sa propre connexion pour lire cette page. Le code QR ne contient que l'adresse publique de cette page.

3. Mac

1. Ouvrez l'icône 🛡️ de la barre de menus et vérifiez si « 🔒 Isolé (total) » ou « 🔒 Isolé (dégradé) » est affiché.
2. Ouvrez « ℹ️ Pourquoi vous êtes isolé et comment lever l'isolement… » et lisez la raison du déclenchement.
3. Ouvrez 🛡️ → Diagnostic de sécurité complet du Mac → « 📈 Journal d'activité de sécurité… ». Réduisez la période, puis filtrez par gravité et par catégorie pour voir, sur une chronologie, ce qui a été détecté juste avant. Cliquer sur une barre du graphique limite la liste à cette tranche horaire.
4. Avec Pro, vous pouvez exporter les résultats filtrés au format CSV et les conserver.
5. Si vous avez activé « 🧾 Enregistrement de l'exécution des processus… » (Pro) au préalable, l'historique des processus lancés est disponible pour l'enquête. Cette fonction est désactivée par défaut.
6. Lorsque la détection d'un rançongiciel ou de XProtect déclenche un isolement, des preuves sont enregistrées automatiquement juste avant. Elles contiennent la liste des processus en cours, les connexions réseau et la liste des fichiers récemment modifiés, avec un SHA-256 par fichier. Elles sont enregistrées dans ~/Library/Application Support/RoamSwitch/incident-evidence/. La capture de paquets n'est pas disponible sur Mac.
7. Demandez-vous si vous avez fait quelque chose qui pourrait l'expliquer, par exemple lancer une application suspecte.
8. Dans le même menu, choisissez « 🔓 Lever l'isolement Air-Gap », puis « Lever » dans la boîte de dialogue de confirmation. La communication est rétablie immédiatement.

En cas de rançongiciel, ouvrez 🛡️ → Protection contre les logiciels malveillants (XProtect & ClamAV) → « 🗂 Récupération après rançongiciel… » (Pro). À partir des instantanés locaux APFS que RoamSwitch prend régulièrement, vous pouvez extraire des fichiers vers un autre endroit (~/RoamSwitch-Recovered/<ID>/). Vos fichiers actuels ne sont pas écrasés. L'extraction demande l'accès complet au disque.

4. Version de bureau Linux

1. Ouvrez l'icône 🛡️ de la zone de notification. Si le réseau a été isolé à cause d'une menace grave, « 🚨 Lever l'Air-Gap et rétablir le réseau » s'affiche. Ne l'actionnez pas encore.
2. Dans la fenêtre principale, ouvrez « Notifications » pour consulter l'historique des notifications des 7 derniers jours et vérifier ce qui a été signalé.
3. Dans « Incident Timeline » (fonction expérimentale), suivez sur une chronologie le déroulement de la détection à la levée, en passant par la réponse.
4. Dans « Security Activity Log », combinez période, catégorie, gravité et mot-clé pour filtrer et examiner ce qui s'est passé juste avant. Le contenu d'Incident Timeline et de Notifications est réuni dans une seule vue.
5. Demandez-vous si vous avez fait quelque chose qui pourrait l'expliquer. Une fois la sécurité confirmée, appuyez sur « 🚨 Lever l'Air-Gap et rétablir le réseau » dans la zone de notification.

5. Linux Server Edition

La Server Edition se pilote en ligne de commande. Les commandes décrites ici fonctionnent aussi dans l'édition Linux de bureau (seule sudo roamswitch server ack est propre à la Server Edition). Un isolement à haute confiance (altération d'un fichier canari, réécriture massive de type ransomware, eBPF Critical / Emergency / Alert, etc.) passe par défaut en mode dégradé (DEGRADED) après 3600 secondes (une heure) s'il n'y a eu ni accusé de réception (ack) ni confirmation que la cause a disparu. En mode dégradé, les nouvelles connexions, hors ports SSH de maintenance et chemins d'administration des IP autorisées, restent bloquées et ne s'ouvrent jamais d'elles-mêmes avec le temps.

5.1 Vérifier les notifications

Si vous avez configuré Telegram, LINE ou un webhook, la notification y est déjà arrivée. Même sans configuration, les notifications de la dernière semaine sont conservées localement.

roamswitch notifications

5.2 Consulter l'état d'isolement

Affiche l'état d'isolement actuel de la garde d'exécution eBPF et l'historique des incidents détectés.

roamswitch server ebpf

5.3 Vérifier les processus gelés

Liste les processus que la garde a gelés avec SIGSTOP. Ne les reprenez pas avant d'avoir conservé les preuves.

roamswitch frozen list

5.4 Conserver les preuves

Lorsque la garde d'exécution eBPF confine un processus, un lot de preuves est créé automatiquement. Il contient environ 30 secondes de capture de paquets et, si le PID est connu, un instantané de /proc/<pid> (sans tshark, seule la capture de paquets est omise). Il est enregistré dans /var/lib/roamswitch/incident-evidence/<horodatage>-<ID>/.

Lorsque l'hôte entier est isolé, aucun lot n'est créé automatiquement pour le moment. Dans ce cas, ou si vous voulez conserver l'état antérieur au confinement, créez-en un manuellement.

sudo roamswitch-incident-capture snapshot --pid <PID> --reason "first-response"

5.5 Exporter la chronologie et l'enregistrement d'exécution

Exportez la chronologie intégrée des incidents (expérimentale) au format JSON Lines. L'enregistreur d'exécution peut être interrogé par période ou par processus.

roamswitch timeline --export incident.jsonl
sudo roamswitch events search --since 2h

5.6 Décider, puis lever

Reprenez un processus gelé à tort (faux positif) avec la commande ci-dessous (resume all les reprend tous).

roamswitch frozen resume <PID>

Pour autoriser durablement le même faux positif, ajoutez-le à la liste d'autorisation. Avec --exe, l'entrée est liée au chemin de l'exécutable, de sorte que renommer un processus ne permet pas de la contourner.

sudo roamswitch server allowlist add <rule> <process> --exe <path>

Accusez réception de l'isolement. Pendant un isolement FULL, l'accusé de réception maintient l'isolement strict (l'opérateur est considéré comme ayant pris la main, ce qui arrête le passage en mode dégradé et toute levée automatique). En mode dégradé, l'accusé de réception signifie la levée.

sudo roamswitch server ack

5.7 Si vous êtes verrouillé à l'extérieur

Connectez-vous par la console web d'administration du fournisseur cloud (VNC ou console série) et levez l'isolement d'urgence. Par défaut, les ports SSH de maintenance et les sessions d'administration de l'IP d'administration restent ouverts pendant l'isolement.

sudo roamswitch emergency-restore

5.8 Ranger ensuite

Les lots de preuves ne sont pas supprimés automatiquement. Supprimez ceux qui dépassent la durée de conservation (30 jours par défaut) avec la commande ci-dessous.

sudo roamswitch-incident-capture prune --keep-days 30

6. Enquêter à partir des journaux (PersonalSOC et AccessScope)

RoamSwitch inclut deux outils distincts pour lire les journaux : PersonalSOC et AccessScope. Tous deux sont en lecture seule : ils ne modifient aucun réglage et ne bloquent aucun trafic. L'analyse n'utilise pas le réseau et s'exécute entièrement sur cette machine ; elle fonctionne donc aussi pendant l'isolement.

6.1 PersonalSOC : réunir les journaux et les détections de cette machine dans un rapport

Il lit les journaux d'authentification de cette machine (sudo et sshd sur Mac ; auth.log, auditd, nginx, apache et autres sous Linux) ainsi que les détections non résolues de RoamSwitch, et réunit une estimation du risque, une chronologie et des IOC (IP, domaines, URL, empreintes) dans un seul rapport.

sudo personalsoc scan --report

6.2 AccessScope : repérer les attaques dans les journaux d'accès

À partir des journaux d'accès du serveur web, de SSH et d'autres, il montre les attaques par force brute, les web shells, les enchaînements d'étapes d'attaque et les connexions réussies depuis une source inhabituelle, chacun avec les numéros de ligne en preuve et un niveau de confiance (confirmé, probable, hypothèse). Il ne déclare jamais de lui-même une compromission.

sudo accessscope scan --auto --since 24h --report report.md

6.3 À quelle étape les utiliser

• Confirmer et décider : avec les deux outils ci-dessus, voyez, preuves à l'appui, ce qui s'est passé avant et après la détection. Savoir si l'attaque se poursuit et si elle a pu réussir aide à décider si l'on peut lever l'isolement.
• Surveiller : après la levée, lancez AccessScope à plusieurs reprises avec la commande ci-dessous ; il n'affiche que les résultats absents de l'exécution précédente.

sudo accessscope scan --auto --since 24h --since-last --new-only

7. Ensuite

Après la levée, surveillez pendant un moment la chronologie (sur Mac, le journal d'activité de sécurité) pour voir si la même détection réapparaît. Conservez les enregistrements exportés et les lots de preuves, sans les supprimer.

Les mesures extérieures à RoamSwitch, comme le changement de mots de passe ou de clés et la prise de contact avec les personnes concernées, sortent du cadre de cette page.

8. Lorsque vous êtes isolé à cause d'une usurpation ARP

Sur un Wi-Fi public ou un réseau similaire, un attaquant du même réseau peut se faire passer pour le routeur et tenter de lire votre trafic. C'est l'usurpation ARP. RoamSwitch la détecte, par exemple, à un changement soudain de l'adresse MAC de la passerelle (du routeur). Le Mac et l'édition Linux de bureau fonctionnent de la même façon.

1. Quand l'isolement se déclenche. Sur un réseau non enregistré (niveau de protection : lockdown), il isole automatiquement lorsqu'il détecte une anomalie concernant la passerelle. Dans un lieu enregistré (domicile, travail, etc.), il n'isole pas automatiquement. Il affiche un avertissement et n'isole que si vous choisissez « Tout bloquer maintenant ».
2. Ce qu'il faut vérifier avant la levée. La fenêtre de confirmation de l'application donne des conseils similaires. Un autre appareil du même réseau usurpe-t-il l'ARP ? L'adresse MAC de la passerelle correspond-elle à celle de confiance (la fenêtre de confirmation sous Linux affiche la valeur actuelle et la valeur de confiance) ? Sur un Wi-Fi public, il est plus sûr de passer à une autre connexion, comme le partage de connexion, avant de lever l'isolement.
3. Levée automatique. Un minuteur seul ne lève pas l'isolement. Lorsque l'adresse MAC de la passerelle correspond à la valeur de confiance lors de 3 vérifications consécutives, réparties sur au moins 60 secondes, l'isolement est levé automatiquement et vous êtes averti. Si cela ne peut pas être confirmé pendant 1 heure (par défaut), il passe à un état fortement restreint (dégradé). Cet état ne s'ouvre pas avec le temps ; vous le levez à la main.
4. Lever à la main. Sur Mac, utilisez « Lever l'isolement Air-Gap » dans le menu. Sur l'édition Linux de bureau, utilisez « Lever l'Air-Gap et rétablir le réseau » dans la zone de notification, ou sudo roamswitch emergency-restore. Si la cause subsiste au moment de la levée, le trafic reprend et vous y êtes de nouveau exposé : vérifiez d'abord.
5. Après la levée. Surveillez un moment si la même détection réapparaît. Si c'est le cas, cessez d'utiliser ce réseau et passez à une autre connexion.

9. Lorsque vous êtes isolé à cause d'un rançongiciel (édition Linux de bureau)

Lorsque de nombreux fichiers sont réécrits en peu de temps, RoamSwitch y voit un possible rançongiciel : il gèle le processus qui réécrit (SIGSTOP) et coupe le réseau (Air-Gap). La fenêtre de confirmation de l'Air-Gap s'ouvre et indique la raison, le processus et le nombre de fichiers réécrits. Cette section concerne l'édition Linux de bureau. Sur Mac, lisez la section 3.

1. Vérifier. Dans la fenêtre de confirmation et l'historique des notifications, voyez quel processus a réécrit quels fichiers. Vous pouvez aussi voir les processus gelés avec roamswitch frozen list (5.3).
2. Consigner. Avant de lever l'isolement ou de redémarrer, enregistrez les preuves et la chronologie comme en 5.4 et 5.5.
3. Décider. Si le processus gelé est une opération que vous reconnaissez (une sauvegarde ou une compression, par exemple), c'est un faux positif. Reprenez-le avec sudo roamswitch frozen resume <PID>. S'il s'agit d'une vraie attaque, ne le reprenez pas : consignez les preuves, puis terminez le processus.
4. Récupérer les fichiers. Les fichiers réécrits peuvent être extraits d'un instantané. À l'écran, dans l'onglet « Récupération après rançongiciel » de la barre latérale (Linux 1.11.21 et suivants), choisissez l'instantané d'avant les dégâts recommandé (★), puis cliquez sur « Extraire les fichiers » ou « Extraire un dossier ». Par commande, lancez sudo roamswitch-ransomware-rollback list puis sudo roamswitch-ransomware-rollback restore-files <ID> <PATH>. La cible est un sous-volume btrfs ou un volume logique LVM (un répertoire personnel sur ext4 ne peut pas l'utiliser). Un instantané d'avant les dégâts est pris automatiquement toutes les 6 heures par défaut. Un instantané au moment de la détection est aussi pris automatiquement, mais il contient les fichiers chiffrés ; il ne permet donc pas de revenir à l'état d'avant le chiffrement. Vos fichiers actuels ne sont pas écrasés. Les fichiers restaurés vont par défaut dans <cible>/RoamSwitch-Recovered/<ID>/. restore, qui annule tout, écrase l'état actuel : c'est un dernier recours (par commande seulement).
5. Lever l'isolement. Un minuteur seul ne le lève pas. Il n'est levé que lorsque la disparition de la cause est confirmée, ou lorsque vous le levez avec « Lever l'Air-Gap et rétablir le réseau » dans la zone de notification ou sudo roamswitch emergency-restore.
6. Surveiller. Après la levée, vérifiez si la même détection réapparaît. Vérifiez le contenu des fichiers restaurés avant de les remettre à leur place d'origine.