Réponse à incident : éradiquer une persistance

Incident P1 — Le SOC a détecté des connexions sortantes régulières de srv-app vers une adresse inconnue. Le serveur a été isolé du réseau ; vous intervenez en console.

1. Analysez /var/log/auth.log : quel compte légitime a servi d'accès initial ? → answer initial <compte> ; adresse de l'attaquant → answer ip <ip>
2. Conservez les preuves avant toute suppression : copiez la tâche cron malveillante et le fichier authorized_keys de root dans /root/ir/
3. Éradiquez : supprimez la tâche cron malveillante, retirez la clé SSH de l'attaquant (gardez celle de l'administrateur), verrouillez le compte créé par l'attaquant et retirez-le du groupe sudo, verrouillez le compte d'accès initial (mot de passe compromis)