La persistance, présentée du point de vue défensif : comment la détecter
Un attaquant qui a investi du temps pour obtenir un accès ne souhaite généralement pas le perdre à la première redémarrage ou au premier changement de mot de passe. Il cherche alors à établir une « persistance » : un moyen de revenir, même après ces événements. Cette leçon adopte délibérément le point de vue du défenseur, car c'est la perspective la plus utile et la plus sûre pour aborder ce sujet.
Choix pédagogique. Ce cours ne décrit aucune technique de persistance prête à l'emploi : une telle description reviendrait à fournir un outil offensif directement réutilisable contre un système réel. À la place, cette leçon explique les catégories générales de mécanismes concernés et, surtout, comment les détecter, ce qui est la compétence réellement utile pour un professionnel de la sécurité, qu'il soit côté attaque ou côté défense.
Pourquoi la persistance est une étape logique pour un attaquant
Reprenons le fil de la méthodologie : reconnaissance, analyse, exploitation, élévation de privilèges. Un attaquant qui est arrivé jusqu'à un accès privilégié a investi un effort considérable. Du point de vue défensif, il est essentiel de comprendre qu'un attaquant cherchera presque toujours à sécuriser cet investissement en s'assurant de pouvoir revenir, plutôt que de considérer son unique session active comme suffisante. C'est précisément ce qui rend la détection de la persistance si importante : un incident mal nettoyé peut se rouvrir des semaines ou des mois plus tard.
Les grandes catégories de mécanismes, en termes génériques
| Catégorie générale | Principe, en termes généraux |
|---|---|
| Démarrage automatique | Profiter des mécanismes légitimes qui lancent automatiquement des programmes au démarrage du système ou à la connexion d'un utilisateur, pour y ajouter discrètement une action non désirée. |
| Tâches planifiées | Détourner ou créer une tâche planifiée légitime pour qu'elle exécute, à intervalle régulier, une action non désirée. |
| Comptes et accès supplémentaires | Créer un compte supplémentaire, ou obtenir un moyen d'authentification additionnel, pour revenir sans dépendre d'un accès initial qui pourrait être fermé. |
| Modification de services existants | Modifier un service ou un composant légitime déjà présent, plutôt que d'ajouter un nouvel élément visible, pour se fondre dans l'environnement existant. |
Vous remarquerez que ces catégories ne sont, pour l'essentiel, que des détournements de mécanismes parfaitement légitimes et nécessaires au fonctionnement normal d'un système (démarrage automatique, tâches planifiées, comptes utilisateurs, services). C'est précisément ce qui rend la détection difficile : on ne cherche pas un programme intrinsèquement malveillant, mais un usage anormal d'un mécanisme par ailleurs tout à fait normal.
Le principe général de la détection
Puisque l'on ne peut pas se contenter de chercher « un programme méchant », la détection repose sur une idée plus subtile : établir ce qui est normal et attendu sur un système donné, puis repérer les écarts. Cette approche porte un nom dans la profession : l'établissement d'une base de référence (baseline), à partir de laquelle toute nouvelle entrée dans les mécanismes de démarrage automatique, toute nouvelle tâche planifiée, ou tout nouveau compte devient un événement à examiner, plutôt qu'un fait acquis et ignoré.
Des signaux concrets à surveiller
- Nouveauté inexpliquée : une entrée de démarrage automatique, une tâche planifiée ou un compte qui apparaît sans qu'aucun changement légitime (mise à jour, déploiement planifié) ne l'explique ;
- Emplacement inhabituel : un programme censé se trouver dans un dossier système qui apparaît ailleurs, ou un nom de fichier qui imite un nom légitime avec une variation subtile ;
- Horaires atypiques : une tâche planifiée qui s'exécute à une heure qui ne correspond à aucune activité métier normale ;
- Comptes inactifs soudainement actifs, ou comptes créés en dehors du processus habituel de gestion des accès ;
- Modifications de configuration non documentées sur des services critiques, sans ticket de changement correspondant ;
- Décalage entre l'inventaire attendu et l'inventaire réel des logiciels et comptes présents sur une machine.
Les outils et pratiques qui aident à détecter ces signaux
- La journalisation centralisée : rassembler les journaux de toutes les machines dans un système central, pour pouvoir rechercher des motifs à l'échelle du réseau entier, pas machine par machine ;
- La surveillance des changements de configuration : des outils qui alertent dès qu'un élément surveillé (démarrage automatique, tâche planifiée, service) est modifié ;
- L'inventaire régulier et automatisé des comptes, services et logiciels installés, comparé à un état de référence connu ;
- Les revues d'accès périodiques : vérifier régulièrement, avec les équipes concernées, que chaque compte et chaque accès reste justifié ;
- La formation des équipes à reconnaître et signaler un comportement inhabituel, même mineur en apparence (un ralentissement inexpliqué, une fenêtre inattendue), car ce sont souvent des humains, pas uniquement des outils, qui remarquent les premiers signes d'un incident.
Le lien avec le cadre MITRE ATT&CK
Le référentiel MITRE ATT&CK (attack.mitre.org) consacre une tactique entière à la persistance, avec de nombreuses techniques documentées et, pour chacune, des pistes de détection reconnues par la communauté de la défense. Un analyste de sécurité qui connaît ce référentiel peut configurer ses outils de surveillance pour couvrir méthodiquement ces techniques, plutôt que de chercher au hasard. C'est un excellent exemple de la façon dont un vocabulaire commun entre attaquants (ou testeurs) et défenseurs améliore concrètement la sécurité des deux côtés.
Que faire en cas de doute
Si un signal de persistance potentielle est détecté, la réaction immédiate consiste à ne pas supprimer précipitamment l'élément suspect avant d'avoir compris son origine et son étendue : un attaquant qui constate que son accès a été coupé peut réagir en accélérant ses actions, ou en activant un mécanisme de secours préparé à l'avance. La bonne pratique consiste à documenter, isoler si possible, puis traiter de façon méthodique, idéalement en suivant un plan de réponse aux incidents préparé à l'avance plutôt qu'en improvisant dans l'urgence.
À vous de jouer : concevoir une base de référence
Pour une machine de votre labo (serveur ou poste de travail), dressez dans votre carnet une « base de référence » simplifiée : listez les programmes qui démarrent automatiquement, les tâches planifiées existantes, et les comptes présents, tels qu'ils sont aujourd'hui, dans un état que vous considérez comme normal. Puis décrivez par écrit, pour chacune des trois catégories, quel type de changement futur déclencherait chez vous une vérification approfondie, et pourquoi.
Voir une solution
Exemple de référence pour une machine de labo : trois programmes connus au démarrage automatique, deux tâches planifiées documentées (une sauvegarde nocturne, une vérification de mise à jour), et les comptes attendus (l'administrateur du labo et un compte de test). Déclencheurs de vérification : une nouvelle entrée de démarrage automatique ne correspondant à aucune installation volontaire récente ; une tâche planifiée programmée à une heure inhabituelle ou avec un nom générique peu explicite ; l'apparition d'un compte que vous n'avez pas créé vous-même. Dans chaque cas, la raison est la même : un écart par rapport à un état connu et documenté, sans explication légitime, mérite une investigation avant d'être ignoré.
À retenir
- La persistance détourne des mécanismes légitimes (démarrage automatique, tâches planifiées, comptes, services) plutôt que d'introduire des éléments intrinsèquement malveillants identifiables.
- La détection repose sur l'établissement d'une base de référence et le repérage des écarts par rapport à celle-ci.
- Journalisation centralisée, surveillance des changements, inventaires réguliers, revues d'accès et vigilance humaine sont les piliers de cette détection.
- Le référentiel MITRE ATT&CK documente les techniques de persistance connues et les pistes de détection associées.
- Face à un signal suspect, on documente et on investigue méthodiquement avant d'agir précipitamment.
La dernière leçon de ce chapitre élargit encore la perspective : comment un accès, une fois consolidé sur une machine, se propage-t-il à d'autres machines du réseau ?