Cyberattaque : que faire en 48 h avec l’aide de l’IA

Le chiffre qui devrait vous faire lever les yeux de votre tableau de bord : en 2024, le passage de l’accès initial au mouvement latéral a été 22 % plus rapide qu’un an plus tôt, avec un temps moyen de “breakout” de 48 minutes (et des attaques observées à 27 minutes). Autrement dit, au moment où votre équipe planifie la prochaine réunion de crise, l’attaquant est peut-être déjà en train de chercher vos “crown jewels” : AD, messagerie, sauvegardes, ERP, données clients.

La mauvaise nouvelle, c’est qu’aucune organisation n’est “breach-proof”. La bonne, c’est qu’une réponse bien orchestrée réduit drastiquement l’impact. Dans la série Intelligence artificielle dans la cybersécurité, j’insiste souvent sur un point : l’IA ne remplace pas le plan de réponse à incident, elle accélère son exécution. Les 48 premières heures sont un test de discipline… et de vitesse.

Voici une approche opérationnelle des 5 actions prioritaires après la découverte d’une cyberattaque — et, à chaque étape, ce que l’IA peut faire concrètement pour gagner des minutes (et parfois des jours).

1) Qualifier l’incident et cadrer le périmètre (sans paniquer)

Réponse directe : votre première mission est de produire une image fiable de la situation (vecteur d’entrée, systèmes touchés, actions déjà réalisées) tout en démarrant la traçabilité.

Les entreprises perdent du temps ici pour une raison simple : les signaux sont dispersés. Logs SIEM, EDR, firewall, IAM, M365, proxy, DNS… et des captures d’écran envoyées sur Teams au milieu.

Ce que vous devez faire dans les 2 premières heures

• Déclencher le plan de réponse à incident (même si vous n’êtes “pas sûrs à 100 %”).
• Constituer le noyau dur : SOC/IT, RSSI, DSI, juridique, communication, RH et direction.
• Cartographier le “blast radius” :
  • point d’entrée probable (phishing, RDP/VPN, vulnérabilité, compte cloud…)
  • comptes compromis et privilèges associés
  • endpoints/serveurs impactés
  • premiers signes d’exfiltration ou de chiffrement
• Documenter chaque action : qui fait quoi, à quelle heure (format 24h), sur quel système.

Comment l’IA fait gagner du temps (et évite les angles morts)

• Corrélation automatique : l’IA relie des événements qui, manuellement, semblent anodins (connexion “impossible travel” + création de règles de transfert mail + exécution PowerShell).
• Priorisation : elle classe les alertes par probabilité de compromission et impact métier.
• Résumé exploitable : certains outils génératifs produisent un “brief incident” lisible par la direction (en français clair), sans que l’analyste y passe 45 minutes.

Une règle pratique : si vous ne pouvez pas expliquer l’incident en 5 phrases, vous n’êtes pas prêts à décider (isolement, communication, escalade).

2) Alerter les bonnes parties prenantes (au bon moment)

Réponse directe : notifier tôt réduit les risques juridiques, financiers et réputationnels — et vous ouvre l’accès à des ressources (assureur, experts, autorités) quand vous en avez vraiment besoin.

La notification est souvent vécue comme un aveu de faiblesse. En réalité, c’est un mécanisme de protection. Et en décembre, avec les congés et les astreintes réduites, les délais s’allongent : mieux vaut préparer les circuits d’alerte dès maintenant.

Notifications typiques à enclencher (selon votre contexte)

• Assureur cyber : beaucoup de polices exigent une déclaration rapide.
• Conseil juridique / DPO : pour cadrer les obligations et éviter les formulations risquées.
• Clients/partenaires/employés : pour éviter les rumeurs et limiter l’ingénierie sociale secondaire.
• Autorités compétentes : si des données personnelles sont concernées, selon vos obligations.
• Prestataires externes (forensic, MDR, réponse ransomware) : quand la charge dépasse vos capacités.

Comment l’IA sécurise la communication

• Classification des données exposées : l’IA aide à estimer si des données personnelles (ou sensibles) sont impliquées en analysant les chemins, partages, exports et volumes.
• Détection d’exfiltration : modèles d’anomalies sur flux sortants (volumes, destinations rares, protocoles inhabituels).
• Préparation de messages cohérents : génération d’un draft de communication interne/externe, puis validation juridique. L’intérêt n’est pas “d’écrire plus vite”, c’est d’écrire plus constant, avec moins d’oublis.

3) Isoler et contenir (sans détruire les preuves)

Réponse directe : vous devez stopper la propagation et couper les chemins de commande, tout en évitant d’effacer des traces utiles à l’enquête.

C’est l’étape où l’instinct “on éteint tout” peut coûter cher. Dans de nombreux scénarios, couper brutalement des machines détruit des éléments volatils (process, connexions réseau actives, mémoire) et complique le forensic.

Mesures de confinement à forte valeur

• Isoler les systèmes impactés du réseau (quarantaine EDR, VLAN de confinement, règles firewall).
• Désactiver l’accès distant non indispensable et réinitialiser les identifiants VPN/SSO à risque.
• Bloquer les C2 (command-and-control) identifiés : DNS, IP, domaines, signatures réseau.
• Protéger les sauvegardes : s’assurer qu’elles sont hors-ligne, non accessibles en écriture depuis des comptes standard, et non montées sur les mêmes segments.

Ce que l’IA automatise efficacement

• Réponse orchestrée (SOAR) : quarantaine automatique d’un endpoint si un score de compromission dépasse un seuil.
• Détection de mouvement latéral : identification de patterns (PsExec, WMI, RDP interne, Kerberoasting) et blocage ciblé.
• Réduction du “noise” : l’IA diminue les faux positifs pendant la crise, ce qui évite d’épuiser l’équipe.

Mon avis : l’automatisation doit être pré-approuvée avant la crise (ce qui déclenche une quarantaine, ce qui nécessite validation humaine). Le jour J n’est pas le moment de débattre des seuils.

4) Éradiquer et restaurer (en évitant la re-compromission)

Réponse directe : supprimer l’accès de l’attaquant, éliminer la persistance, puis restaurer sur une base saine et durcie.

Beaucoup d’organisations “restaurent vite” et se font reprendre, car la persistance n’a pas été traitée : comptes dormants, jetons cloud, clés API, GPO modifiées, tâches planifiées.

Une séquence de remise en service qui tient la route

1. Forensic ciblé : comprendre la chaîne d’attaque (TTP), le premier point d’entrée et les escalades.
2. Nettoyage : suppression de malware, backdoors, comptes frauduleux, règles de boîte mail, applications OAuth suspectes.
3. Réinitialisation des secrets : mots de passe admins, clés, certificats, tokens.
4. Restauration depuis des sauvegardes vérifiées (et testées) : priorité aux services critiques.
5. Surveillance renforcée : règles de détection temporaires, chasse proactive, journaux centralisés.

Où l’IA apporte un avantage net

• Analyse comportementale post-incident : repérage de persistance “low and slow” que des IOC classiques ratent.
• Aide à la chasse : l’IA propose des hypothèses (“si l’attaquant a utilisé tel outil, cherchez tel type d’événement”) et accélère les requêtes.
• Prédiction du risque de rechute : scoring des systèmes restaurés selon leur exposition (patch manquants, ports ouverts, privilèges excessifs).

Un point concret : si votre organisation met en moyenne plusieurs mois à détecter et contenir une brèche (un chiffre souvent cité est 241 jours à l’échelle mondiale), l’objectif réaliste est de réduire ce délai par des capacités de détection continue et des playbooks d’intervention automatisés. C’est là que l’IA devient rentable : elle compresse le temps entre “signal” et “action”.

5) Faire le retour d’expérience (REX) et améliorer le dispositif

Réponse directe : une cyberattaque devient utile seulement si vous transformez l’événement en changements concrets : contrôles, processus, formation, architecture.

Le retour d’expérience n’est pas un rapport de 40 pages qui dort sur un drive. C’est une liste de décisions. Et des propriétaires. Et des dates.

REX : les questions qui révèlent les vrais problèmes

• Détection : quel signal avons-nous raté ? Était-il présent dans les logs ?
• Décision : qui pouvait isoler quoi, et à quel moment ?
• Communication : quand a-t-on perdu du temps (validation, escalade, messages contradictoires) ?
• Identités : quels privilèges étaient excessifs ? quels comptes n’étaient pas supervisés ?
• Sauvegardes : ont-elles été atteignables par l’attaquant ? tests de restauration récents ?

Comment l’IA aide à “industrialiser” l’amélioration

• Synthèse des timelines : reconstruction automatique d’une chronologie (qui, quoi, quand) depuis SIEM/EDR/IAM.
• Détection de lacunes de contrôle : mapping des étapes de l’attaque vers les contrôles manquants (MFA, segmentation, durcissement).
• Mises à jour de playbooks : propositions de scénarios d’exercice (table-top) basés sur ce qui s’est réellement passé.

Une culture saine : “chaque incident améliore le prochain”. Une culture toxique : “trouver un coupable”. La première réduit les coûts, la seconde répète les crises.

Sans IA vs avec IA : ce qui change vraiment pendant la crise

Réponse directe : l’IA n’est pas un gadget d’analyste, c’est un accélérateur de coordination et de précision.

• Sans IA : tri manuel des alertes, corrélations lentes, containment hésitant, dépendance à 2-3 experts épuisables.
• Avec IA : détection plus précoce, priorisation automatique, réponses orchestrées, chasse assistée, comptes-rendus plus rapides pour la direction.

Le gain le plus sous-estimé ? La capacité à tenir le rythme pendant 24 à 48 heures. Quand la fatigue monte, l’IA sert de garde-fou : elle rappelle les signaux, propose des prochaines actions et évite d’oublier une piste.

Mini-checklist “48 heures” à garder sous la main

Réponse directe : si vous devez choisir une liste simple, prenez celle-ci.

1. Activer IR + journal de crise (heure, action, responsable).
2. Établir le périmètre (entrée, comptes, systèmes, exfiltration/chiffrement).
3. Confinement (quarantaine, blocage C2, accès distants, sauvegardes).
4. Notifications (assureur, juridique/DPO, parties prenantes, experts).
5. Éradication + reset des secrets (comptes, tokens, clés).
6. Restauration vérifiée + surveillance renforcée.
7. REX actionnable (mesures, propriétaires, échéances).

Et maintenant : préparer le prochain incident (avant qu’il ne choisisse sa date)

La réponse à incident efficace n’est pas “un moment héroïque” : c’est de la préparation, des automatisations raisonnables, et des exercices. En période de fin d’année, beaucoup d’équipes tournent en effectif réduit — et les attaquants, eux, ne prennent pas de vacances.

Si vous voulez avancer vite, je recommande une action simple dès cette semaine : tester un scénario d’attaque en conditions réelles (table-top 90 minutes) avec IT, juridique et communication. Vous découvrirez immédiatement où l’IA peut vous aider : corrélation, priorisation, génération de timeline, et orchestration du confinement.

La question qui compte pour 2026 : votre organisation sait-elle contenir une intrusion avant la barre des 48 minutes, ou l’attaquant garde-t-il systématiquement l’initiative ?