Polynomial
2012-11-19 19:59:04 UTC
Lorsqu'une machine a été infectée par des logiciels malveillants, la plupart d'entre nous identifient immédiatement l'action appropriée comme "la neutraliser de l'orbite" - c'est-à-dire effacer le système et recommencer. Malheureusement, cela est souvent coûteux pour une entreprise, en particulier si les sauvegardes sont configurées de manière moins qu'optimale. Cela peut produire une résistance de la part de la direction et des utilisateurs qui souhaitent simplement continuer à utiliser la machine pour le travail. Après tout, en ce qui les concerne, ils peuvent "simplement lancer AV dessus" et tout ira bien.
Comment expliquez-vous le problème à la direction et aux utilisateurs de nature non technique? Je pourrais facilement produire une raison technique, mais j'ai du mal à trouver le libellé approprié pour les utilisateurs non techniques. J'apprécierais particulièrement toute façon de parler à laquelle le destinataire peut s'identifier, par exemple faire appel au sens de la gestion des risques d'un manager.
Plus au point. Comment les données d'un utilisateur peuvent-elles être transférées en toute sécurité vers une nouvelle machine? C'est un problème que je rencontre.
@ktothez Il vaut mieux ne pas transférer les données des utilisateurs; Par exemple, comptez sur une sauvegarde sûre avant l'infection. Cependant, si nécessaire, je ferais quelque chose comme [ma réponse] (http://security.stackexchange.com/a/24221/2568) convertir des documents MS Office en documents en texte brut / fichiers CSV sur la machine infectée, démarrer dans un Linux live cd sur l'ordinateur infecté, montez le disque dur infecté avec `-noexec`, puis copiez sélectivement le nombre limité de documents en texte brut de la machine infectée vers un autre ordinateur. Cependant, méfiez-vous des modifications malveillantes de vos fichiers - par exemple, fichiers de configuration, mots de passe, données, etc.
N'est-il pas suffisant de simplement dire que la ligne de conduite que vous proposez est la seule qui garantit le résultat souhaité (en supposant bien sûr que c'est la seule ligne de conduite qui garantisse le résultat souhaité)?
@ dr. jimbob je fais quelque chose de similaire.
@ jah, malheureusement, il ne dirige pas le spectacle la plupart des endroits. Les décisions informatiques sont souvent annulées par des personnes manquant de connaissances informatiques.
@jah Malheureusement, non. Le résultat souhaité pour eux est une dépense absolument minime afin d'atténuer le risque. Le résultat souhaité pour moi est un risque absolument minime. L'astuce consiste à trouver un équilibre qui fonctionne bien pour les deux côtés de la médaille. Malheureusement, cet équilibre ne peut être facilement atteint que si les deux parties se comprennent.
"Oh, ma voiture a un pneu crevé." "NUKE IT FROM ORBIT!"
@Polynomial: Quelque chose que tout le monde comprend (ou devrait) est le retour sur investissement. Le meilleur retour sur investissement à long terme est probablement votre recommandation: minimisez le risque. Des dépenses minimales sont probablement plus coûteuses à long terme. Même la direction comprendrait cela (si elle vous fait confiance).
-1 * Qui a dit que * chaque petite infection nécessite une bombe atomique depuis l'orbite?Si ma main commence à me faire mal, allez-vous devoir être amputé simplement parce que vous pensez que cela * pourrait * être quelque chose qui pourrait s'étendre au reste de mon corps?Et * qui a dit * que même une nuque depuis l'orbite pourrait suffire?Il y a toujours une chance (quelle que soit la distance) que votre malware ait par exempleinfecté le firmware et survivra à un essuyage.Vraiment, cette question n'a aucun sens.
@Mehrdad Cela dépend de votre modèle de risque.Si vous utilisez un système de bureau à la maison, ce n'est peut-être pas un problème.Si vous exécutez un serveur Web qui gère les données des clients, le remplacement du système est logique dans de nombreux scénarios.De plus, les boutons de vote positif / négatif sont généralement utilisés lorsque la * qualité * d'une question est mauvaise, et non lorsque vous pensez que le demandeur a tort.Si vous n'êtes pas d'accord avec la prémisse, écrivez une réponse à cet effet.
@Polynomial: Vous avez dit * rien * de cela dans votre question!* "Cela dépend du modèle de risque" * ...?Oui, c'est exactement ce que je disais, et c'est exactement ce que votre question ignore.* "Un serveur web qui gère les données clients" * ...?Nulle part dans votre question n'avez-vous supposé que c'était le cas;vous venez de dire «machine», et pour autant que le lecteur le sache, vous pourriez parler des postes de travail de vos ingénieurs, ou des serveurs qui ne traitent pas les données clients.* "Remplacement du système" * ...?Vous avez dit effacer, pas remplacer, d'où la dernière partie de mon commentaire précédent.Pour moi, la question * est * de mauvaise qualité ...
@Mehrdad Points équitables.J'ai écrit la question sans inclure ces choses car je voulais éviter la discussion quelque peu philosophique sur l'appétit pour le risque et les approches de réponse aux incidents.Bien sûr, ces choses sont importantes pour prendre une décision sur * l'opportunité * de détruire un système en orbite, mais la question a été posée dans une perspective où (du moins du point de vue d'un responsable de la sécurité) le retirer de l'orbite a * déjà * été choisicomme l’action la plus appropriée.Essayer d'élucider le raisonnement pour cela à une personne non technique est difficile, et c'est le sujet de cette question.