Tenir une main courante pendant un incident

À la fin d’une crise, deux organisations se ressemblent sur tout, sauf sur un point : l’une sait ce qu’elle a fait, l’autre le reconstitue. La différence ne tient ni aux outils ni aux compétences techniques, mais à la présence d’une personne qui, pendant les trois jours de tempête, a écrit l’heure, le fait et le nom. Ce document est la main courante, et c’est l’artefact le moins coûteux et le plus souvent sacrifié de la réponse à incident.

→ Lire l’explication complète de la marmotte

Ce que c’est, et ce que ce n’est pas

Le modèle de main courante diffusé par l’ANSSI dans ses kits d’exercice de gestion de crise d’origine cyber en donne la définition la plus économique : elle « constitue la trace écrite de tous les événements se déroulant entre le déclenchement et la fin de la crise ». Trois mots portent tout le sens. Trace écrite : rien d’oral, rien de mémorisé, rien de reconstitué. Tous les événements : pas seulement les décisions, pas seulement les actions techniques. Entre le déclenchement et la fin : un document qui s’ouvre et se ferme, avec une date et une heure pour chacun des deux, et un rédacteur nommé.

Il faut la distinguer de trois documents avec lesquels on la confond régulièrement. Ce n’est pas un relevé de décisions : celui-ci ne retient que ce qui a été arbitré, alors que la main courante retient aussi les informations reçues, les hypothèses écartées et les actions qui n’ont rien donné. Ce n’est pas un journal technique : les journaux des équipements enregistrent ce que les machines ont fait, la main courante enregistre ce que les humains ont décidé et exécuté, y compris les gestes qui ne laissent aucune trace machine. Ce n’est pas un rapport d’incident : le rapport est rédigé après, par quelqu’un qui connaît la fin de l’histoire, et il réorganise les faits pour les rendre intelligibles. La main courante, elle, est écrite dans l’ordre où les choses arrivent, avec l’ignorance du moment, et c’est précisément cette ignorance qui en fait la valeur.

Cette dernière distinction mérite d’être tenue fermement, parce qu’elle est la première à céder. Une main courante relue et corrigée à la lumière de ce qu’on a appris ensuite n’est plus une main courante, c’est un brouillon de rapport. Quand une information se révèle fausse, on n’efface pas : on ajoute une ligne qui dit, à son heure, que l’information précédente était fausse.

Les colonnes qui suffisent

Le modèle de l’ANSSI retient neuf colonnes, et l’expérience montre qu’en ajouter n’améliore rien : numéro de l’action, date, heure, type, nature (information, décision ou action), description, porteur, statut, commentaires. Le reste du formulaire porte l’identité du rédacteur, l’heure d’ouverture et l’heure de fermeture du document.

Deux de ces colonnes font le travail. Le champ qui distingue information, décision et action est le seul qui permette, six mois plus tard, de répondre à la question qui compte : qu’est-ce que nous savions au moment où nous avons décidé cela ? Une main courante qui mélange les trois est une narration, pas une preuve. Le porteur, ensuite, est le nom de la personne qui tient l’action, et pas celui de son équipe : une action sans porteur nommé n’avance pas, et une action dont le porteur a changé sans que la ligne le dise est une action perdue au prochain relais d’équipe.

Le statut sert à une chose qu’on ne découvre qu’en crise : les actions lancées et jamais terminées. Une règle de filtrage posée en urgence, une machine éteinte, un compte désactivé, une liaison coupée, tout cela devait être temporaire et reste en place des mois. Le document opérationnel de l’ANSSI sur la remédiation le dit en propres termes : les notes « visent aussi à ne pas oublier de mettre en place des mesures potentiellement perturbatrices lors du retour à la normale ». La colonne « statut » est la liste des choses à défaire.

Quant au support, il doit survivre à la crise qu’il documente. Une main courante dans un tableur hébergé sur le système d’information compromis est une plaisanterie coûteuse ; dans une application qui demande une authentification à l’annuaire que l’on vient de couper, c’est la même plaisanterie avec un peu plus de style. Le modèle de l’ANSSI est un tableur, et ce n’est pas un hasard : il faut quelque chose qui s’ouvre hors du périmètre atteint, qui se partage et qui s’imprime. Un cahier et un stylo ont encore de beaux jours, à condition que quelqu’un recopie le soir.

Qui écrit, et pourquoi ce n’est pas celui qui agit

La main courante est tenue par une personne dont c’est la seule tâche. Ce n’est pas une préférence d’organisation, c’est une conséquence arithmétique : la personne qui pilote la coupure d’un réseau à trois heures du matin n’écrira pas l’heure exacte à laquelle elle l’a coupé, et il est parfaitement inutile de le lui reprocher au retour d’expérience. Le rôle se nomme, se tient par roulement et se transmet explicitement, comme le reste des rôles d’une cellule de crise décrits dans la communication pendant un incident et le retour d’expérience et dans le cycle complet de réponse à incident.

Le rédacteur n’a pas besoin d’être le meilleur technicien de la salle, et il vaut même mieux qu’il ne le soit pas, parce qu’il serait réquisitionné dans l’heure. Il a besoin de deux choses : savoir assez de technique pour écrire une description exacte, et avoir assez d’autorité pour interrompre une réunion en demandant « à quelle heure exactement ? ». La seconde condition est la plus rare, et elle vient de la direction de crise : si le rédacteur n’est pas mandaté, il devient un secrétaire que personne n’écoute.

Pour les tours de garde, une consigne simple fonctionne mieux qu’une procédure : on ne passe pas le relais sans avoir relu à voix haute les dix dernières lignes et la liste des actions en statut « en cours ». La passation d’une main courante est le seul moment où elle est lue, et c’est ce qui la garde lisible.

La granularité, et ce qui n’y entre jamais

La question qui tue une main courante n’est pas « que faut-il écrire ? » mais « combien ? ». Trop fine, elle n’est plus tenue au bout de quatre heures ; trop grossière, elle ne répond à aucune question. Le réglage pratique est de noter tout ce qui modifie l’état du système, tout ce qui modifie l’état de la connaissance, et toute communication sortante. Une commande qui n’a rien changé n’y entre pas ; la découverte qu’elle n’a rien changé, si.

Quatre choses n’y entrent jamais, et chacune pour une raison qui se paie cher autrement.

Les secrets. Aucun mot de passe, aucune clé, aucun jeton, même expiré, même « juste pour la passation ». Une main courante circule par courriel, s’imprime, se photographie et finit en annexe d’un rapport remis à des tiers. La rotation des secrets pendant la crise se note comme un fait, jamais comme une valeur ; les règles de manipulation sont celles de la prévention des secrets codés en dur, appliquées à un document bien plus bavard qu’un dépôt de code.

Les jugements sur les personnes. « L’administrateur n’avait pas appliqué le correctif » n’est pas un fait, c’est une imputation, et elle sera lue par la direction, par le service juridique, parfois par un avocat. Le fait est : « le correctif KB-xxxx n’était pas appliqué sur le serveur Y au moment du constat ». La même information, sans le procès, et l’une est défendable quand l’autre est attaquable.

Les hypothèses d’attribution. Désigner un groupe, un pays ou un motif en pleine crise, sur la base d’un indice, laisse une trace écrite dont personne ne se débarrasse ensuite, et qui réapparaît dans la communication externe à un moment choisi par d’autres. Les hypothèses techniques s’écrivent, étiquetées comme telles ; les noms attendent la méthode décrite dans l’attribution technique d’une cyberattaque.

Les données personnelles au-delà du nécessaire. Les noms des porteurs d’actions, oui, c’est l’objet du document. Le contenu des messages de l’utilisateur dont la boîte a servi de point d’entrée, non : il n’a rien à faire dans un document largement diffusé, et son extraction relève de l’investigation, avec les règles d’intégrité et de confinement de la chaîne de conservation.

L’heure : une seule référence, et c’est le temps universel

Toutes les lignes sont horodatées en temps universel coordonné, avec la mention explicite du fuseau en tête du document. Le rapport d’incident public de l’ANSSI sur la compromission de la DGFiP prend soin de préciser que, sauf mention contraire, ses heures sont en UTC+2 ; cette phrase, dans un document de vingt pages, est celle qui rend la chronologie utilisable. Sans elle, vingt pages de dates deviennent une approximation d’une à deux heures, ce qui suffit à inverser l’ordre de deux événements.

Trois sources d’heure se côtoient pendant une crise, et elles ne concordent jamais spontanément : l’heure des journaux techniques, souvent en temps universel ; l’heure des participants, en heure locale avec changement d’heure saisonnier ; et l’heure des tiers, prestataires et autorités, dans leur fuseau. La main courante tranche en adoptant une référence unique et en convertissant à l’écriture, pas à la relecture. Et puisque tout cela repose sur des horloges, la synchronisation du parc n’est pas un détail d’exploitation mais un prérequis d’investigation, comme l’explique la sécurisation de NTP.

Noter l’heure du constat et non celle supposée du fait est la seconde règle. « 04h12, découverte d’une session active depuis la veille 22h30 » porte deux heures de nature différente, et les confondre produit une chronologie où l’organisation réagit avant d’avoir su. Cette distinction est le cœur du travail décrit dans la reconstruction d’une timeline d’attaque.

À quoi elle sert quand tout est fini

Quatre usages, dont trois ne sont pas techniques.

Le retour à la normale d’abord, déjà évoqué : la liste des mesures d’endiguement posées en urgence est la liste des choses à lever, et personne ne s’en souvient. Le document de l’ANSSI note que « les mesures d’endiguement sont souvent l’une des causes directes des dysfonctionnements du système d’information » et qu’« une traçabilité forte des actions prises (typiquement par une main courante) doit être assurée », ce qui « permet de tracer l’origine d’un dysfonctionnement immédiat ou futur ». Six semaines après la crise, une application tombe : la main courante dit si c’est la règle de filtrage du mardi ou autre chose.

Le retour d’expérience ensuite. Un retex sans main courante compare des souvenirs, et les souvenirs d’une crise sont systématiquement réécrits dans un sens flatteur pour celui qui se souvient. Avec le document, la question devient mesurable : combien de temps entre le premier signal et la première action, combien d’actions lancées sans porteur, combien terminées. Les décisions qui engagent le plus, comme l’arbitrage exposé dans assainir ou reconstruire, ne se revisitent utilement qu’à partir de ce qui était su au moment où elles ont été prises.

Les tiers, enfin, et le document de l’ANSSI le dit sans détour : « les notes et les mains courantes sont souvent utiles lors des démarches auprès de la justice et des assureurs ». À quoi s’ajoutent les obligations de notification, qui demandent des dates et des périmètres, et les relations avec les clients et les partenaires, abordées dans la préparation d’un plan de communication de crise. Une organisation capable de produire un document horodaté, cohérent et exempt de jugements sur ses propres salariés est dans une position défendable ; une organisation qui produit trois versions d’un récit ne l’est pas.

Reste le quatrième usage, le plus ingrat : la main courante protège ceux qui ont décidé dans l’urgence avec des informations incomplètes. C’est le document qui montre que la décision de couper était raisonnable avec ce qu’on savait à 03h47, même si elle s’est révélée coûteuse. Sans lui, la reconstitution se fait avec les informations d’aujourd’hui, et toute décision passée paraît stupide. L’honnêteté intellectuelle a besoin d’archives, parce que la mémoire, elle, choisit toujours le camp du vainqueur.

Sources

Kit d’exercice de gestion de crise d’origine cyber, modèle de main courante et relevé d’actions, ANSSI.
Cyberattaques et remédiation, volet opérationnel : piloter la remédiation, ANSSI, 18 décembre 2023.

🐝 Ce qui arrive si on s’en passe

Sans main courante, les mesures d’endiguement posées en urgence restent en place indéfiniment, parce que personne ne tient la liste de ce qu’il faut lever, et les pannes qu’elles provoquent six semaines plus tard sont diagnostiquées de zéro. Sans distinction écrite entre information, décision et action, le retour d’expérience juge les décisions avec les informations d’aujourd’hui, ce qui garantit un verdict injuste et des leçons inutiles. Sans porteur nommé par action, les tâches lancées avant un relais d’équipe disparaissent avec l’équipe qui les avait lancées. Sans horodatage en référence unique, la chronologie remise à l’autorité, à l’assureur ou au juge comporte des événements dans le mauvais ordre, et une organisation qui réagit avant d’avoir su perd toute crédibilité sur le reste. Et sans règle écrite sur ce qui n’entre jamais dans le document, des secrets, des imputations personnelles et des hypothèses d’attribution circulent par courriel pendant des années.

🦫 Explication de la marmotte 🍫

Quand une organisation subit une attaque informatique, une équipe se réunit en urgence et prend des décisions pendant plusieurs jours : couper un accès, éteindre un serveur, prévenir un client, appeler un prestataire. La main courante est le cahier dans lequel une personne écrit, au fur et à mesure, l’heure, ce qui est arrivé, ce qui a été décidé, qui s’en occupe et si c’est terminé. Rien de plus.

Cela paraît secondaire pendant la crise, et c’est pour cela que c’est presque toujours abandonné au bout de quelques heures. Mais après, ce cahier répond à des questions auxquelles personne d’autre ne peut répondre. Lesquelles de ces coupures provisoires sont encore en place ? Pourquoi cette application est-elle tombée six semaines plus tard ? Que savions-nous à l’heure où nous avons pris cette décision qui paraît absurde aujourd’hui ? L’assureur, le juge ou l’autorité de régulation posent les mêmes questions, et une organisation qui n’a rien écrit improvise trois récits différents.

Trois règles font la différence. La personne qui écrit ne doit faire que cela : celle qui agit n’écrira pas. Toutes les heures doivent être dans le même fuseau horaire, précisé en tête du document, sinon les événements se retrouvent dans le mauvais ordre. Et quatre choses ne s’écrivent jamais dedans, parce que le document finira par circuler : les mots de passe, les reproches adressés à une personne, les suppositions sur l’identité de l’attaquant, et les données personnelles dont on n’a pas besoin.

Dernière règle, la plus contre-intuitive : on ne corrige pas une erreur en effaçant. Si une information s’avère fausse, on ajoute une ligne qui le dit, à son heure. Un cahier réécrit après coup ne vaut plus rien, parce que sa valeur tient entièrement à ce qu’il montre ce qu’on croyait sur le moment.

Pages voisines

La citent

TA0040 Impact : manipuler, interrompre, détruire

Tenir une main courante pendant un incident

Elle cite

: les deux pages se citent l’une l’autre.

Tenir une main courante pendant un incident

Tenir une main courante pendant un incident

Ce que c’est, et ce que ce n’est pas

Les colonnes qui suffisent

Qui écrit, et pourquoi ce n’est pas celui qui agit

La granularité, et ce qui n’y entre jamais

L’heure : une seule référence, et c’est le temps universel

À quoi elle sert quand tout est fini

Sources

🐝 Ce qui arrive si on s’en passe

🦫 Explication de la marmotte 🍫

À lire aussi

Pages voisines