À retenir
- C'est la phase qui suit immédiatement l'intrusion initiale.
- L'objectif est souvent de maintenir l'accès et d'extraire des informations.
- C'est durant cette étape que l'on mesure l'impact réel d'une cyberattaque.
La post-exploitation désigne l'ensemble des actions réalisées par un intervenant (expert en sécurité ou pirate) après avoir réussi à s'introduire dans un système informatique. C'est l'étape où l'on cherche à comprendre l'environnement, à s'y installer durablement et à atteindre l'objectif final, comme le vol de documents ou le contrôle total du réseau.
Étymologie
Vient de l'anglais post-exploitation. Il combine le préfixe latin post (après) et le terme exploitation, qui désigne ici l'utilisation d'une faille de sécurité (exploit). Ce concept s'est popularisé avec l'évolution des méthodologies de tests d'intrusion professionnelles.
Exemples d'usage
- Élévation de privilèges : passer d'un compte utilisateur simple à un compte administrateur pour avoir tous les droits.
- Mouvement latéral : utiliser l'accès à un premier ordinateur pour rebondir et s'introduire sur d'autres serveurs du même réseau.
- Persistance : installer un petit programme discret pour pouvoir revenir dans le système même si l'ordinateur est redémarré.
Cas d'usage
Ce concept intervient principalement lors des tests d'intrusion (pentests) pour évaluer les dégâts potentiels d'une faille. Il est également au cœur de l'analyse forensique, où les experts cherchent à comprendre ce qu'un attaquant a fait une fois à l'intérieur d'un réseau compromis.
Bonnes pratiques
Pour limiter les risques durant cette phase, il est recommandé d'appliquer le principe du moindre privilège (donner le minimum de droits aux utilisateurs) et de mettre en place une segmentation réseau afin qu'un intrus ne puisse pas circuler librement d'une machine à une autre.
Synonymes
Antonymes
Conseil
Pour bien comprendre la post-exploitation, ne voyez pas l'informatique comme une forteresse avec un seul mur, mais comme une suite de pièces. Même si une porte est ouverte, chaque action suivante (chercher une clé, ouvrir un tiroir) fait partie de la post-exploitation. C'est là que la défense en profondeur prend tout son sens.
Questions fréquentes
Quelle est la différence entre exploitation et post-exploitation ?
L'exploitation est l'acte de forcer la serrure (entrer), tandis que la post-exploitation est ce que l'on fait une fois à l'intérieur de la maison.
La post-exploitation est-elle forcément malveillante ?
Non, elle est pratiquée de manière éthique par les auditeurs en sécurité pour montrer aux entreprises leurs points faibles une fois qu'une barrière est franchie.
Comment détecter cette phase ?
En surveillant les comportements inhabituels, comme un utilisateur qui accède à des dossiers qui ne le concernent pas ou des connexions réseau vers l'extérieur à des heures imprévues.