Incident de sécurité / accès suspect
Pour un accès suspect, une modification de privilèges inattendue ou une possible fuite de données, un arbre de décision qui mène, selon le symptôme, aux bonnes étapes de réponse (verrouiller le compte, révoquer les privilèges excessifs, couper les connexions, déterminer l'étendue) et au durcissement permanent après incident.
Qu'avez-vous constaté ?
Choisissez le type d'incident. Le symptôme est-il une connexion suspecte ou une rafale d'échecs de connexion, une modification de privilèges inattendue (GRANT/rôle), une possible fuite de données / un export anormal, ou l'incident est-il clos et vous procédez au durcissement permanent ? Choisissez la branche la plus appropriée selon votre première observation. Notez d'abord l'heure de l'incident et le compte/la ressource concernés.
- Connexion suspecte / rafale d'échecs de connexion
- Modification de privilèges inattendue (GRANT/rôle)
- Fuite de données / export anormal
- Mesures permanentes après incident (durcissement)
Incident d'identité : quel symptôme ?
De nombreux échecs de connexion indiquent une attaque par force brute / credential stuffing. À l'inverse, une connexion réussie mais inattendue (depuis une IP/à une heure inhabituelle) indique que le compte a pu être compromis. Dans les deux cas, collectez d'abord les preuves, puis réagissez.
SELECT username, os_username, userhost, timestamp, returncode FROM dba_audit_session WHERE returncode <> 0 ORDER BY timestamp DESC;- Rafale d'échecs de connexion (force brute)
- Connexion réussie mais inattendue (compromission)
Force brute → bloquer la source et protéger le compte
Lors d'une rafale d'échecs de connexion, l'accès n'a peut-être pas encore été obtenu ; l'objectif est de bloquer la source, de protéger le compte par verrouillage/délai et d'écarter toute intrusion réussie.
Compte compromis → arrêter, enquêter, renouveler les identifiants
Une connexion réussie inattendue indique que le compte a été compromis. Arrêtez d'abord le compte et ses sessions, examinez ce qu'il a fait, puis réinitialisez le mot de passe et restreignez la source d'accès.
Élévation de privilèges → auditer et révoquer les privilèges excessifs
Un GRANT inattendu, une attribution de rôle ou un nouveau compte à privilèges élevés peut constituer la deuxième étape d'une compromission (persistance/élévation de privilèges). Auditez les modifications de privilèges récentes, révoquez celles qui ne sont pas légitimes et revenez au principe du moindre privilège.
Fuite de données → couper l'accès et déterminer l'étendue
Des requêtes/exports anormalement volumineux ou des connexions externes inattendues indiquent une fuite de données. Coupez d'abord les connexions dangereuses actives, puis déterminez l'étendue avec la piste d'audit/les journaux : quelles données ont été consultées, par qui et quand.
Durcissement permanent après incident
Après la réponse d'urgence, appliquez des contrôles permanents pour éviter la récidive : activez l'audit, imposez le moindre privilège, restreignez l'accès réseau et consignez intégralement l'incident.