Que doit-on faire suite à une attaque ???

par **SNORK** » 01 Avr 2003 11:02

J'ai été victime hier d'une série d'attaques mené depuis l'adresse IP de mon ancien employeur....Détecté et logué grace à IPCOP;SNORT, Les log système..... Que dois-je faire ? <IMG SRC="images/smiles/icon_confused.gif">

par **bisol** » 01 Avr 2003 11:04

1) Checker tes logs pour savoir ce qu il a (pu) faire 2) Vérifier les services qui tournent pour savoir s'il n'a pas activé des serveurs 3) Si tu as 1 soft genre tripwie execute le pour voir si il n'a pas remplacer de fichier par troajns 4) Verifie ta liste d'utilisateur ainsi que leur permissions Voila..

par **SNORK** » 01 Avr 2003 11:07

Merci, je pense même modifier des éléments du système mais je demandais juridiquement ? <IMG SRC="images/smiles/icon_eek.gif">

par **YT-1300** » 01 Avr 2003 11:24

Je ne sais pas ou tu peu te renseigner. Je sais que la gendarmerie a une section sur le piratage informatique. Sinon tu contact son FAI tu lui indique ce qu'il a fait. Apres tu envois a ton ancien employeur une lettre avec accusé de réception lui indiquant ce qu'il a fait a tel heure et que si cela ce reproduit tu vas le poursuivre en justice. A+

par **bisol** » 01 Avr 2003 11:29

Bah chopper l'IP du gars. Savoir ce qu il a fait et regarder chez RIP (http://www.ripe.net/perl/whois) et tu contacte 1 gars qui est reponsable et voila

par **gwerlas** » 01 Avr 2003 11:34

Ca a déjà été fait aussi, le gars à apparement utilisé deux IP de deux fournisseurs, une pro, l'autre perso. Pour la perso on a fait le nécessaire auprès de Wanadoo (pour ne pas citer de nom). Pour l'adresse pro, son supérieur hiérarchique en a été avisé. La question, c'est suite à tout ça (pas de dégat, recourt auprès des fournisseurs). Pour la partie poursuite juridique... ou on peux trouver des procédures ??

par **bisol** » 01 Avr 2003 11:37

Le truc a faire est de ABSOLUMENT sauver ces logs c'est 1 preuve que l'on ne peut pas contester ! Sinon il faut voir sce que fait son(ses) providers contre lui.

par **remi** » 01 Avr 2003 11:50

va faire un petit tour la dessus, j'avais posé la question sur le forum du ministere de l'interieur <a href="http://www.interieur.gouv.fr/rubriques/forum/articles/15" target="_blank">http://www.interieur.gouv.fr/rubriques/forum/articles/15</a>

par **gwerlas** » 01 Avr 2003 11:50

Les logs sont sauvées, externalisées sur un autre serveur et sur un PC distant. Par contre j'ai vidé les logs des IP qui nous interessaient pas, je sais pas si c'est une bonne idée (j'ai pas envie de me ramener avec un rouleau entier de log imprimés). Merci pour le lien -- Je sais qu'on peux paraître vache et/ou paranoïaque, mais on connait le bonhomme qui est en face et nous ne voulons pas lui laisser sa chance... (du moins l'envie de recommencer)

par **micj** » 01 Avr 2003 12:13

Je pense tout de même que les logs seront insuffisant au niveau preuve, un log peut se falsifier et ne peut en lui-même justifié une condamnation.

par **SNORK** » 01 Avr 2003 12:29

De toutes façons, on va démonter les disques, réinstaller un nouveau système et déposer les disques chez un huissier. <IMG SRC="images/smiles/icon_cry.gif"> <IMG SRC="images/smiles/icon_mad.gif">

par **DgSe95** » 01 Avr 2003 12:41

pourquoi pas SNORK, mais ne crois tu pas, que cela peut être embettant pendant le temps de la procédure ?? essaye de le prendre à son propre jeu... laisse le rentrer et enregistre ce qu'il fait, là tu auras plus de preuve. et comme l'a dis micj, c'est vrai que les logs sont falsifiable. et surtout si l'ip perso utilisée et une ip dynamique, il n'y a que le provider qui peux te dire ce qu'il a fait

par **gwerlas** » 01 Avr 2003 12:47

On sait qu'il n'a rien pu faire, mais qu'il a tenté. Même si nous continuons de fouiller au cas où. Pour l'histoire de la gène le temps de la procédure, on a des disques de remplacement pour ça... C'est pas le temps qui va nous arrêter. Sans s'amuser à une guerre de piratage (on ne supporte pas ça) nous aimerions emprunter des sentiers plus conventionnel et légaux...

par **grosbedos** » 01 Avr 2003 12:56

je pense que les logs de ton FAI doivent venir appuyer les tiens qui n'auront pas grande valeur seul!! (voir aucune meme je pense...)

par **SNORK** » 01 Avr 2003 13:02

Il a sans doute utilisé des IP dynamiques par rebonds mais aussi une IP fixe dont nous avons la certitude.... <IMG SRC="images/smiles/icon_biggrin.gif">

Que doit-on faire suite à une attaque ???

Qui est en ligne ?