Méthodologie d’exclusion des signatures liées aux attaques

1- Identification en amont via un firewall des tentatives de hack et blocage immédiat des IP concernées
A COMPLETER (résumé succinct des grandes lignes des mesures techniques prises par la DSI) = condensé du fil technque → BTE ?

2- Identification a posteriori des signatures frauduleuses étant passées au travers du firewall
Pour cela, une analyse fine des signatures multiples sur une même adresse IP a été réalisée.

Après vérification, le meilleur paramètre pour identifier ces fausses signatures s’avère être le nombre de signatures par intervalle de 5’ sur une même adresse IP. Ainsi, nous avons déterminé que toute IP pour laquelle on observe plus de 30 signatures sur un intervalle de 5’ correspond à une attaque. Inversement, en dessous de ce seuil de 30, nous avons vérifié que les signatures multiples par IP restantes n’avaient pas été réalisées par des robots. Ce seuil pourrait être ajusté en cas de modification des types d’attaques. Nous restons très vigilants sur ce point.

3- Annulation des signatures identifiées comme frauduleuses
Un processus asynchrone vient plusieurs fois par jour désactiver en base de données les signatures ayant été identifiées comme frauduleuses au point précédent.

Au terme de cette troisième étape, les signatures légitimes sont clairement identifiables dans la base de données. Pour autant, les logs des signatures frauduleuses sont également conservés (et pourront être utilisés dans le cadre d’éventuelles poursuites judiciaires).

Le 03.01.2022 à 18h28, 425 IP ont ainsi été identifiés comme source d’attaques ce qui permet d’annuler les 918’634 signatures qui y sont liées.

On dénombre ainsi 1’186’132 signatures légitimes (non liées à des attaques) le 03.01.2022 à 18h28

Le graphique ci-dessous illustre l’évolution par jour et heure du nombre de signatures liées à des attaques (en rouge) et celles jugées légitimes (en vert).