Sécurité opérationnelle,
des faits, des sources

~700 supermarchés français, des frigos poussés à 50 °C, des pertes à dizaines de millions d’euros. Que s’est-il vraiment passé, pourquoi ce type d’appareil est un risque bien au-delà des frigos, comment les attaquants ont probablement procédé, et comment retrouver ce qu’ils ont touché. Sources primaires uniquement : CERT-FR, Claroty, CISA, Danfoss.

Un plan de crise qui n’a jamais été joué est une hypothèse. Formats, rôles, déroulé pas à pas, pièges, ce qu’un exercice éprouve et ce qu’il laisse de côté, d’après le guide de l’ANSSI, avec un outil testé qui contrôle un scénario, produit la fiche d’animation et mesure les délais de décision.

Une intrusion AWS observée par Sysdig est passée du vol d’identifiants à l’administrateur en huit minutes. Nous avons chronométré nos propres alertes de bout en bout : 1 à 3 secondes pour un scan ou une force brute, 6 minutes pour une machine tombée — et une règle de supervision qui ne se déclenchait jamais, découverte par ce test.

1 484 requêtes, 73 adresses, 10 jours de journaux réels : les robots demandent .env, .aws, .git… et aussi .claude/settings.json ou .env.anthropic. Un analyseur de journaux testé, un vérificateur pour votre propre site, et une lacune mesurée : nos trois détecteurs ne voyaient pas les fichiers d’outils d’IA.

SANS cite 300 dépendances sous l’installeur de 7-Zip. Nous avons posé la même question à 19 de nos outils : 4 543 composants, 568 failles distinctes, une seule exploitée. Un script testé, le fossé entre fichier de verrouillage et installation réelle, un paquet piégé mesuré (axios, 2 h 55 avant l’avis) et ce qui protège vraiment.

Comment savoir si quelqu’un peut envoyer un e-mail en votre nom ? Ce que font SPF, DKIM et DMARC, les erreurs qui les rendent inopérants (limite de 10 requêtes DNS, +all, p=none sans rapport), un script testé et la lecture d’un domaine réel, le nôtre : ce qui était correct, ce que nous avons corrigé et ce que le DNS ne permet pas de vérifier.

Force brute, succès après échecs, connexion root par mot de passe, compte créé, sudo sur des fichiers sensibles : cinq comportements à repérer dans les journaux d’authentification Linux, les lignes exactes à rechercher, un script testé et les pièges (le processus s’appelle désormais sshd-session).

Un bastion SSH minimal avec OpenSSH seul : autorité de certification, certificats valables une heure avec l’identité du demandeur, rebond ProxyJump, bastion sans shell. Les configurations, six essais réellement exécutés, les journaux obtenus et les limites (pas d’enregistrement de session).

Injection de prompt, agentivité excessive, fuite du prompt système, coûts qui explosent : les dix risques du Top 10 OWASP 2025 pour les applications à base de LLM, lus du point de vue de qui les déploie, avec des garde-fous écrits en code classique et testés.

La Cyber Kill Chain de Lockheed Martin décrit une intrusion en sept phases ; MITRE ATT&CK en liste quinze tactiques et près de sept cents techniques. Ce que chacun apporte, où ils se recoupent (chiffres du jeu de données MITRE) et comment s’en servir ensemble pour détecter et couper une attaque.