Attaques plus rapides : mieux vaut prévenir qu’analyser après coup

Vingt-neuf minutes, ce n’est pas une fenêtre de réponse à incident. C’est une pause-café avec de la paperasse réglementaire qui attend au fond de la tasse. Selon Danny Palmer, rédacteur en chef adjoint d’Infosecurity Magazine, citant le CrowdStrike Global Threat Report 2026, le temps moyen de propagation d’une intrusion en 2025 était de 29 minutes. Quelque part, un exercice sur table vient discrètement d’effacer ses hypothèses optimistes. Ce chiffre compte, parce que la défense des entreprises a souvent traité la découverte comme de l’archéologie : creuser avec précaution, préserver les artefacts, reconstruire la civilisation qui s’est fait compromettre. Palmer rapporte qu’auparavant, des intrus non autorisés passaient des semaines ou des mois à l’intérieur de réseaux compromis pour préparer le vol de données ou l’installation de logiciels malveillants. Désormais, selon Infosecurity Magazine, un attaquant peut passer de l’entrée initiale à l’accès aux données et à leur exfiltration « en quelques minutes ». L’intrigue est passée du thriller à combustion lente au braquage d’épicerie, sauf que la caisse enregistreuse est votre base de données clients.

Ce qui s’est passé, selon Infosecurity Magazine

Infosecurity Magazine présente le changement central comme une compression de la chronologie d’intrusion. Palmer écrit que le temps de propagation est la fenêtre entre l’entrée initiale dans le réseau et le départ de l’attaquant après avoir volé ou détruit des données. CrowdStrike, cité par Infosecurity Magazine, a établi la moyenne de 2025 à 29 minutes, ce qui est assez rapide pour faire passer certains chemins d’escalade traditionnels pour des textes gravés sur des tablettes de pierre.

L’analyse de la faille concerne donc moins une victime en particulier qu’un modèle opérationnel cassé. Si la partie précieuse de l’intrusion peut se terminer avant qu’un comité humain ne se mette d’accord sur le tableau de bord qui est le vrai tableau de bord, la stratégie ne peut pas dépendre uniquement d’une enquête héroïque. Les enquêtes comptent toujours, parce qu’il faut établir le périmètre, réunir des preuves et produire un récit défendable de ce qui s’est passé. Mais elles ne sont plus la première ligne de survie.

Le réflexe de commencer par l’enquête est trop lent, selon Infosecurity Magazine

Selon Infosecurity Magazine, l’ancien schéma donnait plus de temps aux défenseurs, car les intrus pouvaient passer des semaines ou des mois à préparer le terrain. Ce monde récompensait la détection approfondie, le triage prudent et la reconstruction forensique patiente. Le schéma plus rapide punit tout processus de sécurité qui nécessite qu’une personne remarque, interprète, approuve et contienne avant que les données ne sortent.

Voici la leçon contre-intuitive : des attaques plus rapides ne signifient pas que les organisations doivent simplement enquêter plus intensément. Elles signifient que la conception de la sécurité doit réduire ce qu’une première étape réussie peut accomplir. La prévention, la segmentation, les contrôles d’identité et le confinement rapide deviennent des exigences architecturales plutôt que de jolies diapositives dans une revue trimestrielle des risques. Si chaque compte compromis ouvre le même couloir, l’attaquant n’a pas besoin de génie, seulement d’élan.

Pourquoi la stratégie change, à partir de la chronologie d’Infosecurity Magazine

La comparaison chronologique d’Infosecurity Magazine transforme le travail du défenseur : il ne s’agit plus de repérer une longue présence, mais d’interrompre un sprint. Une intrusion qui dure des semaines donne aux équipes de surveillance des occasions d’observer des modèles, de corréler des événements et de gagner en certitude. Une intrusion qui dure quelques minutes exige que les systèmes sachent déjà quels accès sont excessifs, quels déplacements sont anormaux et quels chemins vers les données ne devraient pas exister pour le travail ordinaire.

C’est là que la segmentation justifie son coût. Le but n’est pas de rendre le réseau magiquement sûr, une formule qui devrait être rangée dans le même tiroir que les autocollants fournisseurs périmés. Le but est de faire coûter à chaque étape plus de temps et plus d’autorisations à l’attaquant. Les contrôles d’identité servent le même objectif : moins de privilèges permanents, des limites d’accès plus strictes et moins d’hypothèses selon lesquelles une session connectée mérite une procession royale à travers les systèmes sensibles.

Ce que cela signifie concrètement pour vous, d’après les chiffres d’Infosecurity

Magazine Le reportage de Palmer dans Infosecurity Magazine donne aux responsables de la sécurité un test pratique : votre environnement peut-il limiter les dégâts dans une fenêtre moyenne de propagation de 29 minutes ? Si la réponse dépend de quelqu’un qui lit une alerte, ouvre un ticket, trouve le propriétaire et attend une approbation, félicitations, vous avez construit un roman à suspense. L’attaquant a probablement déjà sauté au dernier chapitre.

Pour les concepteurs et les équipes techniques, l’idée clé est de concevoir le confinement avant l’incident. Segmentez les systèmes afin qu’un point d’appui ne se transforme pas en visite guidée. Passez en revue les chemins d’identité comme si chaque privilège inutile était le brouillon d’une future excuse. Gardez des enquêtes efficaces, mais faites-en la boucle d’apprentissage après que la prévention et le confinement ont déjà accompli leur travail brutal et nécessaire.

La prochaine chose à surveiller est de savoir si les programmes de sécurité d’entreprise commencent à mesurer la qualité des contrôles par rapport à la vitesse des attaquants, et pas seulement au volume d’alertes ou au délai moyen de clôture. La couverture de CrowdStrike par Infosecurity Magazine suggère que la question utile n’est plus seulement de savoir ce qui s’est passé après l’entrée. C’est de savoir jusqu’où un attaquant peut aller avant que votre environnement commence à dire non.