Surveillance des défigurations : détecter un changement et vérifier sa cause

Un moniteur de changements peut signaler une différence par rapport à une référence enregistrée. Une somme de contrôle ne lui permet pas de déterminer s’il s’agit d’une attaque, d’une publication autorisée ou d’un contenu dynamique ordinaire. Considérez l’alerte comme une invitation à vérifier les preuves.

Choisir une référence pertinente

Sélectionnez des URL publiques représentant les modèles importants et enregistrez le titre attendu, l’URL canonique, les directives robots et le contenu. Notez les déploiements prévus et les éléments dynamiques fréquemment variables. SearchBastion Site Monitor contrôle les URL configurées à intervalles planifiés ; ce n’est ni une session de navigateur continue, ni un analyseur d’intégrité du code source, ni un système automatique de réponse aux incidents.

Trier une différence détectée

1. Confirmez que la réponse appartient à la page visée, et non à un écran de connexion ou d’erreur.
2. Comparez les champs modifiés à l’instantané précédent.
3. Vérifiez l’historique des versions et les modifications de contenu autorisées.
4. Reproduisez le problème sans danger et transmettez les changements non autorisés confirmés à l’équipe responsable.
5. Préservez les preuves sans exposer publiquement identifiants d’accès ou dossiers clients.

Exemple : un titre d’accueil inattendu

Supposons qu’un contrôle planifié observe un titre inconnu. Vérifiez la réponse en ligne et déterminez si une campagne prévue l’explique. Si la page a réellement été modifiée sans autorisation, suivez la procédure d’incident, examinez accès et dépendances, puis restaurez un état connu comme sain par déploiement contrôlé. Une alerte seule n’identifie pas l’attaquant et n’empêche pas les modifications suivantes. Ce cas est illustratif.

Tester le processus de surveillance

Effectuez une modification autorisée et inoffensive sur une page de test, vérifiez l’observation planifiée suivante et confirmez que le responsable reçoit la notification configurée. Mesurez les délais réels de détection et de réponse plutôt que de promettre une découverte instantanée. Testez le retour arrière et l’escalade aussi soigneusement que l’alerte.

En cas de compromission présumée, utilisez les conseils de Google sur les contenus piratés avec les procédures d’incident de l’application. Un contrôle public des en-têtes est une preuve de configuration complémentaire, pas une preuve de remédiation.