CISA AA20-352A

Finalité, périmètre et autorité

Avis historique de décembre 2020, pas norme permanente. Orion était une voie initiale parmi d’autres activités décrites. Les indicateurs ne constituent pas un catalogue actuel complet. [1]

Principes et logique opérationnelle [1]

1. Exposition ou compromission

Vérifier installations historiques puis activité. Un produit présent ne prouve pas tous les dommages ; son absence ne réfute pas toute la campagne.

2. Identités et confiance

Suivre identifiants et permissions au-delà du premier hôte et des frontières réseau.

3. Indicateurs contextualisés

Corréler réseau, postes et identités ; distinguer recherche négative et télémétrie absente.

4. Communications protégées

Prévoir l’échange de preuves lorsque messagerie ou administration peuvent être surveillées.

5. Directives distinctes

ED 21-01 et l’avis ont des rôles et publics différents ; ne pas universaliser une direction fédérale historique.

Application · recommandations éditoriales

Registre proposé : installation, indicateurs, exposition d’identité, accès aux données et inconnues, avec sources et dates. Déclencher réponse ou investigation supplémentaire selon les preuves. Étudier aussi le guide d’éviction.

Preuves pour le RSSI · dossier proposé

Inventaire historique, journaux, permissions, chronologie, périmètre et confinement. « Correctif appliqué » ne prouve pas l’enquête sur les accès antérieurs.

Erreurs et limites

Ne pas attribuer le même dommage à tous, se limiter au blocage d’indicateurs ou croire le correctif suffisant contre toute persistance. Vérifier séparément les actions actuelles.

Sources officielles et parcours de lecture

Sections à consulter dans la source: Summary; Technical Details; Mitigations in the linked historical bulletin.

1. CISA AA20-352A · 2020-12-17 · historical advisory
2. CISA · Advisory record