harden-doc 3.19 - en to fr translation catalogue (25 entries)

en: After the compromise (incident response)
fr: Après la compromission (la réponse à l'incident)

en: General behavior
fr: Comportement général

en: If you are physically present when an attack is happening, your first response should be to remove the machine from the network by unplugging the network card (if this will not adversely affect any business transactions). Disabling the network at layer 1 is the only true way to keep the attacker out of the compromised box (Phillip Hofmeister's wise advice).
fr: Si vous êtes physiquement présent quand l'attaque se déroule et que faire ce qui suit n'a pas d'effet fâcheux sur vos transactions commerciales, la première réaction devrait être de débrancher simplement la machine du réseau en débranchant la carte réseau. La désactivation du réseau à la première couche est le seul vrai moyen de garder un attaquant en dehors d'une machine compromise (conseil avisé de Phillip Hofmeister).

en: However, some tools installed by rootkits, trojans and, even, a rogue user connected through a back door, might be capable of detecting this event and react to it. Seeing a <literal>rm -rf /</literal> executed when you unplug the network from the system is not really much fun. If you are unwilling to take the risk, and you are sure that the system is compromised, you should <emphasis>unplug the power cable</emphasis> (all of them if more than one) and cross your fingers. This may be extreme but, in fact, will avoid any logic-bomb that the intruder might have programmed. In this case, the compromised system <emphasis>should not be re-booted</emphasis>. Either the hard disks should be moved to another system for analysis, or you should use other media (a CD-ROM) to boot the system and analyze it. You should <emphasis>not</emphasis> use Debian's rescue disks to boot the system, but you <emphasis>can</emphasis> use the shell provided by the installation disks (remember, Alt+F2 will take you to it) to analyze <footnote><para>&gt;If you are adventurous, you can login to the system and save information on all running processes (you'll get a lot from /proc/nnn/). It is possible to get the whole executable code from memory, even if the attacker has deleted the executable files from disk. Then pull the power cord.</para></footnote> the system.
fr: Cependant, certains outils installés à l'aide d'un <emphasis>rootkit</emphasis>, d'un cheval de Troie ou même d'un utilisateur malhonnête connecté par une porte dérobée (backdoor), pourraient être capables de détecter cet évènement et d'y réagir. Voir un <literal>rm -rf /</literal> s'exécuter au moment de débrancher le réseau du système n'est pas vraiment très drôle. Si vous ne désirez pas prendre ce risque et que vous êtes certain que le système est compromis, vous devriez <emphasis>débrancher le câble d'alimentation</emphasis> (voire tous, s'il y en a plusieurs) et croiser les doigts. Cela peut sembler extrême, mais en fait cela désamorcera toute bombe à retardement que l'intrus pourrait avoir programmé. Dans ce cas, le système compromis <emphasis>ne doit pas être redémarré</emphasis>. Soit le disque dur devrait être déplacé sur un autre système pour analyse, soit vous devriez utiliser un autre support (un CD) pour amorcer le système et pour l'analyser. Vous <emphasis>ne devriez pas</emphasis> utiliser les disquettes de récupération de Debian pour amorcer le système, mais vous <emphasis>pouvez</emphasis> utiliser l'invite de commande fournie par les disquettes d'installation (Alt+F2 pour l'atteindre) pour analyser<footnote><para>Si vous êtes aventureux, vous pouvez vous connecter au système et sauver les informations sur tous les processus en fonctionnement (vous en aurez beaucoup dans /proc/nnn/). Il est possible d'avoir l'intégralité du code exécutable depuis la mémoire, même si l'attaquant a supprimé les fichiers exécutables du disque. Puis tirez sur le cordon d'alimentation.</para></footnote> le système.

en: The most recommended method for recovering a compromised system is to use a live-filesystem on CD-ROM with all the tools (and kernel modules) you might need to access the compromised system. You can use the <package>mkinitrd-cd</package> package to build such a CD-ROM<footnote><para>&gt;In fact, this is the tool used to build the CD-ROMs for the <ulink name="Gibraltar" url="http://www.gibraltar.at/" /> project (a firewall on a live CD-ROM based on the Debian distribution).</para></footnote>. You might find the <ulink name="Caine" url="http://www.caine-live.net/" /> (Computer Aided Investigative Environment) CD-ROM useful here too, since it's also a live CD-ROM under active development with forensic tools useful in these situations. There is not (yet) a Debian-based tool such as this, nor an easy way to build the CD-ROM using your own selection of Debian packages and <package>mkinitrd-cd</package> (so you'll have to read the documentation provided with it to make your own CD-ROMs).
fr: La méthode recommandée pour récupérer un système compromis est d'utiliser un CD autonome avec tous les outils (et les modules du noyau) dont vous pouvez avoir besoin pour accéder au système compromis. Vous pouvez utiliser le paquet <application>mkinitrd-cd</application> pour construire un tel CD<footnote><para>En fait, c'est l'outil utilisé pour construire les CD pour le projet <ulink url="http://www.gibraltar.at/" name="Gibraltar" /> (un pare-feu sur un CD autonome basé sur la distribution Debian).</para></footnote>. Vous pourriez également trouver le CD <ulink url="http://www.caine-live.net/" name="Caine" /> (Computer Aided Investigative Environment) utile ici, car il s'agit d'un CD autonome activement développé avec des outils d'analyse post mortem utiles dans ces situations. Il n'y a pas (encore) d'outil basé sur Debian comme celui-ci, ni de moyen simple de construire un CD en utilisant sa propre sélection de paquets Debian et <application>mkinitrd-cd</application> (vous devrez donc lire la documentation fournie avec celui-ci pour faire vos propres CD).

en: Some common questions on how to handle a compromised Debian GNU/Linux system are also available in.
fr: Certaines questions générales sur la façon de gérer un système Debian GNU/Linux compromis sont également disponibles dans <xref linkend="vulnerable-system" />.

en: Backing up the system
fr: Copies de sauvegarde du système

en: Remember that if you are sure the system has been compromised you cannot trust the installed software or any information that it gives back to you. Applications might have been trojanized, kernel modules might be installed, etc.
fr: Rappelez-vous que si vous êtes certain que le système a été compromis, vous ne pouvez pas faire confiance aux logiciels qui s'y trouvent ou à n'importe quelle autre information qu'il vous donne. Les applications pourraient dissimuler un cheval de Troie, des modules pourraient être installés dans le noyau, etc.

en: The best thing to do is a complete file system backup copy (using <command>dd</command>) after booting from a safe medium. Debian GNU/Linux CD-ROMs can be handy for this since they provide a shell in console 2 when the installation is started (jump to it using Alt+2 and pressing Enter). From this shell, backup the information to another host if possible (maybe a network file server through NFS/FTP). Then any analysis of the compromise or re-installation can be performed while the affected system is offline.
fr: La meilleure chose à faire est une sauvegarde complète du système de fichiers (en utilisant <command>dd</command>) après avoir démarré depuis un support sûr. Les CD Debian GNU/Linux peuvent être utiles pour cela, car une console en mode texte est disponible dans le deuxième terminal une fois l'installateur démarré (allez-y en pressant CTRL+ALT+F2 suivi de la touche «&nbsp;Entrée&nbsp;»). À partir de cette console, sauvegardez les informations ailleurs si possible (éventuellement sur un serveur de fichiers par NFS ou FTP). Par la suite, vous pourrez analyser les informations pendant que le système compromis est hors-ligne ou réinstallé.

en: If you are sure that the only compromise is a Trojan kernel module, you can try to run the kernel image from the Debian CD-ROM in <emphasis>rescue</emphasis> mode. Make sure to startup in <emphasis>single user</emphasis> mode, so no other Trojan processes run after the kernel.
fr: Si vous êtes certain que la seule compromission est un cheval de Troie dans l'un des modules du noyau, vous pouvez tenter d'exécuter le noyau à partir du CD en mode <emphasis>rescue</emphasis>. Assurez-vous aussi de démarrer en mode <emphasis>single user</emphasis> de façon à ce qu'aucun autre cheval de Troie ne s'exécute après le redémarrage.

en: Contact your local CERT
fr: Contacter le CERT local

en: The CERT (Computer and Emergency Response Team) is an organization that can help you recover from a system compromise. There are CERTs worldwide <footnote><para>&gt; This is a list of some CERTs, for a full list look at the <ulink name="FIRST Member Team information" url="http://www.first.org/about/organization/teams/index.html" /> (FIRST is the Forum of Incident Response and Security Teams): <ulink name="AusCERT" url="http://www.auscert.org.au" /> (Australia), <ulink name="UNAM-CERT" url="http://www.unam-cert.unam.mx/" /> (Mexico) <ulink name="CERT-Funet" url="http://www.cert.funet.fi" /> (Finland), <ulink name="DFN-CERT" url="http://www.dfn-cert.de" /> (Germany), <ulink name="RUS-CERT" url="http://cert.uni-stuttgart.de/" /> (Germany), <ulink name="CERT-IT" url="http://security.dico.unimi.it/" /> (Italy), <ulink name="JPCERT/CC" url="http://www.jpcert.or.jp/" /> (Japan), <ulink name="UNINETT CERT" url="http://cert.uninett.no" /> (Norway), <ulink name="HR-CERT" url="http://www.cert.hr" /> (Croatia) <ulink name="CERT Polskay" url="http://www.cert.pl" /> (Poland), <ulink name="RU-CERT" url="http://www.cert.ru" /> (Russia), <ulink name="SI-CERT" url="http://www.arnes.si/si-cert/" /> (Slovenia) <ulink name="IRIS-CERT" url="http://www.rediris.es/cert/" /> (Spain), <ulink name="SWITCH-CERT" url="http://www.switch.ch/cert/" /> (Switzerland), <ulink name="TWCERT/CC" url="http://www.cert.org.tw" /> (Taiwan), and <ulink name="CERT/CC" url="http://www.cert.org" /> (US). </para></footnote> and you should contact your local CERT in the event of a security incident which has lead to a system compromise. The people at your local CERT can help you recover from it.
fr: Le CERT (<emphasis>Computer and Emergency Response Team</emphasis>) est une organisation qui peut vous aider à récupérer un système compromis. Il y a des CERT partout dans le monde <footnote><para>Voici une liste de quelques CERT. Pour la liste complète, consultez le <ulink url="http://www.first.org/about/organization/teams/index.html" name="FIRST Member Team information" /> (FIRST est le <emphasis>Forum of Incident Response and Security Teams</emphasis>)&nbsp;: <ulink url="http://www.auscert.org.au" name="AusCERT" /> (Australie), <ulink url="http://www.unam-cert.unam.mx/" name="UNAM-CERT" /> (Mexique) <ulink url="http://www.cert.funet.fi" name="CERT-Funet" /> (Finlande), <ulink url="http://www.dfn-cert.de" name="DFN-CERT" /> (Allemagne), <ulink url="http://cert.uni-stuttgart.de/" name="RUS-CERT" /> (Allemagne), <ulink url="http://security.dico.unimi.it/" name="CERT-IT" /> (Italie), <ulink url="http://www.jpcert.or.jp/" name="JPCERT/CC" /> (Japon), <ulink url="http://cert.uninett.no" name="UNINETT CERT" /> (Norvège), <ulink url="http://www.cert.hr" name="HR-CERT" /> (Croatie) <ulink url="http://www.cert.pl" name="CERT Polska" /> (Pologne), <ulink url="http://www.cert.ru" name="RU-CERT" /> (Russie), <ulink url="http://www.arnes.si/si-cert/" name="SI-CERT" /> (Slovénie) <ulink url="http://www.rediris.es/cert/" name="IRIS-CERT" /> (Espagne), <ulink url="http://www.switch.ch/cert/" name="SWITCH-CERT" /> (Suisse), <ulink url="http://www.cert.org.tw" name="TWCERT/CC" /> (Taïwan) et <ulink url="http://www.cert.org" name="CERT/CC" /> (États-Unis).</para></footnote> et vous devriez contacter le CERT local en cas d'incident de sécurité qui a conduit à une compromission système. Les personnes du CERT local peuvent vous aider à le récupérer.

en: Providing your local CERT (or the CERT coordination center) with information on the compromise even if you do not seek assistance can also help others since the aggregate information of reported incidents is used in order to determine if a given vulnerability is in wide spread use, if there is a new worm aloft, which new attack tools are being used. This information is used in order to provide the Internet community with information on the <ulink name="current security incidents activity" url="http://www.cert.org/current/" />, and to publish <ulink name="incident notes" url="http://www.cert.org/incident_notes/" /> and even <ulink name="advisories" url="http://www.cert.org/advisories/" />. For more detailed information read on how (and why) to report an incident read <ulink name="CERT's Incident Reporting Guidelines" url="http://www.cert.org/tech_tips/incident_reporting.html" />.
fr: Fournir au CERT (ou au centre de coordination CERT) des informations sur la compromission, même si vous ne demandez pas d'aide, peut également aider d'autres personnes car les informations agrégées des incidents reportés sont utilisées pour déterminer si une faille donnée est répandue, s'il y a un nouveau ver dans la nature, les nouveaux outils d'attaque utilisés. Ces renseignements sont utilisés pour fournir à la communauté Internet des informations sur les <ulink url="http://www.cert.org/current/" name="activités actuelles des incidents de sécurité" /> et pour publier des <ulink url="http://www.cert.org/incident_notes/" name="notes d'incident" /> et même des <ulink url="http://www.cert.org/advisories/" name="alertes" />. Pour des informations plus détaillées sur la façon (et les raisons) de rendre compte d'un incident, veuillez consulter les <ulink url="http://www.cert.org/tech_tips/incident_reporting.html" name="règles de compte-rendu d'incident du CERT" />.

en: You can also use less formal mechanisms if you need help for recovering from a compromise or want to discuss incident information. This includes the <ulink name="incidents mailing list" url="http://marc.theaimsgroup.com/?l=incidents" /> and the <ulink name="Intrusions mailing list" url="http://marc.theaimsgroup.com/?l=intrusions" />.
fr: Vous pouvez également utiliser un mécanisme moins formel si vous avez besoin d'aide pour récupérer un système compromis ou si vous voulez discuter d'informations d'incident, comme la <ulink url="http://marc.theaimsgroup.com/?l=incidents" name="liste de diffusion des incidents" /> et la <ulink url="http://marc.theaimsgroup.com/?l=intrusions" name="liste de diffusion des intrusions" />.

en: Forensic analysis
fr: Analyse post mortem

en: If you wish to gather more information, the <package>tct</package> (The Coroner's Toolkit from Dan Farmer and Wietse Venema) package contains utilities which perform a <emphasis>post mortem</emphasis> analysis of a system. <package>tct</package> allows the user to collect information about deleted files, running processes and more. See the included documentation for more information. These same utilities and some others can be found in <ulink name="Sleuthkit and Autopsy" url="http://www.sleuthkit.org/" /> by Brian Carrier, which provides a web front-end for forensic analysis of disk images. In Debian you can find both <package>sleuthkit</package> (the tools) and <package>autopsy</package> (the graphical front-end).
fr: Si vous souhaitez rassembler plus d'informations, le paquet <application>tct</application> (The Coroner's Toolkit de Dan Farmer et Wietse Venema) contient des utilitaires pour effectuer une analyse post mortem d'un système. <application>tct</application> permet à l'utilisateur de collecter des informations sur les fichiers effacés, les processus qui s'exécutent et plus. Consultez la documentation fournie pour plus d'informations. Ces utilitaires, ainsi que quelques autres, sont disponibles dans <ulink url="http://www.sleuthkit.org/" name="Sleuthkit et Autopsy" /> de Brian Carrier. Ils permettent l'analyse post mortem d'une image des disques par une interface Web. Dans Debian, vous trouverez les paquets <application>sleuthkit</application> (les outils) et <application>autopsy</application> (l'interface graphique).

en: Remember that forensics analysis should be done always on the backup copy of the data, <emphasis>never</emphasis> on the data itself, in case the data is altered during analysis and the evidence is lost.
fr: N'oubliez pas que l'analyse post mortem devrait toujours être faite sur une copie des données et <emphasis>jamais</emphasis> sur les données elles-mêmes. Si ces dernières sont altérées par cette analyse, vous pourriez perdre des indices importants pour comprendre ce qui s'est passé exactement, en plus de rendre les preuves potentiellement non recevables en cour.

en: FIXME: This paragraph will hopefully provide more information about forensics in a Debian system in the coming future.
fr: FIXME : Ce paragraphe fournira, dans un avenir proche je l'espère, plus d'informations sur l'analyse post mortem d'un système Debian.

en: FIXME: Talk on how to do a debsums on a stable system with the MD5sums on CD and with the recovered file system restored on a separate partition.
fr: FIXME : Décrire comment utiliser debsums sur un système stable avec les md5sums sur un CD et le système de fichiers récupéré restauré sur une partition séparée.

en: FIXME: Add pointers to forensic analysis papers (like the Honeynet's reverse challenge or <ulink name="David Dittrich's papers" url="http://staff.washington.edu/dittrich/" />).
fr: FIXME : Ajouter des liens vers des articles d'analyse post mortem (tel que le défi inversé de Honeynet ou les <ulink url="http://staff.washington.edu/dittrich/" name="articles de David Dittrich" />).

en: Analysis of malware
fr: Analyse des programmes malveillants (malware)

en: Some other tools that can be used for forensic analysis provided in the Debian distribution are: <application>strace</application> and <application>ltrace</application>
fr: D'autres outils permettant l'analyse post mortem sont disponibles pour la distribution Debian&nbsp;: <package>strace</package> et <package>ltrace</package>.

en: Any of these packages can be used to analyze rogue binaries (such as back doors), in order to determine how they work and what they do to the system. Some other common tools include <command>ldd</command> (in <package>libc6</package>), <command>strings</command> and <command>objdump</command> (both in <package>binutils</package>).
fr: L'un de ces paquets peut être utilisé pour analyser des binaires dangereux (comme des portes dérobées) afin de déterminer comment ils fonctionnent et ce qu'ils font au système. <command>ldd</command> (dans <application>libc6</application>), <command>strings</command> et <command>objdump</command> (tous deux dans <application>binutils</application>) font aussi partie des outils fréquemment utilisés.

en: If you try to do forensic analysis with back doors or suspected binaries retrieved from compromised systems, you should do so in a secure environment (for example in a <package>bochs</package> or <package>xen</package> image or a <command>chroot</command>'ed environment using a user with low privileges<footnote><para>&gt;Be <emphasis>very</emphasis> careful if using chroots, since if the binary uses a kernel-level exploit to increase its privileges it might still be able to infect your system</para></footnote>). Otherwise your own system can be back doored/r00ted too!
fr: Pour faire l'autopsie de binaires suspects ou contenant des portes dérobées récupérés d'un système compromis, vous devriez utiliser un environnement sécurisé (par exemple, dans une image <application>bochs</application>, <application>xen</application> ou un environnement <command>chroot</command>é en utilisant un compte ayant peu de droits<footnote><para>Faites <emphasis>très</emphasis> attention si vous utilisez <command>chroot</command>, car si le programme utilise une faille de sécurité au niveau du noyau afin d'accroître ses droits, il pourrait tout de même réussir à compromettre le système.</para></footnote>). Le système pourrait être victime de la porte dérobée et compromis à son tour si vous ne prenez pas garde !

en: If you are interested in malware analysis then you should read the <ulink name="Malware Analysis Basics" url="http://www.porcupine.org/forensics/forensic-discovery/chapter6.html" /> chapter of Dan Farmer's and Wietse Venema's forensics book.
fr: Si vous êtes intéressé par les programmes malveillants, alors vous devriez lire le chapitre <ulink url="http://www.porcupine.org/forensics/forensic-discovery/chapter6.html" name="Malware Analysis Basics" /> du livre <ulink url="http://www.porcupine.org/forensics/forensic-discovery/" name="Forensic Discovery" /> de Dan Farmer et Wietse Venema.
