La détection englobe des mesures automatisées, notamment pour déceler et bloquer le trafic réseau malveillant, ainsi que de nombreuses méthodes manuelles. Ces dernières doivent permettre de débusquer les modèles d’attaques trop complexes pour les dispositifs de défense automatisés. Dans ce cadre, les spécialistes de la sécurité informatique exploitent différents outils. Le recueil d’informations est crucial compte tenu de la dynamique à l’œuvre. Les blogs de sécurité, les bases de connaissances comme le framework Mitre ATT&CK et les forums de discussion sur le Darknet comptent parmi les sources d’information, de même que les échanges réguliers avec d’autres spécialistes. C’est la seule façon pour les entreprises de connaître à coup sûr les signes d’attaque et d’arriver ensuite à les dépister dans leur propre infrastructure réseau.

Cette approche qui vise à reconnaître les signes d’attaque relève du threat hunting. Il s’agit pour les spécialistes de la sécurité informatique d’examiner le réseau d’entreprise à la recherche de modèles de cyberattaques actuelles. La tâche nécessite une expertise approfondie. Cependant, elle permet de déceler des anomalies qui n’ont pas été repérées par les systèmes de sécurité.

Lorsque ces mesures de détection révèlent une attaque réussie, une réponse adéquate est requise. Celle-ci doit être rapide et agile, c’est-à-dire adaptée à la situation concrète. Toutefois, elle doit aussi respecter un certain mode opératoire idéalement inspiré des meilleures pratiques. Comme la détection d’incidents, la réponse repose sur différentes mesures impliquant à la fois la technique et la communication. La mise en place d’une équipe CSIRT (Computer Security Incident Response Team) composée de spécialistes de la sécurité informatique extrêmement compétents représente une approche éprouvée.