Quelles contre-mesures envisager ?

Les audits (et donc les attaques éventuelles) sont rapides car ils reposent le plus souvent sur des vulnérabilités connues. Les premières contre-mesures ne sont donc pas particuièrement exotiques non plus : il faut bloquer les vecteurs classiques

• une bonne gestion des mots de passe,
• interdiction du mot de passe administrateur local sur les machines,
• interdition des connexions administrateur sur tous les postes,
• segmentation du réseau,
• surveillance des activités (tout particulièrement des échecs répétés de connexion).

L'utilisation d'un pot de miel, en tant que détecteur simple, peut être envisagée. La rationalisation est alors de dire que s'il se passe quelque chose (quoi que ce soit) sur le pot de miel, c'est que le système d'informations est attaqué...