Examiner un lien suspect sans exposer ton navigateur habituel

Trier le signalement avant d'ouvrir le lien

Pars du message d'origine, pas de la page web. Conserve l'expéditeur, les en-têtes, le texte visible du lien, son URL réelle et l'heure de réception. Demande si quelqu'un a suivi le lien, saisi des identifiants ou téléchargé un fichier. Les réponses déterminent s'il s'agit encore d'un message suspect ou déjà d'un incident.

Lis l'URL comme une donnée. Examine le protocole, le nom d'hôte, le chemin, les paramètres et le fragment sans visiter la page. Le nom d'une marque dans le chemin ne rend pas fiable un nom d'hôte sans rapport. Les liens courts et les redirections encodées demandent plus de prudence : les développer peut contacter la destination. Utilise un outil d'enquête approuvé plutôt que ton navigateur habituel.

Choisis la vérification suivante. Les rapports de réputation existants apportent du contexte sans nouveau dépôt. Un service d'analyse d'URL peut visiter la page et créer un résultat partageable ; un navigateur distant permet de voir ce qui s'affiche. Aucun des deux ne rend à lui seul un verdict sur la présence d'un logiciel malveillant. Google explique que les avertissements de Chrome Safe Browsing dépendent du niveau de protection choisi et des données disponibles dans son guide des niveaux de protection.

Réagis selon l'impact. Si quelqu'un a saisi des identifiants, approuvé une demande multifacteur ou exécuté un fichier téléchargé, applique sans attendre ta procédure de réponse aux incidents. Un classement ultérieur de l'URL comme malveillante n'annule pas l'exposition du compte ou de l'appareil. La CISA recommande également de signaler les messages suspects et de ne pas suivre leurs liens lors de l'usage courant.

Ce que chaque méthode de vérification laisse de côté

Une recherche de réputation, un service d'analyse d'URL et un navigateur isolé répondent à des questions différentes. Consigne leurs angles morts, surtout si le lien est récent, personnalisé ou valable peu de temps.

La réputation dépend du contexte. Un résultat sans alerte peut simplement signifier que personne n'a encore signalé la destination. Les redirections et les pages peuvent varier selon l'heure, la personne ou le lieu. Chrome Safe Browsing émet des avertissements utiles, mais ses niveaux standard et renforcé effectuent des vérifications différentes et partagent des données différentes avec Google. Note quelle vérification tu as réellement utilisée.

Une analyse publique divulgue l'URL. Les paramètres peuvent contenir des jetons d'accès, des noms de clients ou des liens privés vers des documents. Le guide de visibilité d'urlscan.io distingue les analyses publiques, non répertoriées et privées ; les résultats non répertoriés restent accessibles à certains clients Pro approuvés. Selon VirusTotal, son analyse privée garde les dépôts hors de son corpus partagé, contrairement aux dépôts ordinaires. Vérifie les règles de ton organisation avant d'envoyer une URL complète ou un fichier.

Ouvrir la page crée une interaction. Le site peut voir l'adresse IP de sortie du navigateur distant, recevoir des requêtes, déposer des cookies et réagir aux clics. L'isolation éloigne l'exécution web de l'appareil de l'analyste ; elle ne le rend pas anonyme et ne certifie pas la page. Un profil enregistré peut conserver l'état du navigateur, et fermer l'onglet de visualisation ne prouve pas que la session Browser.lol est terminée.

Préparer une navigation contrôlée

Choisis l'environnement selon le risque et les règles de conservation des preuves. Un navigateur distant réduit l'exposition de l'appareil de l'analyste à l'exécution de la page, mais ne constitue qu'une protection parmi d'autres. Décide à l'avance ce que tu vas recueillir et où tu pourras le conserver.

Trajet réseau. Avec Browser.lol, le site cible est contacté depuis l'adresse de sortie du navigateur distant. L'appareil de l'analyste se connecte à Browser.lol pour recevoir l'image et envoyer les commandes. Le site cible voit donc une autre adresse IP. Cela ne masque pas l'activité au service de navigateur, ne garantit pas un pays de sortie précis et ne remplace pas les protections de la connexion locale de l'analyste.

Choix de la session. Lance une session temporaire plutôt qu'un profil enregistré si tu n'as pas besoin de retrouver son état plus tard. Choisis une image de navigateur disponible et adaptée à l'examen. Ne te connecte pas avec un compte personnel ou de production, et ne transfère pas de téléchargement suspect vers ton appareil. Certains sites détectent les environnements d'analyse : une page apparemment anodine pendant une visite peut agir autrement pour la victime.

Plan de conservation des preuves. Browser.lol fournit un navigateur diffusé à distance, sans enregistrement automatique des sessions, capture de paquets ni export vers un SIEM. Prends des notes et des captures d'écran avec les outils approuvés si tes règles le permettent. Consigne l'heure, l'URL, les redirections observées et les actions effectuées. Si tu as besoin d'une trace réseau exploitable comme preuve ou d'analyser un logiciel malveillant, utilise les outils spécialisés approuvés par ton équipe.

Une enquête reproductible

Suis une méthode qui te permet de t'arrêter dès que les éléments suffisent. Si quelqu'un a déjà saisi des identifiants ou ouvert un fichier téléchargé, déclenche immédiatement la procédure d'incident.

1. 1

   Trier le signalement

   Conserve le message d'origine et détermine si quelqu'un a cliqué, saisi des identifiants ou téléchargé un fichier. Ne mets pas de liens donnant accès, de jetons de compte ni d'identifiants de session du navigateur dans les tickets ordinaires.
2. 2

   Examiner l'URL avant de cliquer

   Copie l'URL comme du texte, sans l'ouvrir. Compare le nom d'hôte réel avec l'expéditeur annoncé et consulte les rapports existants. Ne développe pas un lien court dans ton navigateur habituel. Décide si un service tiers peut recevoir l'URL complète.
3. 3

   Interagir méthodiquement

   Si une visite en direct est nécessaire, lance une session distante temporaire et saisis-y l'URL. Observe les redirections et les formulaires. Ne saisis pas de vrais identifiants, n'approuve pas de demandes multifacteurs et n'exécute pas de fichiers téléchargés pour une simple vérification de lien.
4. 4

   Extraire les indicateurs

   Note le domaine final, les demandes visibles et tout téléchargement proposé. Ne consigne que ce que tu as réellement observé. Des captures d'écran et les outils de développement du navigateur peuvent aider, mais Browser.lol ne produit pas automatiquement de dossier forensique.
5. 5

   Terminer la session et faire remonter le dossier

   Termine la session distante avec sa commande dédiée. Ajoute les preuves et leurs limites au dossier. Fais remonter tout soupçon de vol d'identifiants ou d'exécution de logiciel malveillant selon ta procédure d'incident, même si les rapports de réputation ne concluent rien.

Ce qu'il faut consigner

Un indicateur n'est utile que si tu peux préciser son origine. Distingue l'URL du message initial des redirections observées par un service d'analyse ou par un navigateur, et sépare les déductions de ce que tu as vu directement.

Les indices d'infrastructure peuvent comprendre les noms d'hôte initial et final, la chaîne de redirections observée, les réponses DNS et les informations du certificat. Le propriétaire d'une adresse IP ou la date d'enregistrement d'un domaine peuvent éclairer le contexte, mais un hébergement partagé ou une adresse de réseau de diffusion ne désigne pas l'attaquant. Les résultats peuvent changer selon l'heure et le réseau utilisé.

Les indices de comportement comprennent les formulaires demandant des identifiants, les invites multifacteurs, les téléchargements proposés, les marques imitées et les redirections après un clic. Si un outil spécialisé fournit des transactions HTTP ou une capture du DOM, attribue ces données à cet outil. Sa visite peut différer de celle de la personne qui a signalé le lien ; urlscan.io documente séparément ses API de résultats et de captures d'écran.

Transformer les observations en rapport

Un rapport court doit permettre à la personne qui reprend le dossier de comprendre ton raisonnement. Indique le signalement d'origine, les vérifications effectuées, l'heure d'observation et l'outil ou le navigateur utilisé. Précise ce que tu n'as pas pu vérifier, notamment les pages derrière une connexion, une restriction géographique ou un lien à usage unique.

Sépare les domaines et comportements observés des hypothèses sur l'auteur ou son intention. Ajoute des captures d'écran seulement si leur contenu peut être partagé avec les destinataires du dossier. Pour diffuser les résultats au-delà de l'équipe, applique les règles de ton organisation. Le protocole TLP de FIRST explique comment ses catégories limitent le partage. Ne verse pas de liens contenant des jetons ni de secrets de session dans des flux largement accessibles.

Termine par une décision : bloquer une destination confirmée, surveiller une activité associée, demander d'autres preuves ou clore sans conclusion. Dis à la personne qui a signalé le lien quoi faire si elle a cliqué. Une page qui ressemble à de l'hameçonnage ne prouve pas, à elle seule, que des données ont été envoyées ou qu'un appareil a été compromis.

Intégrer la méthode au SOC

Ajoute les questions de tri et les champs de preuve au ticket ordinaire. Donne aux analystes une règle claire pour déterminer quand une recherche de réputation suffit et quand une navigation contrôlée ou une réponse aux incidents est nécessaire.

Si ton équipe crée une automatisation, utilise des API approuvées et garde les références de dossier dans ton propre système. Browser.lol propose des API pour les sessions, mais ne fournit pas de bouton intégré à l'outil de tickets, d'étiquetage des incidents ni d'export automatique des preuves. Vérifie les droits d'accès et le traitement des données de toute intégration avant qu'elle ne traite une URL signalée.

Définis les critères de remontée à l'avance : une personne a saisi des identifiants, approuvé une demande de connexion inattendue, exécuté un fichier téléchargé ou le dossier correspond à une campagne connue. Un téléchargement proposé n'est pas une exécution, et un formulaire affiché ne prouve pas un vol d'identifiants.

Examine un échantillon de dossiers terminés à la lumière des signalements initiaux et des preuves disponibles. Cherche les redirections manquées, les conclusions trop assurées et les URL sensibles envoyées à des services publics. Browser.lol ne fournit pas d'enregistrement à revoir : si une vérification ultérieure est nécessaire, conserve les preuves approuvées pendant l'enquête.

Mesurer la méthode

Choisis des mesures que ton équipe peut calculer à partir de ses propres dossiers. Elles doivent montrer les lacunes sans laisser croire que l'isolation rend chaque enquête sûre.

Suis leur évolution avec des définitions constantes. Une décision plus rapide n'est pas meilleure si elle omet une personne qui a saisi ses identifiants. Un navigateur distant peut aussi réduire une forme d'exposition du poste sans prouver que chaque page ou téléchargement malveillant a été contenu.

Mets cette méthode en pratique

Commence par le tri sans ouverture et par le risque de divulguer le lien. Passe à une navigation contrôlée seulement si elle répond à une question précise, et utilise des outils spécialisés pour les fichiers suspects ou la collecte de preuves techniques.

Browser.lol peut fournir le navigateur distant pour cette étape. Termine explicitement la session, consigne ce que tu as observé avec tes outils approuvés et précise dans le rapport ce que l'environnement n'a pas permis de vérifier.