Au fil des ann\u00e9es et de leurs interventions sur le terrain, ils ont accumul\u00e9 une quantit\u00e9 massive de donn\u00e9es<\/b> : acteurs malveillants, modes op\u00e9ratoires, indicateurs de compromission (IOC)\u2026 Toute cette intelligence a \u00e9t\u00e9 agr\u00e9g\u00e9e dans une base de donn\u00e9es propri\u00e9taire extr\u00eamement riche. Et c’est de l\u00e0 qu’est n\u00e9 Recon<\/b>.<\/p>\nRecon Scanner : c’est quoi exactement ?<\/h2>\n
Recon est un outil de forensic l\u00e9ger et non intrusif<\/b>. Contrairement \u00e0 un EDR, il ne s’installe pas de mani\u00e8re persistante et ne bloque aucune action. Son r\u00f4le est simple mais puissant : collecter et analyser les logs de votre infrastructure<\/b> pour d\u00e9tecter le plus t\u00f4t possible des vecteurs d’attaque.<\/p>\n
Concr\u00e8tement, Recon peut \u00eatre d\u00e9ploy\u00e9 de deux fa\u00e7ons :<\/p>\n
\u00c0 posteriori<\/b>, si vous avez d\u00e9j\u00e0 subi un incident et que vous cherchez \u00e0 identifier le patient z\u00e9ro et reconstituer la cha\u00eene d’attaque.<\/p>\n
\u00c0 priori<\/b>, de mani\u00e8re proactive, pour surveiller en permanence votre environnement et rep\u00e9rer des comportements suspects avant qu’une attaque ne se concr\u00e9tise.<\/p>\n
La promesse de Coveware, c’est de pouvoir diagnostiquer un probl\u00e8me en quelques jours, voire quelques minutes<\/b>, sans avoir besoin d’envoyer des donn\u00e9es ou de faire des allers-retours fastidieux. Le produit s’installe directement sur votre environnement et fait le travail sur place.<\/p>\nComment \u00e7a s’int\u00e8gre avec votre infrastructure Veeam ?<\/h2>\n
C’est l\u00e0 que \u00e7a devient vraiment int\u00e9ressant pour nous. Recon s’installe sur votre infrastructure Veeam : sur le VBR, sur les proxys, sur les repositories<\/b>. Il a une connaissance native des \u00e9v\u00e9nements sp\u00e9cifiques \u00e0 Veeam, ce qui signifie qu’il n’y a pas de tuning ou de log parsing sp\u00e9cifique \u00e0 configurer<\/b>. Tout est d\u00e9j\u00e0 pr\u00e9configur\u00e9 pour un environnement VBR.<\/p>\n
L’outil va surveiller des \u00e9l\u00e9ments critiques comme :<\/p>\n
- \n
- Les connexions suspectes<\/b> sur vos serveurs VBR<\/li>\n
- La suppression de backups<\/b> ou de jobs<\/li>\n
- Les modifications de d\u00e9lais de r\u00e9tention<\/b><\/li>\n
- Les changements de cl\u00e9s de chiffrement<\/b><\/li>\n
- Les tentatives d’exfiltration de donn\u00e9es<\/b><\/li>\n
- Les brute force<\/b> et comportements r\u00e9seau anormaux<\/li>\n<\/ul>\n
Il se sert de toutes les donn\u00e9es disponibles sur votre serveur : cl\u00e9s de registre, \u00e9v\u00e9nements Windows et VBR, filesystems, r\u00e9seau, services, logiciels install\u00e9s et m\u00eame l’historique du navigateur.<\/p>\n
<\/p>\n
Quelle diff\u00e9rence avec un EDR ?<\/h2>\n
Je sais que beaucoup d’entre vous ont d\u00e9j\u00e0 un EDR sur leur infrastructure de backup, et c’est une question l\u00e9gitime. La diff\u00e9rence est fondamentale :<\/p>\n
Un EDR<\/b> fait de l’analyse comportementale et bloque activement<\/b> les actions malveillantes. Recon<\/b>, lui, est en lecture seule (read-only)<\/b>. Il collecte les logs, les analyse et vous remonte les alertes. Il ne touche \u00e0 rien, ne modifie rien, ne bloque rien.<\/p>\n
D’ailleurs, petit point rassurant : comme c’est uniquement du read-only, il n’y a aucun risque de provoquer des incidents<\/b> comme le fameux \u00e9pisode CrowdStrike avec les blue screens. Recon se contente de lire et d’analyser, point final.<\/p>\n
Il faut aussi noter que ce n’est pas un outil bas\u00e9 sur des signatures<\/b> comme un antivirus classique. Il se concentre plut\u00f4t sur la d\u00e9tection d’utilisation suspecte d’outils<\/b> et de comportements anormaux, en s’appuyant sur la base de connaissances de Covewarequi est mise \u00e0 jour en temps r\u00e9el.<\/p>\n
Le dashboard : une vue claire et actionnable<\/h2>\n
![\"\"](\"https:\/\/baptistetellier.fr\/wp-content\/uploads\/2026\/04\/timeline-1024x487.png\")
<\/a><\/p>\nUne fois connect\u00e9 au portail Coveware, vous acc\u00e9dez \u00e0 un dashboard complet<\/b> qui vous affiche :<\/p>\n
- \n
- Le nombre d’endpoints connect\u00e9s<\/b><\/li>\n
- La date des derniers scans<\/b><\/li>\n
- Toutes les alertes potentielles d\u00e9tect\u00e9es<\/b><\/li>\n<\/ul>\n
Vous avez \u00e9galement une vue timeline<\/b> qui vous permet de s\u00e9lectionner un endpoint sp\u00e9cifique et de parcourir chronologiquement tous les \u00e9v\u00e9nements survenus sur cette machine. Pas besoin de lire des logs bruts : les donn\u00e9es sont trait\u00e9es et pr\u00e9sent\u00e9es avec le timestamp<\/b>, le hostname<\/b>, et surtout le mapping vers la base MITRE ATT&CK<\/b>. Cela vous indique directement la technique d’attaque potentiellement utilis\u00e9e \u2014 exfiltration avec Rclone, \u00e9l\u00e9vation de privil\u00e8ges, exploitation, etc.<\/p>\n
Pour la partie sp\u00e9cifique \u00e0 VBR, vous retrouvez un filtre d\u00e9di\u00e9 avec la liste des utilisateurs connect\u00e9s<\/b>, les acc\u00e8s supprim\u00e9s, les jobs modifi\u00e9es ou supprim\u00e9es, les changements de r\u00e9tention et de cl\u00e9s de chiffrement. Tout ce dont vous avez besoin pour garder un \u0153il vigilant sur votre infrastructure de sauvegarde.<\/p>\n
- La date des derniers scans<\/b><\/li>\n
- La suppression de backups<\/b> ou de jobs<\/li>\n
![\"\"](\"https:\/\/baptistetellier.fr\/wp-content\/uploads\/2026\/04\/timeline.png\")
<\/a><\/p>\n