Exercice : de l'alerte à l'incident déclaré
Appliquer le cycle NIST SP 800-61 pour transformer une alerte qualifiée en incident géré, escaladé et documenté.
À retenir
- Le cycle NIST SP 800-61 comporte quatre phases : préparation, détection/analyse, confinement/éradication/rétablissement, post-incident.
- Le passage d'alerte à incident doit suivre des critères écrits, pas une appréciation informelle.
- La préservation de la preuve doit précéder toute réinitialisation d'un système compromis.
- La phase post-incident doit systématiquement mettre à jour les règles de détection et les procédures.
- L'escalade humaine doit être testée régulièrement, indépendamment de la robustesse technique de la détection.
Le cycle NIST SP 800-61 comme fil conducteur
Le guide NIST SP 800-61 Révision 2 décrit un cycle de gestion des incidents en quatre grandes phases, qui structure ce qui se passe entre la détection d'une alerte et la clôture d'un incident.
Les quatre phases
| Phase | Contenu |
|---|---|
| Préparation | Outils, procédures, formation des équipes, contacts d'escalade |
| Détection et analyse | Tri de l'alerte, qualification, confirmation de l'incident |
| Confinement, éradication et rétablissement | Endiguement à court terme, suppression de l'accès attaquant, retour à l'état sain |
| Activités post-incident | Retour d'expérience, mise à jour des règles de détection et des procédures |
Point clé
le confinement à court terme (isoler un hôte du réseau, désactiver un compte) doit intervenir avant l'éradication complète, afin de limiter les dégâts sans détruire immédiatement les preuves nécessaires à l'investigation.
De l'alerte au constat d'incident
Toute alerte qualifiée n'est pas nécessairement un incident : un incident est déclaré lorsque l'analyse confirme un impact réel ou potentiel sur la confidentialité, l'intégrité ou la disponibilité d'un actif. Ce passage du statut « alerte » au statut « incident » doit suivre des critères écrits (par exemple, confirmation d'exécution de code malveillant, ou accès confirmé à des données sensibles), pas une appréciation informelle.
Escalade et préservation de la preuve
- Escalade : un incident confirmé doit être remonté selon une matrice définie à l'avance (astreinte technique, RSSI, direction, éventuellement autorités selon la réglementation applicable), avec des délais cibles par niveau de sévérité.
- Préservation de la preuve : dès la confirmation, toute action de remédiation doit être documentée (horodatage, actions entreprises, personne responsable) ; une copie forensique (image disque, capture mémoire) doit être envisagée avant toute réinitialisation d'un système compromis.
Attention
réinitialiser ou réinstaller un système compromis avant toute collecte de preuve forensique est une erreur fréquente en environnement d'exploitation sous pression de disponibilité ; elle peut rendre impossible toute investigation ultérieure et compliquer une éventuelle notification réglementaire.
Boucler la boucle : le retour d'expérience
La phase post-incident est celle où la valeur à long terme se construit : chaque incident doit alimenter un rapport de leçons apprises, mettre à jour les cas d'usage de détection concernés, et réviser si besoin les procédures d'escalade.
Sur le terrain
lors d'un exercice de simulation sur un site data center, il est courant de constater que l'étape la plus fragile n'est pas la détection technique mais l'escalade humaine : contact d'astreinte injoignable, matrice de contacts obsolète, ou incertitude sur qui a l'autorité de couper un service en production.
Astuce
testez la matrice d'escalade au moins une fois par trimestre par un exercice « à blanc » simple (appel de vérification, sans incident réel), indépendamment des exercices complets de simulation d'incident ; c'est souvent le maillon qui casse en premier lors d'un véritable incident.