Choisis une stratégie de confinement selon impact et preuves disponibles

L’idée reçue

« Quand l’alerte est critique, il faut isoler immédiatement tout ce qui semble compromis. »

Une action rapide peut être nécessaire, mais elle doit rester proportionnée, autorisée et compatible avec la préservation des preuves et la continuité métier.

01Pars du dossier d’investigation

Le Lot 4 ne recommence pas l’enquête. Il utilise les faits, hypothèses et limites déjà documentés.

lab=/tmp/soria-ir-lot4-$USER
bash module4-containment-eradication-recovery.sh setup "$lab"
column -s, -t "$lab/source/investigation/findings.csv"

Une décision de réponse doit citer une base factuelle. Une alerte seule n’est pas une preuve suffisante d’une compromission complète.

02Compare les options

column -s, -t "$lab/source/decisions/containment-options.csv"
column -s, -t "$lab/source/business/impact.csv"

Le corpus propose trois actions représentées : isolation d’un endpoint, désactivation d’une identité et blocage d’un indicateur réseau. Elles ne sont jamais exécutées par le lab.

03Ajoute l’autorité à l’équation

column -s, -t "$lab/source/decisions/containment-approvals.csv"

APPROVED_FOR_SIMULATION signifie que l’option peut être étudiée dans le scénario. Cela ne donne aucune autorisation sur un système réel.

Une approbation PENDING transforme la décision en DEFERRED.

04Ne réduis pas la décision à la sévérité

Pour chaque option, documente au minimum :

actif concerné
impact métier
preuve disponible
propriétaire de l'approbation
réversibilité
risque de perte de preuve

Deux actions ayant la même urgence technique peuvent avoir des effets métier très différents.

05Exécute la simulation

bash module4-containment-eradication-recovery.sh run "$lab"
column -s, -t "$lab/output/containment-decision.csv"

Vérifie surtout la colonne :

execution_status = NOT_EXECUTED

Le lab interdit de transformer une décision pédagogique en action réelle.

06Reconnais la décision correcte : différer

Différer n’est pas toujours une faiblesse. C’est parfois la seule décision défendable quand :

l’autorité n’est pas disponible ;
l’impact métier n’est pas évalué ;
la preuve risque d’être détruite ;
une dépendance critique n’est pas comprise.

Livrable

Justifie une stratégie

Choisis une option du corpus et rédige une décision courte : preuve disponible, impact, approbation, risque et raison d’approuver pour simulation, différer ou rejeter.

✓À retenir

Le confinement est une décision de risque et d’autorité autant qu’une action technique. Une bonne réponse sait aussi différer.