Documente un cas d'investigation et ses décisions

L’idée reçue

« Le dossier sert surtout à raconter ce qui s’est passé. »

Un bon dossier distingue ce qui est observé, ce qui est supposé, ce qui manque, qui a décidé quoi et ce qui doit encore être autorisé.

01Ouvre le dossier synthétique

cat "$lab/output/case-summary.md"

Le résumé contient des sections séparées :

Scope
Triage
Confirmed facts
Hypotheses
Timeline
Evidence and provenance
Open questions
Decisions
Proof boundaries

Cette séparation réduit l’ambiguïté lors d’un handoff.

02Ne mélange pas faits et hypothèses

Dans le dossier :

fait       → un événement existe dans le corpus source
hypothèse  → une interprétation testée par des evidence links
unknown    → endpoint-edr ou état réel non disponible

Une formulation comme « l’attaquant a exfiltré des données » serait interdite ici : HYP-003 reste INCONCLUSIVE.

03Modélise les tâches

column -s, -t "$lab/output/task-report.csv"

Le modèle reprend l’idée d’un case-management tool : tâches obligatoires, propriétaire et statut. Les tâches obtain-endpoint-edr-evidence et prepare-containment-decision restent WAITING.

Cela ne prouve pas qu’un serveur TheHive existe.

04Utilise les observables avec prudence

column -s, -t "$lab/output/observable-report.csv"

Un observable peut être sighted sans être déclaré ioc. Dans les fixtures, les IP de documentation et ID-ADMIN restent ioc=no.

L’intérêt est de garder des points de corrélation sans attribuer automatiquement une intention malveillante.

05Trace les décisions

column -s, -t "$lab/output/decision-log.csv"

Le dossier contient :

DEC-001 → escalate-investigation → DECIDED
DEC-002 → containment-decision   → DEFERRED

Chaque décision a un propriétaire et une base.

06Respecte la frontière avec le Lot 4

Aucune action de confinement n’est exécutée ici. Le contrôle négatif refuse un decision log sans propriétaire ou représentant un confinement EXECUTED.

Le handoff correct est :

voici les faits
voici les hypothèses
voici les preuves
voici les inconnues
voici la priorité
voici la décision de confinement encore à autoriser

07Exécute la validation finale du Lot

bash module3-triage-investigation-evidence.sh validate "$lab"

Le contrat exige :

16 fixtures intactes
3 alertes triées
P1 + P2 présents
4 hypothèses
SUPPORTED + REFUTED + INCONCLUSIVE
endpoint-edr explicitement manquant
12 familles négatives BLOCKED
aucun confinement exécuté
INVESTIGATION_READY_WITH_ACTIONS

08Réinitialise proprement

bash module3-triage-investigation-evidence.sh reset "$lab"

Le reset supprime uniquement la racine autorisée du lab.

Livrable

Prépare le handoff Lot 4

Rédige un résumé de dix lignes maximum pour CASE-IR-003 avec priorité, faits établis, hypothèses, donnée manquante, preuve principale, limitation temporelle et décision de confinement encore différée.

✓À retenir

Le dossier d’investigation doit permettre à un autre analyste de comprendre les faits, le raisonnement, les inconnues et les décisions sans reconstruire toute l’enquête.