Prépare le playbook SORIA Distribution et ses critères de déclenchement

L’idée reçue

« Un playbook est une suite de commandes à exécuter dès qu’une alerte apparaît. »

Un playbook défendable fixe surtout les conditions d’entrée, les preuves nécessaires, les propriétaires de décision, les impacts à vérifier et les conditions de sortie.

01Installe le projet final

lab=/tmp/soria-ir-final-project-$USER
bash module6-soria-incident-response-project.sh setup "$lab"
bash module6-soria-incident-response-project.sh status "$lab"

Le corpus est entièrement synthétique. Il représente CASE-IR-006, mais il ne contacte aucun SIEM, endpoint, annuaire, pare-feu ou cluster réel.

02Définis le déclencheur

column -s, -t "$lab/source/context/case.csv"
column -s, -t "$lab/source/triage/alerts.csv"

Le playbook doit répondre à une condition observable : criticité, type d’actif, confiance, combinaison d’alertes et impact potentiel. Une simple alerte ne suffit pas à conclure qu’un incident est confirmé.

Livrable A — entrée du playbook

Écris les conditions qui déclenchent l’activation, celles qui imposent une escalade et celles qui permettent de rester en investigation.

03Attribue les décisions

column -s, -t "$lab/source/coordination/roles.csv"
column -s, -t "$lab/source/coordination/handoffs.csv"

Distingue analyse technique, commandement d’incident, continuité métier et communication. Un analyste peut proposer un confinement sans avoir l’autorité pour accepter son impact métier.

04Place les evidence gates

column -s, -t "$lab/source/evidence/originals.csv"
column -s, -t "$lab/source/assurance/closure-criteria.csv"

Avant une action sensible, le playbook précise les faits attendus et le niveau de preuve. Une source manquante reste une limite, pas une invitation à inventer une certitude.

05Prépare sortie et réouverture

Le dossier distingue reprise fonctionnelle, surveillance post-incident et clôture. Un service revenu ne signifie pas que le cas peut être fermé.

Livrable

Écris le playbook du cas CASE-IR-006

Produis une page avec déclencheurs, rôles, preuves requises, décisions autorisées, critères de sortie et critères de réouverture.

✓À retenir

Le playbook structure la décision. Il ne remplace ni la preuve, ni l’autorisation humaine, ni l’analyse d’impact.