Projet final — Produis le dossier complet de réponse à incident

Mission finale

Le comité de SORIA Distribution ne te demande pas de « prouver que tout va bien ». Il veut un dossier qui permette de comprendre ce qui est établi, ce qui reste inconnu, quelles décisions sont prêtes, quelles actions n’ont pas été exécutées et pourquoi le cas ne doit pas être fermé prématurément.

01Exécute le cycle complet

lab=/tmp/soria-ir-final-project-$USER
bash module6-soria-incident-response-project.sh setup "$lab"
bash module6-soria-incident-response-project.sh status "$lab"
bash module6-soria-incident-response-project.sh run "$lab"
bash module6-soria-incident-response-project.sh validate "$lab"

La référence utilise 24 fixtures synthétiques et bloque 18 familles de dossier invalide.

02Contrôle l’intégrité du corpus

column -s, -t "$lab/output/source-manifest.csv"

Le manifeste SHA-256 protège le workspace pédagogique contre une modification silencieuse entre run et validate.

03Présente les faits

column -s, -t "$lab/output/timeline.csv"
column -s, -t "$lab/output/hypothesis-register.csv"
column -s, -t "$lab/output/evidence-register.csv"

La restitution doit expliquer pourquoi certaines hypothèses sont supportées, une autre réfutée et HYP-003 reste inconclusive.

04Présente les décisions

column -s, -t "$lab/output/containment-decision.csv"
column -s, -t "$lab/output/eradication-review.csv"

Aucune action réelle n’a été exécutée. Une décision de simulation ne doit jamais être racontée comme un confinement effectif.

05Présente la reprise

column -s, -t "$lab/output/recovery-review.csv"
column -s, -t "$lab/output/monitoring-review.csv"

Les tests fonctionnels représentés passent, mais la preuve endpoint manque et une surveillance réseau reste en WATCH.

06Présente la coordination

column -s, -t "$lab/output/coordination-review.csv"
column -s, -t "$lab/source/coordination/communications.csv"

Le message externe reste WITHHELD. Le lab ne décide pas si une notification est légalement obligatoire.

07Lis les refus

column -s, -t "$lab/output/negative-test-report.csv"

Les 18 cas négatifs protègent le dossier contre la fausse certitude : référence inconnue, hash invalide, timeline incohérente, détection non testée, confinement marqué exécuté, rollback absent, message externe envoyé ou clôture malgré preuve réelle manquante.

08Rends la décision

cat "$lab/output/decision-rationale.csv"
cat "$lab/output/final-decision.txt"

Référence :

case_state=MONITORING
final_decision=RESPONSE_READY_WITH_ACTIONS

Ce résultat signifie que le dossier pédagogique est cohérent et auditable, mais que les actions live et preuves réelles restent à obtenir dans un environnement autorisé.

09Présente le dossier final

cat "$lab/output/final-dossier.md"
cat "$lab/output/proof-boundaries.md"

Restitution attendue — 15 à 20 minutes

périmètre et actifs;
sources et lacunes;
chronologie;
détections et triage;
hypothèses et findings;
décisions de confinement;
plan d’éradication;
reprise et surveillance;
coordination et communication;
RETEX;
décision finale;
preuves réelles encore requises.

10Nettoie le workspace

bash module6-soria-incident-response-project.sh reset "$lab"
test ! -e "$lab"

Le reset refuse toute racine hors du namespace du lab et exige son marqueur de sécurité.

Évaluation finale

Défends le dossier CASE-IR-006

Ta réussite ne dépend pas d’un statut entièrement vert. Elle dépend de ta capacité à relier faits, incertitudes, décisions, impacts, propriétaires, reprise, surveillance et limites de preuve sans dépasser ce que le corpus démontre.

✓Matière terminée

Tu as parcouru la chaîne complète de réponse à incident : télémétrie, détection, triage, investigation, réponse, reprise, coordination et amélioration, avec une preuve explicitement bornée.