« Quand plusieurs signaux vont dans le même sens, on connaît forcément toute l’histoire. »
Une reconstitution sérieuse indique aussi ce qu’elle ne sait pas, quelles sources manquent et quelles hypothèses restent inconclusives.
01Commence par la couverture
lab=/tmp/soria-ir-final-project-$USER
column -s, -t "$lab/source/telemetry/sources.csv"
column -s, -t "$lab/source/telemetry/gaps.csv"La source SRC-EDR reste GAP. Tu peux donc analyser les journaux disponibles, mais pas affirmer que l’état des processus endpoint est connu.
02Préserve les originaux
column -s, -t "$lab/source/evidence/originals.csv"
column -s, -t "$lab/source/evidence/hashes.csv"Les hash du scénario représentent une chaîne d’intégrité pédagogique. Ils ne constituent ni une acquisition forensique réelle ni une chaîne de custody juridique.
03Lis la chronologie
column -s, -t "$lab/source/timeline/events.csv"Vérifie l’ordre temporel, la source, l’actif et le niveau de confiance. Un événement mal horodaté ou sans provenance doit dégrader la confiance de la reconstitution.
04Relie détection et triage
column -s, -t "$lab/source/detection/detections.csv"
column -s, -t "$lab/source/detection/test-results.csv"
column -s, -t "$lab/source/triage/alerts.csv"Une détection NOT_TESTABLE reste visible. Le projet ne supprime pas DET-003 simplement parce que l’EDR manque.
05Établis les faits
column -s, -t "$lab/source/investigation/hypotheses.csv"
column -s, -t "$lab/source/investigation/findings.csv"SUPPORTED, REFUTED et INCONCLUSIVE ont des sens différents. La confiance doit venir de preuves référencées, pas de la formulation de l’hypothèse.
Livrable B — chronologie commentée
Pour chaque fait, indique source, heure, actif, finding et niveau de confiance. Sépare explicitement les faits établis des hypothèses et inconnues.
✓À retenir
Une bonne investigation n’essaie pas de tout rendre certain. Elle rend traçable la frontière entre ce qui est supporté, réfuté et encore inconnu.