Surveille la récurrence et décide de rouvrir ou clôturer le cas

01Définis ce que tu surveilles

lab=/tmp/soria-ir-lot4-$USER
column -s, -t "$lab/source/monitoring/post-recovery-monitoring.csv"

Chaque ligne possède :

signal
fenêtre
propriétaire
état attendu
critère de réouverture

Une surveillance « pendant quelque temps » n’est pas suffisamment bornée.

02Écris le critère de réouverture avant la récidive

column -s, -t "$lab/source/monitoring/reopen-criteria.csv"

Exemples du corpus : nouvelle alerte d’authentification à forte confiance, nouveau scan similaire, régression fonctionnelle ou d’intégrité.

03Ne confonds pas silence et absence

Aucune alerte ne signifie pas automatiquement :

aucune activité adverse
aucune persistance
aucun endpoint compromis

La qualité de la télémétrie définie au Lot 1 continue de limiter la conclusion.

04Inspecte le plan généré

bash module4-containment-eradication-recovery.sh run "$lab"
column -s, -t "$lab/output/monitoring-plan.csv"
column -s, -t "$lab/output/decision-log.csv"

La clôture du cas est DEFERRED parce que des actions restent ouvertes et que endpoint-edr reste NOT_TESTABLE.

05Valide les refus

column -s, -t "$lab/output/negative-results.csv"

Les quatorze familles négatives couvrent notamment : action automatique, absence d’approbation, éradication sans rollback, test de reprise échoué, monitoring sans critère de réouverture et clôture prématurée.

06Valide le Lot complet

bash module4-containment-eradication-recovery.sh validate "$lab"
cat "$lab/output/decision.txt"

Résultat de référence :

RECOVERY_READY_WITH_ACTIONS

Ce résultat signifie que le dossier pédagogique est cohérent pour poursuivre la réponse. Il ne prouve pas une reprise réelle ni la fin d’un incident réel.