« Une alerte high severity est automatiquement un incident critique. »
La sévérité vient d’une logique de détection. Le triage doit encore considérer l’actif, la confiance, l’impact et les éléments disponibles.
01Pars des trois alertes du dossier
lab=/tmp/soria-ir-lot3-$USER
bash module3-triage-investigation-evidence.sh setup "$lab"
column -s, -t "$lab/source/alerts/alerts.csv"Le corpus contient trois alertes issues de règles déjà étudiées au Lot 2. Elles ne sont pas encore des conclusions.
02Sépare quatre dimensions
severity → importance technique déclarée par la détection
confidence → confiance dans ce signal représenté
asset criticality → importance de l'actif pour la mission
business impact → impact métier représenté si le scénario se confirmeMélanger ces quatre dimensions produit des priorités difficiles à expliquer.
03Applique la politique de triage
cat "$lab/source/triage/triage-policy.csv"
bash module3-triage-investigation-evidence.sh run "$lab"
column -s, -t "$lab/output/alert-triage.csv"Le résultat de référence est :
AL-001 → P1 → INVESTIGATE_IMMEDIATE
AL-002 → P2 → INVESTIGATE_PROMPT
AL-003 → P3 → CONTEXT_REVIEWAL-003 n’est pas supprimée. Elle reste disponible comme contexte d’investigation.
04Observe pourquoi AL-001 est P1
AL-001 combine :
asset criticality = high
severity = high
confidence = 92
business impact = highLe résultat P1 est donc explicable par plusieurs facteurs, pas par le mot high pris isolément.
05Ne transforme pas confiance en vérité
Une confiance de 92 ne signifie pas « 92 % de probabilité de compromission réelle ». Dans ce lab, c’est un attribut synthétique qui sert à exercer une politique de priorité.
La conclusion correcte reste :
priorité d'investigation élevée
≠
incident réel démontré06Teste les erreurs bloquées
column -s, -t "$lab/output/negative-results.csv"Le lab bloque notamment :
alert-unknown-asset
triage-confidence-out-of-range
invalid-triage-priorityUne priorité ne doit pas dépendre d’un actif inconnu ou d’une confiance invalide.
07Prépare le handoff vers l’investigation
Un triage utile transmet au minimum :
alert_id
asset
identity
priority
reason
missing context
next analyst actionLe triage ordonne le travail. Il ne remplace pas la corrélation.
Justifie une priorité
Choisis AL-001 ou AL-002 et rédige une justification courte qui distingue sévérité, confiance, criticité et impact. Termine par ce que cette priorité ne prouve pas.
✓À retenir
Le triage est une décision de priorité explicable. Une alerte reste un signal à investiguer tant que les faits et les hypothèses ne sont pas établis.