Évalue un incident transversal multi-source et la reprise

01Contrat de l’évaluation

assessmentId : BTS-SISR-Y2-IR-001
format       : dossier multi-documents + investigation + décision + reprise
contexte     : SORIA Distribution — environnement pédagogique synthétique
production   : interdite
objectif     : faits → hypothèses → corrélation → impact → confinement → reprise → preuve

Aucune exploitation offensive d’une vulnérabilité n’est demandée. Les événements nécessaires sont fournis sous forme de traces, configurations et états de laboratoire.

02Situation initiale

Lundi matin, le support reçoit simultanément trois signaux :

- plusieurs utilisateurs ne peuvent plus ouvrir l'application interne ;
- une alerte de supervision indique des échecs intermittents sur le service web ;
- l'équipe sécurité remonte une série d'authentifications inhabituelles sur un compte d'administration de laboratoire.

Le candidat ne sait pas encore si les trois signaux ont une cause commune.

03Dossier fourni

Le sujet contient au minimum :

A. chronologie de tickets utilisateurs
B. extraits DNS/DHCP synthétiques
C. extrait de configuration réseau ou matrice de flux
D. journaux d'authentification Windows/AD synthétiques
E. journaux du service web
F. états ou alertes Centreon
G. extrait pare-feu/IDS préparé pour l'exercice
H. historique de changement récent
I. matrice des comptes et privilèges attendus
J. état d'un certificat de service si la variante TLS est retenue

Toutes les données sont fictives. Les horodatages doivent permettre une corrélation réelle mais peuvent inclure un indice trompeur non causal.

04Phase A — établir les faits

Le candidat commence sans modifier l’environnement.

Livrable :

faits confirmés
faits contradictoires
informations manquantes
périmètre utilisateurs/services/hôtes
première estimation d'impact

Interdiction méthodologique : écrire « le compte est compromis », « le pare-feu bloque » ou « le certificat est cassé » comme un fait sans preuve correspondante.

05Phase B — construire la chronologie

La chronologie doit rapprocher les sources par horodatage :

Le candidat signale les problèmes de synchronisation temporelle ou d’horodatage s’ils sont présents dans le dossier.

06Phase C — hypothèses concurrentes

Au moins trois hypothèses doivent être maintenues au début, par exemple :

H1 — changement d'infrastructure expliquant l'indisponibilité
H2 — incident d'identité ayant un impact sur le service
H3 — problème applicatif/TLS sans lien avec l'alerte d'identité

Ces exemples donnent la forme, pas la solution. Le dossier réel de l’évaluation peut utiliser d’autres causes.

Pour chaque hypothèse :

indices pour
indices contre
preuve manquante
test discriminant
risque du test
état : à tester / soutenue / affaiblie / réfutée / inconclusive

07Phase D — triage et impact

Le candidat évalue :

service affecté
population affectée
confidentialité / intégrité / disponibilité
privilèges impliqués
propagation possible
criticité métier
urgence de restauration
risque de détruire une preuve

L’action la plus rapide n’est pas automatiquement la meilleure si elle augmente fortement l’impact ou détruit des indices.

08Gate de confinement

Avant toute action simulée ou de laboratoire, le candidat propose :

action
objectif
périmètre
impact attendu
preuve à préserver avant l'action
condition d'arrêt
rollback
autorisation nécessaire

Exemples de familles autorisées selon le sujet :

isoler un hôte de laboratoire
révoquer/neutraliser temporairement une identité synthétique
bloquer un flux précisément identifié
retirer une configuration défectueuse
basculer vers un composant sain déjà prévu

Les actions massives non justifiées sont pénalisées.

09Phase E — correction ou éradication

Après validation du gate, le candidat applique ou décrit l’action bornée demandée par le sujet.

Il conserve :

état avant
modification exacte
heure
résultat immédiat
rollback disponible
preuve après

Une amélioration du symptôme ne suffit pas à prouver que toutes les hypothèses précédentes étaient exactes.

10Phase F — reprise du service

La recette doit couvrir au minimum :

DNS/résolution attendue
connectivité nécessaire
état du service
réponse fonctionnelle utilisateur
supervision revenue à l'état attendu
contrôle d'identité/privilèges pertinent
test négatif sur un flux ou accès qui doit rester interdit

Si une dépendance haute disponibilité ou sauvegarde est mobilisée, le candidat rapproche le résultat des objectifs RPO/RTO fournis dans le scénario.

11Phase G — surveillance post-incident

Le candidat propose une fenêtre de surveillance et des indicateurs directement reliés au cas :

récurrence du symptôme
authentifications associées
état supervision
journaux du service
flux concerné
intégrité de la configuration corrigée

« Surveiller davantage » n’est pas une mesure. Chaque contrôle doit préciser quoi, où et quel événement ferait rouvrir le cas.

12Dossier de décision

Le rendu final contient :

1. résumé exécutif court
2. périmètre et impact
3. chronologie sourcée
4. hypothèses et tests
5. cause(s) confirmée(s) ou niveau de certitude
6. décision de confinement et justification
7. correction/éradication réalisée
8. recette de reprise
9. preuves essentielles
10. risque résiduel
11. surveillance post-incident
12. limite de la conclusion
13. action de prévention / retour d'expérience

13Variante de dossier

Pour éviter l’apprentissage par cœur, le formateur peut construire plusieurs versions en combinant seulement des composants déjà enseignés :

Variante 1 : DHCP + GPO + supervision
Variante 2 : DNS + certificat + service web
Variante 3 : compte privilégié + annuaire + pare-feu
Variante 4 : VLAN/routage + supervision + changement récent
Variante 5 : sauvegarde/HA + identité + reprise

La variante ne doit pas exiger un produit ou une commande jamais enseignés sans documentation fournie dans le sujet.

14Barème

15Conditions de non-validation

La partie concernée n’est pas validée si le candidat :

invente une preuve ou une mesure ;
présente un secret réel ;
désactive globalement un contrôle de sécurité pour faire revenir le service ;
modifie un environnement de production ;
confond une hypothèse avec un fait malgré l'absence de preuve ;
annonce le rétablissement sans tester le service attendu ;
ignore un risque collatéral manifeste de son action.

16Soutenance de décision

Durée indicative : 10 minutes.

Le candidat doit défendre :

la preuve la plus forte
l'hypothèse écartée la plus importante
le choix de confinement
le test de reprise le plus critique
la principale limite de la conclusion
l'action qui réduirait le risque de récurrence

L’évaluateur peut retirer une pièce du dossier et demander comment le niveau de confiance changerait.