Détection et réponse aux incidents
Transformer une télémétrie traçable en détections testées, triage, investigation, confinement gouverné, reprise validée et retour d'expérience.
Objectifs
- Définir la télémétrie nécessaire à la sécurité et en mesurer les lacunes
- Construire et tester des détections explicables
- Qualifier et prioriser alertes et incidents
- Investiguer en préservant originaux, chronologie et provenance
- Décider confinement, éradication et reprise avec impacts et autorisations
- Organiser coordination, communication et retour d'expérience
- Démontrer les limites de preuve d'une réponse à incident
Notions abordées
- 01Télémétrie et qualité des événements
- 02Horodatage, provenance et normalisation
- 03Chronologie et corrélation
- 04Ingénierie de détection
- 05Wazuh et événements hôte hors ligne
- 06Suricata EVE et détection réseau
- 07Triage et investigation
- 08Préservation des preuves
- 09Confinement et éradication
- 10Reprise et surveillance
- 11Coordination et playbooks
- 12Renseignement de menace et IOC
- 13Automatisation avec approbation humaine
- 14Post-incident et amélioration
Compétences
- Évaluer une couverture de télémétrie
- Normaliser et corréler des événements
- Écrire et tester une détection
- Trier une alerte
- Construire une chronologie d'investigation
- Préserver la provenance d'une preuve
- Préparer une décision de confinement
- Valider une reprise et un retour à l'état de confiance
Outils
Cours
Leçons de la matière
30 leçon(s) déjà reliée(s) à cette matière. Le contenu reste accessible librement, dans l’ordre proposé ou à la carte.
- 01→
Définis les besoins de télémétrie à partir des actifs, risques et contrôles
Transforme les actifs, risques et contrôles déjà connus en exigences de télémétrie explicites, couvertes ou assumées comme lacunes.
- 02→
Vérifie couverture, horodatage, identité et provenance des événements
Teste la qualité minimale d'un événement avant de l'utiliser pour une corrélation ou une décision de sécurité.
- 03→
Normalise des événements hétérogènes sans perdre les originaux
Construis un schéma commun dérivé tout en préservant identifiants, attribution de source et intégrité des événements d'origine.
- 04→
Construis une chronologie corrélée multi-source
Ordonne les événements normalisés, conserve leur provenance et distingue proximité temporelle de relation causale.
- 05→
Qualifie événement, signal, alerte et incident avec des critères explicites
Passe d'une observation à une décision de triage en utilisant confiance, corroboration et impact sans déclarer artificiellement un incident.
- 06→
Formule une hypothèse de détection et sa couverture
Pars d'un comportement à surveiller, relie-le à une télémétrie réellement disponible et refuse de déclarer testable ce que les sources ne permettent pas d'observer.
- 07→
Écris une règle de détection testable et explicable
Structure une règle autour d'une hypothèse, d'un logsource, d'une condition, d'une fenêtre, d'une sévérité, de tests et d'une limite de preuve.
- 08→
Détecte des anomalies d'authentification sur événements hôte
Agrège des échecs Windows et Linux par identité et fenêtre temporelle, puis distingue signal utile, événement isolé et faux positif documenté.
- 09→
Analyse des alertes réseau Suricata et leur contexte
Lis les champs essentiels d'un export EVE synthétique, conserve signature et flow_id, puis corrèle priorité et répétition sans conclure à un incident automatique.
- 10→
Teste, règle et versionne une détection sans masquer les faux positifs
Utilise cas positifs et négatifs, conserve les raw alerts, applique des exclusions bornées et trace chaque changement de version.
- 11→
Trie une alerte avec contexte, criticité et confiance
Transforme une alerte en priorité d'investigation sans confondre sévérité technique, criticité métier, confiance et preuve d'incident.
- 12→
Corrèle identité, hôte, réseau et application dans un dossier
Relie les événements par identifiants explicites, conserve leur source et construis une chronologie multi-source sans déduire une causalité d'une simple proximité temporelle.
- 13→
Construis et réfute des hypothèses d'investigation
Formule des hypothèses réfutables, relie les preuves favorables et contradictoires, et garde l'état INCONCLUSIVE lorsque les données nécessaires manquent.
- 14→
Préserve intégrité, provenance et chronologie des preuves
Conserve les originaux, calcule leur SHA-256, distingue PRESERVED et DERIVED et documente les limites d'horodatage sans prétendre produire une preuve judiciaire.
- 15→
Documente un cas d'investigation et ses décisions
Assemble triage, faits, hypothèses, preuves, tâches, observables, décisions et limites dans un dossier transmissible sans exécuter le confinement.
- 16→
Choisis une stratégie de confinement selon impact et preuves disponibles
Compare plusieurs options de confinement sans confondre urgence, autorisation, impact métier et preuve disponible.
- 17→
Prépare un confinement borné sans détruire les preuves
Définis périmètre, préconditions, preuves à préserver et statut d'exécution avant toute action de confinement.
- 18→
Planifie l'éradication avec critères de sortie et rollback
Transforme les conclusions d'investigation en actions d'éradication planifiées, chacune liée à une précondition, un critère de sortie et un rollback.
- 19→
Rétablis un service depuis un état de confiance et valide la reprise
Évalue l'état de confiance, la source de restauration, le rollback et les tests fonctionnels/sécurité avant une reprise représentée.
- 20→
Surveille la récurrence et décide de rouvrir ou clôturer le cas
Construis une surveillance post-reprise bornée, définis les critères de réouverture et refuse une clôture prématurée.
- 21→
Organise rôles, escalades et décisions pendant l'incident
Transforme un dossier technique en coordination gouvernée avec rôles, seuils d'escalade, propriétaires et droits de décision explicites.
- 22→
Coordonne communication technique, métier et crise
Prépare des messages cohérents selon l'audience, sépare faits et hypothèses et conserve une approbation humaine pour toute communication externe.
- 23→
Évalue IOC et renseignement de menace avec confiance et provenance
Évalue un indicateur comme information contextualisée, sépare fiabilité de source et confiance dans l'information et refuse d'en faire une preuve automatique de compromission.
- 24→
Automatise uniquement les actions sûres avec approbation humaine
Classe les actions par risque, limite l'automatisation aux tâches réversibles et non destructives et conserve une approbation humaine avant toute action sensible.
- 25→
Transforme le retour d'expérience en actions mesurables
Convertis les observations d'incident en backlog d'amélioration avec propriétaire, échéance, métrique, cible et preuve attendue.
- 26→
Prépare le playbook SORIA Distribution et ses critères de déclenchement
Transforme les acquis des cinq premiers lots en playbook borné avec déclencheurs, rôles, preuves requises, décisions et critères de sortie.
- 27→
Reconstitue l'incident simulé et établis les faits
Assemble sources, originaux, chronologie, détections, triage et hypothèses pour séparer faits établis, éléments réfutés et zones encore inconnues.
- 28→
Décide confinement et éradication avec impacts et autorisations
Compare les options de réponse selon preuve, impact métier, propriétaire d'approbation, dépendances, critères de sortie et rollback.
- 29→
Valide la reprise et la surveillance post-incident
Sépare retour du service, retour à un état de confiance, tests fonctionnels et surveillance de récidive avant d'envisager la clôture.
- 30→
Projet final — Produis le dossier complet de réponse à incident
Exécute le projet final SORIA Distribution, défends les faits, décisions, limites de preuve, reprise, coordination et actions restantes dans un dossier auditable.
Dans les formations