Un guide de décision en 3 pivots. Chronologie, périmètre, action réversible. Puis une décision écrite.
Ressource SOC terrain. À utiliser pendant l’investigation, avant toute remédiation qui change l’état des systèmes.
Juste après une alerte, la tentation est de “corriger” tout de suite. C’est aussi le meilleur moment pour casser la reconstruction des faits.
Le mécanisme central de cette fiche est simple. D’abord figer la chronologie et les sources. Ensuite cadrer le périmètre. Ensuite seulement choisir une action réversible et tracer l’impact.
Le but n’est pas d’être parfait. Le but est d’avoir assez de preuves et un périmètre assez propre pour prendre une décision défendable et réversible.
##Avant de changer quoi que ce soit : mini-checklist de sécurité des preuves
- -Bloquez la remédiation automatique si elle efface des traces (scripts de nettoyage, rotation agressive, reimage).
- -Notez l’heure exacte de l’alerte et l’horloge de référence utilisée (sinon la chronologie sera fausse).
- -Identifiez toutes les sources disponibles tout de suite (SIEM, EDR, firewall, proxy, IAM, tickets).
- -Sauvegardez l’état des preuves volatiles si possible (process, connexions réseau, sessions) avant redémarrage.
- -Démarrez un journal d’actions unique : qui fait quoi, quand, sur quel actif, avec quel résultat.
- -Décidez qui est propriétaire de la décision (SOC lead, IR lead, IT ops) avant d’exécuter un confinement.
##Chemin opérationnel (6 étapes) : de l’alerte à une décision écrite
##Worksheet : preuves à collecter et pivots à faire (ordre conseillé)
Groupe 1 : 1) Chronologie (figer avant d’agir)
- ->Figer la chronologie et les sources disponibles.
- ->Lister les horodatages clés (alerte, premiers signes, actions déjà faites).
- ->Noter ce qui peut disparaître vite (logs courts, données en mémoire, sessions).
Groupe 2 : 2) Preuves (ce qui permet de reconstruire les faits)
- ->Exporter les événements liés à l’alerte (filtre, période, identifiants de corrélation).
- ->Conserver les artefacts utiles sans transformation (fichiers, commandes, traces réseau).
- ->Écrire ce qui manque (télémétrie absente, log non collecté, agent inactif).
Groupe 3 : 3) Périmètre (ce qui est touché, et comment ça se propage)
- ->Identifier les actifs, comptes et dépendances touchés.
- ->Séparer “observé” (vu dans la télémétrie) de “supposé” (à confirmer).
- ->Repérer les dépendances critiques (auth, DNS, AD, messagerie, sauvegardes).
Groupe 4 : 4) Confinement (actions possibles, réversibles, et conséquences)
- ->Comparer les options de confinement et leurs conséquences.
- ->Évaluer l’impact métier immédiat (coupure, latence, perte d’accès).
- ->Prévoir le retour arrière (comment annuler le confinement, et quand).
Groupe 5 : 5) Restauration (après la décision)
- ->Documenter ce qui a été changé (règles, isolement, comptes, ACL, routes).
- ->Définir les critères de sortie (ce qui prouve que c’est stable).
- ->Noter ce qui reste incertain (preuves absentes, angles morts, hypothèses).
##Carte de contrôle : décision “contenir / surveiller / différer”
Utilisez cette carte comme garde-fou. Elle force un choix explicite, et évite la remédiation “réflexe” qui efface des preuves.
- ├─Figer la chronologie et les sources disponibles.
- ├─Garder une trace écrite de chaque action et de son heure.
- └─Éviter les actions qui modifient massivement l’état (reimage, nettoyage global).
- ├─Identifier les actifs, comptes et dépendances touchés.
- ├─Définir une frontière provisoire (dans vs hors périmètre).
- └─Lister les pivots à vérifier (compte → machine → service → dépendance).
- ├─Comparer les options de confinement et leurs conséquences.
- ├─Décider : contenir, surveiller sous contrôle, ou différer.
- └─Nommer un propriétaire et écrire une justification pour le choix retenu.
- ├─Choisir l’action la plus réversible qui réduit le risque (isolement, blocage ciblé).
- ├─Mesurer l’impact observé (ce qui casse, ce qui continue).
- └─Préparer la restauration et la suite (ce qui reste à prouver).
##Questions rapides (pour éviter les décisions implicites)
Quand est-ce que je dois contenir immédiatement ?
Si vous observez un risque actif qui continue (propagation, exfiltration possible, mouvement latéral), faites un confinement minimal et réversible. Puis élargissez si nécessaire, en traçant chaque changement.
Quand est-ce que “surveiller sous contrôle” est acceptable ?
Quand l’impact d’un confinement est trop destructeur à court terme et que vous avez un plan de surveillance renforcée. Écrivez des critères de bascule clairs (ce qui déclenche le confinement).
Quand est-ce que je peux différer ?
Quand vous pouvez justifier le différé, nommer un propriétaire, et fixer une limite de temps. Sans propriétaire et sans critères, le différé devient une non-décision.
Quelle est l’erreur la plus dangereuse juste après l’alerte ?
Lancer une remédiation destructrice avant d’avoir capturé les éléments nécessaires à l’investigation. Si vous devez agir, choisissez une action réversible et documentez exactement ce que vous changez.
Point d’appui (référence)
Repère utile pour cadrer la séquence “préserver les faits → définir le périmètre → choisir une action réversible → documenter l’impact” : NIST SP 800-61 Rev. 3 (https://csrc.nist.gov/pubs/sp/800/61/r3/final).