Flux de traitement des alertes

Le triage des alertes consiste à examiner les alertes entrantes, à déterminer lesquelles sont réelles et importantes, puis à les orienter correctement. L’objectif est de séparer rapidement le signal du bruit.

Chaque alerte relève de l’une de trois catégories :

• Vrai positif — activité malveillante ou risquée réelle
• Faux positif — activité bénigne qui semble suspecte
• Vrai positif bénin — activité réelle, mais autorisée ou attendue

Une alerte suit un cycle de vie prévisible. Connaître chaque étape permet de garder votre travail organisé :

• Nouvelle — vient d’être générée par le SIEM ou l’EDR
• En cours — un analyste mène l’enquête
• Transmise — confiée au Niveau 2 ou à l’équipe de réponse aux incidents
• Clôturée — résolue comme faux positif, activité bénigne ou situation corrigée

Chaque transition doit être consignée dans le dossier afin que les autres puissent voir immédiatement son état.

Commencez par comprendre exactement ce qui s’est déclenché. Lisez la règle de détection et l’événement brut qui en est à l’origine. Demandez-vous :

• Quelle règle s’est déclenchée et que détecte-t-elle réellement ?
• Quel hôte, utilisateur et processus sont concernés ?
• Quel est l’horodatage, et quelles sont l’IP source et la destination ?

Une charge utile d’alerte courante contient les principaux points de pivot :

Une alerte brute raconte rarement toute l’histoire. L’enrichissement apporte le contexte qui vous aide à évaluer la gravité :

• Contexte de l’actif — s’agit-il d’un serveur, d’un ordinateur portable de développeur ou d’un contrôleur de domaine ?
• Contexte de l’utilisateur — ce compte dispose-t-il de privilèges élevés ? L’utilisateur est-il en congé ?
• Renseignement sur les menaces — l’IP, le domaine ou l’empreinte sont-ils connus comme malveillants ?
• Référence historique — cet hôte a-t-il déjà effectué cette action ?

Une connexion provenant d’un administrateur système est très différente de la même connexion sur une base de données stratégique.

Les indicateurs de compromission, tels que les adresses IP, les domaines, les adresses web et les hachages de fichiers, doivent être vérifiés auprès de sources de réputation et de renseignement.

Recherches utiles pendant le triage :

Les événements isolés suffisent rarement à confirmer un incident. Le pivotement consiste à suivre un indicateur pour trouver l’activité qui lui est associée.

À partir d’un processus suspect, recherchez :

• les autres processus lancés par le même processus parent
• les connexions réseau établies par cet hôte à peu près au même moment
• les autres hôtes ayant contacté la même IP de destination
• les événements d’authentification associés à l’utilisateur concerné

Construire cette chronologie permet de transformer une alerte isolée en une vision claire de l’attaque.

Tous les vrais positifs ne présentent pas le même degré d’urgence. Établissez vos priorités selon deux axes : l’impact et la confiance.

• Impact élevé + confiance élevée — transmettre immédiatement, par exemple un rançongiciel sur un serveur
• Impact élevé + confiance faible — enquêter rapidement pour confirmer
• Impact faible — traiter dans l’ordre de la file d’attente

La criticité de l’actif et l’ampleur potentielle de l’impact déterminent la gravité. Un contrôleur de domaine compromis est prioritaire par rapport à une simple alerte de courrier indésirable d’un utilisateur.

Le cadre MITRE ATT&CK répertorie les tactiques et techniques des adversaires. Mettre une alerte en correspondance avec ATT&CK vous aide à déterminer l’étape de l’attaque observée et ce qui pourrait se produire ensuite.

Par exemple, une commande PowerShell encodée correspond à :

• Tactique : Exécution
• Technique : T1059.001 (PowerShell)

Si vous observez également des techniques de persistance ou de déplacement latéral, la menace progresse et l’urgence augmente.

La plupart des alertes sont des faux positifs. Apprenez à reconnaître les cas habituels afin de pouvoir les écarter en toute confiance :

• Outils d’administration informatique qui imitent le comportement d’un attaquant (PsExec, scripts)
• Outils d’analyse des vulnérabilités qui déclenchent des alertes réseau
• Tâches de sauvegarde provoquant d’importants transferts de données
• Développeurs exécutant des scripts d’essai encodés ou obfusqués

Lorsque vous confirmez un faux positif récurrent, recommandez une modification de réglage afin qu’il ne génère plus de bruit.

Que vous clôturiez ou transmettiez une alerte, consignez clairement vos constatations. De bonnes notes permettent à l’analyste suivant de reprendre immédiatement le travail et vous protègent lors des audits.

Une note de triage solide comprend :

• la nature de l’alerte et la raison de son déclenchement
• les vérifications effectuées et les éléments de preuve, avec les horodatages et les indicateurs de compromission
• votre conclusion et la décision prise
• tout suivi ou réglage recommandé

Des notes vagues comme « semble correct, fermé » sont inutiles et dangereuses.

Transmettez l’alerte au Niveau 2 ou à l’équipe de réponse aux incidents lorsqu’il s’agit d’un vrai positif avéré ou probable ayant un impact réel. Ne laissez pas l’incertitude s’installer lorsque les enjeux sont élevés.

Procédez immédiatement à une escalade si vous observez :

• l’exécution confirmée d’un logiciel malveillant ou un trafic actif de commande et de contrôle
• la compromission d’un compte à privilèges élevés
• des signes de déplacement latéral ou d’exfiltration de données
• tout élément touchant un actif critique

En cas de doute concernant une alerte à fort impact, transmettez-la. Mieux vaut transmettre une SEV1 à tort que d’en manquer une.

Évaluez vos compétences en matière de priorisation du triage.

Vous avez parcouru le processus de triage des alertes :

• Le triage répartit les alertes entre vrais positifs, faux positifs et vrais positifs bénins
• Lisez l’alerte, puis enrichissez-la avec le contexte de l’actif, de l’utilisateur et du renseignement sur les menaces
• Croisez les données pour établir une chronologie et confirmer le périmètre
• Priorisez selon l’impact et la confiance, puis mettez l’activité en correspondance avec MITRE ATT&CK
• Consignez clairement vos constatations et transmettez sans délai les vrais positifs à fort impact

Ensuite, vous apprendrez comment les guides opératoires et la gestion des dossiers rendent ce processus reproductible.