Guides opératoires et gestion des tickets

Un guide opératoire (ou procédure d’exécution) est une procédure documentée, étape par étape, pour traiter un type précis d’alerte ou d’incident. Les guides opératoires rendent la réponse cohérente, rapide et vérifiable.

Sans guide opératoire, deux analystes pourraient traiter la même alerte d’hameçonnage de façons très différentes. Avec un tel guide, la qualité de la réponse ne dépend pas de la personne de permanence.

Un bon guide opératoire suit une structure prévisible afin que les analystes puissent l’appliquer sous pression :

• Déclencheur — alerte ou condition qui active ce guide opératoire
• Périmètre — ce qu’il couvre et ce qu’il ne couvre pas
• Étapes — actions d’enquête et de réponse à réaliser dans l’ordre
• Points de décision — logique conditionnelle selon les constatations
• Critères d’escalade — moment où transmettre le dossier
• Conditions de clôture — moment où le dossier est terminé

Prenons le cas d’un courriel d’hameçonnage signalé. Un guide opératoire classique présente des étapes claires :

Les incidents réels ne sont pas linéaires. Les guides opératoires intègrent des points de décision qui orientent la suite selon les constatations.

Par exemple, dans le guide opératoire contre l’hameçonnage :

• Quelqu’un a-t-il cliqué sur le lien ? Si non, confinez l’incident et clôturez-le. Si oui, passez au traitement d’une compromission d’identifiants.
• Des identifiants ont-ils été saisis ? Si oui, imposez une réinitialisation du mot de passe et recherchez les connexions suspectes.

Les embranchements rendent le guide proportionné : peu d’efforts pour les signalements inoffensifs, réponse complète en cas de compromission réelle.

Un système de gestion des tickets (gestion des dossiers) est le référentiel officiel de chaque alerte et incident. Chaque dossier est un ticket qui assure le suivi de l’enquête complète.

Parmi les plateformes courantes figurent le gestionnaire de dossiers SOAR, ServiceNow, Jira ou un outil IR dédié. C’est dans le ticket que sont conservés les preuves, la chronologie et les décisions, afin que rien ne dépende de la mémoire ou de messages de discussion.

Un ticket utile contient tout ce qui est nécessaire pour comprendre un dossier et en vérifier la conformité :

• Titre — concis et précis
• Gravité et état
• Actifs et utilisateurs concernés
• Chronologie des étapes de l’enquête avec leurs horodatages
• Preuves et indicateurs de compromission
• Qualification et actions menées

Rédigez le ticket comme si un inconnu devait le lire lors d’un audit dans un an, car c’est peut-être ce qui arrivera.

Des champs d’état et de gravité cohérents rendent les files d’attente gérables et les indicateurs pertinents.

Lorsqu’un incident peut entraîner des poursuites judiciaires ou l’intervention des RH, la gestion des preuves est importante. La chaîne de conservation indique qui a recueilli chaque élément de preuve, à quel moment et de quelle manière il a été conservé.

Les tickets permettent de la documenter en enregistrant :

• L’heure exacte et la source de chaque artefact
• L’analyste qui l’a recueilli
• Les empreintes cryptographiques prouvant que les preuves n’ont pas été modifiées

Une gestion négligente des preuves peut rendre les conclusions irrecevables ou contestables.

Les tickets font respecter les accords de niveau de service (SLA), qui définissent la rapidité avec laquelle les alertes doivent être prises en compte et résolues selon leur gravité.

Exemples d’objectifs de SLA :

• Gravité 1 : prise en compte dans les 15 minutes
• Gravité 2 : prise en compte dans l’heure
• Gravité 3 : réponse dans les 4 heures

Les horodatages du ticket alimentent les indicateurs qui montrent si le SOC respecte ces engagements.

Les guides opérationnels se dégradent s’ils ne sont pas entretenus. Les outils changent, les attaquants évoluent et les étapes deviennent obsolètes. Considérez les guides opérationnels comme des documents vivants.

Mettez-les à jour lorsqu’ :

• Un nouvel outil ou une nouvelle source de données est ajouté
• Un examen post-incident révèle une lacune
• Une nouvelle technique d’attaque apparaît
• Un analyste trouve une étape confuse ou incorrecte

Gérez les versions de vos guides opérationnels et examinez-les selon un calendrier régulier.

De nombreuses étapes des guides opérationnels sont mécaniques et se prêtent parfaitement à l’automatisation SOAR. Leur automatisation libère les analystes pour les tâches qui nécessitent leur jugement.

Étapes couramment automatisées :

• Récupérer le courriel d’origine et en extraire les indicateurs de compromission
• Effectuer des recherches de réputation
• Supprimer les courriels malveillants de toutes les boîtes de réception
• Mettre à jour le ticket avec les résultats

L’analyste prend toujours les décisions essentielles ; l’automatisation exécute simplement les tâches routinières plus rapidement et de manière uniforme.

Évaluez votre compréhension des guides opérationnels et de la gestion des tickets.

Vous avez appris comment les guides opérationnels et la gestion des tickets structurent le travail du SOC :

• Les guides opérationnels fournissent des étapes cohérentes et reproductibles, avec des points de décision et des critères d’escalade
• Le système de gestion des tickets est le référentiel officiel de chaque dossier
• Les bons tickets contiennent la chronologie, les preuves, les indicateurs de compromission, la qualification et les éléments nécessaires à la chaîne de conservation
• Les SLA fixent des objectifs de temps de réponse suivis grâce aux horodatages des tickets
• Maintenez les guides opérationnels à jour et automatisez leurs étapes mécaniques avec SOAR

Ensuite, vous mesurerez la performance du SOC à l’aide de MTTD et MTTR.