RES / RES-01
Réponse aux incidents et investigation numérique — DFIR
Aider à comprendre un incident, à en limiter les effets, à préserver les preuves utiles et à préparer un rétablissement maîtrisé. L'enquête sépare les faits établis, les hypothèses et les données manquantes ; elle ne couvre pas à elle seule toutes les décisions juridiques ou de communication.
QUAND C'EST UTILE
Une réponse ciblée
à un besoin défini.
Compromis suspecté, rançongiciel, compte administrateur détourné, fuite de données suspectée ou comportement anormal confirmé par le SOC.
PORTÉE ET RÉSULTATS
Ce que couvre la mission.
Portée
- Cadrage d'urgence
- collecte autorisée
- chronologie
- périmètre connu
- confinement approuvé
- enquête sur les causes profondes
- préservation des preuves
- recommandations en matière d'éradication et de récupération
- Leçons tirées
Livrables
- Registre des décisions
- inventaire des pièces à conviction
- calendrier qualifié
- compte rendu de situation
- recommandations
- rapport d'enquête
- plan de redressement et de remédiation
Preuve de réception
Le périmètre examiné est explicite ; les preuves sont suivies ; les décisions sont approuvées ; les faits et les hypothèses sont séparés ; les conditions de reprise sont convenues ; l'incertitude et les actions en suspens sont consignées.
LIVRAISON
Comment le travail est structuré.
Approche
Définir les objectifs et la responsabilité ; préparer les scénarios et les ressources ; exécuter une réponse ou un exercice autorisé ; documenter les preuves ; améliorer et réviser.
Prérequis et responsabilités
Client : décideurs, opérations, propriétaires d'entreprise, services juridiques/assureurs si nécessaire, autorisations et ressources de récupération. Fournisseur : expertise contractuelle avec préservation des preuves.
Facteurs de portée
Criticité, périmètre, profondeur d'investigation, volume de données, dépendances, scénarios et conditions de mobilisation. La préparation, la réponse, la reconstruction et les licences sont distinctes.
Questions à clarifier
L'incident est-il en cours ? Quels systèmes et éléments de preuve sont disponibles ? Qui autorise les actions et coordonne la direction, les conseillers juridiques, les assureurs et les opérations ?
LIMITES IMPORTANTES
La réponse dépend de la disponibilité et du contrat ; une disponibilité immédiate n'est pas implicite. La notification réglementaire et les décisions en matière d'assurance incombent aux parties responsables ; le traitement des éléments de preuve doit être adapté au contexte.
La récupération et l'enquête ont des limites ; aucune promesse de récupération totale ou de délai de résolution absolu n'est faite. Les résultats des exercices restent spécifiques au scénario testé.
EN PRATIQUE
Situations illustratives.
Ces exemples décrivent des engagements possibles et des résultats cibles. Il ne s'agit pas de références clients ni de résultats obtenus.
Scénario 01
Une entreprise observe un chiffrement de fichiers. Projet : coordonner le confinement, la collecte des preuves et les priorités de récupération avec ses équipes. Résultat visé : limiter la progression selon les capacités disponibles et reconstruire en utilisant des preuves vérifiées, sans promettre de récupération complète.
Scénario 02
Un compte de direction semble avoir été utilisé à l'étranger. Projet : analyser les accès, les sessions et les règles de messagerie. Résultat visé : confirmer la compromission ou rejeter l'hypothèse sur la base des preuves disponibles ; l'historique manquant est signalé lorsqu'il empêche de conclure.
Contexte technologique et de référence
Référence : NIST SP 800-61 Rév. 3 ; outils de collecte et d'investigation adaptés aux exigences en matière de systèmes, d'autorisations et de conservation.
L'ensemble final des technologies est convenu lors du cadrage, sur la base de l'interopérabilité, des licences, des droits d'accès et des exigences opérationnelles.
SERVICES CONNECTÉS
Construisez l'étape suivante.
Ces services peuvent compléter la mission. Ils ne sont pas inclus automatiquement.
Commencer une conversation
Clarifiez la portée.
Nous clarifierons l'objectif, les dépendances et les responsabilités de ce service avant de proposer la livraison.