Réponse à incident de sécurité — playbook NIST

1. Préparation

• Contacts d'astreinte, chaîne d'escalade et critères de gravité validés.
• Outils prêts : collecte forensique (Velociraptor), gestion de cas (TheHive), stockage de preuves.
• Journaux centralisés et horloges synchronisées.

2. Détection et qualification

1. Ouvrir un cas : source de l'alerte, heure, périmètre supposé.
2. Qualifier : vrai positif ? Quel actif, quelle criticité, quelle donnée ?
3. Relier à une technique MITRE ATT&CK (ex. T1110 Brute Force, T1053 Scheduled Task).

3. Confinement

• Court terme : isoler l'hôte (VLAN de quarantaine, règle réseau), désactiver les comptes compromis, révoquer les jetons.
• Avant toute modification : capturer la mémoire volatile et les artefacts (processus, connexions, tâches planifiées).

ps auxfww > ps.txt
ss -tanp > sockets.txt
crontab -l -u www-data; ls -la /etc/cron.* /var/spool/cron
systemctl list-timers --all
last -Faiw | head -50

4. Éradication

• Supprimer les mécanismes de persistance (cron, unités systemd, clés SSH authorized_keys, comptes ajoutés).
• Corriger la vulnérabilité d'entrée (patch, configuration).
• En cas de doute sur l'intégrité : reconstruire depuis une image saine plutôt que nettoyer.

5. Reprise

• Remise en service progressive sous surveillance renforcée.
• Rotation des secrets exposés (mots de passe, clés API, certificats).

6. Retour d'expérience

Chronologie factuelle, cause racine, ce qui a bien/mal fonctionné, actions correctives avec responsable et échéance, nouvelles règles de détection (Sigma) pour détecter plus tôt la prochaine fois.

Indicateurs