Reconstituer une attaque dans le SIEM

Le SIEM centralise messagerie, EDR, pare-feu, proxy, Active Directory et sauvegardes (table events : ts, source, host, user, action, src_ip, dest, bytes). Reconstituez l'attaque d'hier.

1. Transferts sortants volumineux (action = 'net_out', plus de 1 000 000 000 octets) : colonnes ts, host, user, dest, bytes
2. Serveur de commande et contrôle (C2) contacté par le poste infecté → answer c2 <ip>
3. Compte créé et ajouté aux administrateurs du domaine → answer compte <nom>
4. Le transfert de SRV-BCK01 est-il malveillant ? → answer sauvegarde <oui|non>
5. Délai entre la réception du courriel piégé et l'exfiltration, en minutes → answer delai <n>