Mission SOC 5 — Corréler une chaîne d'attaque complète

Cinq alertes viennent de tomber en quelques minutes : brute force, connexion réussie, malware, DNS suspect… Avant d'ouvrir cinq tickets, corrélez. Les événements sont dans la table events.

1. Identifiez l'hôte qui concentre les événements étiquetés MITRE → answer hote <host>
2. Reconstituez sa chronologie : colonnes ts, source_type, event_type, mitre de cet hôte, par ordre chronologique, en ne gardant que les événements étiquetés MITRE
3. IP de l'attaquant et compte utilisé → answer ip <adresse> et answer compte <nom>
4. Ordre des techniques, séparées par des virgules → answer chaine <T…,T…,…>
5. La détection d'adware sur PC-MKT-11 fait-elle partie de la chaîne ? → answer lie <oui|non>
6. Combien d'incidents ouvrez-vous ? → answer incidents <n>