Chapitre 11 — Réponse aux Incidents, Forensique & SOAR

La réponse aux incidents est critique dans le domaine des opérations (28% de l'examen). Ce module couvre le cycle de vie des incidents, la forensique numérique, et l'automatisation SOAR.

Cycle de Vie de la Réponse aux Incidents (NIST SP 800-61)

Mémorisez ! Les 4 phases NIST : Préparation → Détection & Analyse → Confinement, Éradication & Récupération → Post-incident. Mémo : "PD, CER, P". Lors de l'examen, les questions demandent souvent dans quel ordre effectuer des actions.

Préparation : politiques IR, équipe CSIRT, outils (SIEM, sandbox), formation, playbooks prédéfinis.
Détection & Analyse : identifier l'incident (via SIEM, IDS, utilisateurs), déterminer la portée, catégoriser la sévérité, préparer les preuves.
Confinement : limiter l'impact (isoler les systèmes, révoquer les credentials). Court terme (isolation immédiate) et long terme (patch, rebuild).
Éradication : supprimer la cause (malware, backdoor, accès compromis). Nettoyage complet.
Récupération : restaurer les systèmes, surveiller pour s'assurer qu'il n'y a plus d'activité malveillante.
Activités post-incident (Lessons Learned) : rapport complet, analyse des causes profondes, amélioration des défenses, mise à jour des playbooks.

Forensique Numérique

Mémorisez ! Ordre de volatilité des preuves (RFC 3227) — collecter du plus volatile au moins volatile : Mémoire RAM → État réseau → Processus → Disques → Logs → Archives. Ne jamais éteindre un système compromis sans capturer d'abord la RAM (clés de chiffrement, processus, connexions actives y sont stockés).

Chain of Custody : documentation complète de qui a touché les preuves, quand, et pourquoi. Essentielle pour l'admissibilité juridique.
Intégrité des preuves : calculer les hashes (SHA-256) des preuves avant et après manipulation. Utiliser des outils de write-blocker pour éviter d'écrire sur les disques originaux.
Copie forensique (Forensic Image) : copie bit-à-bit d'un disque (pas juste les fichiers). Outils : dd, FTK Imager, EnCase. Travailler sur la copie, jamais sur l'original.
Analyse de la mémoire RAM : dumper la RAM avant d'éteindre le système. Contient : processus actifs, connexions réseau ouvertes, clés de chiffrement, mots de passe en clair. Outils : Volatility, Rekall.
Analyse des logs : journaux système (syslog, Event Viewer), logs applicatifs, logs réseau (NetFlow, pcap), logs de sécurité (SIEM). Crucial pour reconstituer la timeline de l'attaque.
Environnement légal : respecter la législation sur la collecte de preuves numériques. Différences selon le contexte (enquête interne vs judiciaire).

SOAR & Automatisation

SOAR (Security Orchestration, Automation and Response) : plateforme qui automatise la réponse aux incidents via des playbooks prédéfinis. Réduit le temps de réponse de minutes à secondes.
Playbook : procédure documentée et automatisée pour répondre à un type d'incident spécifique (ex: "si alerte phishing détectée → extraire URLs → vérifier réputation → bloquer sur proxy → notifier l'utilisateur → créer ticket"). Reproductible et cohérent.
Runbook : procédure manuelle documentée (pas nécessairement automatisée). Un playbook est souvent l'automatisation d'un runbook.
Threat Intelligence (TI) : informations sur les tactiques, techniques et procédures (TTPs) des attaquants. Nourrit le SOAR pour améliorer la détection et la réponse.
Indicateurs de Compromission (IOC) : preuves qu'une compromission a eu lieu (hashe de malware, adresse IP C2, domaine malveillant, clé de registre). Partagés via STIX/TAXII entre organisations.

Astuce Examen

Sur l'examen, si une question demande l'ordre des actions lors d'un incident, le confinement vient AVANT l'éradication. Ne jamais éradiquer avant de confiner (sinon l'attaquant peut s'échapper vers d'autres systèmes). Et toujours préserver les preuves AVANT le confinement si possible.

Quiz — Réponse aux Incidents & Forensique

1. Lors d'un incident de sécurité, dans quel ordre les phases NIST SP 800-61 doivent-elles être réalisées ?

Éradication → Confinement → Détection → Récupération → Post-incident Détection → Éradication → Confinement → Récupération → Préparation Préparation → Détection & Analyse → Confinement, Éradication & Récupération → Post-incident Détection → Préparation → Confinement → Éradication → Récupération

NIST SP 800-61 : 1-Préparation (avant les incidents), 2-Détection & Analyse, 3-Confinement, Éradication & Récupération (ordre interne : confiner d'abord, éradiquer ensuite, puis récupérer), 4-Post-incident (leçons apprises). La préparation est une phase permanente, pas séquentielle — elle précède et supporte toutes les autres.

2. L'"ordre de volatilité" en forensique numérique signifie que l'analyste doit collecter en priorité :

Les disques durs car ils contiennent le plus d'informations Les données les plus éphémères en premier (RAM, état réseau) avant les données persistantes (disques, logs) Les logs SIEM car ils sont centralisés et accessibles Les sauvegardes pour comparer avec l'état actuel

RFC 3227 — Ordre de volatilité (du plus au moins volatile) : 1-Registres CPU/cache, 2-RAM, 3-Trafic réseau, 4-État réseau (connexions actives), 5-Processus en cours, 6-Disques, 7-Logs, 8-Archives. La RAM s'efface à l'extinction du système — elle contient les clés de chiffrement, malwares en mémoire, sessions actives. Critiquer pour l'analyse.

3. La "chain of custody" (chaîne de custody) en forensique numérique est importante car :

Elle liste tous les outils utilisés pour analyser les preuves Elle documente les vulnérabilités exploitées lors de l'incident Elle garantit que les preuves sont intactes grâce aux hashes SHA Elle documente qui a eu accès aux preuves, quand et comment, garantissant leur admissibilité juridique

Chain of custody = documentation continue de la possession et du traitement des preuves. Inclut : qui a collecté, quand, où, conditions de stockage, qui a analysé, transferts de custody. Si la chaîne est brisée (preuve non documentée), les preuves peuvent être jugées inadmissibles en justice. Essentielle pour les poursuites pénales.

4. SOAR (Security Orchestration, Automation and Response) est principalement utilisé pour :

Automatiser la réponse aux incidents via des playbooks, réduisant le temps de réponse et la charge du personnel SOC Détecter les intrusions réseau en temps réel Centraliser et analyser les journaux de sécurité Évaluer la conformité réglementaire

SOAR = orchestration de la réponse aux incidents. Un playbook SOAR peut en quelques secondes : isoler un système compromis (via API firewall), révoquer les credentials (Active Directory API), collecter les logs (SIEM), notifier l'équipe SOC, créer un ticket, lancer un scan forensique. Ce qui prenait 30 min manuellement peut se faire en 30 secondes.

5. Un "write-blocker" est un outil forensique utilisé pour :

Bloquer l'accès réseau à un système compromis Chiffrer les preuves numériques collectées Empêcher toute écriture sur le disque original lors de l'acquisition forensique, préservant l'intégrité des preuves Bloquer les malwares qui essaient d'écrire sur le disque

Write-blocker (hardware ou software) = dispositif intercalé entre l'analyste et le disque original. Permet la lecture mais bloque TOUTE écriture. Si un OS moderne monte un disque sans write-blocker : il peut modifier les métadonnées d'accès, corrompant les preuves. L'acquisition forensique doit se faire via write-blocker pour que le hash du disque reste valide.

6. Un IOC (Indicateur de Compromission) est :

Un outil de détection d'intrusion Une preuve qu'une compromission s'est produite (hash de malware, IP malveillante, domaine C2, clé de registre suspecte) Un indicateur de conformité organisationnelle Une mesure de performance du SOC

IOC = artifacts observables indiquant une compromission. Exemples : hash SHA-256 d'un malware connu, adresse IP d'un serveur C2, domaine malveillant, valeur de clé de registre créée par un malware, pattern de trafic réseau anormal. Partagés entre organisations via STIX (format) et TAXII (protocole d'échange) pour améliorer la détection collective.

7. Lors d'un incident de ransomware actif, quelle devrait être la PREMIÈRE action après détection ?

Payer la rançon pour stopper le chiffrement Éteindre immédiatement tous les serveurs Lancer une analyse forensique complète avant toute intervention Contenir l'infection en isolant les systèmes affectés du réseau, puis notifier l'équipe IR

Ransomware actif = CONFINEMENT IMMÉDIAT. Isoler les systèmes (déconnecter du réseau, pas éteindre — la RAM contient peut-être des clés de déchiffrement). Limiter la propagation au réseau. Puis : notifier l'équipe IR, activer le plan de réponse aux incidents, évaluer l'impact. Éteindre sans capturer la RAM = perdre des preuves potentielles.

8. La phase "Leçons Apprises" (Post-Incident) du processus IR sert à : Analyser ce qui s'est passé, identifier les lacunes dans les défenses, et améliorer les procédures et playbooks pour les incidents futurs Tester à nouveau les systèmes pour s'assurer qu'ils fonctionnent correctement Notifier les utilisateurs qu'un incident a eu lieu Archiver les logs pour conformité légale

Post-Incident = amélioration continue. Réunion PIR (Post-Incident Review) : timeline de l'incident, cause profonde (root cause), efficacité de la réponse, ce qui aurait pu être fait mieux, mises à jour des playbooks, formation si nécessaire, rapport pour la direction. Une organisation qui ne fait pas de PIR répète les mêmes erreurs.

9. Un playbook SOAR différencie d'un runbook en ce que : Un playbook est plus détaillé qu'un runbook Un runbook est utilisé uniquement pour les incidents majeurs Un playbook est automatisé (exécuté par le SOAR), tandis qu'un runbook est une procédure manuelle documentée Un playbook contient les données des attaquants, un runbook les procédures de défense

Runbook = procédure manuelle documentée (checklist que suit un analyste SOC). Playbook = automatisation d'un runbook dans une plateforme SOAR. Le playbook exécute les étapes automatiquement via des APIs et intégrations. Un bon playbook est souvent la version automatisée d'un runbook qui a fait ses preuves manuellement.

10. Une "Forensic Image" (copie forensique) est : Une capture d'écran du bureau du système compromis Une copie bit-à-bit complète d'un support de stockage, incluant les espaces libres et supprimés Un scan de vulnérabilités d'un système compromis Une copie des logs système d'un serveur

Forensic Image = copie exacte bit-par-bit du disque entier, incluant les secteurs "vides" (qui peuvent contenir des fichiers supprimés récupérables). Outils : dd (Linux), FTK Imager, EnCase. Hash SHA-256 calculé avant et après pour prouver l'intégrité. L'analyste travaille toujours sur la copie forensique, jamais sur le disque original.