Lire une alerte à 3 h du matin : à quoi ressemble un vrai tri
La différence entre un SOC mature et un coûteux relais d'alertes se voit dans les quatre premières minutes d'un incident. Voici la séquence.
SOC console, live detection view
Real console screenshot with a genuine timeline and alert queue, identifiers removed. Do not fabricate alert volumes.
2400×1350 · PNG · @2x
Une alerte se déclenche à 03 h 12. Voyage impossible : le même compte s'est authentifié depuis Richmond et depuis un hébergeur dans un autre pays à onze minutes d'intervalle. Un outil peut vous dire cela. Ce qui suit relève entièrement des personnes et du processus.
Minute une — est-ce réel ?
Le voyage impossible est l'une des détections les plus bruyantes qui soient. Un VPN, un proxy d'entreprise, un opérateur mobile routant par une autre région, une tâche planifiée sur une VM cloud utilisant un compte de service. Avant toute chose, l'analyste établit si le second emplacement est explicable. Si la branche « impossible » vient de votre propre plage de sortie, l'alerte est un problème de calibrage, pas un incident.
Minute deux — qu'a fait la session ?
C'est là que la plupart des services de relais d'alertes s'arrêtent et que les vraies investigations commencent. Une connexion n'est pas un incident. Une connexion suivie d'une règle de boîte qui transfère tout vers une adresse externe et supprime la copie envoyée est un incident — et les deux événements vivent dans des journaux différents.
- Nouvelles règles de boîte ou de flux de messagerie, surtout transfert ou suppression automatique
- Méthode MFA ajoutée, modifiée ou enregistrée depuis le nouvel emplacement
- Consentement accordé à une application OAuth
- Accès ou téléchargement massif sur le stockage documentaire
- Tout changement de privilèges sur le compte ou sur d'autres
Une connexion n'est pas un incident. Une connexion plus une nouvelle règle de transfert, c'est une brèche en cours avec quinze minutes d'avance.
Minute trois — cadrez avant d'agir
L'instinct pousse à désactiver le compte immédiatement. Parfois c'est juste. Mais un attaquant qui perd brutalement l'accès sait qu'il a été vu, et s'il a établi un second point d'appui, vous venez de lui dire de l'utiliser. Deux minutes pour établir si ce compte est le seul touché sont généralement deux minutes bien employées — et c'est un jugement qui demande un analyste, pas une branche de playbook.
Minute quatre — contenez, puis réveillez quelqu'un
Révoquez les sessions et les jetons de rafraîchissement, pas seulement le mot de passe — une simple réinitialisation laisse un jeton existant valide jusqu'à son expiration. Supprimez les règles malveillantes, après les avoir enregistrées. Puis passez l'appel. À 3 h du matin, réveiller la bonne personne pour une compromission de compte avérée est la bonne décision, et un SOC qui refuse cet appel pour ne déranger personne ne fournit pas le service que vous avez acheté.
Ce qui se passe le lendemain matin
La partie qui sépare un service d'un abonnement : la détection est recalibrée. Si l'alerte était du bruit, la règle est ajustée pour que le même faux positif ne se reproduise pas. Si elle était réelle, la faille qui l'a permise — pas d'accès conditionnel sur ce compte, pas de protection des jetons, pas d'alerte sur les consentements OAuth — devient une recommandation écrite avec un responsable. Un incident dont on ne tire rien est un incident qu'on a accepté de revivre.