Analyse et interprétation des alertes de sécurité

1. Objectif du cours

Comprendre comment analyser les alertes générées par des IDS/IPS et interpréter les journaux de sécurité pour identifier et prioriser des incidents. Développer une méthode pratique de qualification, corrélation et reporting adaptée au contexte métier.

2. Notions et définitions essentielles

• Alerte de sécurité : signal automatisé déclenché lorsqu'une activité suspecte ou potentiellement malveillante est identifiée.
• Types d'alertes (par objectif) : reconnaissance (cartographie), exploitation (tentatives d'accès/exploits), exfiltration (vol de données / C2).
• Indicateur de compromission (IoC) : artefact observé sur un réseau ou système indiquant avec forte probabilité une intrusion (IP malveillantes, hachages, domaines suspects, patterns comportementaux).

3. Fonctionnement et principes

• Contextualisation : une alerte isolée prend sens lorsqu'on la replace dans son contexte temporel, utilisateur, protocole et géographique (ex. maintenance, horaires, VPN).
• Corrélation multi-sources : croiser IDS/IPS avec logs d'authentification, firewall, événements système permet de reconstituer chronologie et mouvement latéral. SIEM facilite ces corrélations automatiques.
• Analyse approfondie : décodage des protocoles, inspection du payload (hexadécimal si nécessaire), extraction d'éléments suspects et documentation pour produire de nouveaux IoC.
• Détection de patterns : reconnaître séquences d'actions (kill chain) et signatures temporelles d'APT pour identifier campagnes coordonnées.
• Priorisation : évaluer criticité via impact sur actifs critiques, probabilité, urgence et fiabilité de la source pour attribuer un score composite.

4. Commandes et manipulations

Non abordé dans ce cours

5. Sécurité et bonnes pratiques

(Précautions explicitement abordées dans le document) - Maintenir et enrichir des listes de réputation (IPs, domaines) via Threat Intelligence pour augmenter la confiance des alertes.
- Synchroniser les horodatages de tous les systèmes de logging pour permettre une corrélation fiable.
- Tenir un calendrier des opérations (maintenance, déploiements) pour contextualiser les alertes et réduire les faux positifs.
- Gérer les comptes privilégiés : suppression automatique des comptes inactifs, audits réguliers, et mise en place de MFA obligatoire pour les comptes à privilèges.
- Automatiser blocage/mitigation des attaques connues (par ex. blocage après bruteforce) et utiliser SIEM pour déléguer les corrélations basiques afin de concentrer l'analyse humaine sur les événements critiques.
- En cas de compromission confirmée : isolement du serveur compromis et révocation immédiate des accès compromis.

6. Points essentiels à retenir pour le TSSR

• Classifier rapidement l'alerte : reconnaissance / exploitation / exfiltration.
• Toujours contextualiser (horaire, utilisateur, maintenance, géolocalisation).
• Rechercher et corréler IoC (IPs, domaines, hachages, patterns comportementaux).
• Pour une investigation approfondie : isoler le trafic, décoder le protocole, analyser le payload, documenter et générer IoC.
• Utiliser SIEM pour automatiser les corrélations de base ; concentrer l'humain sur les signaux faibles et patterns complexes.
• Prioriser selon impact métier, probabilité, urgence, et fiabilité de la source.
• Maintenir une base de faux positifs récurrents pour optimiser le temps d'analyse.
• Mesurer la performance : temps moyen de qualification, taux de faux positifs, pour orienter les améliorations.
• Reporting : traduire les éléments techniques en impacts business et recommandations opérationnelles.
• En cas d'atteinte de données clients, envisager les obligations légales (notification dans les délais prévus).

7. Tableau récapitulatif

Type d'alerte	Indicateur typique	Priorité courante	Exemple observé
Reconnaissance	Scans de ports, requêtes DNS suspectes	Modérée	Scan TCP depuis IP externe
Exploitation	Tentatives d'authentification, injections	Élevée	Bruteforce SSH (×47 échecs)
Compromission	Connexion réussie avec compte compromis	Critique	Connexion SSH réussie backup_admin
Exfiltration	Transferts massifs, comm. vers C2	Critique	Transfert sortant 2.3 GB vers IP C&C
IoC comportementaux	Patterns de comm. ou séquences d'actions	Variable (selon corrélation)	Requêtes DNS massives vers .tk

8. Vérifications pratiques

(Contrôles concrets présentés dans le cours) - Vérifier le calendrier de maintenance et opérations planifiées pour identifier les activités légitimes.
- Consulter les logs d'authentification (échecs/réussites) et l'historique des comptes privilégiés (inactivité, usage).
- Interroger bases de réputation pour IPs et domaines suspects (ex. .tk, IP C&C).
- Examiner volumes de transfert et destinations pour détecter exfiltration (taille, IP cible).
- Vérifier la synchronisation des horodatages entre sources de logs avant toute corrélation.
- Contrôler la création de processus système suspects et accès aux fichiers sensibles sur la machine concernée.

9. Flashcards Anki

Quels sont les trois principaux types d'alertes selon leur objectif présumé ? :: Reconnaissance, exploitation, exfiltration
Définition d'une alerte de sécurité :: Signal automatisé généré lorsqu'une activité suspecte ou potentiellement malveillante est identifiée
Qu'est-ce qu'un IoC ? :: Un artefact observé sur un réseau ou un système indiquant avec forte probabilité qu'une intrusion a eu lieu
Quel outil facilite l'automatisation des corrélations multi-sources ? :: SIEM
Quelle analyse permet de comprendre ce qu'un attaquant tentait d'accomplir dans une communication suspecte ? :: Analyse de payload
Pourquoi la synchronisation des horodatages est-elle essentielle ? :: Pour établir des liens causaux fiables entre les événements
Donnez un exemple d'IoC comportemental mentionné :: Patterns de communication spécifiques ou séquences d'actions caractéristiques de familles de malwares
Quels critères compose la grille de priorisation présentée ? :: Impact, probabilité, urgence, systèmes concernés, score de priorité composite
Quelle action immédiate est recommandée en cas de serveur compromis dans l'exercice ? :: Isolement réseau et révocation des accès du compte compromis
Quel délai de notification est mentionné pour une violation de données clients ? :: Notification CNIL sous 72 heures