Le DFIR, abréviation de digital forensics and incident response (investigation numérique et réponse à incident), est la spécialisation de la cybersécurité qui s'intéresse à ce qui se passe après qu'un problème est survenu. Les praticiens enquêtent sur des incidents de sécurité suspectés ou avérés, déterminent comment une intrusion s'est produite et jusqu'où elle s'est propagée, puis guident l'organisation vers un retour à un état de confiance. Le domaine réunit deux disciplines liées : la réponse à incident, qui est l'effort coordonné pour contenir un événement en cours et s'en remettre, et l'investigation numérique, qui est l'examen rigoureux des systèmes et des données afin de reconstituer ce qui s'est passé. Ensemble, elles transforment une situation confuse et sous forte pression en un récit clair des événements, qui soutient à la fois la remédiation et la responsabilisation.
Au quotidien, le travail alterne entre le traitement urgent des incidents et l'analyse méthodique. Pendant un incident en cours, un professionnel DFIR trie les alertes pour confirmer qu'une véritable compromission a eu lieu, délimite les systèmes et les comptes affectés, et collabore avec les autres équipes pour contenir la menace sans détruire de preuves ni perturber l'activité plus que nécessaire. En dehors des événements en direct, le travail est plus lent et plus exigeant : acquisition d'images disque et mémoire, examen des journaux, reconstitution de l'activité de l'attaquant sur une chronologie, et identification de la cause profonde afin que la même faiblesse ne soit pas exploitée de nouveau. Une grande partie de la valeur réside dans la production écrite, notamment les rapports d'incident, les chronologies et les enseignements qui alimentent en retour les règles de détection et les mesures défensives. Lorsqu'un incident peut déboucher sur une action en justice ou réglementaire, une gestion rigoureuse des preuves et une chaîne de responsabilité documentée deviennent centrales dans le métier.
Le rôle exige un mélange de connaissances techniques approfondies et de jugement posé sous pression. Les bons candidats comprennent les rouages internes des systèmes d'exploitation, les systèmes de fichiers, les structures mémoire, les réseaux et les sources de journaux courantes, et ils savent comment les attaquants se déplacent dans un environnement une fois qu'ils y ont pris pied. La maîtrise des outils d'acquisition et d'analyse forensique compte, mais la compétence la plus durable est le raisonnement discipliné : formuler des hypothèses, les confronter aux preuves et résister aux conclusions prématurées. Parce que les incidents sont stressants et impliquent souvent de nombreuses équipes, une communication calme, une prise de notes précise et la capacité d'informer aussi bien les ingénieurs que les dirigeants sont tout aussi importantes que la profondeur technique.
On entre couramment dans le DFIR en venant d'un centre opérationnel de sécurité (SOC), de l'administration systèmes ou réseaux, ou d'une équipe générale de réponse à incident, en apportant une connaissance du comportement normal des environnements qui permet de faire ressortir l'activité anormale. Beaucoup bâtissent leur crédibilité grâce à la pratique concrète, à une étude structurée et à des certifications reconnues avant de mener des investigations. Avec l'expérience, un praticien peut évoluer vers des rôles d'enquêteur senior ou de commandant d'incident, se spécialiser dans des domaines tels que l'analyse de maliciels, l'investigation mémoire ou l'investigation cloud et mobile, ou s'orienter vers le threat hunting et le detection engineering. Le DFIR est proche de plusieurs spécialisations voisines : il s'appuie sur le renseignement sur les menaces pour comprendre le comportement des adversaires, il nourrit la sécurité défensive en durcissant l'environnement après un incident, et il complète l'architecture de sécurité en révélant les endroits où des attaques réelles ont réussi.
Parce que le DFIR est par nature réactif, son influence à long terme vient de la capacité à boucler la boucle. Une pratique mature ne se contente pas de se remettre des incidents : elle en tire des enseignements durables, améliorant la surveillance, les procédures de réponse et la résilience au fil du temps. Ce suivi proactif est ce qui distingue une équipe qui se contente de survivre aux incidents de celle qui élève régulièrement le coût d'une attaque contre l'organisation.