Un intervenant en réponse à incident est un professionnel de la sécurité défensive qui prend en charge un incident de sécurité avéré ou suspecté et le mène jusqu'à sa résolution. Là où les fonctions de surveillance se concentrent sur la détection des activités suspectes, l'intervenant en réponse à incident entre en jeu dès que quelque chose de réel est en cours : un compte compromis, un rançongiciel qui se propage à travers les partages de fichiers, des données qui quittent le réseau, ou un intrus qui a pris pied dans le système. Le rôle consiste à comprendre ce qui s'est passé, à limiter les dommages, à supprimer l'accès de l'adversaire et à ramener l'organisation à un fonctionnement sûr, tout en préservant les preuves et la chronologie nécessaires pour expliquer l'événement par la suite. De nombreux praticiens décrivent ce travail à travers un cycle de vie fait de préparation, de détection et d'analyse, de confinement, d'éradication, de rétablissement et de retour d'expérience, selon la manière dont la discipline a traditionnellement été présentée ; les recommandations actuelles du NIST (SP 800-61 Rev. 3) structurent plutôt la réponse à incident autour de la détection, de la réponse et du rétablissement, soutenues par les fonctions de gouvernance, d'identification et de protection ainsi que par une amélioration continue.
Au quotidien, le travail alterne entre des investigations tendues et rapides et des périodes plus calmes de préparation. Pendant un incident actif, un intervenant analyse les journaux, les captures mémoire, les images disque et la télémétrie réseau pour reconstituer les actions de l'attaquant, décide quels systèmes isoler et se coordonne avec les propriétaires des systèmes, les conseillers juridiques et la direction. Une communication claire compte autant que la profondeur technique, car les intervenants doivent traduire des constats incertains en décisions sur lesquelles les dirigeants peuvent agir, souvent sous pression et contre la montre. Entre les incidents, les intervenants construisent et testent des playbooks, affinent la logique de détection en partenariat avec l'équipe de surveillance, mènent des exercices sur table et documentent les procédures afin que le prochain événement soit traité plus vite et de façon plus cohérente. Une grande partie du travail consiste à tenir des traces rigoureuses : chaque action entreprise et chaque observation effectuée est consignée pour appuyer l'analyse ultérieure et, le cas échéant, les procédures réglementaires ou judiciaires.
Le rôle exige des bases solides en fonctionnement interne des systèmes d'exploitation, en réseaux et en authentification, ainsi que la capacité de lire des preuves à travers les postes de travail, les serveurs, les environnements cloud et les systèmes d'identité. Les intervenants doivent comprendre comment les attaquants opèrent habituellement, souvent organisé à travers des cadres tels que MITRE ATT&CK, afin d'anticiper le prochain mouvement et de savoir où chercher. Tout aussi importantes sont les compétences humaines : le sang-froid en situation de crise, une prise de notes rigoureuse et le discernement nécessaire pour faire remonter la situation lorsque son ampleur dépasse la capacité de l'équipe. Une bonne connaissance de l'analyse forensique, du scripting pour le traitement des données et des outils de journalisation et de protection des postes propres à l'organisation complète le profil technique, même si les produits spécifiques importent moins que le raisonnement sous-jacent.
Les personnes entrent généralement dans la réponse à incident après avoir travaillé comme analyste SOC, où elles développent une intuition du normal par rapport à l'anormal, ou à partir d'un parcours en administration systèmes ou en ingénierie réseau qui leur confère une connaissance approfondie des environnements qu'elles défendront ensuite. Les intervenants débutants traitent des incidents bien définis sous supervision et prennent progressivement en charge des événements plus vastes et plus confus. Avec l'expérience, certains deviennent des intervenants seniors qui dirigent les investigations majeures et encadrent les autres, tandis que d'autres se spécialisent dans l'investigation numérique, le renseignement sur les menaces, ou la conception de programmes de détection et de réponse. Le rôle est proche de plusieurs fonctions voisines mais reste distinct de chacune : l'analyste SOC trie et fait remonter les alertes sur lesquelles les intervenants agissent, l'analyste de logiciels malveillants réalise l'ingénierie inverse des outils spécifiques récupérés par un intervenant sur un hôte compromis, et le traqueur de menaces recherche de façon proactive les intrusions qui n'ont pas encore déclenché d'alerte. Les intervenants en réponse à incident dépendent de ces trois fonctions et passent fréquemment de l'une à l'autre au cours de leur carrière.