Les alertes sont le moyen par lequel les constats de détection parviennent aux personnes capables d'agir. Elles acheminent les signaux produits par l'analyse vers les bons intervenants, en transportant suffisamment de contexte pour que le destinataire comprenne ce qui s'est passé et décide de la suite. Une alerte sans contexte est une question ; une alerte avec du contexte est un point de départ.
Au sein de la phase de détection, les alertes constituent le pont vers la réponse. Elles interviennent après que l'analyse a jugé qu'un événement méritait attention et avant que l'investigation ne commence. La qualité des alertes détermine la rapidité et la justesse avec lesquelles une équipe peut agir, c'est pourquoi les défenseurs se soucient non seulement de détecter l'activité, mais aussi de la présenter clairement et de l'envoyer à la bonne destination.
En pratique, les alertes impliquent un enrichissement avec le contexte des actifs, des identités et des menaces, un calcul de gravité, une déduplication et un routage vers des files d'attente, des messageries ou des systèmes de ticketing. Une préoccupation centrale est la fatigue d'alerte : un trop grand nombre d'alertes de faible valeur émousse l'attention et laisse de vrais incidents passer inaperçus. Les équipes règlent les détections, suppriment les motifs connus comme bénins et priorisent par le risque, de sorte que ce qui parvient à un analyste en vaille la peine. Un réglage continu maintient un signal fort à mesure que l'environnement évolue.
Références#
- NIST SP 800-61, Computer Security Incident Handling Guide
- SANS, ressources sur les Security Operations Center