La réponse est la phase du cycle de vie défensif où une organisation agit sur un incident confirmé pour limiter les dégâts et reprendre le contrôle. Elle suit la détection, qui émet le signal, et précède la restauration, qui rétablit le fonctionnement normal. Une réponse efficace est rapide, méthodique et bien coordonnée, mettant en balance la nécessité d'arrêter un attaquant avec celle de préserver les preuves et de maintenir l'activité. La qualité d'une réponse dépend souvent de la façon dont la phase de préparation a doté l'équipe de plans, d'accès et de rôles éprouvés.
Ce pilier couvre les activités menées pendant un incident actif.
- Le triage évalue les alertes et signalements entrants pour confirmer si un incident est réel et quel est son degré d'urgence.
- L'investigation détermine la portée, le point d'entrée et l'impact de l'incident en examinant les systèmes affectés et les preuves.
- Le confinement empêche l'incident de se propager davantage pendant que l'équipe travaille à une correction complète.
- L'éradication supprime la présence de l'adversaire, y compris les logiciels malveillants, les points d'ancrage et les accès non autorisés.
- La communication tient les parties prenantes, la direction et les parties affectées informées par des mises à jour exactes et opportunes.
- La coordination aligne les personnes, les équipes et les tâches pour que la réponse avance dans une direction unique.
Références#
- NIST SP 800-61, Computer Security Incident Handling Guide
- SANS Institute, Incident Handler's Handbook