L'investigation est le travail consistant à comprendre ce qui s'est passé pendant un incident actif : comment l'adversaire est entré, ce qu'il a touché et jusqu'où l'activité s'étend. Elle construit le tableau factuel dont dépendent les décisions de réponse, en délimitant le périmètre de l'incident afin que le confinement et l'éradication traitent l'ensemble du problème plutôt qu'un fragment de celui-ci.
Au sein de la phase de réponse, l'investigation se déroule en étroite collaboration avec le confinement. Les premiers constats orientent ce qu'il faut isoler, tandis que la poursuite de l'investigation révèle toute l'ampleur de la compromission. Agir sur un tableau incomplet risque de manquer des points d'ancrage que l'adversaire a établis, de sorte que l'investigation et le confinement progressent ensemble, chacun éclairant l'autre à mesure que la réponse se déroule.
En pratique, l'investigation recueille et analyse des preuves issues des postes de travail, des journaux, des données réseau et des systèmes d'identité pour reconstituer les actions de l'adversaire. Les intervenants identifient les systèmes et comptes touchés, retracent les déplacements latéraux, déterminent le vecteur d'accès initial et évaluent quelles données ou capacités étaient menacées. Ils préservent soigneusement les preuves au cas où elles seraient ensuite nécessaires à des fins de signalement ou juridiques. Le résultat est une compréhension claire du périmètre et de l'impact qui permet à l'équipe de confiner et d'éradiquer en confiance, et qui alimente l'analyse post-incident une fois l'événement résolu.
Références#
- NIST SP 800-61, Computer Security Incident Handling Guide
- NIST SP 800-86, Guide to Integrating Forensic Techniques into Incident Response