Le tri est l'évaluation initiale d'un incident suspecté, où les intervenants jugent rapidement à quoi ils ont affaire, à quel point c'est grave et ce qui mérite de l'attention en premier. Emprunté à la médecine d'urgence, le terme saisit la tâche essentielle : trier de nombreux problèmes potentiels afin que les plus urgents reçoivent la réponse la plus rapide.
Au sein de la phase de réponse, le tri est le point d'entrée. Toute alerte n'est pas un incident, et tout incident n'est pas d'égale gravité, de sorte que le tri filtre et classe ce qui arrive. Une décision de tri judicieuse donne le tempo de tout ce qui suit, en orientant le temps rare des intervenants vers les événements les plus susceptibles de causer du tort et à l'écart du bruit.
En pratique, le tri recueille le contexte initial d'une alerte ou d'un signalement, confirme s'il représente une activité réellement malveillante ou anormale, et attribue une gravité fondée sur des facteurs tels que les actifs touchés, l'impact potentiel et le périmètre. Les intervenants classent l'incident, décident s'il faut l'escalader et l'orientent vers les bonnes personnes. Des définitions et des critères de gravité clairs rendent ces jugements cohérents d'un analyste à l'autre et sous pression. Un bon tri est rapide mais rigoureux, équilibrant le besoin d'agir vite face au risque de mal juger un événement trop tôt.
Références#
- NIST SP 800-61, Computer Security Incident Handling Guide
- SANS, Incident Handler's Handbook