UQO · Projet d'équipe en laboratoire
Concevoir, instrumenter et animer un exercice de réponse à incident : une autre équipe prend le quart d'analyste SOC d'une PME acéricole et doit détecter, qualifier et contenir un incident qui progresse en temps réel, sans mettre la production à l'arrêt.
2 h
de quart SOC, en temps réel, au maximum
5
sources de journaux centralisées dans Splunk
6 sem.
de saison des sucres, quand chaque arrêt coûte le plus cher
Faites défiler : chaque source s'allume, avec ses équipements, quand ses journaux rejoignent Splunk.
Trois zones cloisonnées, un seul point de passage : le routeur-pare-feu.
192.168.1.0/24
192.168.2.0/24
192.168.3.0/24
SI d'Érablière Boréale
Rien ne passe d'une zone à l'autre, ni vers Internet, sans traverser le routeur-pare-feu. Ses journaux disent qui parle à qui.
Reverse-proxy, Apache et serveur e-commerce : les journaux du seul service publié sur Internet.
Chaque ouverture de session et chaque changement de compte, des serveurs aux postes de bureau.
Passage obligatoire pour administrer un serveur à distance : chaque session y est tracée.
Ouverture de valve et température rejoignent les journaux : la disponibilité et l'intégrité de la production deviennent des signaux de sécurité.
Les cinq sources convergent vers le SIEM central, principale source d'alertes de l'analyste.
Une architecture en trois zones derrière un routeur-pare-feu, les journaux centralisés dans Splunk, un Bastion pour l'administration, et des scripts d'animation qui injectent journaux, trafic et alertes au rythme d'un incident réel. Puis l'énoncé, les règles d'engagement et la conduite en direct.
Le rôle inverse : analyste SOC sur l'environnement conçu par une autre équipe. Trier le signal dans le bruit, qualifier, demander des mesures de confinement proportionnées et tenir le journal d'incident au fil de l'eau.
Des stimuli injectés en direct, dont ni le contenu ni l'heure ne sont connus à l'avance, et un point de statut toutes les 15 minutes environ, même sans nouvel élément.
Déroulement de la séance
T+0 → 10 min
Contexte, remise des accès, vérification des outils, règles d'engagement.
T+10 → 100 min
Les stimuli arrivent : alertes Splunk, courriels, signalements d'employés, demandes de la direction.
T+100 → 115 min
Dernières mesures de confinement et de rétablissement.
T+115 → 120 min
Journal d'incident finalisé, dernières communications de statut.
Une mesure plus intrusive n'est pas toujours la meilleure : en pleine saison des sucres, isoler la production sans nécessité peut coûter plus cher que l'incident.
Méthode et règles d'engagement
Isoler le signal du bruit, le corréler à d'autres sources, écarter les faux positifs.
Attribuer une sévérité et une portée (zone, actifs touchés), et la justifier.
Des mesures proportionnées, déclarées et horodatées. Jamais en ligne de commande sur la production.
Traiter la cause : le compte, l'accès ou le composant à l'origine.
Valider le retour à la normale avant de clore l'incident.
Informer les parties prenantes à chaque changement de statut significatif.
Entraîner la décision sous contrainte : contenir un incident sans sacrifier la production, et en laisser une trace exploitable par la direction.