Aller au contenu

Playbook de Réponse aux Incidents : Triage d'une Alerte EDR

1. Compréhension de l’alerte (contextualisation)

Section intitulée « 1. Compréhension de l’alerte (contextualisation) »

La phase initiale exige des analystes qu’ils comprennent ce que le capteur EDR a détecté, sans introduire de biais cognitif.

  1. Analyser les métadonnées de l’alerte :
    • Identifier le nom exact de la détection (ex: “Malicious PowerShell Command”, “LSASS Memory Access”).
    • Évaluer la sévérité attribuée par l’outil (basse, moyenne, haute, critique).
    • Déterminer le mécanisme de détection : s’agit-il d’une détection par signature (un IOC connu) ou d’une heuristique comportementale (un indicateur d’attaque - IOA) ?
  2. Identifier les entités impliquées :
    • Le terminal : nom d’hôte, système d’exploitation, adresse IP. Il est vital de différencier un poste de travail standard d’un serveur d’infrastructure critique.
    • Le compte utilisateur : le contexte de sécurité sous lequel l’activité a eu lieu. S’agit-il d’un utilisateur de domaine standard, d’un administrateur local ou d’un compte de service hautement privilégié (ex: SYSTEM) ?

Comprendre le contexte d’exécution est l’étape la plus critique du triage EDR. L’arborescence des processus (Process Tree) permet de visualiser les relations parent-enfant ayant conduit à l’alerte.

Les analystes DFIR doivent rechercher des incohérences logiques dans la chaîne d’exécution.

Filiation suspecte (Anomalies)

  • outlook.exewinword.exepowershell.exe (Phishing classique / Exécution de macro)
  • httpd.exe ou nginxcmd.exe (Exploitation de serveur web / Web Shell)
  • services.exeRundll32.exe sans arguments légitimes.
  • Tout binaire non signé générant des outils d’administration système natifs.

Filiation bénigne (Attendue)

  • explorer.execmd.exe (Un utilisateur lance manuellement une invite de commande)
  • services.exeSCCM_agent.exeupdate.exe (Déploiement logiciel légitime via un outil de gestion de parc)

Une fois la filiation établie, les analystes doivent déterminer l’intention derrière l’action exécutée.

Les arguments de la ligne de commande représentent la source de vérité de l’intention. Les analystes doivent scruter la télémétrie à la recherche de :

  • Commandes de reconnaissance : utilisation de binaires natifs détournés (LOLBAS) tels que whoami, net user, nltest ou ipconfig.
  • Offuscation : charges utiles encodées en Base64 (ex: powershell -enc ... ou powershell -w hidden -e ...).
  • Contournement d’exécution : tentatives de contournement des politiques d’exécution (ex: ExecutionPolicy Bypass).
  • Connexions réseau : le processus signalé a-t-il initié des connexions réseau sortantes ? Si oui, interrogez l’adresse IP de destination sur des flux de Threat Intelligence. Vérifiez si la connexion a été bloquée par le pare-feu périmétrique ou établie avec succès.
  • Opérations sur les fichiers et le registre : le processus a-t-il déposé des fichiers exécutables dans des répertoires inscriptibles par tous (ex: C:\Users\Public\ ou %TEMP%) ? A-t-il modifié des clés de registre de persistance (ex: HKCU\Software\Microsoft\Windows\CurrentVersion\Run) ?

La phase finale consiste à enrichir les données brutes pour prendre une décision de triage définitive et auditable.

Extrayez tous les indicateurs de compromission (IOCs) pertinents de la télémétrie EDR :

  • Soumettez les hashs de fichiers (SHA256) à des plateformes comme VirusTotal ou à des référentiels de malwares internes.
  • Interrogez les adresses IP et les domaines sur des plateformes de réputation (AbuseIPDB, Talos Intelligence, GreyNoise).

En se basant sur les données enrichies, l’analyste doit appliquer l’un des verdicts suivants :

  1. Faux positif (False Positive) : l’activité est totalement légitime et attendue dans le contexte métier spécifique (ex: un administrateur informatique exécutant un script de maintenance connu).
    • Action : clôturer l’alerte. Créer une règle d’exclusion granulaire dans la console EDR pour prévenir la fatigue d’alerte à l’avenir.
  2. Vrai positif - Bénin (True Positive - Benign) : un utilisateur a effectué une action inhabituelle mais non malveillante ayant déclenché une règle heuristique (ex: un développeur exécutant manuellement whoami ou nmap à des fins de test).
    • Action : clôturer l’alerte. Facultativement, contacter l’utilisateur pour confirmer l’activité et rappeler les politiques de sécurité.
  3. Vrai positif - Malveillant (Incident) : l’analyse révèle une filiation de processus anormale, des lignes de commande offusquées, et/ou des IOCs malveillants confirmés.