Réagir à un incident : les premières heures
9 min · Débutant · 7 août 2026
Les phases d’une réponse à incident
1. Identification : confirmer qu'un incident reel est en cours (pas un faux positif)
2. Confinement : limiter la propagation ou l'impact, sans tout eteindre au hasard
3. Eradication : comprendre et eliminer la cause complete, pas seulement ses symptomes
4. Retour a la normale : restaurer les systemes, avec surveillance renforcee temporaire
5. Retour d'experience : voir le chapitre suivantLes alertes des chapitres précédents de ce cours alimentent directement la première phase : une règle de détection bien réglée transforme un signal noyé dans les logs en un incident identifié à temps pour agir.
Le réflexe à corriger : éteindre n’est pas contenir
Danger
Éteindre immédiatement une machine compromise détruit des preuves volatiles (mémoire, connexions réseau actives, processus en cours) qui auraient pu révéler comment l’attaquant a opéré. Isoler la machine du réseau, sans l’éteindre, préserve généralement bien plus d’informations exploitables pour la suite de l’analyse.
Confiner une menace signifie limiter sa portée immédiate (couper l’accès réseau, révoquer une session compromise identifiée au chapitre sur l’authentification), pas encore avoir compris ni corrigé sa cause complète. Cette compréhension complète, l’éradication, vient ensuite, une fois la situation stabilisée.
Documenter en temps réel, pas après coup
Chaque action prise pendant un incident (ce qui a été isolé, à quelle heure, par qui) doit être consignée au fur et à mesure, pas reconstituée de mémoire ensuite. Cette chronologie devient la matière première du rapport post-incident, objet du dernier chapitre de ce cours.