Journalisation et réponse à incident

Questions fréquentes

Quelles sont les étapes de la réponse à un incident de sécurité ?

Le modèle le plus utilisé compte six phases : préparation, identification, confinement, éradication, retour à la normale et enseignements (retour d'expérience). On prépare avant l'incident (plan, contacts, sauvegardes, journaux), on qualifie l'alerte et on mesure sa portée, on empêche l'extension sans détruire les preuves, on supprime la cause, on redémarre sous surveillance, puis on corrige le plan. Le NIST et l'ANSSI proposent d'autres découpages de la même logique (les six phases en détail).

Qu'est-ce que la journalisation en informatique ?

C'est l'enregistrement horodaté des événements d'un système, d'un équipement ou d'une application : connexions, accès aux données, actions d'administration, erreurs. Les journaux (ou logs) servent à détecter une attaque, à comprendre un incident après coup et à prouver qui a fait quoi. Une bonne ligne de journal dit quand, qui, d'où, quoi, sur quelle ressource et avec quel résultat, sans jamais contenir de mot de passe (quoi journaliser).

Combien de temps faut-il conserver les logs ?

La CNIL recommande, dans sa délibération n° 2021-122 du 14 octobre 2021, une durée comprise entre six mois et un an pour les journaux applicatifs. Une durée plus longue doit être justifiée par une obligation légale ou un risque particulier, et documentée. Les journaux contiennent des données personnelles : on les conserve à part du système principal, avec un accès restreint, on informe les utilisateurs, et on les supprime automatiquement à l'échéance.

C'est quoi un SIEM, et quelle différence avec un SOC ?

Un SIEM est un logiciel qui centralise les journaux de tout le système d'information, les normalise, les corrèle et lève des alertes, comme Wazuh, Elastic Security ou Splunk. Un SOC est l'équipe, interne ou externalisée, qui surveille ces alertes et y répond. Le SIEM est l'outil, le SOC les personnes : un SIEM dont personne ne lit les alertes ne protège de rien (SIEM et centralisation des logs).

C'est quoi un indicateur de compromission (IOC) ?

Un IOC est une trace technique qui signale une compromission probable : empreinte d'un fichier malveillant, adresse IP ou nom de domaine d'un attaquant, clé de registre ou tâche planifiée créée par un maliciel. On les trouve dans les bulletins du CERT-FR et les plateformes de partage comme MISP, et on les recherche dans les journaux et sur les machines pour qualifier une alerte et mesurer l'étendue d'un incident (indicateurs de compromission).

Que faire en cas d'attaque par rançongiciel ?

Ouvre une main courante, isole les machines infectées du réseau sans les éteindre brutalement (la mise en veille prolongée est préférable), déconnecte les sauvegardes et coupe l'accès à Internet si l'attaquant agit depuis l'extérieur. Laisse éteints les équipements non démarrés, active une cellule de crise, ne paie pas la rançon, conserve les données chiffrées et dépose plainte dans les 72 heures. Ces réflexes viennent du guide de l'ANSSI (réagir à un rançongiciel).

Quand faut-il notifier une violation de données à la CNIL ?

Dès qu'une violation de données personnelles est susceptible de créer un risque pour les personnes, dans les 72 heures après en avoir pris connaissance, week-ends compris (article 33 du RGPD). Toute violation, même non notifiée, s'inscrit au registre interne. Si le risque est élevé, il faut aussi informer les personnes concernées (article 34), sauf exceptions comme des données solidement chiffrées (notifier un incident).

La directive NIS 2 s'applique-t-elle en France ?

Pas encore au 1er novembre 2026. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui la transpose, a été adopté par le Sénat le 12 mars 2025, mais son examen en séance à l'Assemblée nationale a de nouveau été reporté en octobre 2026. Une fois la loi et ses décrets publiés, les entités concernées devront signaler leurs incidents importants sous 24 heures (alerte précoce), 72 heures (notification) et un mois (rapport final).

Quels événements Windows surveiller en priorité ?

Les échecs et réussites d'ouverture de session (4625 et 4624, avec le type 10 pour le bureau à distance), la création de comptes (4720), les ajouts à un groupe d'administration (4728, 4732, 4756), le verrouillage de compte (4740), la création de services (7045) et de tâches planifiées (4698), et l'effacement du journal Sécurité (1102). Il faut d'abord activer la stratégie d'audit avancée par GPO, puis centraliser ces événements (lire les journaux Windows).

La réponse à incident tombe-t-elle à l'épreuve E7 du BTS SIO ?

Oui, dans les deux options. Les sujets SISR de 2023 et de 2026 contiennent un dossier entier de réponse à un incident (phases, indicateurs de compromission, analyse forensique, obligations légales), celui de Nouvelle-Calédonie 2025 un dossier sur la gestion des journaux et syslog. En SLAM, les sujets de 2025 et 2026 font compléter une méthode de journalisation, écrire des requêtes de surveillance et analyser les journaux d'un SGBD. Le cas type corrigé t'entraîne à ce format.