Créer une chronologie

Une chronologie vous aide à expliquer le déroulement d’un incident. Lisez les événements dans l’ordre chronologique et distinguez ce qui s’est passé avant le nettoyage de ce qui s’est passé après.

Les journaux de l’ordinateur d’entraînement montrent le démarrage d’un programme avant un transfert :

seclab logs

Repérez les lignes suivantes :

2026-11-01 08:56:00 practice-laptop PROCESS_STARTED demo-helper parent=demo-browser
2026-11-01 08:58:00 practice-laptop DATA_TRANSFERRED demo-upload: training-records.csv

L’enregistrement du processus relie demo-helper à son processus parent, demo-browser. Ensemble, les enregistrements étayent une brève explication : le navigateur a lancé l’assistant, puis la connexion de l’assistant a transféré un fichier.

Ne transformez pas une supposition en constat. Si les enregistrements montrent uniquement une connexion, vous ne pouvez pas affirmer que des données ont été transférées vers l’extérieur. Enregistrez le processus de départ pour cet exemple :

seclab answer first demo-browser

Vous devriez voir :

Recorded your answer to first.

Les éléments de preuve antérieurs sont transmis aux tickets ultérieurs sous la forme d’un fichier enregistré nommé evidence, suivi du nom de l’ordinateur. Ainsi, l’enregistrement original reste disponible après le nettoyage.