Le rapport d'incident

Après un incident, les autres personnes doivent comprendre ce qui s’est passé. Un rapport d’incident explique les faits : quand l’attaquant est entré, comment il est entré, quels comptes il a utilisés et quelles informations il a prises.

Par exemple, supposons que les preuves montrent que Lee a réutilisé un mot de passe volé. La première connexion réussie a eu lieu à 08:12:04, et l’attaquant a copié les coordonnées des fournisseurs. Vous consigneriez ces faits séparément :

seclab answer first 08:12:04

Vous devriez voir :

Recorded your answer to first.

seclab answer entry reused password

Vous devriez voir :

Recorded your answer to entry.

seclab answer accounts lee

Vous devriez voir :

Recorded your answer to accounts.

seclab answer loss supplier contacts

Vous devriez voir :

Recorded your answer to loss.

Indiquez l’heure à laquelle l’attaquant est entré pour la première fois, qui peut être antérieure à l’alarme. En cas de perte de données, indiquez ce qui a réellement été pris. Si vous avez interrompu un téléchargement plus important avant qu’il n’ait lieu, ne comptez pas les informations que l’attaquant n’a pas reçues.