Contenir un incident ne suffit pas. Sans Root Cause Analysis (RCA) solide, vous refermez une porte… pendant que l’attaquant en a peut-être ouvert trois autres.
RCA ≠ simple timeline
Une chronologie d’événements est nécessaire, mais insuffisante. La RCA cherche le mécanisme causal :
- comment l’attaquant est entré
- comment il a progressé
- quelles faiblesses de contrôle ont permis chaque étape
- ce qui aurait dû détecter ou bloquer la chaîne
L’objectif n’est pas de blâmer une équipe : c’est d’éliminer les conditions de reprise.
Méthode de travail
1. Fixer le périmètre
Définissez clairement le début et la fin de l’investigation : premier indicateur fiable, derniers accès connus, assets inclus/exclus.
2. Remonter depuis l’effet vers la cause
Partir du symptôme visible (ransomware, compte admin suspect, exfiltration) puis pivoter en arrière :
- host → user → authentification → vecteur initial
- artefact → process → parent → entrée réseau / mail / web
3. Corroborer multi-sources
Une hypothèse n’est solide que si elle est confirmée par plusieurs sources : EDR, IdP, proxy, messagerie, logs applicatifs, forensics disque/mémoire.
4. Séparer faits, interprétations, zones d’ombre
Dans le rapport, marquez explicitement ce qui est prouvé, probable ou inconnu. Cette hygiène évite les décisions basées sur des intuitions.
Livrables attendus
Une bonne RCA produit :
- timeline consolidée (UTC)
- arbre de compromission (machines, comptes, outils)
- point d’entrée initial et causes contributives
- recommandations priorisées (immédiat / 30 jours / structural)
- indicateurs pour améliorer détection et hunting
Erreurs classiques
- S’arrêter au premier malware trouvé
- Restaurer sans identifier le vecteur d’accès initial
- Confondre cause technique et cause organisationnelle
- Publier un rapport trop tard pour influencer la remédiation
Conclusion
La Root Cause Analysis transforme un incident en apprentissage actionnable. Elle protège contre la récidive et donne au management une vision claire des investissements de sécurité réellement nécessaires. Sans elle, la reprise d’activité reste un pari.
Retour au blog