MISSION / ANALYSE ET RÉPONSE
Alerte ou faux positif ?
Une alerte appelle une investigation. Croisez les événements avec les autorisations, puis contenez les menaces en préservant les services légitimes.
Quota commun aux quatre dossiers : chaque clic sur « Tester la décision » ou « Valider l’intervention » consomme une vérification. Après la cinquième, sans validation finale réussie, les quatre dossiers sont renouvelés et les décisions effacées. Le flag reste identique. Une validation réussie au cinquième essai est acceptée.
Fiche de contexte et consignes de réponse
Parc : POSTE-84 (poste utilisateur, isolable temporairement), ADMIN-84 (poste de maintenance), BACKUP-84 (serveur de sauvegarde).
Comptes : c.martin est un utilisateur bureautique, sans accès distant autorisé ; maint-84 est le compte d’administration ; svc-backup-84 exécute les sauvegardes.
Horaires habituels : 08:00–18:00. Maintenance autorisée aujourd’hui de 03:00 à 03:45 sur ADMIN-84, ticket CHG-84, uniquement via le VPN 192.0.2.84 avec MFA et compte maint-84.
Sauvegarde autorisée aujourd’hui de 03:00 à 03:45 : BACKUP-84, processus /opt/backup/backup-agent, compte svc-backup-84, archives métier vers 203.0.113.84 en HTTPS. Aucun autre transfert externe de documents métier n’est autorisé.
Logiciel de supervision autorisé : /opt/monitor/agent, signature vérifiée, sur POSTE-84 ; communications HTTPS toutes les 60 secondes vers supervision.example.com. Aucun autre agent périodique n’est autorisé.
Réponse : conserver les preuves lors d’un incident. Pour un compte compromis, révoquer les sessions ET suspendre temporairement le compte : la révocation seule ne prévient pas une reconnexion. Avant rétablissement, l’équipe habilitée doit renouveler les secrets, vérifier le MFA et contrôler les accès ; ces opérations ultérieures ne sont pas demandées dans cette simulation.
Un poste utilisateur compromis peut être isolé temporairement. Ne pas interrompre une maintenance, une sauvegarde ou une supervision légitime. Conserver les preuves ne contient pas une menace. Bloquer une source empêche ses nouvelles connexions mais ne ferme pas une session active. Isoler un poste coupe toutes ses communications. Une suspension empêche les nouvelles connexions sans garantir la fermeture des sessions existantes.
Pour chaque dossier : lisez les trois événements, choisissez une classification, sélectionnez des preuves concrètes et choisissez les actions adaptées. Reliez au moins une preuve concernant les autorisations (ou la confirmation du titulaire) à une preuve de l’activité effectivement observée. Plusieurs ensembles sont acceptés ; les constats isolés ne remplacent pas ce croisement et les conclusions contraires aux faits sont refusées. Aucun signal isolé ne suffit. Un incident exige la conservation des preuves ; une activité légitime doit être clôturée sans interruption. Une investigation provisoire ne permet pas la validation finale.
Récapitulatif final
La validation contrôle les quatre dossiers et leurs conséquences côté serveur.
Flag individuel :