Vous découvrez qu'une alerte clôturée il y a trois semaines était en fait une vraie intrusion. Et maintenant ?

Escaladez immédiatement et partez du principe que l'attaquant a eu trois semaines, donc délimitez large avant de confiner. Rouvrez le dossier, reconstruisez la chronologie depuis la télémétrie conservée, et chassez l'activité de suite attendue : persistance, vol d'identifiants, déplacement latéral et exfiltration. Confinez sur la base des constats actuels plutôt que de l'alerte d'origine, en une seule action coordonnée. Ensuite, menez une revue sans blâme sur les raisons pour lesquelles la décision initiale paraissait correcte.

Je le dis à mon responsable tout de suite, avant d'avoir le tableau complet, parce que trois semaines de présence, c'est un incident et que la pire version de ça, c'est un analyste qui enquête seul en silence pour sauver la face. Ensuite je résiste à l'envie d'isoler l'hôte d'origine immédiatement, parce qu'après trois semaines cet hôte n'est probablement pas le seul et que confiner tôt alerte l'attaquant. Donc je délimite d'abord : reconstruire la chronologie avec la rétention qu'il me reste, puis chasser vers l'avant ce qui aurait dû suivre, c'est-à-dire des mécanismes de persistance, de nouveaux comptes de service, de l'accès aux identifiants, de nouvelles arêtes d'authentification compte-hôte, et des anomalies de volume sortant. Une fois l'empreinte connue, je confine en une seule action coordonnée plutôt qu'hôte par hôte. Ensuite je veux que la revue porte sur le processus, pas sur la personne. Quand on a fait ça dans un poste précédent, le constat honnête était que l'analyste n'avait aucune journalisation de ligne de commande sur cet hôte, donc la décision paraissait correcte avec les preuves disponibles. Le correctif, c'était de la télémétrie plus une règle de runbook sur la clôture par absence de preuve.