Un premier périmètre utile
Le premier résultat à viser est le suivant : un plan de collecte, des règles de détection et des procédures de qualification.
Décider dès le démarrage qui pourra utiliser ce résultat et quel événement justifiera d’étendre le périmètre. Éviter de choisir l’outil avant d’avoir stabilisé le besoin.
Couvrir événements utiles, sources, horodatage, intégrité, accès, rétention et procédures de réponse.
Sécurité définit les cas d’usage, exploitation collecte, l’équipe de détection qualifie, et les métiers contribuent à l’impact.
Un plan de collecte, des règles de détection et des procédures de qualification.
Application à votre contexte
Choisissez une activité identifiable, un responsable disponible et un résultat réalisable. La première itération doit réduire une incertitude ou permettre une décision, pas seulement lancer une collecte sans fin.
Reliez chaque mesure à un scénario de risque et à un actif utile. La prévention, la détection, la réaction et la reprise se complètent. Un catalogue d'outils ne suffit pas : précisez qui traite une alerte, en combien de temps et avec quelle autorité.
Trois actions de départ
- Choisir des scénarios de détection pertinents
- Collecter et protéger les événements nécessaires
- Tester les alertes et leur prise en charge