Incident Responder : le spécialiste de la réponse aux cyberattaques

Que fait réellement un analyste réponse à incident ?

L’analyste réponse à incident intervient lorsqu’une cyberattaque n’est plus une hypothèse. Un compte a été compromis, un rançongiciel a chiffré des serveurs, une donnée est sortie de l’entreprise : quelqu’un doit comprendre ce qui s’est passé, arrêter l’attaquant et permettre à l’activité de repartir.

L’analyste SOC pose la question « est-ce normal ? ». L’Incident Responder intervient une fois que la réponse est non.

Le référentiel européen ECSF publié par l’ENISA décrit le profil « Cyber Incident Responder » comme celui qui traite les incidents pendant une cyberattaque et assure la continuité des opérations des systèmes d’information. Sa mission comprend l’analyse et l’évaluation de l’impact des incidents, leur atténuation, l’identification des causes racines et des acteurs malveillants, ainsi que la collecte des preuves et la documentation des actions menées.

Les autres appellations

• Incident Responder
• Incident Response Analyst
• Analyste réponse à incident
• Cyber Incident Handler
• DFIR Analyst
• Analyste CERT ou analyste CSIRT
• Cyber Crisis Expert, sur les profils orientés gestion de crise

Réponse à incident ou analyste SOC : la distinction qui compte

Ces deux métiers sont proches, travaillent souvent côte à côte, et sont pourtant organisés autour de logiques différentes. Comprendre cette différence est essentiel pour choisir sa voie.

1. Le SOC travaille en largeur

   Il traite un flux continu d’alertes, élimine les faux positifs, qualifie rapidement et escalade ce qui mérite de l’être. Sa contrainte principale est le volume : il faut décider vite, sur beaucoup de cas.

2. La réponse à incident travaille en profondeur

   Elle prend un cas et le creuse jusqu’au bout : point d’entrée, périmètre exact, actions de l’attaquant, données concernées. Sa contrainte principale est l’incertitude : il faut conclure sur des traces partielles, souvent incomplètes.

Il existe un chevauchement réel : le référentiel ECSF range d’ailleurs « SOC Analyst » parmi les appellations alternatives du Cyber Incident Responder. Dans beaucoup d’organisations françaises, un analyste SOC de niveau 3 fait déjà, de fait, de la réponse à incident.

Si vous aimez trancher vite et en volume, le SOC vous ira. Si vous préférez creuser un cas pendant trois jours jusqu’à comprendre exactement ce qui s’est passé, c’est la réponse à incident.

Le cycle de réponse à incident

Le découpage de référence est celui décrit par le NIST dans ses publications consacrées au traitement des incidents de sécurité. Voici comment il se traduit concrètement.

1. 1. Préparation

   La phase la moins spectaculaire et la plus déterminante. Procédures écrites, annuaire de crise, accès de secours, outils déployés à l’avance, journaux effectivement collectés et conservés, exercices réalisés à froid. Une équipe qui découvre ses outils pendant l’incident a déjà perdu plusieurs heures.

2. 2. Détection et identification

   L’incident arrive par une alerte du SOC, un signalement utilisateur, une notification externe — parfois d’un partenaire ou du CERT-FR — ou un constat brutal comme un chiffrement massif de fichiers.

3. 3. Triage

   Qualifier la gravité et l’étendue probable, décider du niveau de mobilisation. Surréagir coûte cher ; sous-réagir coûte beaucoup plus cher.

4. 4. Confinement

   Empêcher la progression de l’attaquant : isoler des machines, désactiver des comptes, bloquer des flux, couper une interconnexion. Chaque décision a un impact métier immédiat, et se prend donc rarement seul.

5. 5. Investigation

   Reconstruire la chronologie complète. Comment l’attaquant est-il entré ? Depuis quand est-il présent ? Quels comptes a-t-il utilisés ? A-t-il établi des mécanismes de persistance ? S’est-il déplacé latéralement ? À quelles données a-t-il eu accès ?

6. 6. Éradication

   Supprimer la présence de l’attaquant : comptes créés, tâches planifiées, implants, accès distants détournés. Et surtout fermer la voie d’entrée — un système restauré sans correction de la faille sera recompromis.

7. 7. Restauration

   Remettre en service de façon maîtrisée, dans un ordre défini, en vérifiant l’intégrité de ce qui est restauré et en surveillant étroitement les systèmes concernés.

8. 8. Retour d’expérience

   Ce qui a fonctionné, ce qui a manqué, ce qu’il faut corriger durablement. C’est la phase la plus souvent sacrifiée, et celle qui produit le plus de valeur à long terme.

Un cas concret : un compte administrateur utilisé depuis une machine inconnue

Le SOC remonte une alerte : un compte d’administration du domaine s’est authentifié depuis un poste qui ne lui est pas habituel, à 3 h 12 du matin. Voici ce que fait l’analyste réponse à incident.

1. Il collecte avant de toucher

   Journaux d’authentification de l’annuaire, données EDR de la machine source et des machines cibles, journaux des équipements réseau, journaux des accès distants. Premier réflexe : figer l’état avant que quiconque ne redémarre quoi que ce soit.

2. Il établit la chronologie

   Première authentification anormale, actions menées ensuite, autres comptes utilisés, commandes exécutées. L’objectif est de remonter jusqu’au premier événement anormal, qui précède presque toujours l’alerte de plusieurs jours.

3. Il analyse les comptes

   Ce compte a-t-il été utilisé ailleurs ? D’autres comptes à privilèges présentent-ils un comportement inhabituel ? Des comptes ont-ils été créés ou des droits modifiés ?

4. Il exploite l’EDR

   Processus lancés, relations parent-enfant, connexions sortantes, fichiers déposés, exécutions en mémoire. C’est souvent là que le mode opératoire devient lisible.

5. Il isole

   Les machines concernées sont mises hors du réseau, les comptes compromis désactivés, les secrets exposés réinitialisés. La décision est prise avec les équipes d’exploitation, car elle interrompt du service.

6. Il cherche la persistance

   Tâches planifiées, services créés, clés de registre, comptes de service détournés, accès distants légitimes réutilisés. Un attaquant sérieux prévoit toujours son retour.

7. Il cherche le mouvement latéral

   Quelles autres machines ont été atteintes ? Par quel protocole ? Avec quelles identités ? C’est ce qui détermine l’étendue réelle de la compromission.

8. Il identifie l’origine

   Hameçonnage, vulnérabilité exposée sur Internet, prestataire compromis, identifiant dérobé réutilisé. Sans cette réponse, l’éradication reste incomplète.

9. Il conserve les preuves

   Copies intègres, empreintes, journal horodaté des actions menées. Indispensable pour un éventuel dépôt de plainte, une déclaration réglementaire ou un litige avec un assureur.

10. Il accompagne la restauration puis rédige

    Remise en service maîtrisée, surveillance renforcée, puis rapport d’incident : déroulé, impact établi, mesures prises, recommandations.

La compétence la plus précieuse dans ce métier n’est pas la connaissance d’un outil : c’est la capacité à distinguer ce qui est établi, ce qui est probable et ce qui est inconnu — et à le dire clairement sous pression.

Les outils du métier

Comme dans tous les métiers cyber, l’outil ne fait pas l’analyste. Deux personnes disposant du même EDR ne produiront pas la même investigation : ce qui les distingue, c’est la méthode et la connaissance de ce à quoi ressemble un système sain.

MITRE ATT&CK comme grille de lecture

La base de connaissances MITRE ATT&CK recense les tactiques et techniques observées dans des attaques réelles. En réponse à incident, elle sert à structurer l’analyse : si l’on a constaté un accès initial et une élévation de privilèges, elle aide à savoir quoi chercher ensuite en matière de persistance, de contournement des défenses ou de déplacement latéral. Elle fournit aussi un vocabulaire commun pour décrire un incident sans ambiguïté.

Incident Responder, SOC, Forensic, Threat Hunter : qui fait quoi ?

1. Analyste SOC

   Surveille en continu, qualifie les alertes, élimine les faux positifs, escalade. Logique de flux et de volume.

2. Analyste réponse à incident

   Prend en charge un incident avéré : investigation, confinement, éradication, restauration, rapport. Logique de cas.

3. Forensic Analyst

   Analyse en profondeur les supports et les artefacts, avec une exigence de valeur probante. Intervient souvent en appui de la réponse à incident.

4. Threat Hunter

   Recherche de façon proactive des traces d’attaques qu’aucune alerte n’a signalées. Part d’une hypothèse plutôt que d’un signalement.

Dans un grand groupe ou chez un prestataire spécialisé, ce sont quatre rôles distincts. Dans une équipe de cinq personnes, ce sont quatre casquettes portées par les mêmes analystes.

Les qualités indispensables

C’est un métier où le tempérament compte autant que la technique. Un excellent technicien qui perd ses moyens en crise sera moins utile qu’un bon technicien méthodique.

• Sang-froid : la situation est déjà mauvaise, la panique ne l’améliore pas
• Esprit d’enquête : suivre un fil jusqu’au bout, y compris quand il ne mène nulle part
• Rigueur documentaire : chaque action menée doit être tracée et horodatée
• Honnêteté intellectuelle : dire « je ne sais pas encore » plutôt que de rassurer à tort
• Résistance à l’incertitude : conclure avec des traces incomplètes
• Clarté d’expression : rendre compte à une direction sous pression
• Esprit d’équipe : une crise se gère à plusieurs, avec des rôles définis
• Capacité de récupération : les incidents majeurs sont épuisants

Comment accéder au métier

La réponse à incident se pratique rarement en premier poste. Elle demande de savoir à quoi ressemble un système qui fonctionne normalement — sans ce repère, il est impossible d’identifier ce qui cloche.

Trajectoires les plus fréquentes

Profils qui s’y reconvertissent bien

• Analystes SOC souhaitant creuser plutôt que trier
• Administrateurs systèmes ayant déjà géré un incident réel
• Administrateurs réseau à l’aise avec l’analyse de flux
• Ingénieurs cybersécurité voulant se rapprocher de l’opérationnel de crise
• Profils venant du support de niveau 3, habitués au diagnostic sous pression

Pour une personne sans base informatique, le chemin est long mais praticable : fondamentaux systèmes et réseau, puis un premier poste en SOC, puis la réponse à incident. Vouloir sauter l’étape SOC est généralement une mauvaise idée.

Avantages et contraintes du métier

• Métier à forte utilité, dont l’impact est immédiatement visible
• Apprentissage technique très rapide, au contact d’attaques réelles
• Reconnaissance interne forte après une crise bien gérée
• Compétences rares et recherchées sur le marché
• Diversité : aucun incident ne ressemble exactement au précédent
• Passerelles nombreuses vers la CTI, le threat hunting ou le pilotage de CSIRT

• Astreintes fréquentes et interventions hors horaires
• Stress réel lors des incidents majeurs
• Charge mentale prolongée sur les crises longues
• Imprévisibilité du planning
• Nécessité de conclure malgré des informations incomplètes
• Exposition à la pression de la direction et parfois des clients