Le voyant rouge de l’antivirus dit qu’un fichier a été détecté. Il ne raconte pas toujours quel processus l’a créé, quel compte l’a lancé, quelles connexions ont suivi et si le même comportement existe ailleurs. La détection endpoint cherche à conserver cette histoire.

Un agent observe création de processus, hachage de fichiers, parent-enfant, modifications sensibles et connexions réseau. Il envoie des événements vers une plateforme centrale. Celle-ci enrichit avec réputation, règles et contexte d’identité, puis produit une alerte reliée à une séquence.

Remonter une chaîne de processus

Une enquête pourrait montrer :

1. outlook.exe écrit facture.doc;
2. winword.exe ouvre le document;
3. une macro lance powershell.exe;
4. PowerShell télécharge un exécutable;
5. l’exécutable crée une clé de démarrage;
6. il contacte une adresse externe;
7. l’agent isole le poste.

Chaque événement seul peut être légitime. La chaîne et le temps les rendent suspects. L’identifiant du processus, son parent, sa ligne de commande, l’utilisateur et le hash permettent de chercher le même indicateur sur le parc.

Une règle trop large — tout PowerShell est mauvais — génère des centaines de faux positifs et cache le vrai signal. On construit une base des usages normaux, signe les scripts administratifs et alerte sur combinaison ou comportement rare. Le score doit rester explicable à l’analyste.

La réponse doit être sûre

Isoler un poste coupe les communications sauf vers la plateforme de sécurité. Sur un serveur critique, cette action peut provoquer une panne. Les autorisations et runbooks varient par classe d’actif. Tuer un processus sans préserver mémoire et preuves peut aussi perdre l’information nécessaire.

L’agent lui-même consomme CPU, disque et réseau. Une file locale tamponne hors connexion avec une limite. Les événements sensibles sont chiffrés, la console exige une authentification forte et ses actions sont auditées. Un attaquant qui obtient l’administration de l’outil possède une capacité d’exécution très large.

La rétention doit permettre l’enquête sans garder chaque activité éternellement. Les données endpoint révèlent noms de fichiers, commandes et habitudes de travail. Accès, finalité et durée sont contrôlés.

Donner une priorité fondée sur l’actif

La même chaîne sur un kiosque isolé et sur le poste d’un administrateur de domaine n’a pas le même risque. Je relierais l’événement à l’inventaire, au rôle du compte, à l’exposition et à la criticité des données. Le score combine comportement et contexte, puis explique ses facteurs. Un actif inconnu augmente l’urgence au lieu de tomber hors tableau. L’analyste peut filtrer les alertes semblables en une campagne et contenir les hôtes avec approbation proportionnée. Après l’incident, le verdict retourne dans les règles afin de réduire les faux positifs sans créer une exception permanente autour d’un processus mal compris.

Je préparerais cinq scénarios réalistes, mesurerais détection, faux positifs, temps d’enquête et impact de l’isolement. Une alerte n’est terminée que lorsqu’un propriétaire a qualifié, contenu, recherché les pairs et documenté la récupération. Plus de télémétrie aide seulement si l’équipe peut transformer la séquence en action.