Modèle de playbook SOC — Réponse à incident générique

Ce modèle suit les cadres NIST SP 800-61 et PICERL.
Le dupliquer et le remplir pour chaque nouveau scénario (force brute RDP, phishing, malware, etc.)

Cadres de référence

NIST SP 800-61 — 4 phases

Phase	Nom	Description
1	Préparation	Politiques, outils et playbooks en place avant tout incident
2	Détection et analyse	Triage, qualification et délimitation de l’incident
3	Confinement, éradication et remise en état	Isoler, nettoyer, revenir à un fonctionnement normal
4	Activités post-incident	Débrief, retour d’expérience, amélioration continue

PICERL — 6 phases

Lettre	Phase	Description
P	Preparation	Comme pour le NIST : outils, procédures, équipe prête
I	Identification	Détecter et confirmer l’incident (triage)
C	Containment	Court terme (isoler) puis long terme (corriger, durcir)
E	Eradication	Supprimer la cause racine (malware, compte, vulnérabilité)
R	Recovery	Restaurer et valider le retour à un fonctionnement normal
L	Lessons Learned	Post-mortem, mise à jour du playbook, amélioration des processus

Section 1 — Métadonnées

Champ	Valeur
ID du playbook	PB-XXX-000
Scénario	ex. force brute RDP
Sévérité par défaut	Faible / Moyenne / Élevée / Critique
MITRE ATT&CK	ex. T1110.001, T1021.001
S’applique à	ex. Windows Server, postes de travail
Source de détection	ex. SIEM, EDR, IDS
Auteur
Dernière mise à jour

Section 2 — Description de la menace

Décrire l’attaque : mécanisme, outils courants (Hydra, Medusa, etc.), objectif de l’attaquant et conditions qui la rendent possible (pas de NLA, pas de politique de verrouillage, port exposé, etc.)

Section 3 — Signaux de détection

Volume anormal d’échecs d’authentification (au-dessus du seuil défini)
Même IP source, même compte visé
Intervalle régulier entre les tentatives (schéma automatisé)
Ouverture de session réussie dans la même fenêtre de temps → escalade immédiate

Section 4 — Triage et qualification (Identification)

Confirmer le type d’alerte et le volume
Identifier la source (IP, machine, compte utilisateur)
Identifier la cible (service, compte, criticité pour l’activité)
Rechercher toute ouverture de session réussie
Qualifier : vrai positif / faux positif / bénin

Section 5 — Confinement

Bloquer l’IP source au niveau du pare-feu ou du SIEM
Désactiver ou restreindre le service exposé sur la machine cible
Réinitialiser le compte visé si une compromission est suspectée

Section 6 — Éradication

Supprimer la cause racine (fermer le port, appliquer le correctif, imposer les contrôles)
Vérifier que la machine source n’est pas elle-même compromise

Section 7 — Remise en état

Valider le retour du service à un fonctionnement normal
Confirmer l’absence d’activité suspecte résiduelle (surveiller pendant 24 h)

Section 8 — Retour d’expérience et amélioration

Rédiger le post-mortem (chronologie, impact, qualité de la réponse)
Mettre à jour le playbook si des manques ont été identifiés
Proposer des améliorations : ajustement des règles SIEM, seuil de verrouillage, durcissement

Section 9 — Critères d’escalade (L1 → L2)

Champ	Valeur
Escalader si	Ouverture de session réussie détectée / machine interne compromise / accès admin confirmé
Escalader vers	Analyste L2 / équipe IR / RSSI
Délai maximal avant escalade	ex. 30 min après la détection

Modèle d’IOC

Type	Valeur	Notes
IP source		Machine attaquante
IP cible		Machine visée
Port		Service visé
Compte		Compte visé
Event ID		Événement Windows / Linux concerné
Outil		Outil d’attaque, s’il est identifié

Mapping MITRE ATT&CK

Tactique	Technique	ID

Chronologie

Heure	Événement

Verdict et résultat

Verdict : vrai positif / faux positif / bénin
Justification de la sévérité : …
Escaladé à : …

État de la remédiation

Action	État
	fait / en surveillance / en attente
	fait / en surveillance / en attente

Références : NIST SP 800-61 Rev. 2 · PICERL (SANS Institute) · MITRE ATT&CK