Comment trier des alertes de sécurité ?
Une alerte de sécurité est un message automatique qui dit : « il se passe peut-être quelque chose de grave ». Le triage est le tri de ces alertes, pour traiter d’abord celles qui comptent le plus.
Un lundi matin, une équipe trouve quarante alertes dans sa boîte. Elle ne peut pas les lire toutes avec le même soin. Cette leçon vous apprend à les classer.
À la fin de cette leçon
Remarque
Je peux classer des alertes selon ce qui compte le plus.
Mots-clés
| Mot | Ce que ça veut dire | Exemple |
|---|---|---|
| Alerte | un message automatique qui signale un événement suspect | |
| Gravité | les dégâts possibles si l’alerte est vraie | critique, haute, moyenne, faible |
| Faux positif | une alerte alors qu’il n’y a pas d’attaque | |
| Vrai positif | une alerte qui annonce une vraie attaque | |
| Triage | classer les alertes pour traiter d’abord les plus urgentes | |
| Fatigue d’alerte | l’habitude d’ignorer des alertes trop nombreuses |
Les cellules que les étudiants remplissent restent vides dans cet aperçu.
La gravité dit les dégâts possibles
La gravité d’une alerte répond à une question : si c’est vrai, que perd-on ? Une alerte critique annonce la perte de données ou l’arrêt du service.
La gravité ne dit pas si l’alerte est vraie. Une alerte critique peut être fausse. Une alerte faible peut être le début d’une vraie attaque.
Exemple travaillé : les niveaux de gravité
| Niveau | Ce que cela veut dire | Exemple |
|---|---|---|
| Critique | Données ou service perdus maintenant | Un serveur de paiement chiffré par un intrus |
| Haute | Un intrus a peut-être un accès | Une connexion depuis un pays inattendu |
| Moyenne | Un comportement louche, sans dégât connu | Un scan de pages inhabituel |
| Faible | Une information à garder | Un mot de passe oublié par un employé |
Les cellules que les étudiants remplissent restent vides dans cet aperçu.
Compter une file d’alertes par niveau
printf 'critique\nfaible\nhaute\ncritique\nfaible\nfaible\n' | sort | uniq -c | sort -rnAffichée ici, non exécutée. Créez un compte gratuit pour appuyer sur Exécuter et la saisir dans le terminal de votre propre labo.
Un faux positif est une alerte sans attaque
Un faux positif est une alerte qui sonne alors que personne n’attaque. Un employé qui se trompe de mot de passe en est un exemple.
Trop de faux positifs créent la fatigue d’alerte : l’équipe finit par ne plus regarder. Pour trancher, cherchez une explication normale, puis vérifiez-la.
Combien de refus 403 dans le journal web ?
awk '$9 == 403' case/var/log/nginx/access.log | wc -lAffichée ici, non exécutée. Créez un compte gratuit pour appuyer sur Exécuter et la saisir dans le terminal de votre propre labo.
Combien de pages introuvables 404 ?
awk '$9 == 404' case/var/log/nginx/access.log | wc -lAffichée ici, non exécutée. Créez un compte gratuit pour appuyer sur Exécuter et la saisir dans le terminal de votre propre labo.
Exemple travaillé : vraie ou fausse alerte ?
| Alerte | Explication possible | Comment vérifier |
|---|---|---|
| Cinq échecs pour Léa | Elle a oublié son mot de passe | Une connexion acceptée ensuite, depuis son adresse habituelle |
| Beaucoup de pages 404 | Un robot ou un scanner cherche des pages | Ces pages existent-elles sur le site ? |
| Un nouveau compte administrateur | Un collègue autorisé l’a créé | Existe-t-il une demande de changement ? |
Les cellules que les étudiants remplissent restent vides dans cet aperçu.
Le triage combine trois choses
Pour classer, regardez trois choses : la gravité, l’importance de la machine et le contexte. Une machine clé est une machine dont le service ne peut pas s’arrêter, comme celle des paies.
Une règle simple donne une note. Gravité : critique 4, haute 3, moyenne 2, faible 1. Machine clé : plus 2. Bruit connu : note 0.
Exemple travaillé : la note de quatre alertes
| Alerte | Gravité | Machine clé | Bruit connu | Note |
|---|---|---|---|---|
| A1 | Haute (3) | Non | Non | 3 |
| A2 | Faible (1) | Oui (+2) | Non | 3 |
| A3 | Critique (4) | Oui (+2) | Non | 6 |
| A4 | Moyenne (2) | Non | Oui | 0 |
Les cellules que les étudiants remplissent restent vides dans cet aperçu.
Trouver la note la plus haute
# Les notes de quatre alertes, dans l’ordre d’arrivée.
notes = [3, 3, 6, 0]
meilleur = 0
for i in range(1, len(notes)):
# Le signe > strict garde la première alerte en cas d’égalité.
if notes[i] > notes[meilleur]:
meilleur = i
print("Position la plus urgente :", meilleur)
# À vous : changez 6 en 3. Quelle position est affichée, et pourquoi ?
Erreur fréquente
Attention
Beaucoup de gens pensent qu’une alerte faible peut être ignorée. Une alerte faible sur la machine des paies peut compter plus qu’une alerte haute sur un poste de test. Plusieurs alertes faibles venant de la même source forment parfois un signal. Lisez la gravité avec le contexte.