CyberGlossary

Forensique et réponse

DFIR (Investigation numérique et réponse à incident)

Aussi appelé: Forensique et réponse à incident

Définition

Discipline combinée qui fusionne l'investigation forensique numérique et la réponse à incident pour détecter, contenir, éradiquer et tirer les leçons des incidents de cybersécurité.

Les équipes DFIR interviennent pendant et après les incidents pour comprendre ce qui s'est passé, mesurer l'impact, évincer l'adversaire et produire des constats à valeur probante. Leurs processus s'alignent sur NIST SP 800-61 pour la gestion d'incidents et sur NIST SP 800-86 / ISO/IEC 27037 pour le traitement des preuves, en combinant réponse à chaud (requêtes EDR, collectes triées via KAPE ou Velociraptor) et acquisition forensique complète si nécessaire. Les analystes croisent télémétrie endpoint, mémoire, réseau et cloud pour reconstituer les TTP cartographiées dans MITRE ATT&CK. Les livrables incluent indicateurs de compromission, cause racine, recommandations de remédiation et retours d'expérience qui renforcent détection et prévention.

Exemples

  • Activation d'un contrat DFIR après une attaque ransomware : triage Velociraptor, imagerie des hôtes clés et plan de confinement.
  • Reconstruction d'une intrusion APT à partir de la télémétrie endpoint et des journaux cloud pour identifier l'accès initial et les déplacements latéraux.

Termes liés