Une alerte de sécurité n’est pas encore un diagnostic

Ce que le signal permet de savoir

Une alerte décrit un événement détecté selon une règle ou une analyse. Elle peut révéler une activité malveillante, un changement légitime ou un manque de contexte. Sa gravité apparente doit être examinée.

La visibilité dépend des journaux collectés, de leur conservation et des équipements couverts. Un événement absent de ces sources ne peut pas être considéré comme vérifié.

Les questions à examiner avant d’agir

• Quel compte, appareil ou service est concerné ?
• Quand le fait a-t-il eu lieu et quelles autres traces sont disponibles ?
• Une action autorisée peut-elle expliquer ce comportement ?
• Quelles données ou activités pourraient être affectées ?
• Qui peut décider d’une restriction et quelles seraient ses conséquences ?

Lorsqu’une compromission est suspectée, les mesures de limitation et la collecte des éléments doivent être coordonnées. Certaines situations exigent une action rapide sans attendre la conclusion complète de l’analyse.

Expliquer la décision et la suite

Le suivi doit distinguer le signal initial, les éléments vérifiés, l’action réalisée et les points encore incertains. Une alerte clôturée doit avoir une explication, pas seulement un statut.

Pour un compte Microsoft 365 compromis, les recommandations Microsoft couvrent notamment les sessions, les méthodes d’authentification, les applications autorisées, les rôles et les transferts de messagerie. Le changement du mot de passe ne résume pas toute la réponse.

Préparer votre chaîne de contact

Définissez qui reçoit les alertes, à quels horaires et avec quelle autorité pour intervenir. Préparez un moyen de contact alternatif si la messagerie habituelle devient suspecte.

Votre accompagnement doit préciser la couverture, les horaires et les actions autorisées. La présence d’outils de collecte ne démontre pas, à elle seule, une analyse humaine 24 h/24.