# Cycle de réponse à incident (NIST SP 800-61)
1. Préparation        : plan de réponse écrit, outils prêts, équipe identifiée AVANT l'incident
2. Détection & analyse : identifier qu'un incident est en cours, en évaluer la portée
3. Confinement          : limiter la propagation sans détruire les preuves
4. Éradication           : supprimer la cause racine (malware, accès compromis, vulnérabilité exploitée)
5. Récupération           : restaurer les services en confiance, surveillance renforcée post-incident
6. Retour d'expérience      : "post-mortem" sans recherche de coupable, améliorer le processus

# Confinement d'un hôte compromis (isolation réseau immédiate, en préservant l'état pour analyse)
# Isoler au niveau réseau plutôt qu'éteindre la machine (éteindre perd la mémoire vive = preuves volatiles)
iptables -I INPUT -s <ip_hote_compromis> -j DROP
iptables -I OUTPUT -d <ip_hote_compromis> -j DROP
# Ou au niveau du switch/VLAN : déplacer le port vers un VLAN de quarantaine isolé

# Capture de preuves volatiles AVANT toute action destructive (ordre de volatilité, du plus au moins volatile)
# 1. Registres CPU/cache (quasi impossible à capturer en pratique)
# 2. Mémoire vive (RAM) - CAPTURER EN PREMIER
# 3. État réseau (connexions actives)
# 4. Processus en cours
# 5. Disque
# 6. Logs distants / sauvegardes

# Capture mémoire avec LiME (Linux Memory Extractor) sur un système de LAB compromis (simulation)
insmod lime.ko "path=/mnt/forensics/memory.lime format=lime"

# Snapshot de l'état réseau et des processus avant toute autre intervention
ss -tulpn > /mnt/forensics/network_state.txt
ps auxf > /mnt/forensics/process_list.txt
lsof -i > /mnt/forensics/open_files_network.txt

# Chaîne de custody (chain of custody) : hacher chaque preuve collectée pour prouver son intégrité ultérieure
sha256sum /mnt/forensics/memory.lime > /mnt/forensics/memory.lime.sha256
sha256sum /mnt/forensics/disk_image.dd > /mnt/forensics/disk_image.dd.sha256
# Toute preuve doit être accompagnée de : qui l'a collectée, quand, comment, et son hash au moment de la collecte

# Image disque en lecture seule pour analyse (ne JAMAIS analyser directement le disque original)
dd if=/dev/sdb of=/mnt/forensics/disk_image.dd bs=4M status=progress conv=noerror,sync
# Alternative plus rapide et avec métadonnées intégrées : dc3dd, ou ewfacquire (format E01 standard forensics)
ewfacquire /dev/sdb -t /mnt/forensics/disk_image

# Analyse de logs pour reconstituer une timeline d'attaque (exemple: logs d'authentification SSH)
grep "Failed password" /var/log/auth.log | awk '{print $1, $2, $3, $9, $11}' | sort | uniq -c | sort -rn | head -20

# Recherche de comptes créés récemment ou de modifications suspectes de sudoers
grep "new user" /var/log/auth.log
find /etc/sudoers.d/ -newer /var/log/auth.log -type f

# Recherche de binaires suspects récemment modifiés dans les répertoires système
find /usr/bin /usr/sbin /bin /sbin -newermt "2026-09-01" -type f -ls

# Timeline forensique : agréger des événements de sources multiples (logs auth, web, EDR) par horodatage
from datetime import datetime

events = []

def add_event(source: str, timestamp: datetime, description: str):
    events.append({"source": source, "timestamp": timestamp, "description": description})

# ... peuplé depuis auth.log, access.log, EDR alerts, etc.
timeline = sorted(events, key=lambda e: e["timestamp"])
for e in timeline:
    print(f"{e['timestamp'].isoformat()} [{e['source']}] {e['description']}")
# Une timeline claire est souvent l'élément le plus utile du rapport d'incident final

# Indicateurs de compromission (IoC) à rechercher systématiquement
- Nouveaux comptes utilisateurs ou modification de groupes privilégiés
- Processus inhabituels avec des connexions réseau sortantes vers des IP/domaines inconnus
- Tâches planifiées (cron, Scheduled Tasks) créées récemment sans justification
- Fichiers binaires avec des hash correspondant à des malwares connus (VirusTotal, MISP)
- Volumes de trafic sortant anormaux (exfiltration potentielle)