Terminé

Lab CTI · Pythonoct. 2026

Investigation automatisée en chaîne

La question

Comment passer, sans intervention humaine, d'une journée de logs Windows à un plan de remédiation qu'un responsable non technique peut lire ?

  1. Détecter
  2. Confirmer
  3. Reconstituer
  4. Remédier

Le scénario

Une journée de logs Windows et Active Directory fictifs : 59 événements au format JSON. Le script ne contient aucune IP, aucun compte ni aucune machine écrits en dur : il doit fonctionner tel quel sur un second jeu de données qu'il n'a jamais vu.

Quatre étapes chaînées

Détecter

Les échecs de connexion (4625) sont regroupés par IP source. Trois profils en sortent : password spraying (au moins 10 échecs sur au moins 5 comptes), force brute, et faux positif interne, comme un compte de service dont le mot de passe a expiré.

Confirmer

Pour chaque IP suspecte, le script cherche une connexion réussie (4624) après son premier échec. Il en tire le compte et la machine compromis, et l'heure à partir de laquelle regarder la suite.

Reconstituer

Il reconstitue la chronologie après l'intrusion : processus (4688), tâche planifiée (4698), compte créé (4720), ajout à un groupe (4732), journal effacé (1102). Tout compte créé par l'attaquant est suivi à son tour, ce qui révèle le rebond, et une commande PowerShell encodée est décodée automatiquement.

Remédier

Chaque action découle d'un fait observé et nomme l'objet concerné : bloquer l'IP, isoler la machine, désactiver le compte, supprimer la tâche. Elle est classée immédiate, à court terme ou de suivi, avec une gravité justifiée par les faits.

Ce que le script a trouvé

  1. 28échecs sur 14 comptes depuis une même IP
  2. 2compromissions, dont un rebond vers le contrôleur de domaine
  3. 13actions proposées, chacune reliée à un fait
  4. CRITIQUEgravité justifiée par les faits observés

Le rejeu de l'incident

Lancez la lecture ou affichez directement la vue finale, puis cliquez sur une machine, un compte ou une IP pour voir son détail.

Ouvrir en plein écran

Vue finale du rejeu : graphe des machines, comptes et IP, avec la chaîne de compromission en rouge

Le rejeu interactif est conçu pour un écran d'ordinateur.

L'ouvrir quand même

Les outils

  • Python
  • MITRE ATT&CK
  • MISP
  • STIX 2.1
  • VirusTotal
  • d3.js
  • Claude Code
Retour à l'accueil