Cas d'usage de détection

Définition

Un cas d'usage de détection est une spécification documentée décrivant un scénario de menace précis qu'un dispositif de sécurité doit être capable d'identifier. Il définit l'objectif métier ou technique de la détection, les sources de données nécessaires, la logique de corrélation, les seuils d'alerte, les faux positifs attendus et la procédure de réponse associée. Un cas d'usage typique couvre par exemple une tentative de mouvement latéral via des techniques d'énumération réseau, une exfiltration de données sur des ports non standards, ou une élévation de privilèges via manipulation de jetons Kerberos. Chaque cas d'usage est généralement mappé à une ou plusieurs techniques du référentiel MITRE ATT&CK afin de faciliter la priorisation et la mesure de couverture. La gestion des cas d'usage suit un cycle de vie complet : identification du besoin, conception, implémentation sous forme de règle de corrélation dans le SIEM, validation par des tests d'intrusion contrôlés ou du purple teaming, mise en production, puis révision périodique. Un catalogue de cas d'usage bien tenu permet au SOC de démontrer sa couverture face à la matrice ATT&CK, de justifier les investissements en ingénierie de détection et de répondre aux exigences d'audit issues de normes comme ISO 27001 ou de référentiels sectoriels imposant une surveillance continue et documentée.