NIST SP 800-61

Définition

Le NIST SP 800-61 (Computer Security Incident Handling Guide) est le guide de référence publié par le National Institute of Standards and Technology américain pour la gestion des incidents de sécurité informatique. Sa version actuelle (Revision 2, publiée en 2012) est adoptée comme standard de facto par de nombreuses organisations gouvernementales, entreprises et équipes de sécurité dans le monde. Le NIST SP 800-61 définit un cycle de vie de la réponse aux incidents en quatre phases : Préparation, Détection et Analyse, Confinement/Éradication/Récupération, et Activités Post-Incident. Cette structure légèrement différente de PICERL (SANS) est souvent utilisée conjointement, les deux approches étant complémentaires. La phase de Préparation du NIST SP 800-61 est particulièrement détaillée. Elle couvre la mise en place de la capacité de réponse aux incidents (création ou contractualisation d'une équipe CSIRT), la définition des politiques et procédures, la mise en œuvre des outils et infrastructures (SIEM, EDR, outils forensiques), et l'établissement de relations avec des organisations externes (CERT/CC, secteur, forces de l'ordre). La communication et la formation des parties prenantes non techniques (direction, juridique, RH) sont également soulignées. Les guidelines de Détection et Analyse du NIST sont particulièrement riches. Le document fournit des indicateurs d'attaque (IOA) et de compromission (IOC) typiques pour différentes catégories d'incidents. Il détaille les sources de détection (logs réseau, logs host, fichiers, agents basés sur les signatures, agents basés sur les anomalies, et signalements humains) et recommande une approche systématique pour la qualification des alertes afin de distinguer les vrais positifs des faux positifs. Le guide contient des recommandations pratiques pour la documentation : tenir un journal chronologique de toutes les actions entreprises, documenter toutes les preuves collectées avec leurs hashes, et maintenir une chaîne de traçabilité. Il recommande également d'établir des priorités de traitement basées sur l'impact fonctionnel, l'impact sur l'information, et l'effort de récupération. La version 3 du NIST SP 800-61 est en cours de révision pour intégrer les évolutions technologiques (cloud, DevOps, IA dans la détection) et les nouvelles menaces. La communauté suit avec attention cette mise à jour qui devrait proposer une approche plus moderne et moins prescriptive.