PICERL

Définition

PICERL est l'acronyme du modèle de réponse aux incidents en six phases développé par le SANS Institute : Preparation (Préparation), Identification, Containment (Confinement), Eradication (Éradication), Recovery (Récupération) et Lessons Learned (Retour d'expérience). Ce modèle est devenu l'un des frameworks de référence les plus enseignés et utilisés dans la communauté DFIR mondiale. La phase de Préparation est la plus cruciale et souvent la plus négligée : elle consiste à mettre en place les outils, processus, formations et communications nécessaires avant qu'un incident ne survienne. Cela inclut l'installation de solutions de détection (SIEM, EDR), la rédaction de playbooks, la formation des équipes, l'établissement de contacts avec les autorités compétentes (ANSSI, CNIL), et la définition des procédures de communication de crise. L'Identification est la phase de détection et de qualification de l'incident. Elle vise à répondre aux questions fondamentales : s'agit-il bien d'un incident de sécurité ? Quel est son périmètre ? Quels systèmes sont impliqués ? Quelle est sa sévérité ? Les sources de détection incluent les alertes SIEM, les remontées EDR, les signalements utilisateurs, et les notifications de partenaires externes (CERT, ANSSI). Le Confinement vise à limiter la propagation de l'incident sans nécessairement éradiquer immédiatement la menace. Il peut être à court terme (isolation immédiate d'un système compromis) ou à long terme (renforcement des contrôles sur l'ensemble du réseau pendant l'investigation). La décision d'isoler ou de maintenir actif un système compromis est stratégique : l'isolation stoppe la propagation mais peut alerter l'attaquant et effacer des preuves volatiles. L'Éradication consiste à supprimer tous les artefacts malveillants identifiés : malwares, backdoors, comptes créés par l'attaquant, persistances établies, vulnérabilités exploitées. Cette phase s'appuie sur les résultats de l'investigation forensique. Elle doit être exhaustive : une éradication partielle conduit à une re-compromission rapide. La Récupération implique la restauration des systèmes à un état opérationnel sain. Cette phase inclut la restauration depuis des sauvegardes saines, la réinstallation des systèmes sévèrement compromis, et la validation progressive de la reprise d'activité. Les Lessons Learned, phase souvent bâclée sous pression de reprise d'activité, sont pourtant essentielles : elles permettent d'améliorer les défenses, les processus et les playbooks pour éviter la récidive.