Relier les signaux.
Conserver le raisonnement.
Les événements cyber, physiques et OT deviennent utiles ensemble lorsque leurs relations peuvent être expliquées.
LOGIQUE DE CORRÉLATION ILLUSTRATIVE · AUCUNE DÉTECTION EN DIRECT
Trois événements. Un contexte à investiguer.
Trois observations, un contexte commun. Suivez les preuves qui pourraient les relier, sans présumer d’une cause.
- 01
Événement d’accès
Porte D-12 · contrôle d’accès
- 02
Caméra indisponible
CAM-07 · sécurité physique
- 03
Anomalie réseau
SW-08 · réseau IT
- 04
Même emplacement
Production A
- 05
Proximité temporelle
Dans un intervalle de 12 secondes
- 06
Actifs liés
D-12 → AC-042 · CAM-07
- 07
Dépendance partagée
Switch réseau SW-08
INVESTIGATION HUMAINE
Garder les autres explications ouvertes.
Examiner les preuves avant qualification ou escalade. La proximité temporelle et une dépendance commune étayent une question, pas une cause confirmée.
Vérifier la séquence
Comparer les horodatages sources, l’alignement des horloges et les événements manquants. Une chronologie de rejeu n’est pas un débit réseau mesuré.
Tester d’autres hypothèses
Une maintenance, une panne locale ou une source incomplète peuvent expliquer les mêmes observations. Vérifier la dépendance documentée sur le terrain.
Documenter la décision
Conserver les preuves sources, la règle, les hypothèses et la justification. L’investigation traçable est le parcours visé ; toutes les fonctions d’audit et de collaboration ne sont pas disponibles aujourd’hui.
CAPTURE DU PRODUIT · SIMULATION ATLAS · GROUPES À EXAMINER
Des groupes calculés à examiner.
Le rejeu Atlas contient des actifs et des événements fictifs. Ses corrélations calculées sont des groupes à examiner, pas des incidents confirmés.
SAFENETIS
Conserver les preuves derrière la décision.
SafeNetis ne revendique pas actuellement de réponse active automatique.