Le SOC vous remet un .exe suspect récupéré sur la machine d'un utilisateur. Quelle est votre PREMIÈRE étape d'analyse ?
Réponse courte
Commencez par un triage statique dans un environnement isolé : calculez les empreintes, extrayez les chaînes, inspectez les en-têtes PE et les imports, et vérifiez la réputation, afin de comprendre l'échantillon avant de risquer l'exécution. L'exécuter sur votre propre poste peut vous infecter, vous et le réseau. Téléverser des échantillons clients avec des noms identifiants divulgue des données sensibles à des tiers. Le supprimer détruit la preuve et la possibilité de bâtir des détections.
Quand le SOC vous remet un binaire inconnu, l'examinateur teste si vous privilégiez l'information avant l'action. Un analyste rigoureux n'exécute jamais en premier : il apprend tout ce qu'il peut en toute sécurité pendant que l'échantillon reste inerte.
Pourquoi le triage statique vient en premier
Le triage statique extrait des preuves sans exécuter le code. Vous calculez les empreintes cryptographiques (pour corréler avec la threat intel et suivre l'échantillon exact), extrayez les chaînes (URL, mutex, chemins de registre, commandes embarquées), inspectez les en-têtes PE et la table d'imports (les API liées suggèrent les capacités : réseau, crypto, injection de processus) et lancez une recherche de réputation. En quelques minutes, vous savez souvent si le fichier est un malware connu, packé ou inédit — sans exposer le moindre système. Ce savoir oriente ensuite une exécution dynamique sûre.
Pourquoi les autres options sont fausses
- Double-cliquer sur votre poste. C'est l'erreur classique du débutant. Votre poste d'analyse est sur le réseau de l'entreprise ; un malware actif peut chiffrer des fichiers, communiquer vers l'extérieur ou se déplacer latéralement avant que vous n'appreniez quoi que ce soit d'utile. Vous devenez le patient zéro.
- Téléverser sur tous les sandbox publics avec le nom du client. Les sandbox publics partagent les soumissions. Intégrer un nom de client révèle que ce client a été ciblé, quels outils il utilise et potentiellement des données réglementées — une vraie atteinte à la confidentialité et au contrat. Si vous soumettez, retirez les métadonnées identifiantes et suivez la politique de traitement des données.
- Le supprimer. La suppression détruit le seul artefact dont vous avez besoin. Sans l'échantillon, vous ne pouvez ni bâtir d'IOC, ni écrire de règles YARA, ni déterminer la portée, et vous aveuglez le SOC face à une menace active.
Ce que recherchent les examinateurs
Une bonne réponse nomme des étapes statiques concrètes et le raisonnement de sécurité : isolation, hachage, chaînes, PE/imports, réputation — puis un plan pour détoner en sécurité ensuite. La marque d'un bon jugement ici est la patience : vous traitez le binaire comme une preuve à préserver et comprendre, pas comme une curiosité à cliquer.
Questions de suivi probables
- Quels champs d'en-tête PE ou quels imports vous feraient soupçonner du packing ou de l'injection avant même d'exécuter l'échantillon ?
- Pourquoi téléverser un échantillon client sur VirusTotal constitue-t-il parfois une violation de traitement des données, et comment l'atténuer ?
- Comment les empreintes et les chaînes issues du triage statique alimentent-elles les détections que vous rendez au SOC ?