Guide utilisateur

Ce guide s'adresse aux analystes et aux comptes lecture seule qui suivent les alertes au quotidien.

Se connecter

1. Ouvrez /console, saisissez votre e-mail et votre mot de passe.
2. Saisissez le code à 6 chiffres de votre application d'authentification. Un code ne sert qu'une fois.
3. La session se ferme après 30 minutes d'inactivité, et au plus tard après 12 heures.

Après 5 échecs, le compte est bloqué 15 minutes. Téléphone perdu : demandez un « nouveau lien » à un administrateur.

Première connexion : vous recevez un lien d'activation (valable 48 h). Il vous fait choisir un mot de passe (14 caractères au moins) et scanner un QR code avec FreeOTP, Aegis, Google Authenticator ou Microsoft Authenticator.

Plusieurs organisations

Un même compte peut être membre de plusieurs organisations, avec un rôle dans chacune. Dans ce cas :

• à la connexion, la console rouvre la dernière organisation consultée (ou vous la fait choisir) ;
• le sélecteur en haut de la console change d'organisation ; vos droits sont ceux de votre rôle dans l'organisation affichée ;
• Mon compte liste vos organisations et vos rôles.

Chaque organisation peut limiter les adresses IP autorisées : une organisation qui n'autorise pas votre adresse actuelle n'apparaît pas dans le sélecteur.

Vue d'ensemble

• En haut, les compteurs : alertes critiques non acquittées, serveurs muets, alertes ouvertes, bans, incidents.
• Puis les alertes critiques à traiter, que vous pouvez acquitter ou transformer en incident directement.
• Puis une ligne par serveur. États :

La page se met à jour seule toutes les 30 secondes ; un bandeau prévient quand de nouvelles alertes arrivent.

Gravités

Traiter une alerte

1. Ouvrez l'alerte : la colonne de droite explique le scénario, la technique MITRE ATT&CK et la conduite à tenir.
2. Regardez les alertes du même serveur une heure avant et après, et la fiche IP (toutes les alertes de cette adresse, sur tous les serveurs).
3. Selon le cas :

• Acquitter avec un commentaire (faux positif, intervention prévue…). Le commentaire est conservé et tracé.
• Ouvrir un incident si une compromission est possible.
• Bannir partout depuis la fiche IP.

Dans la liste des alertes, cochez plusieurs lignes pour les acquitter, ouvrir un incident ou les rattacher à un incident existant en une fois. Le bouton Exporter en CSV reprend les filtres en cours.

Bans et décisions

• Bans : bans actifs déclarés par les agents. « Simulé » signifie que l'agent est en mode observation.
• Lever un ban crée une décision unban ; l'agent l'applique dans les 30 secondes.
• Décisions : historique des bans et levées publiés par la console, avec le nombre de serveurs qui les ont reçus. « Partage auto » : ban créé automatiquement parce qu'une IP a été bannie pour force brute lente ou balayage sur un autre serveur.

L'agent reste maître : il ignore une décision sur une IP de sa liste blanche, et n'applique réellement un ban qu'en mode protection.

Incidents

1. Créez l'incident depuis des alertes (elles y sont rattachées) ou depuis l'écran Incidents.
2. Renseignez la prise de connaissance : les délais réglementaires en partent.
3. Cochez Incident important (NIS2) et/ou Violation de données personnelles si c'est le cas. Les échéances apparaissent :

• NIS2 : alerte précoce sous 24 h, notification sous 72 h, rapport final sous un mois ;
• RGPD : notification à la CNIL sous 72 h.

1. Une fois une déclaration faite (auprès du CSIRT / de l'ANSSI ou de la CNIL), cliquez Marquer comme fait. VDR ne transmet rien lui-même.
2. Tenez la chronologie à jour (notes), puis remplissez impact, mesures prises et enseignements avant de clore.
3. Rapport imprimable : bouton en haut de l'incident (impression ou PDF).

Prévention

• Vulnérabilités : pour chaque serveur, les correctifs de sécurité publiés par la distribution et non installés, et les redémarrages requis. Le tableau « Paquets à corriger » regroupe le parc : un même paquet sur plusieurs serveurs n'apparaît qu'une fois. La colonne « Liste des dépôts » indique quand le serveur a consulté ses dépôts pour la dernière fois : si elle est ancienne, des correctifs récents peuvent manquer.
• Durcissement : score de configuration de chaque serveur (SSH, pare-feu, comptes, droits, noyau, services) et contrôles en échec, du plus important au moins important. Le détail de chaque serveur est dans sa fiche, avec les ports en écoute et la recherche dans les paquets installés (pratique pour vérifier qu'une version vulnérable est absente).

Ces données viennent de l'inventaire envoyé par les agents 0.3 et plus.

Pays, réputation et corrélation

Chaque adresse IP d'une alerte est enrichie par la console :

• Pays (étiquette à deux lettres) ;
• IP listée (rouge) : présente dans une liste publique de sources malveillantes (FireHOL, Spamhaus, abuse.ch) ; Tor (orange) : nœud de sortie Tor.

La console croise aussi les alertes de tous vos serveurs et crée ses propres alertes :

Les connexions réussies depuis une IP hors liste blanche apparaissent en gravité *info* (« Connexion réussie ») : elles servent à ces croisements.

Recevoir les alertes (SMS, push, e-mail)

Renseignez votre téléphone mobile (format international, ex. +33612345678) et votre identifiant push dans Mon compte. Les administrateurs de votre organisation choisissent ensuite, dans Notifications, qui reçoit quoi.

Conformité et audit

• Conformité : indicateurs calculés en direct (serveurs qui remontent, agents à jour, alertes critiques en retard, délai moyen de prise en compte, horloges, intégrité du journal d'audit…) et rapport de posture imprimable.
• Journal d'audit : toutes les actions des comptes de votre organisation. Le bandeau indique si la chaîne d'intégrité est intacte.