# Comment distinguer un vrai incident d'une fausse alerte ?

En confrontant l'alerte à ce que vous savez, rapidement et toujours dans le même ordre. Posez quatre questions : l'appareil et son propriétaire sont-ils connus, ce comportement a-t-il une raison métier, la destination ou le compte sont-ils familiers, et s'est-il passé autre chose d'inhabituel sur le même hôte ou au même moment ? Une sauvegarde, une mise à jour logicielle ou un administrateur qui travaille tard expliquent beaucoup d'alertes en quelques minutes. Ce que personne ne sait expliquer, qui touche plusieurs hôtes ou qui suit une autre alerte mérite une escalade. Notez ce que vous avez vérifié, même quand c'était anodin, pour que la personne suivante ne reparte pas de zéro. NetSenX explique sur chaque alerte quelles caractéristiques réseau l'ont déclenchée, cite la technique MITRE ATT&CK quand il y en a une, et vous permet de marquer un faux positif, la décision étant conservée dans le journal d'audit.

FAQ: [Réponse à incident](https://netsenx.com/fr/faq/incident) · https://netsenx.com/fr/faq/how-to-tell-a-real-incident-from-a-false-alarm

## À lire ensuite

- https://netsenx.com/fr/detect-ransomware-on-the-network
- https://netsenx.com/fr/nis2-incident-reporting-deadlines

## Questions liées

- [Comment évaluer la gravité d'un incident ?](https://netsenx.com/fr/faq/how-to-decide-how-serious-an-incident-is)
- [Qui prend les décisions pendant un incident cyber ?](https://netsenx.com/fr/faq/who-makes-decisions-during-a-cyber-incident)
- [Que doit décider la direction le premier jour d'un incident cyber ?](https://netsenx.com/fr/faq/what-management-decides-in-the-first-day-of-an-incident)
- [Comment communiquer pendant un incident si notre messagerie est peut-être compromise ?](https://netsenx.com/fr/faq/how-to-communicate-when-email-may-be-compromised)
- [Pourquoi tenir un journal écrit pendant un incident ?](https://netsenx.com/fr/faq/why-keep-a-written-log-during-an-incident)