Comprends la source

Un journal d’application, un pare-feu et un serveur d’authentification ne décrivent pas la même chose. Identifie le système qui produit l’événement, son fuseau horaire et la signification des champs. L’absence d’un événement ne prouve rien si la collecte est incomplète.

Construis une chronologie

Relève l’heure, l’acteur, l’action, la cible et le résultat. Plusieurs échecs de connexion suivis d’un succès peuvent justifier une investigation, mais aussi correspondre à un utilisateur qui a oublié son mot de passe. Compare les appareils, les habitudes et les événements d’autres sources.

• Normaliser les heures et noter le fuseau.
• Conserver les journaux originaux, travailler sur une copie.
• Documenter les éléments manquants et le degré d’incertitude.

Rends ton analyse exploitable

Résume les faits observés, leur impact possible et la prochaine vérification recommandée. Masque les données personnelles inutiles avant de partager un extrait. N’attribue pas une attaque à quelqu’un sur la seule base d’une adresse IP.