FIRST : Forum of Incident Response and Security Teams
Sécurité
FIRST : Forum of Incident Response and Security Teams. « Forum des équipes de réponse aux incidents et de sécurité », par analogie avec une amicale internationale de casernes de pompiers qui partagent leurs carnets d'intervention et leurs méthodes.
Rôle : Fondée en 1990, l'association fédère des centaines de CSIRT et de CERT dans le monde (gouvernementaux, académiques, privés). Elle sert de réseau de confiance pour échanger des informations sur les incidents et coordonner la réponse quand une attaque déborde les frontières.
Standards maintenus : FIRST héberge plusieurs référentiels devenus incontournables : CVSS pour noter la gravité des vulnérabilités, TLP pour indiquer jusqu'où une information peut circuler, EPSS pour estimer la probabilité d'exploitation. Un score CVSS de 9,8 décrit la gravité dans le pire contexte possible, nuance qui s'évapore en général quelque part entre le scanner et le comité de direction.
Adhésion : On n'y entre pas en remplissant un formulaire : une équipe candidate doit être parrainée par des membres existants et démontrer une capacité réelle de traitement des incidents. Le filtrage est volontaire, puisque toute la valeur du réseau repose sur la confiance entre ses membres.
Activités : Conférence annuelle, groupes de travail thématiques (partage d'indicateurs, divulgation de vulnérabilités, formation) et documents de bonnes pratiques pour monter ou faire mûrir une équipe de réponse.
Ce qui arrive si on s'en passe
Sans adhésion ni lien avec le FIRST, une équipe de réponse aux incidents travaille comme une caserne isolée. Elle n'a ni l'annuaire des équipes membres ni de contacts de confiance déjà vérifiés pour joindre vite l'équipe responsable du réseau d'où vient une attaque, ou de celui qu'elle vise. Pour signaler une machine compromise chez un tiers, elle doit passer par des canaux génériques plus lents, et l'attaquant garde son infrastructure active plus longtemps. Les indicateurs et retours d'expérience échangés entre membres (souvent sous protocole TLP) ne lui parviennent pas, ou seulement après leur diffusion publique, ce qui retarde la détection. Elle n'a pas non plus accès aux groupes de travail où se fixent les pratiques communes de coordination. Les référentiels publiés par le forum, comme CVSS ou TLP, restent toutefois utilisables sans adhésion.
Explication de la marmotte
Imaginer que chaque grande entreprise, université ou pays possède sa propre équipe de pompiers spécialisée dans les attaques informatiques : quand des pirates frappent, ce sont eux qui arrivent pour éteindre le feu. Le problème, c'est que les pirates attaquent souvent plusieurs endroits à la fois, partout sur la planète. Ce forum est une sorte de grand club mondial qui réunit toutes ces équipes. Elles s'y font confiance, se préviennent mutuellement quand une nouvelle menace apparaît et s'échangent leurs astuces. Le club fabrique aussi des règles communes, par exemple une manière de noter de 0 à 10 à quel point une faille est dangereuse, pour que tout le monde parle la même langue.
Où ce terme est utilisé
- Rôle de FIRST et mise en œuvre du TLP (12 occurrences)
- Monter un CSIRT interne, missions, services FIRST et rattachement (11 occurrences)
- Prioriser les vulnérabilités avec CVSS 4.0, EPSS, KEV et exposition (4 occurrences)
- PSIRT et divulgation coordonnée des vulnérabilités produit sous CRA (4 occurrences)
- CCN-CERT Espagne : rôle, guides CCN-STIC et ENS (1 occurrence)
- Comment les attaquants utilisent l'IA : de la CVE au zero-day (1 occurrence)
- Organismes (1 occurrence)
- Partager le renseignement sur la menace avec ISAC, MISP et STIX (1 occurrence)