# Méthodologie

- Journalisation structurée et cloisonnée par `client_id`, inspirée des recommandations ANSSI.
- Cartographie MITRE ATT&CK Enterprise, Cloud et Mobile.
- Détections portables Sigma, requêtes KQL, règles Wazuh/Suricata et corrélations.
- Cycle de réponse aligné NIST SP 800-61 Rev. 3 : préparation, détection, réponse, récupération et amélioration.
- Exclusions limitées, approuvées, justifiées et expirables ; aucune exclusion globale de règle critique.
- Conservation et minimisation des traces documentées dans une logique CNIL.

## Résultats
Couverture télémétrique **92.88%**, réduction des alertes **67.14%**, précision des cas **90.7%**, MTTD médian **32.0 min**, confinement médian **106.0 min**, SLA **94.87%**, couverture ATT&CK **70.0%**, tests **96.88%**.