Alert Fatigue Masking Genuine Escalation

Le volume d’alertes à faible valeur a dépassé la capacité de traitement, et l’équipe a développé — individuellement puis collectivement — des heuristiques de fermeture rapide : par familiarité (« encore celle-là »), par source, par lot. Le signal rare et réel arrive dans le même canal, habillé comme le bruit, et subit la même heuristique.

C’est un équilibre stable, pas un accident : chaque nouvelle règle de détection ajoute du volume ; le triage s’adapte en abaissant l’attention unitaire ; le système converge vers un état où la détection existe nominalement mais ne produit plus d’escalade. Rien ne casse, rien n’alerte : les alertes sont « traitées », les tableaux de bord sont verts. La défaillance est invisible dans les outils précisément parce qu’elle réside dans ce que les outils ne mesurent pas — la qualité de l’attention portée à chaque événement.

Le coût se paie en temps de séjour : les intrusions découvertes tardivement ont, très souvent, généré des alertes qui ont été vues et fermées.

Le mécanisme précis mérite d’être décomposé :

• l’alerte pertinente est fermée en secondes par reconnaissance de son apparence (source, titre, forme habituelle), pas par lecture de son contenu (machine, compte, contexte) ;
• les alertes suivantes de la même intrusion héritent du verdict : « déjà vu, déjà fermé » — la répétition, qui devrait alerter, rassure ;
• escalader tardivement exige de contredire ses propres fermetures précédentes, un coût que rien dans le processus ne rémunère.

Au post-mortem, la chaîne complète de l’intrusion est retrouvée dans l’outil, alerte par alerte, chacune fermée en quelques secondes. Ce constat — le plus amer du métier — est la signature du pattern.

Le pattern est quasi impossible à voir de l’intérieur : l’instrument de mesure (le jugement de l’équipe de triage) est précisément ce qui est dégradé, et l’auto-évaluation conclut structurellement « on gère ». L’identification passe par des mesures externes au jugement :

• le taux d’escalade (alertes devenues investigations) et sa tendance : un taux qui tend vers zéro pendant que le volume monte est le signe le plus fiable ;
• le temps médian de traitement par alerte : quelques secondes signifient fermeture à l’apparence ;
• la part des fermetures en lot et des fermetures sans commentaire ;
• le test de bout en bout, le plus probant : injecter périodiquement des scénarios bénins mais réalistes (exercice convenu, signal de test) et mesurer le taux de détection effective — pas le taux de génération d’alerte, le taux d’escalade humaine réelle.

Si l’injection n’est jamais escaladée, la question du volume est tranchée.

Traiter le volume comme une dette, avec un service de la dette :

• toute source dont la quasi-totalité des alertes est fermée sans action est réglée, enrichie en contexte, ou coupée. Une alerte qu’on a décidé de ne jamais traiter est plus nuisible qu’une absence d’alerte : elle consomme de l’attention et entretient l’illusion de couverture ;
• définir un budget d’alertes par analyste fondé sur la capacité de traitement réelle, et refuser les dépassements comme on refuse un dépassement budgétaire ;
• différencier les voies : les signaux à haute confiance (détection sur serveur d’annuaire, blocage sur serveur, leurre déclenché) ne passent pas par la même file que le tout-venant ;
• mesurer en continu le taux d’escalade et le temps médian par alerte, et les revoir en revue d’exploitation au même titre que la disponibilité.

La file d’alertes fermées devient une source d’investigation :

• rechercher rétroactivement, sur la fenêtre de compromission estimée, toutes les alertes touchant les machines et comptes du périmètre — y compris et surtout celles fermées en quelques secondes ;
• les traiter comme des points de chronologie, pas comme des fautes à instruire : le procès du triage attendra le post-mortem, et un triage mis en accusation pendant l’incident cesse de coopérer ;
• sanctuariser un canal pendant l’incident : une personne dédiée aux nouvelles alertes du périmètre, hors rotation de la file normale — l’attaquant continue de générer du signal pendant que tout le monde regarde les traces anciennes ;
• relever temporairement la sensibilité sur le périmètre suspect en acceptant le surcroît de bruit : pendant un incident, l’arbitrage volume/attention s’inverse.

Ce pattern ne se corrige pas en demandant plus de vigilance : c’est une propriété du système de triage, pas des personnes qui le tiennent. Une correction fondée sur l’attention individuelle revient à l’état initial en quelques mois. Corollaire pratique : l’auto-évaluation ne fait pas foi ici. Seules des mesures extérieures au jugement de l’équipe de triage permettent de conclure.