Compte tenu de ses objectifs, de ses rôles et de ses missions ainsi définis, les activités prioritaires du CSIRT sont les suivantes :

• mise en place d’une infrastructure technique en veillant constamment à son maintien en conditions opérationnelles,
• formation et recherche sur la cybersécurité ;
• établissement et maintenance d'une base de données des vulnérabilités ;
• fourniture d’un moyen de communication commun pour la diffusion de bulletins et d'alertes sur des failles potentielles et les incidents en cours ;
• prévention par la sensibilisation et la diffusion d'informations sur les précautions à prendre pour minimiser les risques d'incident ou au pire leurs conséquences ;
• des informations précises et des statistiques sur les incidents traités par le CSIRT ;
• des alertes lorsque certains évènements dans l’actualité font augmenter considérablement le risque d’attaque sur le SI (campagnes d’attaque en cours sur des produits potentiellement très déployés dans la communauté, informations rendues publiques sur une faille de sécurité critique d’un logiciel ou d’un équipement populaire, ...) ;
• des éléments de veille juridique ;
• collaboration avec les autres entités comme :
  • les centres de compétence réseaux ;
  • les opérateurs de télécommunications et les fournisseurs d'accès à Internet;
  • les autorités judiciaires (police, gendarmerie, etc.) ;
  • les autres CSIRT sectoriels et nationaux ;
  • le réseau africain des CSIRT (AfricaCERT) ;

Le CSIRT, en fonction de son niveau (2 ou 3) et de l'expertise de ses membres, peut procéder à des analyses techniques d'incidents de sécurité. Des outils spécialisés, logiciels et éventuellement matériels, existent et leur utilisation permet de procéder à une analyse détaillée d’une compromission. Ce traitement se décompose souvent en deux phases :

• collectes de traces (logs, images disques etc.) ;
• analyse des traces et interprétation des informations collectées.

Cela permet de connaître l'évolution des techniques d'attaque et de mieux comprendre quelles sont les vulnérabilités qui ont permis la compromission. Il y a deux points importants à considérer :

• cette analyse nécessite le plus souvent beaucoup de temps et oblige aussi les intervenants à se former continuellement à cette activité ;
• s'il s'agit de collecter des preuves pour la justice, cela se fera dans le respect des règles du droit en veillant à garantir l’intégrité et la légalité des preuves recueillies.