SOC Fundamentals

Fondamentaux du SOC

• 01 Qu'est-ce qu'un SOC ? 30 min ▸

  Un Security Operations Center (SOC) est une équipe dédiée qui surveille, détecte et répond aux incidents de sécurité informatique 24h/24 et 7j/7.

  Pourquoi c'est important : Un samedi soir à 2h du matin, un ransomware commence à chiffrer les postes comptables. Sans SOC, personne ne le voit avant lundi, et les sauvegardes sont chiffrées elles aussi. Avec un SOC, l'analyste de garde reçoit l'alerte en 3 minutes, isole les machines et sauve l'entreprise. Voilà à quoi sert un SOC : voir vite, comprendre vite, réagir vite, 24h/24 et 7j/7. C'est aussi la première question de tout entretien : si vous ne savez pas expliquer ce qu'est un SOC, l'entretien s'arrête là.

  L'analogie qui aide : Pensez à la tour de contrôle d'un aéroport. Les contrôleurs ne pilotent aucun avion, mais ils voient tous les écrans radar, donnent les priorités et évitent les collisions. Le SOC, c'est la tour de contrôle du système d'information : les avions sont les flux réseau, les alertes sont les signaux radar, et l'analyste est le contrôleur qui décide qui atterrit, qui attend et qui est détourné.

  Composants clés :

  • People — Analystes L1/L2/L3, ingénieurs sécurité, RSSI
  • Processus — Escalade, corrélation, réponse aux incidents
  • Technology — SIEM, EDR, NDR, SOAR, Threat Intel Platforms
  • SLA — Temps de réponse, temps de résolution, taux de faux positifs

  Démonstration pas à pas : Alerte « connexion inhabituelle depuis un pays étranger sur le compte de Marie, comptable ». Déroulé correct :
  1. Contexte : Marie est-elle en déplacement ? Vérification dans l'annuaire et auprès du manager : non, elle est au bureau à Lyon.
  2. Enrichissement : l'IP source est listée comme malveillante sur deux flux publics, et trois autres comptes ont été ciblés depuis la même IP.
  3. Classification : vrai positif probable, sévérité haute.
  4. Action : réinitialisation du mot de passe, révocation des sessions, ticket d'escalade L2 avec les preuves jointes. Mémorisez l'ordre : contexte, enrichissement, classification, action.

  Pièges classiques : Confondre SOC et NOC (le NOC surveille la disponibilité réseau, le SOC la sécurité) ; croire que le SOC empêche les attaques (il les détecte et y répond : la prévention, ce sont les pare-feu et l'EDR) ; penser que l'analyste L1 ne fait qu'appliquer des procédures sans réfléchir ; employer le mot SLA sans savoir le mesurer.

  À vous de jouer : Un ami vous dit : « On a déjà un antivirus sur tous les postes, un SOC ne sert à rien. » Que lui répondez-vous en deux arguments ?

  Voir la réponse

  D'abord, l'antivirus ne voit que son poste, isolément : il ne corrèle pas une alerte antivirus avec une connexion bizarre au pare-feu et un e-mail de phishing reçu une heure plus tôt — c'est exactement le travail du SOC. Ensuite, l'antivirus ne surveille personne à 3h du matin un dimanche : le SOC, si, avec une équipe organisée, des processus d'escalade et une vision de tout le système. Si vous avez cité la corrélation multi-sources et la surveillance 24/7, votre réponse est complète.

• 02 Architecture d'un SOC 45 min ▸

  L'architecture d'un SOC suit un modèle en couches :

  Pourquoi c'est important : Dès votre premier jour en SOC, on vous demandera : « tu escalades à qui, et quand ? » Si vous envoyez tout au L3, vous serez vite catalogué comme le L1 qui ne filtre rien ; si vous ne faites jamais monter les incidents graves, un ransomware passera sous votre nez. Comprendre les niveaux L1, L2, L3 et le rôle du manager, c'est savoir où vous vous situez dans la chaîne et ce qu'on attend de vous à chaque étage. Les questions d'entretien sur les niveaux du SOC sont systématiques au niveau débutant.

  L'analogie qui aide : Pensez aux urgences d'un hôpital : l'infirmière d'accueil trie (L1), le médecin généraliste diagnostique et soigne les cas courants (L2), le chirurgien spécialiste opère les cas graves (L3), et le chef de service organise les gardes et rend compte à la direction (manager SOC). Chaque niveau a ses outils et ses responsabilités, et personne ne court-circuite la chaîne sans raison.

  • Niveau 1 (L1) : Triage des alertes, classification initiale, filtering des faux positifs
  • Niveau 2 (L2) : Investigation approfondie, corrélation d'événements, hunt
  • Niveau 3 (L3) : Analyse avancée, malware reverse engineering, forensique
  • Manager SOC : Supervision, reporting, amélioration continue des processus

  Démonstration pas à pas : Alerte « exécution de PowerShell encodé sur un poste ».
  1. Contexte (L1) : le poste appartient au service marketing, l'utilisateur n'a aucune raison d'utiliser PowerShell encodé.
  2. Enrichissement (L1) : le hash du script est inconnu, la commande contacte une IP externe jamais vue.
  3. Classification (L1) : vrai positif probable, sévérité haute ; le L1 isole le poste via l'EDR puis escalade avec un ticket documenté.
  4. Investigation (L2) : corrélation avec les logs proxy, découverte de deux autres postes contactant la même IP.
  5. Analyse avancée (L3) : reverse du payload, confirmation d'un RAT, extraction des IOC. Chacun joue son rôle, dans l'ordre.

  Types de SOC : On-premise, Managed (MSSP), Virtual, Hybrid

  Pièges classiques : Escalader directement au L3 en sautant le L2 (vous court-circuitez la chaîne et privez le L2 du contexte) ; garder un incident grave pour soi par peur de déranger ; confondre SOC managé (MSSP, prestataire externe mutualisé) et SOC interne (équipe dédiée à l'entreprise) ; croire que le manager SOC ne fait que des tableaux de bord.

  À vous de jouer : Vous êtes L1, de garde de nuit. L'EDR signale un ransomware actif sur trois postes du service financier. Décrivez vos trois premières actions et dites à qui vous escaladez.

  Voir la réponse

  1. Containment immédiat : isoler les trois postes via l'EDR pour stopper la propagation. 2. Qualification rapide : identifier le variant visible (note de rançon, extension) et vérifier l'étendue (autres postes affectés ?). 3. Escalade L2 immédiate par téléphone (pas seulement un ticket : un ransomware actif justifie le réveil), avec les preuves jointes, puis information du manager SOC. Si vous avez pensé containment d'abord et escalade téléphonique ensuite, vous avez les bons réflexes.

• 03 Le cycle de vie d'une alerte 40 min ▸

  Chaque alerte suit un processus structuré :

  Pourquoi c'est important : Le cycle détection, triage, investigation, containment, éradication, recovery, lessons learned n'est pas une liste décorative : chaque étape protège la suivante. Nettoyer un poste (éradication) sans l'avoir isolé (containment), c'est laisser le malware réinfecter le réseau pendant le nettoyage. Remettre en production (recovery) sans tirer les leçons, c'est revoir la même attaque le mois prochain. En entretien, on vous demandera de dérouler ce cycle sur un exemple : c'est le plan de dissertation de l'analyste.

  L'analogie qui aide : Pensez à une enquête criminelle : on constate le délit (détection), on sécurise la scène (containment), on relève les indices (investigation), on arrête le coupable (éradication), on rouvre la rue à la circulation (recovery) et on écrit le rapport pour améliorer les patrouilles (lessons learned). Brûler une étape, c'est comme rouvrir la rue avec le criminel encore sur place.

  • Détection : Génération automatique par le SIEM/EDR
  • Triage : Classification, priorisation, filtrage
  • Investigation : Analyse du contexte, corrélation
  • Containment : Isolation, blocage IPs, quarantaine
  • Éradication : Suppression de la menace
  • Recovery : Restauration des systèmes
  • Lessons Learned : Post-mortem, amélioration des règles

  Démonstration pas à pas : E-mail de phishing avec pièce jointe reçu par douze employés.
  1. Détection : un utilisateur signale l'e-mail, le SIEM corrèle avec des logs proxy suspects.
  2. Triage : l'URL de la pièce jointe est malveillante sur VirusTotal, sévérité haute.
  3. Investigation : quatre utilisateurs ont ouvert la pièce jointe, deux postes communiquent avec un serveur externe.
  4. Containment : isolation des deux postes, blocage de l'URL et du domaine au proxy.
  5. Éradication : suppression du malware via l'EDR, révocation des sessions.
  6. Recovery : remise en service contrôlée des postes.
  7. Lessons learned : règle de filtrage e-mail renforcée, sensibilisation ciblée. Retenez la mécanique complète : rien ne se fait dans le désordre.

  Pièges classiques : Confondre containment (isoler, bloquer : la menace existe toujours) et éradication (supprimer la menace) ; clôturer le ticket juste après le containment ; zapper les lessons learned sous prétexte de manque de temps ; traiter les étapes comme optionnelles selon l'humeur.

  À vous de jouer : Un poste infecté a été nettoyé par l'antivirus et remis en production le jour même, sans isolation préalable ni analyse. Deux jours plus tard, dix postes sont infectés. Quelle étape a été sautée et avec quelle conséquence ?

  Voir la réponse

  Le containment et l'investigation ont été sautés : sans isolation, le malware a eu le temps de se propager latéralement, et sans analyse on ignorait le vecteur de propagation. L'antivirus a soigné le symptôme sur un poste pendant que l'infection s'étendait. La conséquence directe : un incident bénin est devenu un incident P2. La règle à retenir : on n'éradique jamais avant d'avoir contenu et compris.

• 04 Frameworks de cybersécurité 35 min ▸

  Les SOC s'appuient sur plusieurs frameworks reconnus :

  Pourquoi c'est important : Quand un analyste dit « T1059 », tout le SOC comprend « exécution via interpréteur de commandes » sans description de trois paragraphes : c'est la puissance d'un langage commun. Les frameworks structurent aussi votre travail : ATT&CK pour mapper les détections, la Kill Chain pour raconter une attaque, le NIST CSF pour vérifier qu'aucune fonction n'est oubliée. À l'examen CSA comme en entretien, on attend de vous que vous situiez chaque notion dans son framework.

  L'analogie qui aide : Pensez au code de la route : des panneaux normalisés que tout conducteur comprend, un vocabulaire partagé (priorité, cédez-le-passage), et un examinateur qui vérifie que vous le maîtrisez. MITRE ATT&CK est le code de la route de l'analyste : mêmes tactiques, mêmes noms, partout dans le monde.

  • MITRE ATT&CK : Matrice des tactiques et techniques d'attaque
  • Cyber Kill Chain (Lockheed Martin) : 7 étapes d'une cyberattaque
  • NIST CSF : Identify, Protect, Detect, Respond, Recover
  • ISO 27001/27002 : Standards de management de la sécurité de l'information
  • OWASP : Top 10 des vulnérabilités web

  Démonstration pas à pas : Incident : un employé ouvre une macro Word, qui lance PowerShell, qui télécharge un payload, qui s'installe en persistance via une clé Run, puis exfiltre des données vers un serveur externe. Mapping : pièce jointe malveillante (Initial Access, T1566), macro (Execution, T1059), téléchargement (Command and Control, T1105), clé Run (Persistence, T1547), exfiltration (Exfiltration, T1041). En cinq étiquettes, tout le SOC visualise l'attaque complète. C'est cet exercice de mapping que l'on attend d'un analyste : raconter l'attaque en tactiques.

  Pièges classiques : Citer MITRE ATT&CK sans savoir mapper une alerte réelle ; confondre la Kill Chain (7 étapes linéaires, une attaque vue comme une chaîne) et ATT&CK (matrice de tactiques, vision non linéaire) ; croire qu'être conforme ISO 27001 signifie être protégé (la conformité prouve un système de management, pas l'absence d'intrus) ; réciter l'OWASP Top 10 sans l'avoir relié à des logs.

  À vous de jouer : Un attaquant ajoute une clé dans Run pour relancer son malware à chaque démarrage. Quelle tactique ATT&CK et pourquoi ce n'est pas de la simple « exécution » ?

  Voir la réponse

  C'est de la persistance (T1547) : l'objectif n'est pas d'exécuter une fois, mais de survivre au redémarrage et de garantir l'accès dans le temps. L'exécution (T1059) décrit le lancement immédiat, la persistance décrit la durabilité. Si vous avez fait cette distinction d'intention — effet immédiat contre maintien d'accès — vous manipulez déjà ATT&CK comme un analyste.

• 05 Rôles et responsabilités 30 min ▸

  Dans un SOC mature, chaque rôle a des responsabilités claires :

  Pourquoi c'est important : « Que fait un analyste L1 au quotidien ? » : cette question tombe à chaque entretien débutant, et la réponse attendue est précise — surveillance, triage, escalade. Viser un poste sans connaître sa fiche de mission, c'est postuler à l'aveugle. Comprendre aussi les rôles voisins (L2, L3, ingénieur, manager) vous évite les deux fautes classiques du débutant : faire le travail d'un autre niveau, ou attendre des autres ce qui relève du vôtre.

  L'analogie qui aide : Pensez à une équipe de football : le gardien (L1) arrête les premiers tirs et relance proprement, les défenseurs (L2) lisent le jeu et coupent les trajectoires, les milieux stratèges (L3) anticipent et retournent le match, le préparateur physique entretient la machine (ingénieur) et l'entraîneur organise et rend compte (manager). On ne demande pas au gardien de marquer des buts.

  • SOC Analyst L1 : Surveillance, triage, escalade
  • SOC Analyst L2 : Investigation avancée, corrélation
  • SOC Analyst L3 : Threat hunting, forensique, reverse engineering
  • SOC Engineer : Configuration SIEM, intégration outils, automatisation
  • SOC Manager : Reporting, KPI, gestion d'équipe, communication

  Démonstration pas à pas : Nuit de garde d'un L1, heure par heure : 22h, prise de poste et revue des alertes en cours ; 23h, triage d'une alerte phishing (enrichissement, clôture en faux positif documenté) ; 1h, alerte EDR « malware bloqué » (vérification du blocage effectif, ticket, surveillance du poste) ; 3h, suspicion de compromission de compte (escalade L2 avec preuves) ; 6h, rapport de garde écrit pour l'équipe du matin. Une garde L1, c'est 80 % de triage rigoureux, 15 % de documentation et 5 % d'escalade décisive.

  Pièges classiques : Vouloir brûler les étapes vers L3 sans maîtriser le triage (le L3 qui ne sait pas qualifier une alerte est inutile) ; confondre ingénieur SOC (il construit et règle les outils : SIEM, parsers, automatisations) et analyste (il exploite les alertes) ; croire que le manager ne fait que du reporting alors qu'il arbitre les priorités et porte les KPI.

  À vous de jouer : Vous êtes L1 depuis trois mois et une alerte ressemble à du beaconing C2 que vous ne savez pas confirmer. Que faites-vous : vous la clôturez, vous l'investiguez pendant 4 heures, ou autre chose ?

  Voir la réponse

  Ni l'un ni l'autre : vous faites un premier enrichissement (15 à 30 minutes maximum : contexte, réputation des IOC, régularité des connexions), puis vous escaladez au L2 avec vos constats et votre doute explicite. Clôturer serait une faute (faux négatif potentiel), et garder l'alerte 4 heures bloquerait toute la file de triage. La bonne posture L1 : qualifier vite, documenter, escalader proprement.

• 06 Indicateurs de compromission (IOC) 40 min ▸

  Les Indicators of Compromise (IOC) sont des artefacts laissés par une attaque :

  Pourquoi c'est important : L'IOC est la matière première de l'enrichissement : une IP, un domaine, un hash qui transforme une alerte vague en verdict. Sans réflexe IOC, chaque triage devient une devinette ; avec ce réflexe, vous tranchez en minutes en croisant les sources de réputation. Tout le reste de la formation (threat intelligence, forensique, hunting) réutilise cette notion : c'est un investissement qui rapporte partout.

  L'analogie qui aide : Pensez à un avis de recherche : photo (hash de fichier), plaque d'immatriculation (adresse IP), alias connu (domaine C2). Le policier qui contrôle un suspect compare ce qu'il voit à ces signalements. L'analyste fait pareil : il compare les artefacts de l'alerte aux IOC connus avant de décider.

  • IP malveillantes : Connexions sortantes suspectes
  • Domaines C2 : Command and Control communication
  • Hashs de fichiers : MD5, SHA1, SHA256 de malware
  • URLs malveillantes : Phishing, drive-by downloads
  • YARA Rules : Patterns de détection de malware
  • IOCs comportementaux : Anomalies de comportement, beaconing

  Démonstration pas à pas : Alerte EDR « fichier suspect executable-compta.exe ».
  1. Contexte : reçu par e-mail, jamais vu dans l'entreprise.
  2. Enrichissement : hash SHA256 recherché sur VirusTotal — 32 moteurs sur 70 le flaguent comme malveillant, le domaine de téléchargement est listé sur deux flux publics.
  3. Classification : vrai positif, sévérité haute.
  4. Action : isolation du poste, recherche du même hash sur tout le parc via l'EDR, escalade L2. Trois minutes d'enrichissement ont suffi parce que le réflexe IOC était automatique.

  Pièges classiques : Bloquer une adresse IP sans vérification (c'était peut-être un CDN partagé avec des services légitimes : vous créez vous-même une panne) ; se contenter d'une seule source de réputation ; utiliser des IOC périmés (une IP malveillante réattribuée six mois plus tard peut appartenir à un client) ; confondre IOC (artefact : IP, hash) et TTP (comportement de l'attaquant).

  À vous de jouer : Une IP interne communique avec une IP externe listée comme malveillante sur un seul flux, datant de 8 mois, et introuvable ailleurs. Bloquez-vous immédiatement ?

  Voir la réponse

  Non, pas immédiatement : un seul flux ancien, sans corroboration, ne suffit pas pour une action de blocage qui peut couper un service légitime. La démarche correcte : vérifier la réputation actuelle sur deux ou trois sources (VirusTotal, AbuseIPDB, OTX), analyser le contexte (quel poste, quel volume, quel protocole) et surveiller avant de bloquer. Si vous avez exigé la corroboration avant l'action, vous raisonnez en analyste et non en automate.