01Cycle de vie d'une alerte
Du signal brut au retour d'expérience : chaque alerte suit un cycle tracé dans le ticket SOC.
- Détection : une source (SIEM, EDR, NIDS, email) génère l'alerte avec sévérité initiale.
- Triage : qualification rapide : bruit, faux positif ou cas à investiguer ; priorisation selon actif, sévérité et fiabilité.
- Investigation : enrichissement (threat intelligence, actif, identité), scoping du périmètre, hypothèses documentées.
- Réponse : confinement, éradication, rétablissement selon runbook et playbook ; escalade L1 vers L2 avec preuves.
- Clôture : verdict argumenté (vrai positif, faux positif prouvé, bénin) et documentation complète.
- Retour d'expérience : tuning de la règle, nouveau cas d'usage, mise à jour du runbook.
Règle d'or : on ne clôture en faux positif qu'après vérification documentée avec preuves (logs, contexte métier).
02Tiers SOC : L1, L2, L3
Trois niveaux complémentaires, un même ticket et une escalade de qualité.
| Niveau | Mission | Outils quotidiens |
|---|
| L1 | Triage : surveiller la file, qualifier, prioriser, escalader selon critères. | SIEM, file d'alertes, ticketing. |
| L2 | Investigation approfondie : corrélation, scoping, confinement initial. | SIEM, EDR, threat intelligence, logs réseau. |
| L3 | Expertise : threat hunting, forensique, tuning des détections, mentorat. | Volatility, Sysmon, MITRE ATT&CK, SOAR. |
- Le SOC manager pilote l'activité : priorités, SLA, métriques, amélioration continue.
- Une bonne escalade contient : contexte, preuves, actions déjà menées, impact suspecté.
- Piliers d'un SOC efficace : les individus, les processus et les technologies.
03MITRE ATT&CK : tactiques essentielles
Un langage commun (identifiants Txxxx, par exemple T1110 brute force) pour aligner détections et hunting.
| Tactique | Idée clé | Exemple de technique |
|---|
| Reconnaissance | Collecte d'informations sur la cible. | Scan, OSINT. |
| Accès initial | Premier pied dans le système. | Phishing, exploitation. |
| Exécution | Lancement du code malveillant. | Macros, scripts. |
| Persistance | Survivre au redémarrage. | Clés Run, tâches planifiées. |
| Élévation de privilèges | Obtenir plus de droits. | Vol d'identifiants (T1003). |
| Mouvement latéral | Rebondir vers d'autres machines. | RDP, SMB, comptes volés. |
| Commande et contrôle | Piloter à distance. | Beaconing vers domaine C2. |
| Exfiltration | Voler les données. | Archives puis envoi externe, DNS tunneling. |
Kill Chain (7 étapes) : reconnaissance, weaponization, delivery, exploitation, installation, C2, actions. Bloquer les TTP coûte plus cher à l'attaquant que bloquer un simple hash (pyramide de la douleur).
04IOC : indicateurs de compromission
Des traces exploitables pour détecter, rechercher et bloquer — après validation.
- Fichier : empreinte SHA-256 (le nom seul ne suffit pas), nom, chemin, signature.
- Réseau : IP ou domaine C2, URL malveillante, beaconing régulier, requêtes DNS TXT volumineuses.
- Hôte : clés Run, services, tâches planifiées, EventCodes 4624 (succès), 4625 (échec), 4634 (déconnexion), 4720 (création de compte).
- Comportement : 5 échecs 4625 puis un 4624 suivi d'un contact C2 ; impossible travel ; compression puis envoi externe.
- Échanges : STIX structure les IOC, TAXII les transporte ; MISP mutualise le partage.
- Avant blocage : vérifier confiance, fraîcheur, sources et périmètre pour éviter de couper un service légitime mutualisé.
05MTTD et MTTR et SLA
Ce qui se mesure se pilote : rapidité, qualité et engagements du SOC.
- MTTD (Mean Time to Detect) : délai moyen de détection. Le réduire limite le dwell time et l'impact.
- MTTR (Mean Time to Respond / Recover) : délai moyen de réponse et rétablissement. Exemple : ticket ouvert à 08:12 et clôturé à 08:52, MTTR de 40 minutes.
- Dwell time : temps de présence de l'attaquant ; plus il est long, plus les dégâts sont probables.
- Tuning : suivre le taux de faux positifs et la part d'alertes actionnables ; ajuster seuils, listes blanches et exclusions justifiées.
- SLA : engagements d'acquittement et de traitement (par exemple critique sous 30 minutes) ; ils rendent la performance mesurable.
- Reporting : volumes, MTTD et MTTR, incidents majeurs, tendances et risques pour la direction.
06NIST IR (SP 800-61) en 4 phases
Le cadre de réponse aux incidents : préparer, agir, capitaliser.
- 1. Préparation : runbooks, playbooks, rôles, sauvegardes, exercices sur table (tabletop).
- 2. Détection et analyse : triage, scoping (machines, comptes, données, période), préservation des preuves.
- 3. Confinement, éradication, rétablissement : isoler (ransomware : couper le réseau sans détruire la mémoire), supprimer persistances et comptes illégitimes, patcher, changer les secrets, surveiller en renforcé.
- 4. Post-incident : chronologie, causes racines, actions, efficacité, recommandations ; mise à jour des détections.
- Forensique : travailler sur copies hashées, chaîne de conservation tracée, ordre de volatilité (mémoire, connexions, processus, disque) ; Volatility pour la RAM.
- RTO et RPO : durée maximale d'interruption acceptable et perte de données tolérée, donc fréquence des sauvegardes.