Automatisation & Maturite SOC

🤖 SOC Automation - Logic Apps & Azure Functions

L'automatisation avancee du SOC repose sur Azure Logic Apps pour le workflow orchestre et Azure Functions pour le code serverless event-driven.

Architecture d'Automatisation SOC

Azure Logic Apps - Exemples

// Logic App: Reponse Automatique au Phishing
// Declencheur: Alerte Sentinel de phishing

1. TRIGGER: Azure Sentinel - When alert is created
   - Filter: AlertName contains "Phishing"
   - Severity: High OR Critical

2. EXTRACT: Obtenir les IOCs de l'alerte
   - Parse JSON: Sender, URL, Domains, IPs

3. ENRICHMENT: Azure Function "EnrichIOCs"
   - VirusTotal: Verifier reputation URL
   - AbuseIPDB: Verifier reputation IP
   - OQRS: Verifier si domaine est lookalike

4. CONDITION: Si IOCs confirmes malveillants
   a. CALL FUNCTION: BlockDomain (Zscaler API)
   b. CALL FUNCTION: QuarantineEmail (Exchange API)
   c. CREATE TICKET: ServiceNow (P2 - Phishing Confirme)
   d. SEND MESSAGE: Teams channel #soc-alerts
   e. UPDATE ALERT: Ajouter commentaires d'enrichissement

5. CONDITION: Si faux positif
   a. CLOSE ALERT: Ajouter reason "False Positive"
   b. UPDATE WHITELIST: Ajouter domaine legitimate

Azure Functions - Code

// Azure Function: EnrichIOCs (C#)
[FunctionName("EnrichIOCs")]
public static async Task<IActionResult> Run(
    [HttpTrigger(AuthorizationLevel.Function, "post")] HttpRequest req,
    ILogger log)
{
    var request = await JsonSerializer.DeserializeAsync<IOCRequest>(req.Body);
    var results = new List<IOCResult>();

    foreach (var ioc in request.IOCs)
    {
        var result = new IOCResult { Value = ioc.Value, Type = ioc.Type };

        // Enrichissement VirusTotal
        if (ioc.Type == "url" || ioc.Type == "ip")
        {
            var vtResult = await _vtClient.ScanAsync(ioc.Value);
            result.Reputation = vtResult.Malicious ? "malicious" : "clean";
            result.Score = vtResult.DetectionRatio;
        }

        // Enrichissement AbuseIPDB
        if (ioc.Type == "ip")
        {
            var abuseResult = await _abuseClient.CheckAsync(ioc.Value);
            result.AbuseConfidence = abuseResult.ConfidenceScore;
        }

        results.Add(result);
    }

    return new OkObjectResult(results);
}

// Azure Function: IsolateHost (C#)
[FunctionName("IsolateHost")]
public static async Task<IActionResult> Run(
    [HttpTrigger(AuthorizationLevel.Function, "post")] HttpRequest req,
    ILogger log)
{
    var request = await JsonSerializer.DeserializeAsync<IsolateRequest>(req.Body);

    // Isoler via Azure NSG
    await _nsgClient.AddRuleAsync(
        request.HostName,
        "SOC-Isolation",
        "DenyAllInbound",
        "*",
        "*",
        "*",
        "Deny",
        100);

    // Notification
    await _teamsClient.SendMessageAsync(
        $"Host {request.HostName} isole automatiquement. Raison: {request.Reason}");

    return new OkObjectResult(new { status = "isolated", host = request.HostName });
}

Scenarios d'Automatisation

• Enrichissement automatique : IOCs → Threat Intel APIs → Score de confiance
• Containment automatique : P1 alert → Isolation reseau → Ticket creation
• Provisioning securise : Demande d'acces → Validation manager → Creation compte
• Rotation de cles : Cron job → Rotation secrets → Verification → Notification
• Compliance scan : Planning → Scan vulnerabilites → Rapport → Alerte si ecart

💡 Threat Intelligence Platform

Une TIP centralise, enrichit et distribue les indicateurs de compromission (IOCs) et les techniques, tactics et procedures (TTPs).

Niveaux de Threat Intelligence

• Strategique : Tendances de menaces, direction des investissements securite
• Tactique : TTPs des adversaires, objectifs, mode operandi
• Operationnelle : Campagnes actives, outils utilises, timing
• Technique : IOCs (IPs, domains, hashes, URLs), signatures

Sources de Threat Intelligence

• Open Source (OSINT) : MISP, AlienVault OTX, Abuse.ch, PhishTank, URLhaus
• Commerciales : Recorded Future, Mandiant, CrowdStrike Intelligence, Palo Alto Unit 42
• Gouvernementales : ANSSI, CISA, CERT-FR, ECHO CTI
• Communautaires : ISACs (sectoriels), FS-ISAC, H-ISAC

Framework MITRE ATT&CK

Le referentiel de TTPs le plus utilise pour mapper les comportements d'adversaires.

Exemple de Integration TIP-SIEM

// Sentinel: Matching IOCs Threat Intel automatique
// Table ThreatIntelligence
threatintelligence
| where TimeGenerated > ago(7d)
| join kind=inner (
    DeviceNetworkEvents
    | where RemoteIP != ""
) on $left.IOCValue == $right.RemoteIP
| project Timestamp, DeviceName, RemoteIP, ThreatType, Confidence

🏭 MDR / MSSP

MDR (Managed Detection and Response) et MSSP (Managed Security Service Provider) sont des modeles d'externalisation des operations de securite.

Differences MDR vs MSSP

Avantages MDR

• Acces a des experts specialises sans les recruter
• Couverture 24/7 avec des equipes dediees
• Capacites de threat hunting avancees
• Temps de reduit (MTTD/MTTR plus faibles)
• Integrations avec les outils existants

Considerations pour le Choix

• Couverture geographique : Support local ou global ?
• Integration : Compatibilite avec votre stack technique
• SLA : Temps de reponse garanti, escalade
• Transparence : Reporting, visibilite des operations
• Cout : Opex vs Capex, modeles de pricing

📈 SOC Maturity Model

Le modele de maturite evalue la capacite et l'efficacite d'un SOC a travers des niveaux croissants de sophistication.

Niveaux de Maturite

Niveau 1 - Initial

• Alertes generees manuellement ou ad hoc
• Pas de procedures formelles
• Reaction aux evenements (pas de monitoring proactif)
• Outils basiques (antivirus, firewall)
• Personnel non dedie a la securite

Niveau 2 - Developing

• SIEM deploye avec regles de base
• Procedures ecrites pour les incidents courants
• Equipe SOC dediee (Tier 1)
• Logging systematique
• premieres metriques collectees

Niveau 3 - Defined

• Playbooks documentes et entraines
• SOAR deploie pour les automatisations de base
• KPIs mesures et reportes (MTTD, MTTR)
• Tier 1/2/3 operationnels
• Integration Threat Intelligence

Niveau 4 - Managed

• Threat hunting proactif
• Machine Learning pour la detection
• Automatisation avancee (SOAR complet)
• Red/Blue teaming regulier
• Metrics-driven improvement

Niveau 5 - Optimizing

• AI/ML au centre des operations
• Deception technology (honeypots)
• Purple teaming continu
• Automatisation quasi-totale
• Innovation et recherche

Evaluation de la Maturite

• Audit interne : Auto-evaluation annuelle avec grille de maturite
• Audit externe : Evaluation par un tier independant
• Cadres de reference : NIST CSF, ISO 27001, CIS Controls
• Benchmarking : Comparison avec le secteur d'activite