SOC & détection

Tout part de la collecte des événements : connexions aux comptes, traces des postes et des serveurs, flux réseau, journaux de la messagerie, des pare-feu, des applications et des services cloud. Ces données, dispersées sur des dizaines de machines, deviennent exploitables lorsque l’on sait centraliser et corréler vos journaux dans un SIEM, c’est-à-dire les rassembler, les normaliser et les enrichir pour qu’un même incident apparaisse comme une histoire cohérente plutôt que comme mille lignes isolées. Vient ensuite la corrélation : une connexion inhabituelle en pleine nuit n’est pas grave seule, mais suivie de la création d’un compte administrateur et d’un transfert massif vers l’extérieur, elle devient un signal sérieux. L’alerte qui en résulte n’a de valeur que si quelqu’un la reçoit, la comprend et sait quoi faire ensuite, d’où l’importance de relier chaque détection à une procédure claire et à une personne identifiée.

Cette chaîne repose sur un filtrage à plusieurs étages. Les capteurs sur les terminaux (EDR, puis XDR lorsque la vue s’étend à la messagerie, au réseau et à l’identité) observent ce qui se passe au plus près des machines et peuvent isoler un poste suspect en quelques secondes. Le SIEM prend du recul et relie ce que chaque capteur voit isolément. Le SOAR automatise les gestes répétitifs, comme bloquer une adresse ou désactiver un compte, afin de libérer du temps humain. Enfin, le centre opérationnel de sécurité, ou SOC, réunit les personnes et les procédures qui donnent un sens à tout cela et qui assurent la continuité de la veille. Ces briques ne sont pas concurrentes : elles se complètent, et l’ordre dans lequel on les déploie dépend de votre exposition, de vos moyens et de votre maturité.

L’erreur la plus fréquente consiste à empiler des outils sans se demander ce que l’on cherche. Une détection sans objectif produit des tableaux de bord impressionnants et très peu de décisions. Mieux vaut partir des scénarios qui vous menacent réellement : un message piégé qui mène à un vol d’identifiants, un ransomware qui se propage depuis un poste, un compte à privilèges détourné, une erreur de configuration dans le cloud. Pour chacun, posez trois questions simples : quelle trace laisse-t-il, où est-elle enregistrée, qui la regarde et dans quel délai ? Cette approche par scénarios révèle vite les trous de couverture, hiérarchise les investissements et permet d’expliquer à la direction pourquoi telle sonde ou telle ressource humaine est prioritaire. Elle aligne enfin équipes techniques et décideurs sur un même langage, ce qui accélère les arbitrages budgétaires.

Par où commencer selon la taille de votre organisation ?

Il n’existe pas de dispositif unique : un cabinet de dix personnes, une industrie de trois cents salariés et une collectivité aux services dispersés n’ont ni les mêmes risques ni les mêmes moyens. Le point commun est la proportionnalité : mieux vaut une couverture modeste mais réellement surveillée qu’une plateforme ambitieuse que personne n’exploite. Avant de choisir une solution, clarifiez trois paramètres : ce que vous devez absolument protéger, le temps humain disponible pour traiter les alertes, et le niveau d’interruption que l’activité peut tolérer. Ces trois réponses orientent presque tout le reste : le choix entre outils gérés et outils exploités en interne, la plage horaire de surveillance, et la part que vous confierez à un prestataire. Les trois profils ci-dessous donnent des repères pour démarrer, que vous ajusterez au fil de votre maturité et de vos incidents.

TPE et petites structures : l’essentiel, géré pour vous

Dans une petite structure, personne n’a le temps de lire des alertes. L’objectif est donc d’obtenir une protection active des postes avec un EDR géré, une messagerie filtrée et des sauvegardes isolées, le tout supervisé par un tiers qui réagit à votre place. La surveillance se limite aux sources les plus parlantes : identités, postes, messagerie et accès à distance. Inutile de collecter chaque journal : mieux vaut peu de sources, bien suivies et conservées, que beaucoup de données dormantes. Prévoyez une procédure d’une page indiquant qui appeler, quoi débrancher et qui décide, car la rapidité de la première heure fait souvent la différence entre un incident contenu et une journée perdue. Une revue mensuelle des alertes traitées suffit à garder le contrôle sans surcharger le dirigeant ni l’équipe.

PME et ETI : un socle outillé et des astreintes organisées

Dès qu’il existe un service informatique, la question devient celle de la répartition des rôles. Un SIEM ou une plateforme de détection étendue centralise les sources, un EDR couvre les terminaux, et l’équipe interne traite les alertes simples pendant les heures ouvrées. Le vrai problème reste la nuit, les week-ends et les congés : c’est là qu’un modèle hybride prend tout son sens, avec un prestataire qui assure la veille hors horaires et n’escalade que ce qui compte. Documentez ce qui relève de l’équipe interne et ce qui relève du partenaire, sous peine de voir une alerte rebondir de l’un à l’autre sans que personne n’agisse. C’est aussi à ce stade qu’il devient rentable de cartographier les couvertures avec un référentiel d’attaques et de traiter les vulnérabilités en flux continu plutôt qu’en campagne annuelle.

Collectivités : des sites multiples, des moyens mutualisés

Les collectivités cumulent des contraintes particulières : des périmètres éclatés entre mairie, écoles, services techniques et équipements de loisirs, des applications métiers anciennes, des agents aux profils variés et des budgets contraints. La supervision mutualisée est souvent la bonne réponse, qu’il s’agisse d’un centre de supervision partagé entre plusieurs communes ou d’un prestataire qui couvre l’ensemble du territoire. Priorisez les services essentiels à la population (état civil, paie, accueil, téléservices) et les comptes à privilèges, puis étendez la couverture par cercles. La surveillance de la messagerie et des accès distants rapporte vite, parce que la majorité des intrusions commencent encore par un message piégé ou un identifiant volé. Enfin, anticipez les contraintes de conservation des journaux et de protection des données personnelles : elles se décident avant l’incident, pas pendant.

Reste à articuler ces sujets entre eux, car ils se répondent. Une journalisation soignée alimente la centralisation, qui nourrit à son tour la corrélation et l’investigation. Les capteurs sur les postes et la surveillance de la messagerie réduisent la surface d’entrée, tandis que la gestion continue des vulnérabilités et le suivi de la configuration cloud diminuent les portes ouvertes que l’attaquant pourrait emprunter. Le renseignement sur les menaces et les indicateurs de compromission donnent de la perspective, alors que la détection des mouvements latéraux et des comportements anormaux couvre la phase où l’adversaire progresse à l’intérieur du réseau. Lisez la rubrique comme une carte : choisissez d’abord les deux ou trois briques prioritaires pour votre profil, assurez-vous qu’elles sont exploitées par des personnes identifiées, puis complétez par cercles successifs plutôt que de lancer tous les chantiers en parallèle, au risque de n’en terminer aucun.

Comment réduire le bruit des alertes sans manquer l’essentiel ?

Un dispositif de détection mal réglé submerge ses analystes. Des milliers d’événements remontent chaque jour, la plupart sans conséquence : mises à jour automatiques, connexions légitimes à des horaires atypiques, analyses internes planifiées. Cette fatigue d’alerte est un risque en soi, car l’alerte vraiment grave finit noyée au milieu des fausses pistes, ou ignorée parce que l’équipe a appris à ne plus regarder. Le travail d’un SOC consiste donc à construire un entonnoir de tri : on part d’un volume large d’événements bruts, on écarte ce qui est connu et inoffensif, on regroupe ce qui relève du même incident, on enrichit avec du contexte métier (criticité de la machine, réputation d’une adresse, historique de l’utilisateur), puis on ne transmet à un humain que ce qui mérite réellement son attention. Chaque étage réduit le volume et augmente la pertinence.

Régler les règles plutôt que subir les alertes

Le premier levier est le réglage continu des règles. Une règle de détection n’est jamais définitive : elle se teste, se mesure et s’affine. Chaque fausse alerte récurrente doit conduire à une décision claire : ajouter une exception documentée, préciser le périmètre, relever un seuil ou supprimer la règle. À l’inverse, chaque incident réel doit alimenter de nouvelles détections, afin que la même technique ne passe plus inaperçue la fois suivante. S’appuyer sur le cadre MITRE ATT&CK aide à vérifier que vos règles couvrent les grandes étapes d’une intrusion plutôt que la seule entrée initiale. Gardez une trace de ces choix, car des exceptions mal documentées finissent par devenir des failles de détection que plus personne ne se rappelle avoir créées. Cette discipline demande peu de moyens, mais beaucoup de régularité.

Donner du contexte et de l’automatisation aux analystes

Le second levier est l’enrichissement automatique. Quand une alerte arrive avec le nom du propriétaire de la machine, la criticité du serveur, l’historique récent du compte et la réputation des adresses impliquées, l’analyste décide en quelques minutes au lieu de chercher pendant une heure. L’automatisation de réponse prend le relais pour les actions simples et sûres : isoler un poste, révoquer une session, bloquer une pièce jointe ou ouvrir un ticket pré-rempli. Gardez toutefois un garde-fou humain pour les décisions à fort impact, comme couper un serveur de production. Enfin, la détection par analyse de comportement complète les règles classiques en repérant ce qui sort de l’ordinaire sans connaître à l’avance la signature de l’attaque, ce qui aide à débusquer les menaces inédites que les listes de détection ne connaissent pas encore.

Comment mesurer et améliorer votre capacité de détection dans la durée ?

Une capacité de détection se pilote comme un projet vivant. Sans mesure, on ignore si l’on progresse ; avec de mauvais indicateurs, on optimise des chiffres qui n’ont aucun rapport avec le risque. Le nombre d’alertes générées, par exemple, ne dit rien de la qualité du dispositif. Les repères utiles sont ailleurs : le délai de détection d’un comportement malveillant, le temps de qualification, le délai de confinement, la part des sources critiques réellement collectées et le taux de fausses alertes sur les règles majeures. Ces repères se suivent sans seuil universel, car chaque contexte a ses propres limites. L’essentiel est de comparer votre situation à elle-même, trimestre après trimestre, et de relier chaque écart à une action concrète. Un exercice de simulation d’intrusion ou un test de détection ponctuel fournit un bon point de départ pour calibrer ces repères.

Au-delà des alertes automatiques, la chasse proactive aux menaces consiste à partir d’une hypothèse (un attaquant aurait-il pu utiliser tel compte de service ?) et à la vérifier dans les données, sans attendre qu’une règle se déclenche. Elle trouve des intrusions discrètes et, surtout, elle révèle des lacunes de journalisation que personne n’avait vues. Le renseignement sur les menaces nourrit cette démarche en indiquant quels groupes ciblent votre secteur et quelles techniques ils privilégient, tandis que les indicateurs de compromission servent à vérifier rapidement si une infrastructure connue a déjà touché votre réseau. Pour rester utile, ce renseignement doit être trié : un flux brut de milliers d’indicateurs sans priorisation selon votre contexte ressemble à un nouveau bruit à gérer. Mieux vaut quelques sources fiables, intégrées aux outils existants et revues régulièrement, que des abonnements empilés.

Ne négligez pas la dimension humaine et organisationnelle. Une détection performante exige des rôles clairement attribués : qui qualifie, qui décide d’isoler, qui prévient la direction, qui s’adresse aux autorités ou à l’assureur si nécessaire. Les exercices de crise, même simples, révèlent en une demi-journée ce que des mois de documentation n’ont pas vu. Pensez aussi à la conservation des journaux : si une enquête démarre trois mois après l’intrusion, il faut encore disposer des traces correspondantes, dans un état protégé contre toute altération. Enfin, intégrez la détection à vos autres chantiers, qu’il s’agisse de la correction des vulnérabilités, de la surveillance de la configuration cloud ou de la protection de la messagerie, car l’efficacité d’un dispositif tient autant à la cohérence de l’ensemble qu’à la puissance de chaque outil. Programmez une revue annuelle avec la direction pour arbitrer les ressources.