Défense
SIEM et SOC
Aussi appeléSIEMSOCSecurity Operations CenterSecurity Information and Event Management
En résumé
Le SIEM est une plateforme qui collecte et corrèle les journaux de sécurité de l’ensemble du système d’information pour produire des alertes. Le SOC est l’équipe, interne ou externalisée, qui exploite ces alertes, les qualifie, enquête et déclenche la réponse à incident.
SIEM et SOC, en détail
SIEM signifie Security Information and Event Management. Il centralise les journaux des serveurs, des postes, des pare-feux, de l’annuaire, des applications et des services cloud, les normalise et applique des règles de détection : plusieurs échecs de connexion suivis d’un succès, création d’un compte administrateur hors procédure, volumes de données inhabituels. Il conserve aussi les traces nécessaires à une enquête et à la preuve après un incident.
Le SOC (Security Operations Center) est la fonction humaine : des analystes qui surveillent les alertes, éliminent les faux positifs, qualifient les incidents réels et déclenchent la réponse. Il peut être interne, externalisé auprès d’un prestataire, ou mixte, et fonctionner en horaires de bureau ou en continu. Le service rendu dépend de ses horaires, de ses délais de qualification et de l’autorité dont il dispose pour agir, par exemple isoler une machine. Un SIEM sans règles adaptées ni analystes produit du bruit ou du silence. La valeur vient de la qualité des sources collectées (celles qui couvrent les scénarios d’attaque réels), de l’ajustement des règles à l’environnement et de procédures de réponse écrites. Il faut mesurer des délais : de détection, de qualification et de containment, plutôt que le nombre d’alertes traitées.
Qu’est-ce que cela change pour vous ?
Détecter prend du temps et des personnes : un SIEM n’est efficace qu’avec un SOC qui l’exploite. Avant d’acheter, demandez qui regarde les alertes à trois heures du matin un dimanche, et ce qu’il a le droit de faire.
Exemple illustratif (fictif)
Par exemple, une entreprise branche ses journaux d’annuaire et de messagerie sur un SIEM, avec une surveillance externalisée. Une connexion administrateur depuis un pays inhabituel, suivie d’une règle de transfert de courrier, est qualifiée en vingt minutes et le compte désactivé.
La confusion fréquente
Considérer le SIEM comme un produit qu’on installe et qui protège. Sans sources pertinentes, sans règles ajustées et sans analystes pour traiter les alertes, il accumule des journaux sans produire de détection.
Qui peut vous aider à le mettre en place ?
- Supervision & SOC : la prestationUne attaque que personne ne voit dure plus longtemps et coûte plus cher.
- Réponse à incident : la prestationComprendre, contenir, puis remettre en service, dans cet ordre.
Aller plus loin
- ArticleQue faire en cas de cyberattaque ou de rançongiciel : la première heureLes gestes à faire et à ne pas faire dans la première heure d’une cyberattaque ou d’un rançongiciel : isoler, préserver, alerter, notifier, et à quel moment faire appel à un prestataire.
- ArticleGestion des vulnérabilités : comment prioriser les correctifs (CVSS, EPSS, KEV)Un parc compte des milliers de vulnérabilités et une équipe ne peut pas toutes les corriger. Comment choisir par où commencer avec le CVSS, l’EPSS et le catalogue KEV.
- ComparatifTest d’intrusion ou red team : quelle différence et lequel acheter ?Le test d’intrusion cherche le plus de failles possible sur un périmètre, la red team mesure si votre défense détecte un adversaire déterminé. Pourquoi la red team est souvent achetée trop tôt.
Termes liés
- DéfenseEDR et XDR : définitionL’EDR est un agent installé sur les postes et serveurs qui enregistre l’activité des machines pour détecter des comportements malveillants et permettre de les contenir à distance.
- MéthodeBlue team et purple team : définitionLa blue team désigne l’équipe qui défend, détecte et répond aux attaques ; la purple team est un mode de travail où attaquants et défenseurs collaborent en direct, technique par technique, pour améliorer la détection plutôt que pour mesurer un résultat à l’insu de la défense.
- AttaquePersistance : définitionL’ensemble des mécanismes par lesquels un attaquant conserve son accès à un système après un redémarrage, un changement de mot de passe ou la correction du défaut initial.
- AttaqueExfiltration de données : définitionLe transfert non autorisé de données depuis un système d’information vers un emplacement contrôlé par un attaquant.
- ConformitéNIS 2 : définitionLa directive européenne (UE) 2022/2555 sur la cybersécurité, qui impose aux entités « essentielles » et « importantes » de nombreux secteurs des mesures de gestion des risques, une responsabilité de la direction et une notification rapide des incidents importants.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début