Fiche 09 — SOC, détection, réponse à incident & gestion de crise

1. Le SOC — organisation

Modèles

• SOC interne (contrôle, coût élevé, difficulté de recrutement 24/7 → 8-12 ETP pour du 24/7).
• SOC managé / MSSP ou MDR : MDR = détection et réponse (actions de containment déléguées).
• SOC hybride : détection externalisée, réponse et contexte métier internes. Le plus courant et souvent le plus pertinent — c’est la recommandation à savoir défendre.
• Niveaux : N1 (triage, qualification), N2 (investigation, réponse), N3 (threat hunting, ingénierie de détection, forensics), + CTI, + SOC manager.
• Qualifications ANSSI : PDIS (détection), PRIS (réponse à incident) — à citer.

Indicateurs de pilotage d’un SOC (à savoir donner)

• MTTD (détection), MTTR (réponse/remédiation), MTTA (acquittement).
• Volume d’alertes, taux de faux positifs, taux d’alertes clôturées sans action, couverture MITRE ATT&CK (nb de techniques détectées / pertinentes), taux de couverture EDR/log sources, respect des SLA de prise en charge.
• Piège : ne jamais présenter « nombre d’alertes traitées » comme un indicateur de performance seul.

2. SIEM & ingénierie de détection

• Chaîne : sources → collecte (agents, syslog, API) → normalisation/parsing → enrichissement (asset, identité, CTI, géo) → corrélation → alerte → case management → réponse.
• Sources prioritaires (ordre de valeur/coût) ⭐ :
  1. EDR (le plus riche), 2. Authentification/AD/Entra (4624/4625/4768/4769/4776, sign-in logs),
  2. Plan de contrôle cloud (CloudTrail/Activity Log), 4. Proxy/DNS, 5. Firewall/VPN,
  3. Messagerie, 7. Applications métier critiques, 8. Bases de données.
• Modèles de données : OCSF, ASIM, ECS. Sigma pour des règles portables.
• Ingénierie de détection : partir des scénarios de risque (issus d’EBIOS RM !) et de MITRE ATT&CK, écrire la règle, la tester (Atomic Red Team, Caldera, purple team), mesurer les faux positifs, documenter le playbook associé. Une règle sans playbook est inutile.
• Pyramide de la douleur (Bianco) : hash < IP < domaine < artefact réseau/hôte < outil < TTP. Détecter des TTP coûte cher à l’attaquant ; détecter des hashes ne coûte rien.
• UEBA, détection d’anomalies, honeytokens / comptes leurres (très bon rapport signal/bruit — un compte leurre déclenché = quasi zéro faux positif).
• SOAR : enrichissement automatique, isolation d’un poste, désactivation d’un compte, blocage d’IoC. Commencer par automatiser l’enrichissement, pas la remédiation.