[et_pb_section fb_built=\u00a0\u00bb1″ admin_label=\u00a0\u00bbSection\u00a0\u00bb _builder_version=\u00a0\u00bb4.22.0″ _module_preset=\u00a0\u00bbdefault\u00a0\u00bb custom_margin=\u00a0\u00bb0px||0px||false|false\u00a0\u00bb custom_padding=\u00a0\u00bb0px||0px||false|false\u00a0\u00bb locked=\u00a0\u00bboff\u00a0\u00bb global_colors_info=\u00a0\u00bb{}\u00a0\u00bb][et_pb_row column_structure=\u00a0\u00bb1_4,3_4″ _builder_version=\u00a0\u00bb4.27.0″ _module_preset=\u00a0\u00bbdefault\u00a0\u00bb custom_padding=\u00a0\u00bb50px||||false|false\u00a0\u00bb custom_css_main_element=\u00a0\u00bbz-index:0!important;\u00a0\u00bb global_colors_info=\u00a0\u00bb{}\u00a0\u00bb][et_pb_column type=\u00a0\u00bb1_4″ disabled_on=\u00a0\u00bbon|on|off\u00a0\u00bb _builder_version=\u00a0\u00bb4.22.0″ _module_preset=\u00a0\u00bbdefault\u00a0\u00bb custom_padding=\u00a0\u00bb||||false|false\u00a0\u00bb sticky_position=\u00a0\u00bbtop\u00a0\u00bb sticky_offset_top=\u00a0\u00bb100px\u00a0\u00bb sticky_limit_bottom=\u00a0\u00bbsection\u00a0\u00bb motion_trigger_start=\u00a0\u00bbtop\u00a0\u00bb global_colors_info=\u00a0\u00bb{}\u00a0\u00bb][et_pb_text admin_label=\u00a0\u00bbindice\u00a0\u00bb _builder_version=\u00a0\u00bb4.27.0″ _module_preset=\u00a0\u00bbdefault\u00a0\u00bb custom_margin=\u00a0\u00bb||0px||false|false\u00a0\u00bb custom_padding=\u00a0\u00bb||14px||false|false\u00a0\u00bb link_option_url=\u00a0\u00bb#1″ global_colors_info=\u00a0\u00bb{}\u00a0\u00bb]<\/p>\n
Sections<\/strong><\/p>\n [\/et_pb_text][\/et_pb_column][et_pb_column type=\u00a0\u00bb3_4″ _builder_version=\u00a0\u00bb4.27.0″ _module_preset=\u00a0\u00bbdefault\u00a0\u00bb custom_css_main_element=\u00a0\u00bbz-index:0!important;\u00a0\u00bb global_colors_info=\u00a0\u00bb{}\u00a0\u00bb][et_pb_text admin_label=\u00a0\u00bbseccion\u00a0\u00bb module_id=\u00a0\u00bb1″ module_class=\u00a0\u00bbittopicscontent\u00a0\u00bb _builder_version=\u00a0\u00bb4.27.0″ _module_preset=\u00a0\u00bbdefault\u00a0\u00bb z_index=\u00a0\u00bb0″ custom_margin=\u00a0\u00bb0px||0px||true|false\u00a0\u00bb custom_padding=\u00a0\u00bb0px||0px||false|false\u00a0\u00bb custom_css_main_element=\u00a0\u00bbfont-family:%22Pandora-Light%22;\u00a0\u00bb locked=\u00a0\u00bboff\u00a0\u00bb global_colors_info=\u00a0\u00bb{}\u00a0\u00bb]600 millions et 292. Cela ressemble aux chiffres d\u2019un combat in\u00e9gal \u2014 et en un sens, c\u2019est exactement \u00e7a, du moins dans le domaine de la cybers\u00e9curit\u00e9, de plus en plus complexe. Dans ce contexte, le Security Operations Center (SOC)<\/strong> doit \u00eatre le c\u0153ur de la d\u00e9fense proactive de toute organisation. C\u2019est pourquoi ce guide complet d\u00e9taille ce qu\u2019est un SOC, ce qu\u2019il fait, de quoi il se compose, et comment des outils comme Pandora SIEM<\/strong> renforcent son efficacit\u00e9. Une \u00e9quipe sp\u00e9cialis\u00e9e qui utilise des technologies et des processus pour superviser<\/a>, d\u00e9tecter et r\u00e9pondre aux incidents de cybers\u00e9curit\u00e9<\/strong> en temps r\u00e9el. Selon sa nature, un SOC peut \u00eatre :<\/p>\n Quel que soit son type, un SOC efficace doit remplir des fonctions cl\u00e9s, parmi lesquelles :<\/p>\n Chaque organisation est unique, tout comme son mod\u00e8le sp\u00e9cifique de menaces. Une fois les menaces identifi\u00e9es, le SOC ne les attend pas \u2014 il supervise en continu, 24 h\/24 et 7 j\/7, \u00e0 l\u2019aide d\u2019analyses de journaux, de trafic r\u00e9seau ou d\u2019activit\u00e9 sur les endpoints.<\/p>\n La capacit\u00e9 \u00e0 le faire efficacement d\u00e9pendra des outils appropri\u00e9s, comme les EDR (Endpoint Detection and Response) d\u00e9ploy\u00e9s sur les dispositifs, ou les SIEMs (Security Information and Event Management) comme Pandora SIEM<\/a>, qui centralisent les informations en s\u00e9parant le signal du bruit. T\u00f4t ou tard, des incidents se produiront \u2014 par hame\u00e7onnage phishing<\/a>, ing\u00e9nierie sociale ou d\u2019autres techniques. C\u2019est pourquoi le SOC doit diriger la r\u00e9ponse afin de contenir, \u00e9radiquer et restaurer<\/strong> l\u2019infrastructure affect\u00e9e. Colmater la br\u00e8che et nettoyer les d\u00e9g\u00e2ts ne suffit pas. Il est n\u00e9cessaire de mener une analyse forensique pour comprendre exactement ce qui s\u2019est pass\u00e9 et mettre en place des mesures correctives afin d\u2019\u00e9viter toute r\u00e9cidive.<\/p>\n Cela inclut par exemple la surveillance du respect du RGPD en mati\u00e8re de protection des donn\u00e9es, ou de la directive europ\u00e9enne NIS2<\/A> sur la s\u00e9curit\u00e9 des r\u00e9seaux et syst\u00e8mes. Le SOC est compos\u00e9 de personnes et d\u2019outils. Ces derniers sont bien plus sophistiqu\u00e9s que les antivirus traditionnels, tandis que les techniciens sont de plus en plus sp\u00e9cialis\u00e9s \u2014 car la cybers\u00e9curit\u00e9 est un domaine en constante \u00e9volution, sans fin en soi.<\/p>\n Le CISO (Chief Information Security Officer) est le g\u00e9n\u00e9ral en chef. Il con\u00e7oit et supervise les politiques de s\u00e9curit\u00e9 et de gestion des risques, et rend g\u00e9n\u00e9ralement compte \u00e0 la direction. L\u2019organisation pr\u00e9cise de ces ressources humaines d\u00e9pend de la m\u00e9thodologie adopt\u00e9e et, surtout, du budget disponible. Il s\u2019agit l\u00e0 d\u2019une structure id\u00e9ale, mais dans bien des SOC, il n\u2019est pas rare qu\u2019une seule personne cumule le titre officiel de CISO\u2026 et celui, officieux, d\u2019homme-orchestre.<\/p>\n La mission du SOC serait impossible sans des outils sp\u00e9cialis\u00e9s, et ses principales \u00ab armes \u00bb technologiques sont les suivantes :<\/p>\n En mati\u00e8re de technologie, on a parfois l\u2019impression qu\u2019il est plus important de bien conna\u00eetre un outil que de comprendre les processus sous-jacents. Et m\u00eame si ce n\u2019est pas tout \u00e0 fait exact, il est essentiel de comprendre comment le travail du SOC s\u2019int\u00e8gre avec les applications con\u00e7ues pour le faciliter.<\/p>\n Les d\u00e9cisions prises par le SOC ne seront aussi efficaces que la qualit\u00e9 des informations dont il dispose. <\/strong>C\u2019est justement le r\u00f4le du SIEM, qui agr\u00e8ge et normalise les logs provenant de diverses sources (pare-feux, serveurs, applications…) et identifie des sch\u00e9mas d\u2019attaque gr\u00e2ce \u00e0 des r\u00e8gles de corr\u00e9lation. Il s\u2019agit d\u2019une technologie con\u00e7ue pour g\u00e9rer plus efficacement un grand volume d\u2019alertes de s\u00e9curit\u00e9<\/strong>. Cela am\u00e9liore la rapidit\u00e9 et la pr\u00e9cision de la r\u00e9ponse aux incidents, en automatisant les contre-mesures et en permettant aux \u00e9quipes de s\u00e9curit\u00e9 de se concentrer sur des t\u00e2ches plus strat\u00e9giques. Les EDR sont les yeux et les oreilles du SOC, install\u00e9s sur les dispositifs de l\u2019organisation<\/strong>. Ils enregistrent les activit\u00e9s, se connectent au SIEM et peuvent d\u00e9clencher des playbooks automatiques via le SOAR, tout en alertant le SOC. La premi\u00e8re raison est \u00e9vidente : la survie. Le rapport VikingCloud\u2019s 2025 SMB Threat Landscape<\/A> r\u00e9v\u00e8le que les pertes li\u00e9es \u00e0 un incident de cybers\u00e9curit\u00e9 peuvent entra\u00eener la fermeture de 1 PME sur 5 si elles atteignent 10 000 dollars \u2014 ce qui est rapidement atteint lorsqu\u2019on additionne les co\u00fbts directs et les sanctions r\u00e9glementaires potentielles. Bien entendu, tout cela semble id\u00e9al et peut para\u00eetre r\u00e9serv\u00e9 aux organisations disposant de moyens importants. Pourtant, ce n\u2019est plus le cas, car, comme beaucoup d\u2019autres services aujourd\u2019hui, un SOC peut aussi \u00eatre externalis\u00e9 sous forme de service.<\/p>\n La cybers\u00e9curit\u00e9 ressemble encore trop souvent \u00e0 une note de bas de page dans bien des organisations \u2014 confi\u00e9e au beau-fr\u00e8re du directeur ou au stagiaire \u00ab qui s\u2019y conna\u00eet en informatique \u00bb. Le rapport de VikingCloud mentionn\u00e9 plus haut confirme ce constat en r\u00e9v\u00e9lant que 74 % des petites et moyennes entreprises g\u00e8rent leur s\u00e9curit\u00e9 sans comp\u00e9tences suffisantes. Voici quelques cas d\u2019usage typiques o\u00f9 le SOCaaS s\u2019av\u00e8re pertinent :<\/p>\n Le SOCaaS peut \u00e9galement s\u2019int\u00e9grer de fa\u00e7on hybride \u00e0 l\u2019architecture de s\u00e9curit\u00e9 existante. M\u00eame si chaque SOC g\u00e8re un mod\u00e8le de menaces sp\u00e9cifique, les difficult\u00e9s rencontr\u00e9es sont souvent similaires :<\/p>\n Il y a un monde entre avoir un SOC et avoir un SOC efficace, et cette diff\u00e9rence repose sur l\u2019application des meilleures pratiques. La technologie doit nous simplifier la vie \u2014 et une bonne technologie est le reflet des meilleures pratiques. Ce sont les deux principes directeurs de Pandora SIEM, qui prend en charge les t\u00e2ches les plus lourdes de l\u2019activit\u00e9 d\u2019un SOC gr\u00e2ce \u00e0 :<\/p>\n En agr\u00e9geant les logs provenant de pare-feux, endpoints, applications, etc., et en leur appliquant des r\u00e8gles bas\u00e9es sur MITRE ATT&CK, Pandora SIEM permet de d\u00e9tecter et d\u2019alerter imm\u00e9diatement en cas d\u2019incident. Pandora SIEM permet de cr\u00e9er un plan de r\u00e9ponse aux incidents complet, en d\u00e9finissant les \u00e9v\u00e9nements n\u00e9cessitant une intervention humaine et ceux pouvant \u00eatre g\u00e9r\u00e9s automatiquement, lib\u00e9rant ainsi du temps et de la s\u00e9r\u00e9nit\u00e9 pour l\u2019\u00e9quipe SOC.<\/p>\n Qu\u2019il s\u2019agisse de r\u00e8gles, de corr\u00e9lations avanc\u00e9es ou de tableaux de bord, Pandora SIEM peut \u00eatre adapt\u00e9 pour refl\u00e9ter les besoins sp\u00e9cifiques du SOC. De l\u2019alerte pr\u00e9coce jusqu\u2019aux rapports finaux, Pandora SIEM fournit toutes les informations n\u00e9cessaires, tant pour le bon fonctionnement du SOC que pour le respect des r\u00e9glementations, comme les audits exig\u00e9s par la directive europ\u00e9enne NIS2, par exemple.<\/p>\n Si vous utilisez d\u00e9j\u00e0 Pandora FMS, il suffit d\u2019un clic pour activer le serveur SIEM, garantissant ainsi que les technologies les plus avanc\u00e9es soient de votre c\u00f4t\u00e9 dans la bataille de la cybers\u00e9curit\u00e9.<\/p>\n\n
\nCar ces 600 millions ne sont pas des pertes, mais le nombre d\u2019attaques quotidiennes<\/strong> subies par les seuls utilisateurs de Microsoft, selon leurs propres donn\u00e9es<\/A>. Ajoutons \u00e0 cela que l\u2019Internet fonctionne pratiquement sur Linux (sans oublier les quatre personnes et demie qui l\u2019utilisent sur desktop), qu\u2019il y a aussi Android, et que macOS et iOS existent (et non, ils ne sont pas \u00e9pargn\u00e9s non plus).
\nMais les chiffres ne traduisent pas aussi bien l\u2019importance d\u2019un SOC que cette sensation de vide dans l\u2019estomac face \u00e0 un \u00e9cran de ransomware ou \u00e0 une transaction frauduleuse qui vous a ruin\u00e9.
\nPour \u00e9viter cela, voici ce que nous devons savoir.<\/p>\nQu\u2019est-ce qu\u2019un Security Operations Center (SOC) ?<\/h2>\n
\nContrairement au NOC (Network Operations Center)<\/A>, centr\u00e9 sur la disponibilit\u00e9 et la performance r\u00e9seau, le SOC priorise l\u2019identification des failles et la neutralisation des menaces.
\nOn peut consid\u00e9rer le SOC comme le \u00ab syst\u00e8me immunitaire \u00bb de notre organisation<\/strong> qui, \u00e0 l\u2019aide de techniques et de solutions vari\u00e9es, surveille activement notre surface d\u2019attaque et att\u00e9nue les br\u00e8ches. Il ne nous viendrait pas \u00e0 l\u2019esprit de monter dans un m\u00e9tro bond\u00e9 sans ce syst\u00e8me immunitaire, mais beaucoup d\u2019organisations fonctionnent au quotidien sans SOC.
\nLa cl\u00e9 r\u00e9side dans cette \u00ab proactivit\u00e9 \u00bb, car une approche purement r\u00e9active est insuffisante<\/strong> \u2014 ce fameux chiffre 292 fait r\u00e9f\u00e9rence, selon IBM<\/a>, au nombre moyen de jours n\u00e9cessaires pour contenir une br\u00e8che<\/strong> par exemple caus\u00e9e par le vol de donn\u00e9es d\u2019identification.<\/p>\nQuels types de SOC existent<\/h2>\n
\n
Fonctions cl\u00e9s d\u2019un SOC<\/h2>\n
Planification de la s\u00e9curit\u00e9<\/h3>\n
\nC\u2019est pourquoi la premi\u00e8re fonction du SOC est de planifier et d\u2019optimiser la s\u00e9curit\u00e9. Cela implique d\u2019\u00e9laborer un mod\u00e8le de menaces propre \u00e0 l\u2019organisation, de les prioriser et de comprendre les meilleures pratiques pour les att\u00e9nuer.<\/p>\nSupervision et d\u00e9tection continue<\/h3>\n
\nFace \u00e0 la temp\u00eate actuelle de millions de menaces croissantes chaque jour, l\u2019utilisation de l\u2019intelligence artificielle (IA) et de r\u00e8gles de corr\u00e9lation est indispensable pour \u00e9viter d\u2019\u00eatre submerg\u00e9.<\/p>\nR\u00e9ponse aux incidents<\/h3>\n
\nL\u2019objectif est de limiter les pertes et de garantir la continuit\u00e9 de service, aussi bien en interne qu\u2019aupr\u00e8s des clients, afin de ne pas compromettre les SLA (Service Level Agreements).
\n De la m\u00eame mani\u00e8re, il doit notifier l\u2019incident aux autorit\u00e9s comp\u00e9tentes (comme une fuite de donn\u00e9es \u00e0 la CNIL ou autre organisme national), afin de respecter la loi et d\u2019\u00e9viter d\u2019ajouter des amendes aux pertes subies.<\/p>\nAnalyse forensique<\/h3>\n
Conformit\u00e9 aux r\u00e9glementations de s\u00e9curit\u00e9<\/h3>\n
\n En raison d\u2019un cadre l\u00e9gislatif de plus en plus strict, cette fonction du SOC devient essentielle pour \u00e9viter toute sanction.
\n De la m\u00eame mani\u00e8re, le SOC pilote la mise en \u0153uvre de toute autre norme applicable, comme la norme ISO 27001<\/a>.<\/p>\nComposants fondamentaux d\u2019un SOC<\/h2>\n
Composants humains du SOC<\/h3>\n
\nIl est ultimement responsable en cas d\u2019\u00e9chec, et h\u00e9ros discret en cas de succ\u00e8s \u2014 car en cybers\u00e9curit\u00e9, on gagne lorsque le travail est si bien fait qu\u2019il ne se passe rien (et c\u2019est l\u00e0 que les dirigeants commencent \u00e0 se demander si tout cela est vraiment n\u00e9cessaire, puisqu\u2019ils ne per\u00e7oivent aucun danger).
\nLe SOC Manager est le gestionnaire op\u00e9rationnel du SOC au quotidien. Il est charg\u00e9 de mettre en \u0153uvre les directives du CISO, auquel il rend compte.
\n Si vous lisez ceci, vous avez probablement vu Star Trek: TNG. Le capitaine Picard repr\u00e9senterait le CISO \u2014 celui qui donne les ordres et planifie \u2014 tandis que le commandant Riker serait le SOC Manager, le premier officier qui ex\u00e9cute et agit.
\nViennent ensuite les techniciens de terrain, qui se battent dans les tranch\u00e9es avec leurs outils contre les acteurs malveillants. Un SOC id\u00e9al comprendrait :<\/p>\n\n
Composants technologiques du SOC<\/h3>\n
\n
L\u2019int\u00e9gration du SOC avec les technologies de s\u00e9curit\u00e9<\/h2>\n
Le SIEM et le SOC<\/h3>\n
\nPar exemple :
\n Le log du pare-feu enregistre de multiples connexions provenant d\u2019une m\u00eame adresse IP en peu de temps. En parall\u00e8le, le log du serveur signale de nombreuses tentatives d\u2019authentification \u00e9chou\u00e9es sur un compte administrateur.
\nLe SIEM corr\u00e8le ces \u00e9v\u00e9nements et en conclut qu\u2019il s\u2019agit d\u2019une attaque par force brute, \u00e9mettant une alerte en temps r\u00e9el \u00e0 destination du SOC.<\/p>\nSOAR<\/h3>\n
\nPar exemple, le SIEM identifie un flux soudain et massif de paquets SYN provenant d\u2019adresses IP situ\u00e9es dans plusieurs pays diff\u00e9rents. Le SOAR d\u00e9clenche alors automatiquement le playbook \u00ab Mitigation DDoS \u00bb, sous la supervision du SOC.
\n Le trafic est ainsi redirig\u00e9 vers Cloudflare, les IPs sont bloqu\u00e9es et un ticket est g\u00e9n\u00e9r\u00e9 dans Jira, le tout sans intervention humaine.
\nL\u2019attaque est imm\u00e9diatement neutralis\u00e9e, alors qu\u2019une r\u00e9ponse manuelle aurait pu prendre 45 minutes \u00e0 un ing\u00e9nieur, qui aurait certainement mieux \u00e0 faire que de r\u00e9p\u00e9ter ce type de proc\u00e9dure encore et encore.<\/p>\nEDRs<\/h3>\n
\nPar exemple : Un ordinateur portable se connecte \u00e0 un serveur inconnu et commence \u00e0 envoyer un grand volume de donn\u00e9es vers une adresse IP suspecte. L\u2019EDR d\u00e9tecte ce comportement et \u00e9met une alerte afin que le syst\u00e8me de s\u00e9curit\u00e9 int\u00e9gr\u00e9 r\u00e9agisse automatiquement, par exemple en d\u00e9clenchant un processus d\u2019anti-exfiltration.<\/p>\nPourquoi mettre en place un SOC<\/h2>\n
\nIl existe une statistique c\u00e9l\u00e8bre, souvent attribu\u00e9e \u00e0 la National Cybersecurity Alliance, affirmant que 60 % des PME ferment apr\u00e8s une cyberattaque \u2014 un chiffre repris par de grands m\u00e9dias, mais qui est erron\u00e9<\/a><\/strong>.
\nCela dit, ce n\u2019est pas la seule raison, car un SOC permet \u00e9galement de :<\/p>\n\n
SOC en tant que service (SOCaaS) : avantages et cas d\u2019usage<\/h2>\n
\nC\u2019est l\u00e0 qu\u2019intervient le SOCaaS, un mod\u00e8le dans lequel un prestataire externe g\u00e8re les op\u00e9rations de s\u00e9curit\u00e9 \u00e0 l\u2019aide de ses propres outils et experts, en \u00e9change d\u2019un abonnement.
\nCe mod\u00e8le offre plusieurs avantages :<\/p>\n\n
\n
\nPar exemple, le SOCaaS supervise l\u2019environnement cloud AWS, tandis qu\u2019un SIEM interne comme Pandora g\u00e8re les r\u00e9seaux locaux.
\nCette int\u00e9gration permettrait de corr\u00e9ler les alertes dans un tableau de bord unique, en tirant parti de la t\u00e9l\u00e9m\u00e9trie pour une gestion de la s\u00e9curit\u00e9 globale et unifi\u00e9e<\/A>.<\/p>\nD\u00e9fis courants dans la gestion d\u2019un SOC<\/h2>\n
\n
\n Une cybers\u00e9curit\u00e9 de qualit\u00e9 exige un investissement r\u00e9el, ce qui explique la mont\u00e9e en puissance des mod\u00e8les comme le SOCaaS.<\/li>\n<\/ul>\nBonnes pratiques pour un SOC efficace<\/h2>\n
\n Sans strat\u00e9gies adapt\u00e9es<\/a> ni principes clairs<\/A>, les \u00e9quipes humaines et les licences logicielles ne suffisent pas. Parmi ces bonnes pratiques :<\/p>\n\n
Comment Pandora SIEM optimise la gestion d\u2019un SOC<\/h2>\n
Corr\u00e9lation avanc\u00e9e des \u00e9v\u00e9nements<\/h3>\n
\n Par exemple : une tentative de connexion \u00e9chou\u00e9e suivie de l\u2019ex\u00e9cution d\u2019un script PowerShell obfusqu\u00e9 g\u00e9n\u00e8re une alerte de type malware.<\/p>\nR\u00e9ponse automatis\u00e9e<\/h3>\n
Personnalisation et adaptation<\/h3>\n
\nDe m\u00eame, peu importe que l\u2019infrastructure soit on-premise ou implique la supervision du cloud Azure, par exemple \u2014 Pandora SIEM s\u2019adapte aux deux et les unifie dans une vision centralis\u00e9e.<\/p>\nSuivi du cycle de vie des incidents<\/h3>\n
Fonctionnement simple et technologie de pointe<\/h3>\n
Tendances \u00e9mergentes dans les SOC<\/h2>\n