Analyste SOC
Professionnel qui surveille en continu le système d'information pour détecter, analyser et qualifier les activités suspectes.
Définition complète
L'analyste SOC travaille dans un centre des opérations de sécurité (Security Operations Center). Selon le Panorama des métiers de l'ANSSI, il assure la supervision du système d'information pour détecter des activités suspectes ou malveillantes, identifie, catégorise, analyse et qualifie les événements de sécurité, et contribue au traitement des incidents avérés en appui des équipes de réponse.
Au quotidien, il examine les alertes remontées par les outils (SIEM, EDR, pare-feu), écarte les faux positifs, évalue la gravité des incidents, les escalade et recommande les mesures immédiates. Il participe aussi à l'écriture des règles de détection, à la veille sur les menaces et à la recherche proactive de compromissions (threat hunting).
Rares sont les PME qui peuvent employer des analystes SOC, puisqu'une surveillance continue suppose une équipe en rotation. Elles recourent généralement à un SOC externalisé ou à un service de détection et réponse managé (MDR).
Exemple concret
Un samedi à 3 h du matin, l'analyste du SOC externalisé d'un groupe de cliniques privées reçoit une alerte : un compte administrateur se connecte depuis l'étranger et lance un outil de copie massive de fichiers. Il vérifie qu'aucune intervention n'est prévue, fait isoler le serveur via l'EDR, désactive le compte et appelle l'astreinte du client. L'exfiltration est stoppée avant le chiffrement des données.
Comment se protéger
- Définir avec le SOC ce qui doit déclencher un appel immédiat et qui joindre, y compris la nuit
- Donner au SOC accès aux journaux utiles : messagerie, authentification, pare-feu, postes
- Préciser contractuellement les actions que l'analyste peut mener seul (isoler un poste, bloquer un compte)
- Signaler au SOC les interventions planifiées pour limiter les fausses alertes
- Exiger un compte rendu régulier des alertes et des incidents traités
Questions fréquentes
Dès que l'activité ne peut pas supporter une intrusion non détectée pendant des jours, une supervision est utile. Pour une PME, elle passe presque toujours par un SOC externalisé ou une offre MDR.
Le SOC désigne l'équipe et la fonction de supervision. Le MDR est une offre de service qui combine outils de détection, analystes et capacité de réaction sur les postes et serveurs.
Termes liés
Indicateur de compromission (IOC)
Trace technique (adresse IP, nom de domaine, empreinte de fichier) qui signale qu'une attaque est en cours ou a déjà eu lieu.
Plan de réponse à incident
Procédure écrite qui indique qui fait quoi, dans quel ordre et avec quels contacts dès qu'une cyberattaque est détectée.
Purple team
Exercice collaboratif où attaquants (red team) et défenseurs (blue team) travaillent ensemble pour améliorer la détection.
RSSI
Responsable de la Sécurité des Systèmes d'Information.
Vous avez besoin d'un expert en Analyste SOC ?
Créez votre compte pour recevoir des réponses de prestataires qualifiés.