Sécurité
SOC : détection et réponse aux incidents
Chaîne de détection complète : collecte (EDR, logs, IDS), SIEM, règles Sigma, gestion de cas et réponse automatisée.
Architecture d'un Security Operations Center moderne.
- Collecte : agents Wazuh/osquery sur les hôtes, Suricata sur les points de passage réseau, journaux d'authentification (AD, Keycloak), pare-feu et proxy.
- SIEM : normalisation et corrélation ; les règles sont écrites en Sigma puis converties pour le moteur cible, versionnées et testées.
- Triage : les alertes alimentent TheHive (cas, observables, tâches) ; enrichissement automatique (réputation, CMDB, MITRE ATT&CK).
- Réponse : investigation forensique avec Velociraptor, confinement (isolement réseau, désactivation de compte), retour d'expérience.
Indicateurs suivis : MTTD, MTTR, taux de faux positifs, couverture ATT&CK.