CYBERSÉCURITÉ
Security Operation Center SOC
Le SOC (Security Operations center) permet de détecter, analyser et corriger les incidents liés à la cybersécurité. Les SOC se composent d’analystes et d’ingénieurs qui supervisent les opérations de sécurité.
Définition d’un SOC
Le SOC (Security Operation Center), désigne l’équipe en charge d’assurer la sécurité de l’information d’une entreprise. Elle est chargée de surveiller et d’analyser en permanence les systèmes de sécurité d’une entreprise au travers d’outils de collecte, de corrélation d’événements et d’intervention à distance. Le SIEM (Security Information Event Management) est l’outil principal du SOC permettant de collecter, d’analyser et de traiter en temps réel les logs (journaux évènements) générés par l’ensemble des applications et des systèmes on-premise ou cloud.
L’équipe SOC peut être externe ou interne à votre société. Elle est composée d’analystes à différents niveaux, ingénieurs en sécurité ou managers/directeurs supervisant les opérations de sécurité. Elle travaille étroitement avec les équipes d’intervention afin que les incidents potentiels soient correctement identifiés, analysés, étudiés et signalés.
Les objectifs d’un SOC
L’objectif d’un SOC est de détecter, analyser et notifier les incidents de cybersécurité à l’aide de solutions et d’un ensemble de processus afin que les équipes puissent réagir rapidement en cas de menace ou d’incident. Les analystes sécurité sont à la recherche de comportements ou signaux anormaux sur les réseaux, le cloud, terminaux, bases de données, applications, sites web… qui pourraient contenir une faille dans le système d’information de votre entreprise.
Avec l’augmentation considérable de cyberattaques et ransomwares, les services que propose le SOC deviennent primordiaux pour la sécurité des entreprises.
Comment fonctionne un SOC ?
L’infrastructure « typique » de SOC comprend des pare-feu, des IPS/IDS, des solutions de détection des brèches, des sondes et un système de gestion de l’information et des événements de sécurité (SIEM), l’outil principal du SOC.
Des solutions sont mises en place afin de recueillir les données par le biais des flux de données, de télémétrie, de la capture de paquets réseaux afin que l’activité des données puisse être corrélée et analysée par les équipes SOC.
Le centre des opérations de sécurité met également en place une surveillance pour les vulnérabilités des réseaux et des terminaisons afin de protéger les données sensibles, afin de se conformer aux réglementations industrielles ou gouvernementales.
Quels sont les avantages à utiliser un SOC ?
Implanter un SOC permet d’améliorer quatre points cruciaux pour le système d’information de votre entreprise : son contrôle, la détection des attaques et la réponse aux incidents ainsi que sa mise en conformité.
Tout d’abord, le centre des opérations de sécurité va permettre à votre entreprise d’avoir une meilleure visibilité de votre environnement, de disposer de compétences, de process et d’amélioration continue.
Il va ensuite agir rapidement pour répondre aux incidents des entreprises grâce à une détection améliorée et des réponses adaptées. En effet, quand l’attaque est avérée, la réponse ciblée est mise en œuvre plus facilement et plus rapidement car des procédures ont été établies en amont pour agir en fonction du type d’incident. La rapidité est un élément clé pour limiter les dégâts, notamment dans le cas d’une infection par un malware.
Enfin, il va permettre d’être en conformité par rapport aux législations, notamment pour la plus connue d’entre elle : RGPD (Règlement Général de Protection des Données) qui concerne le traitement et la sécurité des données personnelles.
Le modèle de déploiement d’un SOC
La première étape est de définir les besoins précis du service informatique de votre société. Il n’existe pas deux SOC identiques.
Une fois l’analyse des besoins définie, le projet de mise en place du SOC peut commencer à la phase de Construction (BUILD). Cette phase est assez technique puisque c’est celle de la configuration du SIEM, de la mise en place des process de détection, de notification et de reporting.
Une fois le SIEM configuré, la phase Exploitation (RUN) peut démarrer. C’est la conduite du SOC. Il s’agit de veiller à la remontée des alertes et réaliser les investigations via les ingénieurs analystes, des opérateurs et des experts pour piloter et surveiller le SOC.
Enfin, l’amélioration continue est une caractéristique majeure du SOC. Les évolutions permanentes des règles de détection doivent prendre en compte les nouvelles menaces et retours d’expérience suite aux incidents de sécurité.