Security Operation Center (SOC).

Le SOC (Security Operation Center) désigne l'équipe en charge d'assurer la sécurité de l'information d'une entreprise. Elle est chargée de surveiller et d'analyser en permanence les systèmes de sécurité, au travers d'outils de collecte, de corrélation d'événements et d'intervention à distance.

Le SOC permet de détecter, analyser et corriger les incidents liés à la cybersécurité. Il se compose d'analystes et d'ingénieurs qui supervisent les opérations de sécurité.

L'objectif d'un SOC est de détecter, analyser et notifier les incidents de cybersécurité à l'aide de solutions et d'un ensemble de processus, afin que les équipes puissent réagir rapidement en cas de menace ou d'incident.

Les analystes sécurité sont à la recherche de comportements ou signaux anormaux sur les réseaux, le cloud, les terminaux, les bases de données, les applications ou les sites web, qui pourraient contenir une faille dans le système d'information de votre entreprise.

Le choix entre un SOC internalisé et un SOC externalisé dépend des besoins et des ressources de l'entreprise.

Le SOC internalisé offre une connaissance approfondie de l'entreprise et une réactivité accrue. Le SOC externalisé peut apporter des économies et une expertise étendue grâce à l'externalisation, ainsi qu'un outillage — SIEM, pare-feu, sondes — déjà en place et maintenu.

Le SOC est une équipe, le SIEM est un outil. Le SIEM (Security Information Event Management) est l'outil principal du SOC : il permet de collecter, d'analyser et de traiter en temps réel les logs générés par l'ensemble des applications et des systèmes, on-premise ou cloud.

Un SIEM sans équipe pour l'exploiter produit des alertes que personne ne traite. C'est pourquoi les deux vont ensemble.

L'infrastructure « typique » de SOC comprend des pare-feu, des IPS/IDS, des solutions de détection des brèches, des sondes et un système de gestion de l'information et des événements de sécurité (SIEM), l'outil principal du SOC.

Des solutions sont mises en place afin de recueillir les données par le biais des flux de données, de la télémétrie et de la capture de paquets réseaux, afin que l'activité des données puisse être corrélée et analysée par les équipes SOC. Le centre des opérations de sécurité met également en place une surveillance des vulnérabilités des réseaux et des terminaisons.

Implanter un SOC permet d'améliorer quatre points cruciaux pour le système d'information de votre entreprise : son contrôle, la détection des attaques, la réponse aux incidents et sa mise en conformité.

• Une meilleure visibilité de votre environnement, avec des compétences, des process et une amélioration continue
• Une réponse rapide grâce à une détection améliorée et des procédures établies en amont selon le type d'incident
• Une conformité par rapport aux législations, notamment le RGPD

La rapidité est un élément clé pour limiter les dégâts, notamment dans le cas d'une infection par un malware. Le SOC s'appuie pour cela sur un SIEM, des solutions EDR / XDR et, sur les environnements virtualisés, la micro-segmentation.

La première étape est de définir les besoins précis du service informatique de votre société : il n'existe pas deux SOC identiques.

• Construction (BUILD) — phase technique de configuration du SIEM et de mise en place des process de détection, de notification et de reporting
• Exploitation (RUN) — la conduite du SOC : veiller à la remontée des alertes et réaliser les investigations via les ingénieurs analystes, des opérateurs et des experts
• Amélioration continue — les évolutions permanentes des règles de détection prennent en compte les nouvelles menaces et les retours d'expérience suite aux incidents

L'ensemble est opéré depuis nos datacenters français, certifiés ISO 27001.

Non, il les exploite. Les solutions EDR / XDR déployées sur vos points de terminaison remontent les alertes ; le SOC les trie, les investigue et y répond.

De la même manière, le SIEM collecte et corrèle les logs de l'ensemble de votre système d'information. Le SOC est l'équipe qui donne du sens à ces outils et transforme les alertes en décisions.

L'équipe SOC est composée d'analystes à différents niveaux, d'ingénieurs en sécurité ou de managers et directeurs supervisant les opérations de sécurité. Les analystes travaillent étroitement avec les équipes d'intervention afin que les incidents potentiels soient correctement identifiés, analysés, étudiés et signalés.

Envie de devenir analyste SOC ? Lisez notre article sur ce sujet.