Fiche 7 - SOC et SIEM – Principes, architecture et cas d'usage

Prérequis

Connaissances en réseaux et sécurité (pare-feu, IDS/IPS, authentification), notions de base sur les attaques courantes (OWASP Top 10, MITRE ATT&CK).

1. SOC – Centre Opérationnel de Sécurité

Le SOC est une entité organisationnelle (interne ou externalisée) chargée de la surveillance, de la détection, de l'analyse et de la réponse aux incidents de sécurité en continu (24/7/365). Ses missions principales : - Surveillance proactive des alertes générées par les outils. - Analyse des événements et investigation des suspicions. - Réponse aux incidents (confinement, éradication, remédiation). - Veille et amélioration des règles de détection. - Reporting vers la direction et les RSSI. Le SOC s'appuie sur une pile technologique dont le cœur est le SIEM.

2. Qu'est-ce qu'un SIEM ?

Un SIEM (Security Information and Event Management) est une solution logicielle qui combine : - SIM (Security Information Management) : stockage, agrégation et analyse à long terme des logs. - SEM (Security Event Management) : corrélation en temps réel, alerting et gestion des événements. Un SIEM moderne (Next-Gen SIEM) intègre des capacités d'UEBA (User and Entity Behavior Analytics) et de machine learning pour détecter des comportements anormaux.

3. Architecture type d'un SIEM

L'architecture se décompose en plusieurs couches :

Exemple de normalisation (parsing) d'un log Windows pour le rendre utilisable :
─────────────────────────────────────────────────────────────────
Log brut (Event ID 4624) :
"An account was successfully logged on. Subject: Security ID: SYSTEM, Account Name: JOHN-DOE..."

Champs extraits normalisés (ECS) :
{
  "event.id": "4624",
  "winlog.computer_name": "SRV-DC01",
  "user.name": "JOHN-DOE",
  "source.ip": "10.0.0.45",
  "event.type": "authentication_success",
  "timestamp": "2026-06-20T14:32:10Z"
}

4. Sources de données (logs et événements)

La qualité d'un SIEM dépend des données qu'il ingère. Les sources courantes :

5. Corrélation et règles de détection

La corrélation est le cœur du SIEM : elle consiste à croiser des événements apparemment anodins pour identifier un comportement malveillant. Les règles peuvent être : - Basées sur des signatures : alerter si plus de 10 échecs de login sur 5 minutes (brute force). - Basées sur des séquences : alerter si un scan de ports suivi d'un exploit réussi sur la même cible. - Basées sur des seuils statistiques : alerter si le trafic sortant dépasse +50% de la moyenne journalière (exfiltration). - Basées sur des modèles MITRE ATT&CK : associer des techniques aux phases du kill chain. Standard de règles : le format Sigma permet de décrire des règles de détection de façon agnostique (applicable sur Splunk, Elastic, QRadar, etc.).

Exemple de règle Sigma pour une détection de brute force sur Windows :
title: "Multiple Failed Logins from Single Source"
status: experimental
logsource:
  product: windows
  service: security
detection:
  selection:
    EventID: 4625
    LogonType: 3   # Réseau
  timeframe: 5m
  condition: selection | count() by SubjectIP > 10
level: high

6. Cas d'usage de détection fréquents

7. Défis opérationnels – Faux positifs et volume de données

Un SIEM génère souvent un nombre considérable d'alertes, dont une large majorité sont des faux positifs (FP). Cela conduit à une fatigue des analystes et à un risque de rater les vrais incidents. Les bonnes pratiques pour réduire les FP : - Tuning : ajuster les seuils, les plages horaires, les exclusions (ex: exclure les IP internes de confiance). - Contextualisation : enrichir les alertes avec des informations de réputation, des bases de données de threat intelligence. - Priorisation : utiliser un niveau de gravité (critique, haut, moyen, bas) pour trier les alertes. - Feedback : mettre en place une boucle où les analystes valident ou infirment les alertes pour améliorer les règles. Le volume de données peut aussi poser problème : il faut dimensionner le stockage (hot/warm/cold tiers) et la puissance de calcul (indexation).

8. Métriques du SOC (KPIs)

Pour évaluer la performance du SOC et du SIEM, on utilise des indicateurs clés :

9. SOAR – Automatisation et orchestration

Le SOAR (Security Orchestration, Automation and Response) est une couche complémentaire au SIEM qui permet d'automatiser les tâches répétitives de réponse aux incidents. Exemples de playbooks SOAR : - Alerte sur un compte compromis -> verrouiller automatiquement le compte, réinitialiser le mot de passe, notifier l'utilisateur. - Détection d'une IP malveillante -> ajouter automatiquement cette IP dans la liste noire du pare-feu. - Investigation d'un endpoint -> isoler la machine du réseau, lancer un scan antivirus, collecter les preuves. L'automatisation réduit le MTTD et le MTTR, et libère les analystes pour des tâches à plus forte valeur ajoutée.

• MITRE ATT&CK Framework
• Sigma Rules (format de détection)
• Elastic Common Schema (ECS)
• Splunk Security Essentials
• Guide ANSSI sur les SOC