Centre des opérations de sécurité (SOC)
Un centre d’opérations de sécurité est censé être le lieu où quelqu’un surveille réellement, établit des corrélations entre les informations contenues dans les journaux et les alertes, et agit rapidement lorsque quelque chose semble anormal. Dans la pratique, de nombreux SOC, qu’ils soient internes ou externalisés, se transforment en un simple service de retransmission d’alertes : un tableau de bord rempli de signaux d’alerte que personne n’est en mesure d’interpréter ni n’a l’autorité de traiter, et un analyste dont la mission s’est discrètement transformée en tri des informations parasites au lieu de détecter les véritables menaces.
La première question que je me pose est de savoir si vous avez réellement besoin d’un SOC fonctionnant 24/7, ou si vous avez plutôt besoin d’une meilleure détection et d’un processus de réponse plus rapide, sans les coûts liés au fait de maintenir une équipe sur place 24 heures sur 24. Pour de nombreuses organisations de taille moyenne, une relation bien rodée avec un MSSP, associée à une procédure d’escalade interne claire, s’avère plus efficace qu’un SOC interne fonctionnant à moitié de ses effectifs et incapable, de toute façon, d’assurer la couverture la nuit et le week-end.
Ce pour quoi je peux vous aider
Si vous en mettez un en place, je vous aide à définir ce qui doit réellement être surveillé (terminaux, réseau, identités, cloud) et la manière dont ces signaux sont corrélés, afin qu’un analyste puisse identifier une tendance plutôt que de recevoir cinquante alertes sans lien entre elles. Si vous évaluez un SOC externalisé ou un MSSP, j’examine leur couverture de détection, leurs délais de réponse réels par rapport à ce qui est stipulé dans le contrat, et je vérifie si leur processus d’escalade correspond à la manière dont votre équipe souhaite être alertée à 2am, car ce détail a plus d’importance qu’on ne le pense. Si vous disposez déjà d’un SOC et que celui-ci croule sous les faux positifs, je m’attache à affiner les règles de détection et la logique d’alerte afin que les analystes consacrent leur temps à ce qui compte vraiment.
J’accorde également une grande importance à la transition entre la détection et la réponse. Un SOC qui détecte un incident à 3am n’est utile que s’il existe un protocole clair et convenu à l’avance précisant qui doit être contacté et de quels pouvoirs cette personne dispose pour agir, isoler un système ou désactiver un compte, avant d’attendre que quelqu’un se réveille pour valider ces mesures.
À qui s'adresse ce document ?
Si vous hésitez entre développer, acheter ou opter pour une solution hybride en matière de capacités SOC, si votre surveillance actuelle génère plus de bruit que de confiance, ou si vous avez besoin d’un avis extérieur pour déterminer si le SOC de votre MSSP vous offre réellement un retour sur investissement à la hauteur de votre investissement, n’hésitez pas à nous contacter.
Découvrez comment nous pourrions collaborer de manière régulière, ou contactez-nous pour une évaluation ponctuelle.