Au cœur de la cybersécurité, le Security Operations Center (SOC) s’impose comme la tour de contrôle indispensable pour détecter, analyser et répondre aux menaces numériques. Clair, pédagogique et concret, cet ouvrage s’adresse aux professionnels, aux étudiants et à tous ceux qui souhaitent comprendre comment le SOC d’hier se transforme pour relever les défis de la cybersécurité moderne.

L’auteur propose pour cela une exploration complète et progressive du SOC partant des fondamentaux de la supervision et des principaux types d’attaques, jusqu’aux outils essentiels du SOC comme le SIEM, l’EDR, le SOAR en montrant leur complémentarité et leurs limites.

Il met également en lumière le rôle central des équipes humaines (analystes, managers, architectes) et la manière dont leur collaboration est cruciale pour un SOC efficace.

L’évolution des SOC, des structures internes aux SOC-as-a-Service et modèles hybrides, est analysée en détail, tout comme l’impact structurant du cloud et de l’Intelligence Artificielle, qui ouvre la voie à des SOC modernes, augmentés, agiles et prédictifs.

Caractéristiques

Livre (broché) - 17 x 21 cm
ISBN : 978-2-409-05236-1
EAN : 9782409052361
Ref. ENI : EPSOC

Caractéristiques

HTML
ISBN : 978-2-409-05254-5
EAN : 9782409052545
Ref. ENI : LNEPSOC

Bases de la cybersécurité et supervision

La protection
La supervision
Cas concret de mise en place de la supervision
1. 1. Collecte de données
2. 2. Traitement des données par un SIEM
  1. a. Contexte historique
  2. b. Naissance du SIEM
  3. c. Protocoles d’envoi de logs
  4. d. Facteurs déclencheurs
  5. e. Utilité et intérêts
3. 3. Détection de scénarios d’attaqueou comportements anormaux
  1. a. Attaque par « brute force »
  2. b. Exemple de comportement anormal
Différents types d’attaques informatiques
1. 1. Attaques par phishing
2. 2. Attaques par ransomware
3. 3. Attaques par Exploits zero-day
4. 4. Attaques par Déni de Service (DoS) et Dénide Service Distribué (DDoS)
5. 5. Attaques par Social Engineering
Conclusion

Les outils du SOC

Introduction
SIEM
1. 1. Parsers et mapping des logs
  1. a. Rôle du parsing des logs
  2. b. Mapping des logs aux modèles de données
  3. c. Défis du parsing et du mapping
  4. d. Exemples de parsing dans un SIEM
  5. e. Meilleures pratiques pour un parsing efficace
2. 2. Règles de corrélation
  1. a. Objectifs des règles de corrélation
  2. b. Structure d’une règle de corrélation
  3. c. Exemples de règles de corrélation
  4. d. Mise en place d’une règle de corrélation
3. 3. Les logs OT
  1. a. Caractéristiques de l’OT
  2. b. Défis en matière de cybersécurité
  3. c. Complexités liées aux logs OT
4. 4. Le reporting
  1. a. Objectifs du reporting
  2. b. Types de reporting
  3. c. SLA
  4. d. KPI
  5. e. Les bonnes pratiques du reporting
5. 5. Un peu d’architecture
  1. a. Collecte des événements dans unSIEM
  2. b. HA et redondance
  3. c. Capacité de traitement et performance
  4. d. Organisation physique : baies, enclaves decollecte et stockage
  5. e. Ségrégation des environnements
  6. f. Généralités sur l’architecture
Ticketing
1. 1. Définition et rôle du ticketingdans un SOC
2. 2. Typologie des tickets
3. 3. Structure d’un ticket
4. 4. Intégration dans la chaîne SOC
5. 5. Exemple d’outil de ticketing
6. 6. Automatisation et enrichissement
7. 7. Collaboration inter-équipes
8. 8. Contribution à la posture de sécurité
Threat Intelligence Platform (TIP)
1. 1. Définition et objectifs
2. 2. Les types de données de Threat Intelligence
3. 3. Les sources de Threat Intelligence
4. 4. La TIP : l’outil de gestion
5. 5. Notion de Traffic Light Protocol (TLP)
6. 6. Exemple d’utilisation dans le SOC
7. 7. Intégration au reste de l’écosystèmeSOC
8. 8. Limites et bonnes pratiques
9. 9. Positionnement dans le SOC
Endpoint Detection and Response (EDR)
1. 1. Rôle et fonctionnement d’un EDR
2. 2. Principales fonctionnalités
3. 3. Complémentarité avec le SIEM
4. 4. L’EDR vole la vedette au SIEM??
5. 5. Défis et limites
6. 6. Vers l’Extended Detection and Response (XDR)
Security Orchestration, Automation and Response (SOAR)
1. 1. Principes fondamentaux
2. 2. Les Playbooks : cœur du SOAR
3. 3. Playbooks s’exécutant sur une alerte
4. 4. Layout
  1. a. Informations présentées via l’enrichissement
  2. b. Actions disponibles directement dans le Layout
5. 5. Automatiser, mais pas aveuglément
6. 6. Réduction de la charge opérationnelle
7. 7. Intégration au sein du SOC
  1. a. Intégrations natives ou personnalisées
  2. b. Enjeux et limites de l’intégration
  3. c. Maximiser l’efficacité des intégrations
8. 8. Défis et bonnes pratiques
Sondes IDS
1. 1. Fonctionnement général
2. 2. IDS vs IPS
3. 3. Positionnement dans l’infrastructure
4. 4. Déchiffrement du trafic
5. 5. Cas d’usage
6. 6. Limitations
7. 7. Complémentarité avec les autresoutils du SOC
Network Detection and Response (NDR)
1. 1. Définition et rôle des solutionsNDR
2. 2. Comment les NDR vont au-delà des IDS
3. 3. Principales fonctionnalités
4. 4. Intégration et positionnement dans le SOC
Web Application Firewall (WAF)
1. 1. Pourquoi mentionner le WAF dans un SOC ?
2. 2. Fonctionnement
3. 3. Types de WAF
4. 4. Exemples d’attaques détectées
5. 5. Limitations
6. 6. Évolutions et tendances
Honeypot
1. 1. Principe général
2. 2. Types de honeypots
3. 3. Cas d’usage dans un SOC
4. 4. Exemples de déploiement
5. 5. Intégration au SOC
6. 6. Limites et risques
7. 7. Évolution et modernisation
Sandbox
1. 1. Principe général
2. 2. Exemples de fichiers analysés
3. 3. Fonctionnement et architecture
4. 4. Intégration avec le SOC
5. 5. Exemple d’utilisation
6. 6. Avantages
7. 7. Limites et contournements
8. 8. Complémentarité avec d’autres outils
Outils complémentaires au SOC, hors périmètre direct de supervision
1. 1. Bastion
2. 2. NAS
3. 3. Outils de contrôle des périphériques
4. 4. Solutions de chiffrement
5. 5. Scanneur et plateformes de gestion des vulnérabilités
6. 6. Outils d’administration des identitéset des accès (IAM)
7. 7. Interfaces métiers

Les équipes du SOC

Introduction générale
1. 1. Pourquoi la technologie seule ne suffit pas
  1. a. Les machines ne remplacent pas la prise de décision
  2. b. L’humain, moteur d’adaptation face à l’imprévu
  3. c. Des outils pensés pour et par des humains
  4. d. L’humain au centre de la remédiation
2. 2. SOC : combinaison de personnes, de processuset de technologies
  1. a. Les personnes
  2. b. Les processus
  3. c. La technologie
  4. d. L’équilibre entre les trois
  5. e. Exemple d’interdépendance dans uncas d’incident
  6. f. Le facteur humain comme catalyseur d’évolution
  7. g. Des profils variés, une culture commune
  8. h. Conclusion de la section
Les analystes SOC : L1, L2, L3
1. 1. Définition des rôles, tâchesquotidiennes, périmètre
  1. a. Analyste L1 - la première lignede supervision
  2. b. Analyste L2 - l’investigateur confirmé
  3. c. Analyste L3 - l’expert techniqueet stratégique
2. 2. Évolutions possibles d’un analyste
  1. a. Évolution naturelle vers les niveaux supérieurs
  2. b. Spécialisations techniques
  3. c. Mobilité horizontale et reconversion
3. 3. Focus sur les structures sans différenciationL1/L2/L3
  1. a. Pourquoi certaines structures optent pour un modèleplat
  2. b. Organisation du travail et répartition desresponsabilités
  3. c. Formation et montée en compétencedans un modèle plat
  4. d. Limites et vigilance à garder
  5. e. Hybrides et modèles évolutifs
Le CSIRT
1. 1. Positionnement dans l’organigramme
  1. a. Une équipe transverse par essence
  2. b. Indépendance opérationnelle et neutralité
  3. c. Taille et structuration du CSIRT
  4. d. Relations hiérarchiques et pilotage
2. 2. Rôles en temps de crise et en temps calme
  1. a. En temps de crise : structurer, coordonner,contenir
  2. b. En temps calme : se préparer, former,améliorer
  3. c. L’importance du temps : un facteurcritique
3. 3. Collaboration avec le SOC classique
  1. a. Des points de contact clairs et définis
  2. b. Partage des outils et de la connaissance
  3. c. Répartition des responsabilitésselon la gravité
  4. d. Coordination pendant les War Rooms et les crises
SOC Manager et Head of SOC
1. 1. Différences entre les deux rôles
  1. a. Vision opérationnelle vs vision stratégique
  2. b. Position dans l’organigramme
  3. c. Périmètre de responsabilités
  4. d. Interactions et complémentarité
2. 2. Leadership, gestion d’équipe, relationsavec la direction
  1. a. L’art du leadership dans un environnementsous pression
  2. b. Gestion des compétences et des carrières
  3. c. Relations avec la direction et les métiers
  4. d. Gouvernance et culture d’entreprise
3. 3. Gestion des SLA/KPI, communication et priorisation
  1. a. Les indicateurs comme boussole de pilotage
  2. b. Une communication multicanale, adaptée auxparties prenantes
  3. c. Priorisation des alertes : un arbitrage complexe
  4. d. Vers une culture de la performance raisonnée
Les équipes d’architecture
1. 1. Choix technologiques
  1. a. Cartographie des besoins et vision d’ensemble
  2. b. Le choix des outils centraux
  3. c. Cohérence et urbanisation du SI
  4. d. Arbitrages techniques et contraintes
2. 2. Projets de transformation/migration
  1. a. Anticiper le changement : rôle centralde l’architecte
  2. b. Migration de plateformes critiques
  3. c. Prise en compte des contraintes métiers etde sécurité
  4. d. Veille technologique et accompagnement au changement
3. 3. Rôle rassurant pour les clients ou la direction
  1. a. Traduire la complexité en clarté
  2. b. Être un vecteur de confiance pour le client
  3. c. Renforcer la crédibilité du SOCauprès des directions internes
  4. d. Participer à l’évangélisationen cybersécurité
Les équipes d’intégration
1. 1. Onboarding des nouveaux équipements
  1. a. Analyse des besoins et cadrage technique
  2. b. Configuration et raccordement des sources
  3. c. Personnalisation et adaptation aux besoins du SOC
  4. d. Expertise technique et spécialisations
  5. e. Documentation et transfert de compétences
2. 2. Création de connecteurs, parsers et intégrationsAPI
  1. a. Développement de connecteurs et de parsers
  2. b. Automatisation et DevSecOps
  3. c. Collaboration transverse et gestion des API
3. 3. Collaboration avec les métiers et les fournisseurs
  1. a. Relations avec les métiers
  2. b. Coordination avec les équipes IT
  3. c. Interaction avec les fournisseurs et éditeurs
  4. d. Gouvernance et documentation
  5. e. Vers une posture proactive
Les équipes d’administration
1. 1. Rôles opérationnels
  1. a. Administration des outils SOC et des couches fondamentales
  2. b. Maintien de la cohérence du systèmed’information sécurisé
2. 2. Maintien en condition opérationnelle (MCO)
  1. a. Cycle de vie des composants
  2. b. Planification des maintenances
  3. c. Résilience, sauvegarde et continuité d’activité
  4. d. Documentation et transmission
Blue Team, Red Team, Purple Team
1. 1. Définition, méthodologie, outils
  1. a. Blue Team : la défense active
  2. b. Red Team : l’attaque contrôlée
  3. c. L’importance de la complémentarité
2. 2. Interactions entre ces équipes
  1. a. L’approche « adversarialemulation » : un pont stratégique
  2. b. Les feedbacks croisés : un meilleurapprentissage
  3. c. Simulations planifiées vs simulations surprises
  4. d. L’importance d’un coordinateur PurpleTeam
  5. e. Cas concrets de collaboration
Interactions entre les équipes
1. 1. Threat Hunting : un rôle transversalpar excellence
  1. a. Une approche itérative et collaborative
  2. b. Les outils et les données au service de lachasse
  3. c. La communication au cœur du processus
  4. d. Un moteur d’amélioration continue
2. 2. Les équipes projet et le Run
  1. a. Les équipes projet : concevoir,transformer, livrer
  2. b. Le Run : faire vivre le SOC au quotidien
3. 3. Transfert de connaissances et documentation
  1. a. Le transfert de connaissances : un enjeuquotidien
  2. b. Documentation : l’arme anti-silos
  3. c. Le défi de la mise à jour
  4. d. Le partage au-delà du SOC
4. 4. Réunions croisées et War Rooms
  1. a. Réunions croisées : casserles silos
  2. b. War Rooms : gérer la crise en tempsréel
  3. c. Après la tempête : le débriefing
Les autres rôles clés dans l’écosystème SOC
1. 1. Experts forensic
  1. a. Enjeux du forensic dans un SOC
  2. b. Collaboration avec les équipes SOC et CSIRT
  3. c. Outils et compétences nécessaires
  4. d. Un rôle sous tension
2. 2. Chargés de conformité et RSSI
  1. a. Le RSSI : stratège et garant dela cybersécurité
  2. b. Les chargés de conformité :garants des règles et des obligations
  3. c. Une collaboration essentielle
3. 3. Équipes CTI
  1. a. Rôle et responsabilités
  2. b. Intégration dans le SOC
  3. c. Outils et compétences clés
  4. d. Défis rencontrés
4. 4. Équipes métiers (interface avecle terrain)
  1. a. Un maillon essentiel dans la gestion des incidents
  2. b. Collaboration quotidienne et planification des activités
  3. c. Sensibilisation et acculturation à la cybersécurité
  4. d. Défis et points de vigilance
Conclusion du chapitre
1. 1. Au-delà des outils : les compétencesfont la différence
2. 2. La collaboration est la clé
3. 3. SOC : un centre en mutation face aux nouveauxdéfis

L’apparition de SOC

SOC interne et SOC « as a Service »
1. 1. SOC interne : si complet, réservé auxgrosses structures
  1. a. Définition et principe général
  2. b. Les principales caractéristiques
  3. c. Les avantages d’un SOC interne
  4. d. Les contraintes et limites
  5. e. Un modèle adapté aux grandes organisations
  6. f. Au-delà du SOC interne : le GSOC
2. 2. SOC « as a Service » :solution idéale pour les petites et moyennes structures
  1. a. Définition et principe général
  2. b. Les principales caractéristiques
  3. c. Les avantages du SOCaaS
  4. d. Les limites et les points de vigilance
  5. e. Un modèle en forte croissance
3. 3. MSSP, MDR et MCO
  1. a. Définitions et différences entreMSSP et MDR
  2. b. MCO : Maintien en Condition Opérationnelle
  3. c. Vers un modèle hybride
Le SOC des années 2010
1. 1. Une approche centrée sur le SIEM et des équipespolyvalentes
  1. a. Le SIEM comme brique fondatrice du SOC des années 2010
  2. b. Des personnes multitâches endossant le rôled’analyste
  3. c. Les limites d’un SOC centré surle SIEM et aux équipes réduites
2. 2. SOC « as a Service » :enclaves de collecte et VPN
  1. a. Le modèle « SOC externalisé » émergent
  2. b. Une architecture souvent hybride : enclavesde collecte et VPN
  3. c. Avantages de ce modèle
  4. d. Les prémices d’une professionnalisationdu SOC
Le SOC des années 2020
1. 1. Évolution du rôle du SIEM :de cœur du SOC à outil complémentaire
  1. a. Un recentrage des priorités
  2. b. Les limites du SIEM dans les déploiementsrapides
  3. c. Une exception : le SIEM reste pertinent dansles environnements OT
  4. d. Une architecture désormais centréesur le SOAR
2. 2. Une montée en puissance des cyberattaqueset des enjeux économiques
  1. a. Une explosion des cybermenaces à partir de2020
  2. b. Un contexte tendu : rapidité, rentabilité,réactivité
  3. c. L’enjeu du “time-to-monitoring” dansles appels d’offres
3. 3. Une architecture modulaire, évolutive etorientée efficacité
  1. a. Une maturité progressive vers un SOC complet
  2. b. Le SOAR comme orchestrateur du SOC
  3. c. Une complémentarité réfléchieavec le SIEM

La place du cloud et de l’IA au sein d’un SOC

Introduction
1. 1. Une transformation structurelle du paysage IT
2. 2. Le SOC face à deux révolutions :cloud et intelligence artificielle
L’évolution vers le cloud
1. 1. Rappel historique : du serveur physique aucloud
  1. a. Les serveurs physiques
  2. b. Les machines virtuelles
  3. c. Le cloud
2. 2. Les grandes familles de cloud : IaaS, PaaS,SaaS
  1. a. IaaS (Infrastructure as a Service)
  2. b. PaaS (Platform as a Service)
  3. c. SaaS (Software as a Service)
3. 3. L’effet catalyseur du confinement et du télétravail
4. 4. Les opportunités offertes au SOC
  1. a. Déploiement rapide
  2. b. Élasticité et scalabilité
  3. c. Résilience et disponibilité
  4. d. Réduction des contraintes matérielles
5. 5. Les limites et zones de friction
  1. a. Coûts à long terme
  2. b. Souveraineté et sensibilité desdonnées
  3. c. Dépendance à l’hébergeurcloud
  4. d. Visibilité réduite pour les équipesde sécurité
Le modèle hybride : entre cloud et on-premise
1. 1. Pourquoi le « tout cloud » n’estpas toujours possible
  1. a. Contraintes réglementaires et souveraineté desdonnées
  2. b. Dépendances techniques : capteurs,enclaves, réseaux
  3. c. Freins organisationnels et inertie des grandes structures
2. 2. La réalité des environnements hybrides
3. 3. Impacts sur l’architecture SOC
  1. a. Multiplication des points d’entrée
  2. b. Gestion des accès et sécurité desinterconnexions
4. 4. Exemples de déploiement SOC hybride
  1. a. Exemple 1 : entreprise industriellemultisite
  2. b. Exemple 2 : groupe internationalavec filiales
5. 5. Une transition progressive vers des solutions nativement cloud
Cloud et SOC as a Service : la nouvelle norme
1. 1. Du cloud au SOCaaS : une rupture organisationnelle
2. 2. Réduction drastique du time-to-market
  1. a. Déploiement express, supervision immédiate
  2. b. La preuve par l’action : le POC
3. 3. Éradication des contraintes matérielles
4. 4. Une réponse aux enjeux de scalabilité client
5. 5. Aspects contractuels et flexibilité économique
L’intelligence artificielle au service du SOC
1. 1. De l’UEBA à l’IA générative :une évolution rapide
  1. a. Les prémices : corrélationsimple et règles statiques
  2. b. L’UEBA : premiers pas vers l’analysecomportementale
  3. c. L’IA : passage à l’échelleet diversification des usages
  4. d. Vers l’IA générative :de l’analyse à l’assistance proactive
2. 2. Cas d’usage de l’IA dans un SOC
  1. a. Analyse de malwares par IA
  2. b. Automatisation de la réponse
  3. c. ChatOps et assistants IA
  4. d. Génération de règles, playbookset configurations par l’IA
3. 3. Exemples concrets
4. 4. Les limites actuelles de l’IA en cybersécurité
  1. a. L’illusion de l’infaillibilité
  2. b. Le manque de transparence
  3. c. La qualité des données d’entrée
  4. d. La charge cognitive déplacée
  5. e. Des biais persistants
5. 5. Perspectives et tendances à moyen terme
  1. a. Vers une IA plus explicable et auditable
  2. b. Une IA de plus en plus contextualisée
  3. c. Intégration native dans les workflows SOC
  4. d. Montée en compétence des analystes
  5. e. Vers une convergence SOC - IA - Business
Risques, défis et responsabilités face à l’IA
1. 1. Confidentialité des données manipuléespar des IA
2. 2. Biais algorithmiques et confiance dans les décisions
3. 3. Explicabilité et auditabilité desdécisions
  1. a. Explicabilité
  2. b. Auditabilité
4. 4. L’IA ne remplace pas l’humain :complémentarité essentielle
5. 5. Perspectives éthiques et responsabilité partagée
Vers un SOC « augmenté » par le cloud et l’IA
1. 1. Une mutation progressive et inévitable
2. 2. Redéfinition des rôles humains etdes outils
3. 3. Exigence de montée en compétenceset adaptation
4. 4. Le futur : un SOC plus agile, prédictif,résilient
5. 5. Construire un SOC à la hauteur des enjeuxmodernes

Vers un SOC unifié et proactif

Introduction
1. 1. Pourquoi parler de « SOC moderne » ?
2. 2. Rupture technologique et opérationnelle
Plateformes All-in-One : la nouvelle génération de SOC
1. 1. Une approche unifiée par les agents
2. 2. Collecte de données étendue
3. 3. Enrichissement, corrélation, TIM et détectionvia IA
4. 4. Complémentarité avec les SIEM traditionnels
5. 5. Intégration des outils annexes
6. 6. De la donnée à l’action :donner du sens à la supervision
SOAR : la brique maîtresse du SOC moderne
1. 1. Traitement automatique des alertes : l’objectifquotidien
2. 2. Vers la fin du rôle L1??
3. 3. Le SOAR comme fondation transversale de la plateforme
4. 4. Souplesse et scalabilité du SOC via l’automatisation
Une architecture modulaire et évolutive
1. 1. SOC Cloud-Native, hybride ou on-prem : diversité desmodèles
2. 2. Intégration progressive dans les SI et écosystèmesmétiers
3. 3. Flexibilité et adaptation aux besoins
Les nouveaux piliers du SOC
1. 1. Processus : l’automatisation auservice de la rigueur
2. 2. Interfaces : rendre la supervision lisibleet exploitable
3. 3. Personnes et compétences : une montéeen expertise
4. 4. Alignement business : sécurité etperformance métier
5. 5. Visibilité totale : couverture,observabilité, supervision étendue
6. 6. Technologies modernes : vers un écosystèmeintégré
Conclusion
1. 1. Le SOC n’est plus un centre de supervision,mais un centre de réaction
2. 2. Un modèle en constante adaptation

Thomas LE BOURLOT

Diplômé d’un Bac+5 en cybersécurité, Thomas LE BOURLOT a consacré les neuf dernières années de sa carrière à l’opérationnalisation des environnements SOC, occupant divers postes clés présentés dans cet ouvrage. Tout au long de son parcours, il a pu observer de l’intérieur les mutations du secteur, ce qui lui a permis d’analyser l’évolution des pratiques et de dégager les grandes tendances qui façonnent l’avenir de la supervision. Ce livre est le fruit de cette expérience, un guide pratique pour comprendre le SOC d’hier, d’aujourd’hui et de demain.