Méthodologie défensive
SOC et SIEM
Le SOC surveille, trie et escalade. Le SIEM centralise les journaux, les rend interrogeables et déclenche les alertes. Le métier d'analyste consiste à décider vite et bien : vrai ou faux positif, et que faire ensuite.
DéfensifElastic / KibanaKQLSplunk SPL
Organisation d'un SOC
| Niveau | Rôle |
|---|---|
| N1 – Triage | Surveille les alertes, écarte les faux positifs, documente et escalade. |
| N2 – Investigation | Analyse en profondeur, corrèle, détermine l'étendue, lance le confinement. |
| N3 – Expertise | Threat hunting, forensique, rétro-ingénierie, amélioration des détections. |
| Ingénierie détection | Écrit et ajuste les règles, gère les sources de journaux. |
Classer une alerte
| Verdict | Signification |
|---|---|
| Vrai positif | Alerte déclenchée et activité réellement malveillante. |
| Faux positif | Alerte déclenchée sur une activité légitime : la règle est à ajuster. |
| Vrai négatif | Pas d'alerte, et rien de malveillant. |
| Faux négatif | Pas d'alerte alors qu'une attaque a eu lieu : le cas le plus dangereux. |
Démarche de triage
- Lire l'alerteRègle, hôte, utilisateur, heure, sévérité.
- ContexteRôle de la machine, compte privilégié ? Activité habituelle ?
- ÉlargirQue s'est-il passé avant et après, sur cet hôte et ce compte ?
- CorrélerD'autres sources confirment-elles (réseau, EDR, proxy) ?
- DéciderVerdict, sévérité réelle, escalade ou clôture.
- DocumenterCe qui a été vu, vérifié, conclu, et pourquoi.
Les 5 questionsQui ? Quoi ? Où ? Quand ? Comment ? Une note de triage qui y répond est presque toujours suffisante.
Chercher dans le SIEM
- Toujours fixer la plage de temps avant de chercher.
- Commencer large, puis ajouter des filtres un par un.
- Afficher les colonnes utiles (hôte, utilisateur, commande) dans Discover.
- Utiliser les visualisations pour repérer les pics.
Fiche mémoRequêtes SIEM : KQL, SPL et champs ECS →
Réduire les faux positifs
- Exclure précisément (un hôte, un compte de service), jamais largement.
- Préférer des seuils et des fenêtres de temps à des correspondances simples.
- Combiner plusieurs signaux faibles plutôt qu'un seul fort mais bruyant.
- Documenter chaque exception : qui l'a ajoutée, pourquoi, jusqu'à quand.
- Exprimer les règles en Sigma pour les rendre portables entre SIEM.
Check-list d'un ticket
- Résumé de l'alerte et de la règle déclenchée
- Hôtes, comptes et IP impliqués
- Chronologie des événements pertinents
- Requêtes utilisées pour vérifier
- Verdict argumenté (vrai / faux positif)
- Actions menées ou recommandées, et escalade éventuelle
- Correspondance MITRE ATT&CK si pertinent