Le blue team et le SOC : défendre au quotidien

Pendant qu'un exercice de red team fait la une des conférences, quelqu'un d'autre fait tourner la sécurité tous les jours : les défenseurs. On les appelle le blue team, et leur lieu de travail, le SOC (Security Operations Center, centre des opérations de sécurité). Si vous ne retenez qu'une idée de cette leçon, que ce soit celle-ci : la majorité des emplois en cybersécurité sont défensifs. Comprendre leur travail fait de vous un meilleur testeur d'intrusion, et peut-être votre future voie professionnelle.

Le SOC, la tour de contrôle de la sécurité

Pensez à la tour de contrôle d'un aéroport. Les contrôleurs ne pilotent aucun avion, mais ils voient tout ce qui se passe, repèrent les anomalies et coordonnent les réactions. Le SOC joue le même rôle : il collecte les journaux et les alertes de tout le système d'information, les analyse, et déclenche la réponse lorsqu'un incident est confirmé. Selon l'organisation, il fonctionne en journée ou en continu, est interne, externalisé auprès d'un prestataire, ou mixte.

Le SOC remplit trois missions de base :

• Détecter : surveiller les alertes et les comportements anormaux ;
• Analyser : distinguer les vrais incidents des fausses alertes et en mesurer la gravité ;
• Répondre : contenir, éradiquer, et coordonner la communication avec les équipes concernées (nous détaillerons ces étapes au chapitre suivant).

Les métiers d'un SOC

Un SOC réunit plusieurs profils. Les intitulés varient d'une organisation à l'autre, mais on retrouve souvent :

Beaucoup de professionnels débutent comme analyste de premier niveau : c'est une porte d'entrée accessible, où l'on apprend énormément sur ce à quoi ressemble une véritable attaque.

Les outils de la défense

Sans entrer dans le détail des produits, voici les grandes familles :

• le SIEM : une plateforme qui centralise les journaux et génère des alertes (chapitre suivant) ;
• l'EDR (endpoint detection and response) : un agent installé sur les postes et serveurs, qui observe les comportements et peut isoler une machine ;
• les outils de surveillance du réseau : sondes qui observent le trafic ;
• la gestion des vulnérabilités : inventaire et correctifs ;
• un outil de gestion des tickets pour tracer chaque incident, de l'alerte à la clôture ;
• des sources de renseignement sur la menace : listes d'indicateurs et descriptions de comportements d'attaquants.

Le quotidien : le tri des alertes

Le défi principal d'un SOC n'est pas de manquer d'informations, mais d'en avoir trop. Une organisation peut générer des milliers d'alertes par jour, dont la grande majorité sont des fausses alertes (faux positifs) : une sauvegarde nocturne ressemblant à une exfiltration, un administrateur qui se trompe de mot de passe… Le risque inverse est le faux négatif : une vraie attaque qui ne déclenche rien.

La « fatigue d'alerte » en découle : à force de trier du bruit, on peut laisser passer le signal. La réponse est organisationnelle autant que technique : règles de détection mieux réglées, enrichissement automatique des alertes, priorités claires, procédures écrites (playbooks) pour chaque type d'alerte.

Une démarche de tri typique se résume en quelques questions :

1. Que dit l'alerte ? Quelle règle, quelle machine, quel compte, quelle heure ?
2. Est-ce attendu ? Une maintenance planifiée, un comportement habituel de ce compte ?
3. Quelles preuves complémentaires ? D'autres journaux (réseau, messagerie, poste) confirment-ils ?
4. Quelle gravité ? Quel actif est touché, quelle donnée, quelle ampleur possible ?
5. Que faire ? Clore avec justification, surveiller, escalader ou déclencher la procédure d'incident.

Mesurer l'efficacité

Deux indicateurs sont couramment suivis : le délai de détection (entre le début d'une attaque et son repérage) et le délai de réponse (entre le repérage et le confinement). Ils servent à suivre la progression, jamais à comparer des organisations sans précaution : leurs contextes diffèrent trop. Méfiez-vous des chiffres annoncés sans source : une métrique n'a de valeur que si l'on sait comment elle est calculée.

Le lien avec les acteurs publics

Un SOC ne travaille pas seul. En France, le CERT-FR, rattaché à l'ANSSI (cyber.gouv.fr), publie des alertes et des bulletins de sécurité sur les vulnérabilités importantes. Les victimes de cyberattaques peuvent s'orienter, pour une assistance, vers cybermalveillance.gouv.fr. Un défenseur consulte régulièrement ces sources, ainsi que les bases publiques de vulnérabilités (cve.org et nvd.nist.gov).

Pourquoi un apprenti white hat doit comprendre le SOC

Trois bonnes raisons :

• Vos rapports seront lus par des défenseurs : savoir ce qu'ils attendent (heures précises, indicateurs, comportements) rend vos livrables utiles.
• Vous comprendrez ce qui est détectable : un testeur d'intrusion qui connaît la détection propose de meilleures recommandations.
• Ce peut être votre point d'entrée dans le métier : la route vers le test d'intrusion passe souvent par un poste défensif.

À vous de jouer

Vous êtes analyste de premier niveau chez Atelier Boréal (société fictive). Quatre alertes arrivent à 10 h. Classez-les de la plus urgente à la moins urgente et indiquez votre première action :

1. Un compte d'administrateur se connecte à 3 h du matin depuis un pays où l'entreprise n'a aucune activité, puis consulte la base des plans clients.
2. Un poste de la comptabilité signale 40 tentatives de connexion échouées en 2 minutes sur un compte qui appartient à l'employé en congés.
3. Le logiciel de sauvegarde transfère un gros volume de données vers un serveur de stockage, comme chaque nuit à la même heure.
4. Un courriel de phishing signalé par un employé, non ouvert, a été reçu par trois personnes.