Le SOC : la tour de contrôle de votre sécurité
Un SOC (Security Operations Center) surveille en continu ce qui se passe sur un système d'information pour repérer une attaque en cours, avant qu'elle ne fasse des dégâts. Voici à quoi il sert vraiment, et à partir de quand il devient pertinent.
01La situation en clair
Installer des protections techniques (pare-feu, antivirus, sauvegardes) revient à poser des serrures sur les portes. Mais une serrure ne dit pas si quelqu'un est en train de la crocheter en ce moment même. Un SOC est l'équipe et les outils qui regardent en permanence ce qui se passe réellement sur les systèmes, pour distinguer une activité normale d'une activité suspecte, et réagir pendant que l'attaque est encore en cours, pas après.
Concrètement, un SOC collecte les journaux d'événements générés par tous les équipements (postes, serveurs, pare-feu, applications), les met en relation, et déclenche une alerte quand une combinaison de signaux ressemble à une attaque connue.
02Pourquoi ça compte
La différence entre un incident mineur et une crise majeure se joue souvent dans le temps de détection. Une intrusion repérée en quelques minutes se contient facilement ; la même intrusion découverte trois semaines plus tard, après que l'attaquant a eu le temps de se déplacer dans tout le réseau, coûte infiniment plus cher à corriger. Le rôle du SOC est précisément de réduire ce délai entre l'entrée de l'attaquant et sa détection.
03Ce qu'il faut savoir avant de se lancer
-
1
Un SOC, ce n'est pas qu'un logiciel
C'est la combinaison de trois éléments : des outils techniques de collecte et de corrélation, des procédures qui définissent comment réagir à chaque type d'alerte, et des personnes capables d'analyser et de trancher. Retirer l'un des trois, et les deux autres perdent l'essentiel de leur valeur.
-
2
Décidez si vous l'internalisez ou l'externalisez
Monter un SOC en interne demande une équipe suffisamment nombreuse pour couvrir une surveillance continue, ce qui n'est réaliste qu'à partir d'une certaine taille d'organisation. En dessous, faire appel à un prestataire spécialisé qui mutualise cette surveillance entre plusieurs clients revient souvent bien moins cher, pour un niveau de protection équivalent, voire supérieur.
-
3
Commencez par ce qui compte le plus
Surveiller absolument tout, dès le premier jour, noie l'équipe sous les fausses alertes. Priorisez d'abord les systèmes les plus critiques et les signaux les plus révélateurs (connexions à des heures inhabituelles, comptes à privilèges élevés, tentatives de connexion répétées), puis élargissez progressivement.
-
4
Préparez des scénarios de réaction à l'avance
Une alerte sans procédure de réaction claire fait perdre un temps précieux au moment critique. Pour chaque type d'alerte fréquent, définissez à l'avance qui fait quoi : qui isole une machine, qui prévient qui, à partir de quel niveau de gravité.
L'erreur à ne pas faire
Multiplier les sources de collecte sans jamais ajuster les règles de détection. Un SOC qui génère des centaines de fausses alertes par jour finit par être ignoré par ses propres équipes : c'est ce qu'on appelle la fatigue d'alerte, et elle rend le dispositif inutile au moment où une vraie alerte finit noyée dans le bruit.
En une phrase
Un SOC ne sert pas à empêcher toutes les attaques, mais à les repérer pendant qu'elles se déroulent : plus la détection est rapide, moins l'impact final est lourd.