SOC en cybersécurité : comment fonctionne un centre de supervision ?
Un SOC, ou Security Operations Center, organise les activités permettant de surveiller des événements de sécurité, analyser des alertes et contribuer à la réponse aux incidents. Le SOC ne doit pas être réduit à un écran rempli d’alertes. Sa valeur vient de sa capacité à transformer des données techniques en décisions.
La chaîne SOC
**SYSTÈMES / RÉSEAUX / IDENTITÉS / APPLICATIONS**
↓
**LOGS & ÉVÉNEMENTS**
↓
**COLLECTE**
↓
**SIEM / SUPERVISION**
↓
**RÈGLES & CORRÉLATION**
↓
**ALERTE**
↓
**ANALYSE**
↓
**QUALIFICATION**
↓
**INCIDENT éventuel**
↓
**RÉPONSE**
1. Collecter
Les systèmes produisent des événements.
Un serveur peut enregistrer des authentifications.
Un équipement réseau peut produire des informations sur les communications.
Une application peut enregistrer certaines actions.
2. Centraliser
L’analyse devient difficile lorsque les informations restent dispersées.
Les plateformes de supervision permettent de rassembler différentes sources.
3. Détecter
Les règles, corrélations et mécanismes de détection cherchent des situations nécessitant une analyse.
4. Qualifier
Une alerte n’est pas automatiquement un incident.
L’analyste doit examiner le contexte.
5. Investiguer
Il peut être nécessaire de relier :
- identité ;
- système ;
- réseau ;
- chronologie ;
- événements complémentaires.
6. Répondre
Lorsque l’incident est confirmé, une procédure adaptée peut être engagée.
Mini-cas SOC
Une alerte indique une activité inhabituelle sur un compte.
L’analyste ne conclut pas immédiatement à une compromission.
Il examine :
**Qui est le compte ?**
**Quelle activité a été observée ?**
**Depuis quel environnement ?**
**D’autres événements sont-ils liés ?**
**Le comportement correspond-il à une activité légitime ?**
C’est le contexte qui transforme une alerte brute en analyse.
Erreurs fréquentes
- considérer toutes les alertes comme des incidents ;
- collecter énormément de logs sans objectif ;
- créer des règles sans procédure d’investigation ;
- ignorer le contexte métier ;
- ne pas documenter les analyses.
Guides complémentaires
FAQ — Cybersécurité et Gestion des Réseaux
SOC et SIEM sont-ils identiques ?
Non. Le SOC correspond à une organisation et des activités de supervision. Le SIEM est une famille de technologies pouvant aider à centraliser et analyser les événements.
Que fait un analyste SOC ?
Il peut participer à la surveillance, l’analyse des alertes, leur qualification, leur documentation et leur escalade selon son rôle.
Les réseaux sont-ils importants en SOC ?
Oui. Comprendre les communications réseau aide à interpréter de nombreux événements.
Pourquoi connaître Windows et Linux ?
Parce que les systèmes constituent des sources importantes de contexte et de journaux.
Consultez la page principale de cette filière pour retrouver la durée, les conditions d’admission et les informations de préinscription.