ofaciq

Accueil › Analyste SOC

L'analyste SOC surveille en continu les systèmes d'une organisation, trie les alertes de sécurité, enquête sur celles qui le méritent et déclenche la réponse quand un incident se confirme. C'est la porte d'entrée la plus fréquente vers les métiers défensifs décrits dans le panorama des métiers de la cybersécurité, et un poste où l'on apprend vite parce qu'on voit passer beaucoup de choses.

Qu'est-ce qu'un SOC

SOC signifie Security Operations Center, centre opérationnel de sécurité. C'est l'équipe — interne ou externalisée — chargée de détecter et de traiter les événements de sécurité au fil de l'eau. Le SOC collecte les journaux des serveurs, des postes, des équipements réseau, des applications et des services cloud, les centralise, applique des règles de détection, et transforme le flot d'événements en un nombre gérable d'alertes qualifiées.

Son objectif n'est pas d'empêcher toute attaque — c'est le rôle des dispositifs de protection — mais de réduire le temps entre le moment où un attaquant entre et le moment où il est repéré et arrêté. Ce délai, souvent mesuré, est l'indicateur clé du métier.

Les niveaux N1, N2, N3

Un SOC est généralement organisé en trois niveaux, qui correspondent à des responsabilités croissantes plutôt qu'à des personnes différentes.

• N1 : réception et tri des alertes. L'analyste vérifie chaque alerte, écarte les faux positifs, applique les procédures documentées, et escalade ce qui dépasse son périmètre. C'est un travail de rythme et de méthode.
• N2 : investigation. L'analyste reconstitue ce qui s'est passé à partir des journaux et des artefacts, détermine l'étendue d'une compromission, et prépare les actions de confinement.
• N3 : expertise et amélioration. Traitement des incidents complexes, chasse aux menaces (threat hunting) sans alerte préalable, création et affinage des règles de détection, appui aux niveaux inférieurs.

Le SIEM et la détection

Le SIEM est l'outil central : il agrège les journaux, les normalise, et permet d'écrire des règles de corrélation — par exemple « plusieurs échecs d'authentification suivis d'un succès depuis une adresse inhabituelle ». La qualité d'un SOC tient en grande partie à la pertinence de ces règles.

Le principal ennemi de l'analyste est le faux positif. Des règles trop larges noient les vraies alertes dans le bruit et provoquent la fatigue d'alerte : à force de voir des alertes sans conséquence, on finit par traiter machinalement, et c'est précisément là qu'une vraie attaque passe. Une part importante du métier consiste donc à ajuster en permanence le dispositif pour maintenir un bon rapport signal sur bruit.

Le run 24/7

Les attaques ne s'arrêtent pas la nuit ni le week-end. Beaucoup de SOC fonctionnent donc en service continu, avec des équipes qui se relaient, des horaires postés et des astreintes. Ce rythme est un point à peser avant de candidater : il convient à certaines personnes, en pèse d'autres. Les SOC bien organisés compensent par une rotation équitable, des procédures claires et un outillage qui évite de repartir de zéro à chaque prise de poste.

Playbooks, escalade et réponse à incident

Pour chaque type d'alerte fréquent, le SOC dispose d'un playbook : une procédure qui décrit les vérifications à faire, les critères d'escalade et les premières actions. Quand un incident se confirme, la main passe à l'équipe de réponse à incident — le CSIRT ou CERT — qui pilote le confinement, l'éradication et le retour à la normale. Dans les petites structures, ces rôles sont tenus par les mêmes personnes.

Threat intelligence

Les analystes s'appuient sur des renseignements sur les menaces : indicateurs de compromission (adresses, empreintes de fichiers, noms de domaine) et surtout modes opératoires. Le cadre de référence le plus utilisé décrit les tactiques et techniques des attaquants sous forme de matrice, ce qui aide à savoir quoi chercher et à repérer les angles morts de la détection.

Concrètement, quand un nouveau mode opératoire est publié, un analyste N2 ou N3 traduit sa description en règles de détection, vérifie que les journaux nécessaires sont bien collectés, et teste la règle pour limiter le bruit avant de la mettre en production. Ce cycle — comprendre une menace, la rendre détectable, mesurer l'efficacité — est ce qui fait progresser un SOC dans la durée, au-delà du simple traitement quotidien des alertes.

SOC interne ou infogéré

Deux modèles coexistent. Dans un SOC interne, l'équipe appartient à l'organisation qu'elle protège : elle connaît le contexte métier, suit les mêmes systèmes dans la durée et peut agir directement. Dans un SOC infogéré, un prestataire spécialisé surveille plusieurs clients à la fois : l'analyste voit une plus grande variété d'environnements et d'attaques, monte vite en compétence, mais dispose de moins de contexte sur chaque client et transmet souvent les actions à des équipes tierces. Beaucoup d'analystes commencent chez un prestataire pour l'exposition, puis rejoignent un SOC interne pour la profondeur.

Les indicateurs qui comptent

Un SOC se pilote avec quelques mesures. Le délai de détection : combien de temps entre le début d'une activité malveillante et sa qualification. Le délai de réaction : combien de temps entre la détection et les premières actions de confinement. Le taux de faux positifs : la proportion d'alertes qui n'aboutissent à rien, révélatrice de la qualité du réglage. La couverture enfin : quelle part des techniques d'attaque connues le dispositif est capable de repérer. Un analyste qui comprend ces indicateurs sait pourquoi on lui demande d'ajuster telle règle ou de documenter tel incident.

Une journée type

La prise de poste commence par une revue des alertes en cours et des consignes laissées par l'équipe précédente. Vient ensuite le traitement du flux : chaque alerte est vérifiée, enrichie, classée, puis close ou escaladée. Entre deux alertes, l'analyste avance sur des tâches de fond — affiner une règle bruyante, documenter un cas, se former sur une technique récente. Quand un incident sérieux tombe, tout le reste passe au second plan : on suit le playbook, on tient une main courante précise, on communique. La fin de service se conclut par une passation écrite.

Ce qui use, et comment les bons SOC y répondent

Les points durs du métier sont connus : le travail posté, la répétitivité du niveau 1, la fatigue d'alerte, et le sentiment de ne traiter que des symptômes. Les SOC qui gardent leurs équipes agissent sur ces leviers : rotation équitable, automatisation des tâches sans valeur ajoutée, temps dédié à la montée en compétence et à l'amélioration des règles, perspective claire d'évolution vers le N2 et au-delà. C'est un critère à évaluer en entretien, en demandant concrètement à quoi ressemble une semaine et comment progressent les analystes en place.

Les compétences attendues

• Savoir lire et interpréter des journaux : authentification, réseau, système, applicatifs.
• Comprendre le fonctionnement d'un réseau et des systèmes Windows et Linux.
• Connaître les grandes familles d'attaques et leur trace dans les journaux.
• Un langage de script pour automatiser les tâches répétitives et interroger les données.
• De la méthode, de la rigueur documentaire, et le sang-froid nécessaire quand plusieurs alertes tombent en même temps.

Évolution

Le poste d'analyste N1 est une rampe de lancement. On progresse vers le N2 puis le N3, puis vers des rôles spécialisés : réponse à incident, investigation numérique, ingénierie de détection (le métier qui consiste à concevoir et maintenir les règles), ou pilotage d'équipe. Beaucoup d'analystes basculent aussi vers le test d'intrusion : comprendre comment on détecte une attaque aide énormément à en mener une, et inversement. Le guide se reconvertir dans la cybersécurité montre comment le SOC sert de tremplin depuis d'autres métiers de l'informatique.