Veille SOC

Veille technologique · SOC

Je suis les technologies qui servent à construire et à faire évoluer une infrastructure de supervision de sécurité : outils de détection, serveurs, systèmes, services, équipements réseau et architectures. Chaque sujet part de sources identifiées, avec ses nouveautés, ses versions, ses fonctions et ses limites.

Les incidents, les menaces et les CVE ont leur propre page, Threat Intel. La manière de collecter et de sélectionner est décrite dans la méthode de veille.

Définition et composants d’un SOCMéthode de veille

Recueil de veille : fiches récentes et historique

Haute

CVE-2026-0322 — PAN-OS : exécution de code

CVE-2026-0322 permet à un attaquant authentifié disposant d’un accès réseau à l’interface d’administration PAN-OS d’exécuter du code arbitraire avec les privilèges root sur le pare-feu.

OpenSearch 2.19.7

OpenSearch est un moteur distribué de recherche et d'analyse de données textuelles et de journaux. La version 2.19.7 apporte des correctifs de sécurité et de robustesse limitant les dépassements de pile et les saturations…

Qu’est-ce qu’un SOC ?

Security Operations Center (SOC), ou centre des opérations de sécurité : une capacité organisée qui réunit des personnes, des processus et des technologies pour surveiller un système d’information, qualifier les alertes et coordonner la réponse aux incidents.

Un SOC n’est pas un logiciel unique. Il reçoit des événements issus des postes de travail, des serveurs, des équipements réseau, des services d’identité et des plateformes cloud. Les analystes les mettent en contexte, recherchent les indices d’activité malveillante, évaluent le périmètre et la gravité, puis transmettent ou déclenchent les actions de réponse prévues par l’organisation. La surveillance peut être continue ; un service 24 h/24 et 7 j/7 suppose une équipe et une astreinte effectivement dimensionnées.

Les composants du dispositif

Équipe et procédures
Analystes SOC, responsables d’incident et spécialistes sécurité appliquent les règles de qualification, d’escalade, de conservation des preuves et de communication.
Télémétrie et collecte
Journaux système et applicatifs, événements d’identité, flux réseau et alertes d’outils de sécurité sont acheminés et normalisés selon le périmètre retenu.
Détection et corrélation
Un SIEM (Security Information and Event Management) centralise et met en relation les événements. Les outils EDR (Endpoint Detection and Response) et XDR (Extended Detection and Response) observent les terminaux ; les IDS (Intrusion Detection System) et NDR (Network Detection and Response) analysent les activités réseau. Ces sources produisent des alertes à investiguer.
Investigation et renseignement
Les analystes enrichissent les alertes avec le contexte des actifs, les indicateurs de compromission (IOC) et les tactiques, techniques et procédures (TTP) associées aux menaces.
Gestion et réponse
Une file de cas et des playbooks aident à prioriser, documenter et coordonner le confinement, l’éradication et le rétablissement. Un SOAR (Security Orchestration, Automation and Response) peut automatiser certaines tâches, avec les validations prévues par l’organisation.

Le cycle opérationnel

Le traitement suit une boucle : collecter la télémétrie, détecter une anomalie, trier l’alerte, enquêter, déterminer le périmètre, contenir la menace, éliminer sa cause, restaurer les services, puis tirer des enseignements pour améliorer les contrôles et les règles.

Le NIST SP 800-61 Rev. 3 inscrit la réponse aux incidents dans la gestion du risque : préparer l’organisation, puis conduire les activités de détection, de réponse et de rétablissement. Les playbooks CISA cités ici (publication 2021) sont conçus pour les agences fédérales civiles américaines ; leur séquence est une référence documentaire, pas une prescription universelle.

La composition exacte dépend du système d’information, des risques, des horaires de couverture et des responsabilités de l’organisation. Un produit installé dans mon homelab illustre une fonction ; il ne démontre pas à lui seul l’existence d’un SOC opérationnel.

NIST SP 800-61 Rev. 3 — réponse aux incidents
CISA — playbooks d’intervention fédéraux

Défiler vers le haut