Awesome SOC

Un manuel opérationnel et une base de connaissances pour construire, exploiter et faire mûrir un SOC (y compris un CSIRT). Couvrant :

• les bases du SOC
• l'ingénierie de détection
• le renseignement sur les menaces
• les métriques/KPI du SOC
• l'automatisation du SOC
• les cas d'usage de l'IA et les bonnes pratiques
• les SOP (playbooks SOC)

Ceci reflète mon point de vue, fondé sur ma propre expérience d'analyste SOC/CSIRT et de manager d'équipe, ainsi que sur des publications reconnues. L'accent porte davantage sur le SOC que sur le CERT/CSIRT.

Ma devise est : sans réaction (réponse), la détection est inutile.

NB : d'une manière générale, SOC désigne ici l'activité de détection, et CERT/CSIRT l'activité de réponse aux incidents. CERT est une marque déposée (anciennement) américaine bien connue, gérée par CERT-CC, mais je préfère le terme CSIRT car il désigne précisément la réponse aux incidents.

Table des matières

• À lire absolument
• Concepts fondamentaux
• Moyens critiques (outils/capteurs)
• Fonctionnement interne/cœur du SOC
• IA (ML, LLM, GenAI, Agentic AI)
• Veille IT/sécurité
• SOAR
• Ingénierie de détection
• Renseignement sur les menaces
• Playbooks/SOP
• Métriques du SOC (KPI/SLA)
• Management du SOC
• RH et formation
• Architecture IT
• Pour aller plus loin (prochaines étapes)
• Annexe

À lire absolument

Pour un SOC

• Construction d'un SOC :
  • MITRE, 11 strategies for a world-class SOC (ou utiliser le fichier local) : partie 0 (Fondamentaux).
  • FIRST, Building a SOC
  • NCSC, Building a SOC
  • Gartner, SOC model guide
  • Splunk, State of Security 2025
  • Microsoft, Secure your business with 365
• Préparation aux entretiens SOC :
  • LetsDefend SOC analyst interview questions
• Management du SOC :
  • FIRST, ISO 27035 Practical value for CSIRT and SOCs
  • SANS, 2025 SOC survey
  • SOC CMM, SOC Metrics
  • Gartner, Market Guide for Managed Detection and Response
• Évaluation du SOC :
  • CMM, SOC-CMM
  • Rabobank CDC, DeTTECT
  • SANS, Continous purple teaming

Pour un CERT/CSIRT

• Vue d'ensemble globale :
  • SANS, Incident Response
  • FlexibleIR, IR phases
• Construction d'un CSIRT :
  • FIRST, CERT-in-a-box
  • FIRST, CSIRT Services Framework
• Gestion de la réponse aux incidents de sécurité :
  • ENISA, Good practice for incident management
  • EE-ISAC Incident Response whitepaper
  • LinkedIn Pulse, Security incident management according to ISO 27035
  • Microsoft/EY/Edelman, Incident response reference guide
  • Microsoft, IR lessons on cloud ID compromise
• Forensique :
  • NIST, SP800-86, integration forensics techniques into IR
  • ForensicsArtefacts
  • ForensicsWiki
• Playbooks et méthodologie de réponse aux incidents :
  • Kaspersky, Incident Response Playbook: Dark Web Breaches
  • CISA, Incident Response playbooks
  • CERT-SG, Incident Response Methodology