Tri des alertes et flux de travail du SOC

Les analystes SOC sont les premiers intervenants face aux alertes de sécurité. Leur mission consiste à déterminer rapidement si une alerte représente une menace réelle, à recueillir des preuves, à transmettre les incidents avérés à l’échelon supérieur et à clôturer les faux positifs, souvent en traitant des dizaines d’alertes par poste.

Les alertes sont classées par gravité : P1 (critique — compromission active), P2 (élevée — attaque probable), P3 (moyenne — activité suspecte), P4 (faible/information — violation de politique ou mauvaise configuration).

Étapes du triage pour chaque alerte : 1) Lisez l’alerte : qu’est-ce qui l’a déclenchée ? 2) Examinez les journaux bruts : existe-t-il des preuves réelles ? 3) Évaluez le contexte : qui, quoi, où ? 4) Déterminez s’il s’agit d’un vrai positif, d’un faux positif ou d’un positif bénin.

Vrai positif (TP) : l’alerte s’est déclenchée et l’activité est réellement malveillante. Faux positif (FP) : l’alerte s’est déclenchée, mais l’activité est légitime. Positif bénin : l’alerte s’est déclenchée en raison d’une activité réellement inhabituelle, mais non malveillante (par exemple, un test d’intrusion ou une activité d’administration).

Lors du triage, recueillez le contexte : quel utilisateur ? Quel hôte ? Quel est son rôle ? Ce comportement est-il habituel pour cette personne ? Que s’est-il passé avant et après ? Utilisez conjointement le SIEM, l’EDR, les renseignements sur les menaces et le contexte HR/IT.

Les guides opératoires sont des procédures documentées, étape par étape, pour les types d’alertes courants. Ils garantissent un triage cohérent et reproductible, et réduisent la fatigue décisionnelle des analystes. Chaque type d’alerte doit disposer d’un guide opératoire.

Lorsqu’une alerte est confirmée comme un vrai positif : transmettez-la à l’équipe IR (P1/P2), documentez les résultats (chronologie, ressources touchées, vecteur d’attaque), préservez les preuves avant la remédiation et informez les parties prenantes conformément à la matrice d’escalade.

Chaque alerte doit être documentée dans un système de suivi des demandes (Jira, ServiceNow, TheHive) : source de l’alerte, résultats du triage initial, décision (TP/FP), mesures prises et motif de clôture. Cela crée une piste d’audit et permet d’établir des indicateurs.

Indicateurs principaux : temps moyen de détection (MTTD), temps moyen de réponse (MTTR), volume d’alertes par gravité, taux de faux positifs par règle et nombre de dossiers clôturés par analyste et par poste. Utilisez ces indicateurs pour repérer les problèmes de qualité des règles et les insuffisances d’effectifs.

La passation de poste est essentielle : documentez les incidents ouverts, les investigations en cours et les règles récemment ajustées. L’analyste entrant doit pouvoir reprendre exactement là où son prédécesseur s’est arrêté, sans lacune de couverture.

Des taux élevés de faux positifs épuisent les analystes et provoquent le rejet des alertes réelles. Examinez régulièrement les règles peu performantes et retirez-les. Un taux de faux positifs supérieur ou égal à 90 % pour une règle indique qu’elle doit être immédiatement ajustée ou retirée.

Qu’est-ce qu’un « positif bénin » lors du triage au sein d’un SOC ?

Le fonctionnement efficace d’un SOC repose sur un triage cohérent, des guides opératoires documentés, des voies d’escalade claires et des indicateurs rigoureux. Chaque alerte reçoit une décision documentée. Réduisez sans relâche les faux positifs afin de maintenir l’attention des analystes sur les menaces réelles. Le MTTD et le MTTR sont les indicateurs de référence : ils mesurent la rapidité avec laquelle vous détectez les incidents réels et y répondez.