Qu’est ce qu’un SOC (Security Operation Center) ?

⌚: 5 minutes

Découvrez comment fonctionnent les SOC et pourquoi de nombreuses organisations font confiance à cette ensemble technologique, véritable cockpit de la sécurité de votre entreprise pour détecter les incidents liés à la sécurité.

Définition du SOC

Un SOC est une installation abritant une unité de sécurité chargée de surveiller et d’analyser en permanence le dispositif de sécurité d’une entreprise. L’objectif du SOC est de détecter, analyser et intervenir en cas d’incidents lié à la cybersécurité. Pour cela, il utilise une combinaison de dispositifs technologiques ainsi qu’un ensemble de processus pour détecter et remonter le moindre incident afin que les équipes puissent réagir rapidement. Avec l’augmentation du nombre de cyberattaque, le SOC devient un élément de plus en plus important pour la sécurité de votre entreprise. 

Les SOC sont généralement gérés par des analystes et des ingénieurs de la cybersécurité ainsi que par des managers supervisant les opérations. Le personnel travaille en étroite collaboration avec des équipes d’intervention en cas d’incident. Les problèmes de sécurité sont ainsi réglés rapidement, dès leur découverte.

Les SOC surveillent et analysent l’activité sur les réseaux, les serveurs, les terminaux, les bases de données, les applications, les sites Web et autres systèmes à la recherche d’activités log anormales qui pourraient indiquer un incident ou un risque lié à la sécurité. Il est chargé de veiller à ce que les incidents de sécurité potentiels soient correctement identifiés, analysés, étudiés et signalés.

Comment fonctionne un SOC ?

Plutôt que de se concentrer sur l’élaboration d’une stratégie de prévention, la conception d’une architecture de sécurité ou la mise en œuvre de mesures de protection, l’équipe SOC est responsable de la face opérationnelle et permanente de la sécurité des informations de l’entreprise.

Le personnel du SOC est principalement composé d’analystes qui travaillent de concert pour détecter, analyser, réagir, signaler et prévenir les incidents liés à la cybersécurité. Certains SOC offrent des capacités supplémentaires, avec des analyses  avancées, comme avec la cryptanalyse ou du reverse ingeneering des logiciels malveillants afin de détecter les failles dans l’enreprise en essayant de cracker les mots de passe de l’entreprise ou les clés, pour ensuite analyser les incidents.

Lors de la mise en place d’un SOC au sein d’une structure, la première étape consiste à définir clairement une stratégie qui tient compte des objectifs des divers services de l’entreprise ainsi que des observations des dirigeants. La stratégie se base sur les services les plus sensibles de l’entreprise, les divisions qui ont le plus de donnée même si elles ne sont pas sensibles, les liens entres les différents départements afin de ne pas avoir de canard boiteux qui permettrait l’accès aux autres services de l’entrepris. Une fois la stratégie élaborée, l’infrastructure requise pour la soutenir doit être mise en œuvre.

Selon Pierluigi Paganini, l’infrastructure typique d’un SOC comprend des pare-feux, des IPS/IDS, des solutions de détection des brèches, des sondes et un système de gestion des informations et événements de sécurité (SIEM). 

La technologie devra être prête à recueillir les données par le biais des flux de données, de la télémétrie, de la saisie de paquets, du syslog et d’autres méthodes afin que leur activité puisse être corrélée et analysée par le personnel de SOC.

Le SOC surveille également les vulnérabilités des réseaux et des terminaisons afin de protéger les données sensibles et de se conformer aux réglementations industrielles ou gouvernementales.

Quels sont les avantages à utiliser un SOC ?

Le principal avantage d’avoir un SOC est l’amélioration de la détection des incidents de sécurité par la surveillance et l’analyse continues de l’activité des données. En analysant les réseaux, les terminaux, les serveurs et les bases de données d’une société 24h/24, l’équipe du SOC assure une détection et une intervention rapides en cas d’incident de sécurité.

La surveillance permanente assurée par un SOC donne aux entreprises l’avantage de pouvoir se défendre contre les incidents et les intrusions, quels que soient leur source, l’heure de la journée ou le type d’attaque.

L’écart entre le moment où les pirates font des tentatives et le moment où les entreprises sont averties est bien décrit dans le rapport annuel de Verizon intitulé Data Breach Investigations Report. Un SOC aide les entreprises à combler cet écart et à rester au fait des menaces auxquelles leurs environnements sont exposés.

Comment gérer un SOC de manière optimale ?

De nombreux responsables de la sécurité se concentrent davantage sur le facteur humain que sur le facteur technologique pour  » évaluer et atténuer directement les menaces plutôt que de se fier à un scénario « . Les opérateurs d’un SOC gèrent en permanence les menaces connues et existantes tout en s’efforçant d’identifier les risques émergents. Ils répondent également aux besoins de l’entreprise et du client et travaillent dans le cadre de leur niveau de tolérance de risque.

Bien que des systèmes technologiques tels que les pare-feux ou les IPS puissent prévenir les attaques classiques, l’analyse humaine est nécessaire pour mettre un terme aux incidents majeurs. Pour obtenir les meilleurs résultats, l’équipe SOC doit se tenir au courant des derniers progrès en matière de détection des menaces et exploiter ces informations pour améliorer les mécanismes internes de détection et de défense.

Comme le souligne l’InfoSec Institute, le SOC recueille des données au sein de l’organisation et les met en corrélation avec des informations provenant de diverses sources externes, donnant ainsi un aperçu des menaces et des vulnérabilités. Ce cyber renseignement externe comprend des fils d’actualités, des mises à jour de signatures, des rapports d’incidents, des notes de menace et des alertes de vulnérabilité qui aident le SOC à suivre l’évolution des cyber menaces.

Le personnel du SOC doit constamment alimenter les outils de surveillance du SOC avec les données sur les dangers pour être en permanence au courant des menaces possibles. Le Security Operation Center doit également se doter de processus permettant de distinguer les menaces réelles des menaces insignifiantes.

Les SOC qui remportent un franc succès utilisent l’automatisation de la sécurité pour devenir efficaces et performants. En la combinant avec des analystes de sécurité hautement qualifiés, les entreprises augmentent leur puissance d’analyse. Elles améliorent les mesures de sécurité et se défendent mieux contre les failles de sécurité et les cyberattaques. 

La plupart des sociétés n’ont pas les ressources internes pour y parvenir. Elles se tournent alors vers des fournisseurs de services de sécurité qui offrent des services de SOC.

Découvrez aussi bientôt :