SOC — détecter et traiter les attaques pour une petite entreprise (labo)
Une chaîne complète de surveillance de sécurité — repérer une attaque, ouvrir un dossier, enquêter — construite avec des outils libres pour un client fictif.
Le besoin
Un réseau de centres d'audioprothèse (client fictif d'un sujet d'école) veut externaliser la surveillance de sa sécurité tout en maîtrisant ses coûts.
L'idée
La plupart des labos s'arrêtent à l'alerte. La vraie valeur, c'est ce qui suit : le tri, l'enquête, la preuve.
Ce que j'ai construit
- La détection sur les postes et sur le réseau, derrière un pare-feu.
- Les journaux centralisés via un tunnel chiffré.
- Un script de ma main qui transforme chaque alerte sérieuse en dossier à instruire, automatiquement.
- Des outils d'enquête sur disque et en mémoire, et un rapport de sécurité généré chaque jour.
Le résultat
- 6briques reliées de bout en bout
- 7 hrapport de sécurité quotidien, envoyé automatiquement
- 100 %outils open source
- Labojamais en production — je le précise
La chaîne fonctionne en laboratoire, de la détection à l'enquête. Elle est restée un labo : aucune métrique opérationnelle à montrer, et je préfère le dire.
En images
Ce que j'ai appris
L'open source a été choisi pour le coût et la maîtrise, et il se paie : les intégrations se scriptent à la main et les règles de détection s'ajustent une par une. Une suite propriétaire aurait livré la même chose en trois clics — et m'aurait appris trois fois moins.
Détails techniques Stack, architecture et choix — pour les lecteurs techniques
Stack
- Wazuh
- Suricata
- pfSense
- Logstash
- Elasticsearch
- ElastAlert
- TheHive
- Cortex
- AlienVault OTX
- Autopsy
- Volatility
- Python
Comment ça marche
- Projet individuel du Mastère Cybersécurité à Sup de Vinci (2023-2024), client fictif AudioProthèse+ ; cahier des charges aligné sur ISO/IEC 27001 et le RGPD.
- SIEM : agents Wazuh sur les postes, remontée par VPN, pipeline Logstash → Elasticsearch, tableau de bord centralisé.
- IDS/IPS : Suricata derrière un pare-feu pfSense, jeux de règles ET Open et Snort GPLv2, flux de réputation d'adresses IP AlienVault OTX.
- SOAR : TheHive, relié à Wazuh par un script Python sur son API REST qui convertit en dossier chaque alerte Wazuh ou Suricata au-dessus d'un seuil de gravité ; Cortex pour l'enrichissement.
- Investigation avec Autopsy (disque) et Volatility (mémoire) ; rapport quotidien généré et envoyé à 7 h.
Ce qui manque encore
- Laboratoire uniquement — jamais en production
- Aucune métrique opérationnelle