Qu’est-ce qu’un centre d’opérations de sécurité (SOC) ?

Inventaire des actifs : un SOC doit maintenir un inventaire exhaustif de tout ce qui doit être protégé, à l'intérieur ou à l'extérieur du centre de données (par exemple, applications, bases de données, serveurs, services cloud, terminaux, etc.) et de tous les outils utilisés pour les protéger (pare-feu, antivirus/anti-malware/anti-ransomware, logiciels de surveillance, etc.). A cet égard, de nombreux SOC utilisent une solution de découverte d’actifs.

Maintenance de routine et préparation : pour maximiser l'efficacité des outils et des mesures de sécurité en place, le SOC effectue une maintenance préventive telle que l'application de correctifs et de mises à niveau de logiciels, et la mise à jour continue des pare-feux, des listes blanches et noires, ainsi que des politiques et procédures de sécurité. Le SOC peut également créer des sauvegardes de système (ou aider à créer des politiques ou des procédures de sauvegarde) pour assurer la continuité des activités en cas de violation de données, d'attaque par ransomware ou autre incident de cybersécurité.

Planification de la réponse aux incidents : le SOC est responsable de l'élaboration du plan de réponse aux incidents de l'organisation. Le plan définit les activités, les rôles et les responsabilités en cas de menace ou d'incident, ainsi que les indicateurs de performance qui permettront de mesurer la réussite de toute réponse.

Tests réguliers : l’équipe SOC réalise des évaluations de vulnérabilité, des évaluations exhaustives identifiant la vulnérabilité de chaque ressource face aux menaces potentielles ou émergentes, ainsi que les coûts associés. Elle procède également à des tests de pénétration, simulant des attaques spécifiques sur un ou plusieurs systèmes. Sur la base des résultats de ces tests, l'équipe procède à des corrections ou à des ajustements des applications, des politiques de sécurité, des bonnes pratiques et des plans d'intervention en cas d'incident.

Rester à jour : le SOC est informé des dernières solutions et technologies de sécurité, ainsi que des renseignements les plus récents sur les menaces. Ces informations incluent les actualités sur les cyberattaques et les pirates qui les perpètrent, collectées à partir des médias sociaux, des sources industrielles et du dark web.

Surveillance de sécurité ininterrompue : le SOC surveille l'ensemble de l'infrastructure informatique étendue – applications, serveurs, logiciels système, dispositifs informatiques, charges de travail cloud, réseau – 24h/24, 7j/7 et 365 jours par an, pour détecter les signes d'exploits connus et toute activité suspecte.

Pour de nombreux SOC, la technologie principale de surveillance, de détection et de réponse est la gestion des informations et des événements de sécurité, ou SIEM. Le SIEM surveille et agrège les alertes et les données de télémétrie provenant des logiciels et du matériel sur le réseau en temps réel, puis analyse les données pour identifier les menaces potentielles. Plus récemment, certains SOC ont également adopté la technologie de détection et de réponse étendues (XDR), qui fournit une télémétrie et une surveillance plus détaillées, et permet l'automatisation de la détection et de la réponse aux incidents.

Gestion des registres : la gestion des registres, c’est-à-dire la collecte et l’analyse des données de journal générées par chaque événement réseau, est un sous-ensemble important de la surveillance. Alors que la plupart des services informatiques collectent des données de journal, ce n'est que grâce à leur analyse qu'il est possible d'établir une activité normale, c'est-à-dire de référence, et donc de détecter toute anomalie indiquant une activité suspecte. En fait, de nombreux pirates informatiques comptent sur le fait que les entreprises n’analysent pas toujours les données des journaux, ce qui peut permettre à leurs virus et logiciels malveillants de fonctionner pendant des semaines, voire des mois, sans être détectés sur les systèmes de la victime. La plupart des solutions SIEM incluent une capacité de gestion des registres.

Détection des menaces : l'équipe SOC fait la distinction entre les signaux et le bruit, c'est-à-dire les indications de cybermenaces réelles et d'utilisations par des pirates informatiques à partir des faux positifs, puis hiérarchise les menaces en fonction de leur gravité. Les solutions SIEM modernes intègrent l'intelligence artificielle (IA) qui automatise ces processus et qui « apprend » des données pour mieux détecter les activités suspectes au fil du temps.

Réponse aux incidents : en réponse à une menace ou à un incident réel, le SOC prend des mesures pour limiter les dégâts. Ces mesures peuvent inclure :

• Recherche de la cause racine, pour déterminer les vulnérabilités techniques qui ont permis aux pirates informatiques d’accéder au système, ainsi que d’autres facteurs (tels que de mauvaises pratiques en matière de mots de passe ou une application insuffisante des politiques) qui ont contribué à l'incident.
• Désactivation ou déconnexion des points de terminaison compromis du réseau.
• Isolement des zones compromises du réseau ou reroutage du trafic réseau.
• Suspension ou arrêt des applications ou processus compromis.
• Suppression des fichiers endommagés ou infectés.
• Exécution d’un logiciel antivirus ou de protection contre les logiciels malveillants.
• Désactivation des mots de passe pour les utilisateurs internes et externes.

De nombreuses solutions XDR permettent aux SOC d’automatiser et d’accélérer ces réponses et d'autres interventions en cas d'incident.

Récupération et résolution : une fois l'incident maîtrisé, le SOC éradique la menace, puis s'efforce de ramener les actifs touchés à leur état antérieur à l'incident (par exemple, effacement, restauration et reconnexion des disques, des appareils des utilisateurs et d'autres points de terminaison ; restauration du trafic réseau ; redémarrage des applications et des processus). En cas de violation de données ou d'attaque par ransomware, la récupération peut également impliquer le passage à des systèmes de sauvegarde et la réinitialisation des mots de passe et des identifiants d'authentification.

Analyse post-mortem et optimisation : pour éviter qu’un incident ne se reproduire, le SOC analyse toutes les informations disponibles sur l'incident afin de mieux gérer les vulnérabilités, mettre à jour les processus et les politiques, choisir de nouveaux outils de cybersécurité ou réviser le plan de réponse aux incidents. À un niveau supérieur, l'équipe SOC peut également essayer de déterminer si l'incident révèle une tendance de cybersécurité nouvelle ou changeante à laquelle l'équipe doit se préparer.

Gestion de la conformité : le SOC a pour tâche de veiller à ce que l’ensemble des applications, des systèmes et des outils et processus de sécurité soient conformes aux réglementations relatives à la confidentialité des données, telles que le RGPD (règlement général sur la protection des données), la loi CCPA (California Consumer Privacy Act), la norme PCI DSS (norme de sécurité des données de l’industrie des cartes de paiement) et la loi HIPAA (Health Insurance Portability and Accountability Act). À la suite d'un incident, le SOC s'assure que les utilisateurs, les régulateurs, les forces de l'ordre et les autres parties sont informés conformément aux réglementations et que les données d'incident requises sont conservées à des fins de preuve et d'audit.