Détecter et répondre aux incidents (SOC / SIEM)

En bref

Un SOC (Security Operations Center) surveille en continu un système d’information pour y repérer les attaques. Ce parcours de spécialisation forme au cœur technique de ce travail : exploiter les journaux dans un SIEM — Splunk en l’occurrence —, trier et qualifier les alertes, investiguer sur les postes avec un EDR.

Il va au-delà de la surveillance avec le threat hunting, qui consiste à chercher activement une menace passée inaperçue, et la réponse aux incidents. MITRE ATT&CK y sert de grille de lecture commune.

Dans nos fiches métiers, c’est le parcours qui correspond le plus directement aux métiers de la Blue Team.

À qui s’adresse ce parcours ?

Notre lecture, établie à partir des fiches métiers Cyberskill. Ce ne sont pas les conditions d’admission de l’organisme, qui restent à vérifier auprès de lui.

• Techniciens support N2/N3 et administrateurs systèmes ou réseau qui veulent basculer vers la détection.
• Personnes sortant d’un parcours de reconversion technique qui visent un premier poste en SOC.
• Analystes SOC de niveau 1 qui veulent consolider leur pratique.

Parcours voisins à comparer

• Analyser des malwares et investiguer les attaques avancéesPour aller plus loin dans l’investigation et l’analyse de malwares.
• Administrateur d’infrastructures de sécuritéSi vous n’avez pas encore de socle systèmes et réseau.

Ce que vous allez apprendre

Les compétences ci-dessous reprennent, en les reformulant, les thèmes annoncés par l’organisme.

• Exploiter un SIEM, Splunk, pour rechercher et analyser les événements de sécurité.
• Trier et qualifier des alertes, distinguer un faux positif d’un incident réel.
• Investiguer sur un poste ou un serveur avec un EDR.
• Mener une démarche de threat hunting à partir d’une hypothèse.
• Participer à la réponse à un incident.
• Lire une attaque à l’aide de MITRE ATT&CK.

Programme

Type de parcours

Spécialisation

Durée totale

20 jours

Niveau 1

13 j

Niveau 2

7 j

Les grands axes du parcours, en synthèse et sans ordre chronologique :

1. Exploitation des journaux

   Le SIEM comme outil central du SOC, avec Splunk.

2. Qualification des alertes

   Trier, prioriser, documenter : le quotidien de l’analyste.

3. Investigation sur les terminaux

   L’EDR pour comprendre ce qui s’est passé sur un poste ou un serveur.

4. Threat hunting et réponse

   Chercher ce qui a échappé aux règles de détection, puis contribuer à contenir et traiter l’incident.

Synthèse rédigée par Cyberskill. Le déroulé détaillé, module par module, les modalités et les conditions d’accès relèvent de l’organisme.

Débouchés et métiers associés

• Débouché directAnalyste SOCLe débouché le plus direct, et l’un des rares métiers cyber réellement accessibles en premier poste.→
• Débouché directAnalyste réponse à incidentLe cœur technique de la fonction est couvert ; l’expérience opérationnelle fait le reste.→
• Étape d’une trajectoireAnalyste de la menace cyberUne première étape vers le renseignement sur la menace, pas une formation à la CTI.→
• Étape d’une trajectoireResponsable SOCUn poste d’expérience : le parcours en couvre le socle technique, pas le pilotage.→

Guides utiles

• GuideQuel métier cyber choisirVingt-six métiers, six axes de compétences, un seul point de départ : le vôtre. De quoi trancher avant d’engager du temps et de l’argent.→
• GuidePremier lab cybersécurité avec ProxmoxUn environnement complet, isolé et réversible, monté chez vous — la preuve de compétence la plus convaincante que puisse présenter un candidat en reconversion.→
• ActualitéVishing : l'appel qui contourne le MFALe hameçonnage vocal est devenu le deuxième vecteur d'accès initial observé par Mandiant en 2025, devant le courriel. Analyse de campagnes documentées, du mécanisme d'interception du second facteur, et des défenses qui fonctionnent réellement.→