Aller au contenu
BigTree108

SOC as a service et supervision de la sécurité

SOC as a service et supervision de la sécurité : un SOC managé couvrant les plages horaires de votre choix, déploiement et migration de SIEM, intégration des logs, ingénierie de détection, exploitation EDR et XDR, contrats de réponse à incident, gestion des vulnérabilités, automatisation de la réponse et threat hunting, avec des analystes SOC et des ingénieurs de détection dédiés à votre équipe.

Les services de supervision de la sécurité que nous fournissons

  • SOC managé

    Alertes de votre SIEM et de votre EDR triées par des analystes pendant vos heures de travail ou 24 h/24, incidents confirmés escaladés vers votre astreinte dans les délais de réponse convenus, et rapport mensuel sur ce qui a été observé, ce qui a été clos et quelles détections ont été réglées.

  • Déploiement et migration de SIEM

    Microsoft Sentinel dans le portail Defender, Splunk Enterprise Security, Elastic Security, Google Security Operations ou Wazuh configurés avec la rétention, les accès et les plafonds de coût planifiés avant l’arrivée des données, et migrations entre SIEM avec chaque détection reconstruite et testée sur la nouvelle plateforme avant l’arrêt de l’ancienne.

  • Intégration des sources de logs

    Journaux d’audit cloud, connexions Entra ID et Okta, activité Microsoft 365 et Google Workspace, pare-feu, EDR et vos propres applications analysés dans un schéma unique comme ASIM, ECS ou OCSF, avec Cribl ou le pipeline propre au SIEM écartant le bruit avant qu’il ne soit facturé.

  • Ingénierie de détection

    Règles de détection conservées sous forme de code dans Git, écrites en Sigma ou directement en KQL, SPL ou ES|QL, associées à MITRE ATT&CK, testées contre des attaques simulées avec Atomic Red Team avant publication, et réglées jusqu’à ce que les analystes fassent confiance à ce qui se déclenche.

  • Exploitation EDR et XDR

    Microsoft Defender for Endpoint, CrowdStrike Falcon ou SentinelOne déployés sur chaque serveur et ordinateur portable avec la protection contre la falsification activée, des exclusions courtes et revues, et des appareils isolés depuis la console dès qu’une compromission est confirmée.

  • Contrats de réponse à incident

    Conditions convenues avant tout événement : contacts, accès, traitement des preuves et plages horaires de réponse. Lorsqu’un incident survient, s’ensuivent le confinement, la collecte forensique avec Velociraptor, l’éradication et un rapport écrit, et les heures non consommées par des incidents vont à des travaux de préparation comme des revues de playbooks et des exercices de réponse.

  • Gestion des vulnérabilités

    Serveurs, conteneurs, ordinateurs portables et ressources cloud analysés avec Tenable, Qualys, Rapid7 ou Microsoft Defender Vulnerability Management, constats classés par exploitabilité via l’EPSS et le catalogue Known Exploited Vulnerabilities de la CISA, et délais de correction par niveau de gravité suivis jusqu’à la clôture avec l’équipe propriétaire.

  • SOAR et automatisation de la réponse

    Règles d’automatisation Sentinel et playbooks Logic Apps, Splunk SOAR, Tines ou Torq qui enrichissent chaque alerte, ouvrent le ticket et alertent la bonne personne, les étapes qui désactivent un compte ou isolent un appareil attendant l’approbation d’un analyste.

  • Threat hunting

    Chasses qui partent d’une hypothèse, d’un nouveau rapport de menace ou d’une technique ATT&CK que vos détections ne couvrent pas encore, menées sur des mois de logs conservés, chacune aboutissant à une nouvelle règle de détection ou à une note écrite expliquant pourquoi l’hypothèse ne s’est pas vérifiée.

Recruter des analystes SOC et ingénieurs de détection

  • analystes SOC et ingénieurs de détection dédiés

    Des Analystes SOC et ingénieurs de détection qui rejoignent votre équipe à temps plein, travaillent avec vos outils et votre processus, et rendent compte à votre responsable. Vous les interviewez ; nous portons le contrat ukrainien, la paie, la facturation et les congés.

  • Projets de Supervision de la sécurité

    Un lot défini de supervision de la sécurité, avec un périmètre, un plan arrêté et un responsable nommé de notre côté, qui porte le résultat et rend compte de l’avancement dans vos canaux.

  • Prestation continue de supervision de la sécurité

    Un service continu de Supervision de la sécurité : les mêmes personnes chaque mois, un backlog que vous priorisez, et des heures visibles dans notre portail et sur la facture.

La page Équipe dédiée explique comment les spécialistes rejoignent votre équipe, et la page Externalisation couvre la livraison de projet, les reprises et notre mode de facturation.

Qui intervient sur vos supervision de la sécurité

  • Analystes SOC

    Tri et escalade des alertes, premier et deuxième niveau

  • Ingénieurs de détection

    Règles sous forme de code, réglage et simulation d’attaques

  • Ingénieurs SIEM

    Mise en place de la plateforme, pipelines de logs et coût d’ingestion

  • Intervenants en réponse à incident

    Confinement, forensique et rapports d’incident

  • Threat hunters

    Chasses fondées sur des hypothèses sur les logs conservés

Notre façon d’exploiter la sécurité

Avant le début de la supervision, nous convenons de ce qui est couvert, des horaires, du délai de réponse pour chaque niveau de gravité et de la personne appelée dans votre équipe pour chaque cas. Chaque type d’alerte a un runbook, chaque escalade est consignée dans votre outil de ticketing, et les analystes travaillent via des comptes nominatifs avec uniquement les accès que demande le tri, de sorte que leurs propres actions apparaissent dans le journal d’audit.

Les détections sont traitées comme du code : versionnées, revues, testées contre des attaques simulées et mesurées selon la fréquence à laquelle elles se déclenchent pour rien. Les constats des tests d’intrusion et des incidents reviennent sous forme de nouvelles règles, de sorte que la même technique est détectée la fois suivante. Nous surveillons nos propres appareils de la même façon : nos ordinateurs portables sont contrôlés par un agent que nous avons écrit en Rust, selon notre référentiel de sécurité, sous Windows, macOS et Ubuntu, avec des contrôles alignés sur ISO 27001, CIS, Cyber Essentials, Essential Eight et SOC 2.

Autres services cloud, DevOps et sécurité

Cloud, DevOps et sécurité : vue d’ensemble

Questions sur le SOC et la supervision de sécurité

Dans quels secteurs travaillent vos analystes SOC ?

Surtout des éditeurs de cybersécurité, sur des services de détection managée et le contenu de détection de leurs produits ; la fintech, la banque et l’assurance, où la supervision et la déclaration des incidents sont des obligations réglementaires au titre de DORA et de PCI DSS ; les industriels et énergéticiens qui surveillent les réseaux de bureau et d’usine ; l’e-commerce, qui protège les comptes clients du piratage et de la fraude ; les éditeurs SaaS dont les clients attendent une supervision continue ; ainsi que les fournisseurs d’hébergement et de télécoms et les systèmes du secteur public.

Assurez-vous une supervision 24 h/24 ?

Oui, quand vous en avez besoin : heures ouvrées de votre fuseau horaire, horaires étendus ou couverture 24 h/24 et 7 j/7 par roulement, convenus avant le début de la supervision. Chaque option est accompagnée de délais de réponse écrits par niveau de gravité et d’un chemin d’escalade nominatif vers votre équipe.

Pouvez-vous travailler avec le SIEM et l’EDR que nous avons déjà ?

Oui. La plupart des missions s’exécutent sur le Microsoft Sentinel, Splunk, Elastic, Google Security Operations ou Wazuh du client et sur l’EDR déjà déployé, de sorte que les données restent dans votre tenant et sous vos licences. Les analystes se connectent via des comptes que vous émettez et pouvez révoquer.

Que se passe-t-il lorsqu’un analyste trouve un véritable incident ?

L’analyste le confirme, appelle votre contact nommé dans le délai de réponse convenu et, lorsque vous l’avez approuvé à l’avance, le contient : un compte désactivé, un appareil isolé, un jeton révoqué. Des intervenants en réponse à incident collectent ensuite les preuves, identifient la cause racine et rédigent le rapport, y compris ce qu’il faut notifier aux régulateurs et aux clients, et dans quel délai.

En combien de temps les analystes SOC et ingénieurs de détection peuvent-ils démarrer ?

Lorsque le bon analyste SOC est disponible, le démarrage ne dépend que de votre entretien, du NDA et de la cession de propriété intellectuelle. Sinon, nous lançons une recherche, qui fournit en général des profils de candidats sous deux à trois semaines, et personne ne démarre avant que vous ayez donné votre accord.

Comment recruter des analystes SOC et ingénieurs de détection via BigTree108 ?

Indiquez-nous le travail à réaliser, le niveau de séniorité et les horaires dont vous avez besoin. Nous vous proposons une ou deux personnes avec leurs profils, vous les interviewez comme vous le feriez pour votre propre recrutement, puis vous signez un seul contrat avec BIG TREE 108 LLC et recevez une facture par mois.

À qui appartient le travail qu’ils produisent ?

C’est vous. Chaque spécialiste a signé avec BigTree108 un contrat qui cède à l’entreprise tous les livrables, et notre contrat avec vous vous les cède à son tour. Le code, les maquettes et les documents sont livrés dans vos propres dépôts et outils, et non conservés à un endroit où nous seuls pourrions les modifier.

Besoin d’un SOC ou d’une supervision de sécurité ?

Indiquez-nous ce que vous exploitez, quels outils de sécurité vous avez et les plages horaires à couvrir. Vous recevez une réponse sous un jour ouvré : une proposition de couverture, un plan pour votre SIEM ou des profils de candidats.

Écrire à hello@bigtree108.comComment nous répondons