Cyberattaque : que faire dans les premières heures.
Isoler sans éteindre, préserver les preuves, activer la cellule de crise, notifier la CNIL sous 72h, ne pas payer : le mémo de réaction à chaud.
Un SOC managé, sur le papier, c'est simple : quelqu'un regarde vos journaux pendant que vous dormez. Dans les faits, la promesse est souvent comprise de travers, et le malentendu ne se révèle qu'au pire moment - pendant un incident, quand le client demande « mais pourquoi vous n'avez rien vu ? »
Cet article dit ce qu'un SOC détecte réellement, et surtout ce qu'il ne détectera jamais. Pas par prudence commerciale : parce qu'un SOC dont on attend l'impossible est un SOC qu'on juge inutile après six mois, et qu'on débranche au moment où il commençait à servir.
En résumé
- Un SOC ne voit pas « votre système » : il voit les traces que votre système accepte de produire et qu'on a pris la peine de lui envoyer. Cette nuance décide de tout ce qui est détectable.
- Ce qu'il détecte bien : ce qui est anormal par nature, ce qui est déjà connu, et surtout ce qui trahit une progression - c'est là, et pas à l'entrée, que la détection accroche.
- L'intuition est fausse : l'entrée initiale ressemble à une activité légitime, parce que c'en est une. L'attaquant utilise vos propres accès. Ce qui se détecte, c'est le comportement qui ne ressemble plus à celui de l'utilisateur dont il a pris la place.
- Quatre angles morts structurels : ce qui n'envoie aucun journal, ce qui est techniquement légitime (un export de base autorisé), ce qui est trop lent pour déclencher une règle, et ce qui se passe chez un prestataire.
- Le malentendu le plus coûteux : détecter n'est pas répondre. Beaucoup de contrats n'incluent pas les gestes d'isolement, ou seulement sur un périmètre restreint.
- Les questions à poser avant de signer valent mieux qu'une comparaison de tarifs : qui isole une machine à 3 h du matin sans rappeler personne, que se passe-t-il si personne ne répond chez vous, le délai porte-t-il sur la détection, la qualification ou l'action ?
- Le vrai indicateur de qualité n'est pas le nombre d'alertes, c'est le nombre d'alertes ayant donné lieu à une action. Un SOC qui vous réveille trois fois par an, à raison, vaut mieux qu'un qui vous notifie tous les jours.
Ce que le SOC voit vraiment
Un SOC ne voit pas « votre système ». Il voit les traces que votre système accepte de produire, et qu'on a pris la peine de lui envoyer. La nuance est tout sauf théorique : elle décide de ce qui est détectable.
Sur ce périmètre-là, la détection est bonne, et elle est même très bonne sur une famille précise de signaux :
- Ce qui est anormal par nature. Une connexion administrateur depuis un pays où vous n'avez personne, à 3 h du matin. Un compte qui échoue quarante fois puis réussit. Un poste qui se met à parler à mille machines internes en dix minutes.
- Ce qui est déjà connu. Une empreinte de rançongiciel répertoriée, une adresse serveur associée à un groupe criminel, un outil d'attaque public. C'est le travail que la veille alimente en continu.
- Ce qui trahit une progression. Un attaquant qui a réussi son entrée doit ensuite explorer, élever ses privilèges, se déplacer. Chacune de ces étapes laisse des traces caractéristiques - c'est souvent là, et pas à l'entrée, que la détection accroche.
La détection utile n'est pas celle de l'entrée
L'intuition dit qu'un bon SOC arrête l'attaquant à la porte. En pratique, l'entrée initiale - un identifiant valide volé, une pièce jointe ouverte - ressemble beaucoup à une activité légitime, parce que c'en est une : l'attaquant utilise vos propres accès. Ce qui se détecte, c'est la suite : le comportement qui ne ressemble plus à celui de l'utilisateur dont on a pris la place. D'où l'importance du délai entre l'entrée et l'action - c'est la fenêtre dans laquelle le SOC travaille.
Les quatre angles morts, en clair
Ils ne relèvent pas de la qualité du prestataire. Ils sont structurels, et il vaut mieux les connaître avant de signer.
- Ce qui n'envoie rien. Le serveur hors inventaire, l'application SaaS souscrite par un service sans passer par la DSI, l'équipement dont les journaux n'ont jamais été branchés. Le SOC ne peut pas manquer une alerte sur ces systèmes : il n'en reçoit aucune. C'est l'angle mort le plus fréquent, et il ne se voit pas - le tableau de bord reste vert.
- Ce qui est techniquement légitime. Un administrateur qui exporte une base entière fait exactement ce que son compte l'autorise à faire. Aucune règle technique ne distingue une sauvegarde d'une exfiltration : la différence est dans l'intention, pas dans les journaux. Ce cas se traite par le contrôle d'accès et la séparation des rôles, pas par la surveillance.
- Ce qui est trop lent. La détection cherche l'anormal dans une fenêtre de temps. Un attaquant patient, qui avance de quelques pas par semaine, reste sous le seuil de chaque règle prise isolément.
- Ce qui se passe chez un autre. Si votre prestataire de paie est compromis, vos journaux ne montreront rien - jusqu'à ce que quelque chose arrive par ce canal de confiance. Ce risque se traite au contrat et à l'évaluation des tiers.
Le point qu'on découvre trop tard : détecter n'est pas répondre
C'est le malentendu le plus coûteux. Un SOC qualifie un incident et vous prévient. Ensuite, quelqu'un doit agir : isoler une machine, couper un accès, réinitialiser des comptes, décider d'arrêter une application de production. Ces gestes ont des conséquences métier, et beaucoup de contrats de surveillance ne les incluent pas - ou seulement sur un périmètre restreint.
D'où les questions à poser avant de signer, qui valent mieux qu'une comparaison de tarifs :
- Qui a le droit d'isoler une machine à 3 h du matin, sans rappeler personne ? Si la réponse est « on vous appelle », qui décroche ?
- Que se passe-t-il si personne ne répond de votre côté ? Une alerte non traitée est une alerte non traitée, quel que soit son niveau de gravité.
- Le délai annoncé porte-t-il sur la détection, sur la qualification, ou sur l'action ? Ce sont trois engagements très différents.
- Que couvre exactement le périmètre ? Demandez la liste des sources de journaux prévues - c'est la définition concrète de ce qui sera visible.
Le vrai indicateur de qualité
Ce n'est pas le nombre d'alertes remontées. Un SOC qui vous envoie deux cents alertes par semaine ne vous protège pas, il vous épuise : au bout d'un mois, plus personne ne les lit, et la vraie passe avec les autres. Regardez plutôt le nombre d'alertes qui ont donné lieu à une action, et le délai entre la détection et cette action. Un SOC qui vous réveille trois fois par an, à raison, vaut mieux que celui qui vous notifie tous les jours.
Ce qu'il faut avoir en place avant
Un SOC branché sur un système qu'on ne connaît pas produit une illusion de couverture. Trois préalables :
- Un inventaire à jour de ce qui est exposé - sinon vous ne saurez pas ce qui n'est pas surveillé.
- Une liste de contacts qui fonctionne la nuit et le week-end, avec un remplaçant.
- Des décisions prises à froid : a-t-on le droit de couper cette application sans accord de la direction ? Cette question se tranche avant l'incident, jamais pendant.
Un SOC managé est un excellent investissement quand on sait ce qu'on lui confie. C'est une dépense décevante quand on attend de lui qu'il compense l'absence d'inventaire, de contrôle d'accès et de décisions.
Une surveillance qui sert
Kenawek exploite un SOC managé et vous aide à définir le périmètre, les sources de journaux et les gestes autorisés - pour que les alertes déclenchent des actions, pas des courriels. Parlons-en.