Que fait un analyste SOC ?

La réponse directe

Un analyste SOC surveille les réseaux et systèmes d'une organisation pour détecter les alertes de sécurité, vérifie si chaque alerte représente une menace réelle ou un faux positif, puis la ferme ou l'escalade pour une investigation et une réaction plus approfondies. C'est un rôle défensif (équipe bleue) centré sur les logs, les alertes et une file de tickets - pas l'image hollywoodienne des scènes de piratage avec tapotement rapide au clavier.

La majorité du temps d'un analyste SOC est consacrée au triage : un outil Security Information and Event Management (un SIEM - voir mon guide SIEM pour débutants) signale quelque chose d'inhabituel, et l'analyste détermine si c'est un serveur mal configuré, un clic sur un phishing qui n'a rien donné, ou une véritable compromission qui nécessite une escalade immédiate.

Les trois niveaux et ce qui change à chaque niveau

Niveau	Domaine	Tâches typiques	Escalade vers
Niveau 1	Triage des alertes	Examen des alertes SIEM, fermeture des faux positifs, documentation des tickets, suivi des runbooks	Niveau 2 pour tout ce qui est ambigu ou confirmé
Niveau 2	Investigation	Corrélation approfondie des logs, analyse basique de malwares, confirmation et délimitation des incidents	Niveau 3 / équipe de réaction aux incidents pour les incidents majeurs
Niveau 3	Recherche de menaces et réaction	Recherche proactive de menaces non détectées par les règles existantes, pilotage de la réaction aux incidents, ajustement des règles de détection	Travaille avec la direction/les services juridiques sur les brèches majeures

La plupart des gens qui lisent ceci visent le Niveau 1 - c'est le point d'entrée standard, et mon guide sur comment devenir analyste SOC explique comment y arriver.

Un quart de travail typique, tâche par tâche

1. Briefing de début de quart - vérifier ce que l'équipe précédente a signalé ou laissé en attente.
2. Parcourir la file d'attente des alertes SIEM, en fonction de la gravité.
3. Enquêter sur chaque alerte : vérifier l'adresse IP source, le compte utilisateur concerné, si le comportement correspond à un schéma connu.
4. Fermer les faux positifs avec une raison documentée (cette documentation importe plus que les nouveaux analystes ne l'imaginent - c'est ce qui est audité).
5. Escalader les incidents réels ou ambigus au Niveau 2 avec vos conclusions jusqu'à présent.
6. Mettre à jour les tickets, exécuter les contrôles planifiés (statut des correctifs, rapports de connexion échouée), gérer les demandes ad hoc d'autres équipes.
7. Briefing de fin de quart à l'analyste suivant.

Si l'équipe assure une couverture 24/7, cela se répète sur les quarts jour, soir et nuit selon une rotation - c'est bon à vérifier lors de l'entretien si les horaires vous importent.

Ce que je dis à mes étudiants

La plus grande idée fausse que je dois corriger constamment : les gens s'attendent à ce que le travail au SOC ressemble au côté offensif de la sécurité - « chasser activement les hackers ». Le travail au Niveau 1 est plus proche d'être une infirmière de triage très bien informée. La plupart des alertes sont du bruit. Votre travail consiste à savoir lesquelles ne le sont pas, et cette compétence se construit par la répétition et la reconnaissance de schémas, pas par la brillance technique brute. Si vous trouvez le travail répétitif et détaillé ennuyeux, soyez honnête avec vous-même à ce sujet avant de vous engager - c'est plus important pour la satisfaction professionnelle que la plupart des guides d'étude ne l'admettent.

L'autre côté de la médaille : cette répétition est exactement comment vous apprenez vite. Six mois de triage des alertes au Niveau 1 vous enseignent plus sur le fonctionnement réel des réseaux qu'une année de cours d'autoformation, parce que vous voyez le vrai trafic, les vraies mal-configurations, et les vrais incidents (bien que rares).

Je dis aussi aux étudiants de ne pas sous-estimer la part importante que représente la rédaction dans ce métier. Des notes d'incident claires et concises sont une compétence en soi, et une énorme partie de votre réputation dans une équipe SOC vient de la qualité de votre documentation sur ce que vous avez trouvé, pas seulement si vous l'avez trouvé.

Outils que vous utiliserez généralement

• Plateformes SIEM - Splunk, Microsoft Sentinel, QRadar, ou des options open-source comme Wazuh.
• Systèmes de ticketing - ServiceNow, Jira, ou similaire, pour le suivi et l'escalade des incidents.
• Outils EDR - logiciel endpoint detection and response (CrowdStrike, Defender for Endpoint, SentinelOne) pour enquêter sur les machines individuelles.
• Flux de threat intelligence - pour vérifier si une adresse IP ou un hash de fichier est déjà connu comme malveillant.

Si vous hésitez sur l'adéquation de cette carrière avant d'investir du temps et de l'argent, réservez une leçon d'essai et nous pouvons discuter de ce qu'une semaine réaliste ressemble vraiment en fonction de votre parcours.

FAQ

Le métier d'analyste SOC est-il stressant ?

Cela peut l'être, notamment lors d'un véritable incident ou d'un quart particulièrement chargé, mais au quotidien, c'est du travail régulier et processuel plutôt qu'une crise constante. Les horaires décalés (y compris les nuits, chez certains employeurs) sont souvent une source de stress plus importante que le contenu technique lui-même.

Les analystes SOC écrivent-ils du code ?

Pas habituellement au Niveau 1. Les scripts basiques (Python, PowerShell) deviennent utiles au Niveau 2 et au-delà pour automatiser les tâches d'investigation répétitives, mais ce n'est pas une exigence du premier jour.

Quelle est la différence entre un analyste SOC et un testeur de pénétration ?

Un analyste SOC défend et surveille ; un testeur de pénétration attaque les systèmes avec permission pour trouver les faiblesses en premier. Comparaison complète dans équipe bleue vs équipe rouge.

Comment savoir si le travail au SOC est fait pour moi ?

Si vous aimez le travail d'investigation structuré et méthodique et ne vous dérangez pas de répéter les tâches pour vous améliorer en reconnaissance de schémas, c'est un bon point d'entrée. Si vous êtes attiré par la sécurité uniquement pour le contenu offensif/piratage que vous avez vu en ligne, il vaut la peine de comprendre la réalité quotidienne d'abord - ce qui est exactement ce que cet article vous propose.