Analyste SOC Confirmé N2/N3 - Cloud & Threat Hunting

Contexte

L'équipe de Détection et Réponse aux Incidents de Sécurité (SOC/CERT) souhaite renforcer ses capacités d'investigation et de détection avancée face à l'évolution des menaces, notamment dans les environnements Cloud.

Nous recherchons un profil expérimenté capable de mener des investigations complexes, d'identifier de manière proactive les activités malveillantes et de contribuer activement à l'amélioration continue des capacités de détection et de réponse de l'équipe.

Au-delà du traitement des incidents, nous recherchons un professionnel passionné par la cybersécurité, curieux, autonome et force de proposition, capable d'initier des actions de hunting, d'améliorer les cas d'usage de détection et de faire progresser en permanence les capacités du SOC.

Missions principales

Détection et réponse aux incidents

• Assurer la qualification, l'analyse et le traitement des incidents de sécurité de niveau 2 et 3.

• Réaliser les investigations techniques approfondies permettant d'identifier la cause, l'étendue et l'impact d'un incident.

• Piloter ou contribuer aux actions de confinement, d'éradication et de remédiation.

• Produire les rapports d'investigation et les retours d'expérience associés.

• Participer aux exercices de gestion de crise cyber et aux investigations post-incident.

Investigation Cloud

• Réaliser les analyses de compromission dans les environnements AWS, Azure et GCP.

• Exploiter les journaux de sécurité cloud pour identifier les comportements anormaux ou malveillants.

• Investiguer les compromissions de comptes, les abus de privilèges, les mouvements latéraux et les exfiltrations de données.

• Participer à l'amélioration de la visibilité, de la journalisation et de la détection dans les environnements cloud.

Threat Hunting

• Concevoir et exécuter des campagnes de Threat Hunting basées sur les renseignements de menace, les TTP MITRE ATT&CK et les hypothèses de compromission.

• Identifier de manière proactive les activités malveillantes non détectées par les mécanismes existants.

• Formaliser et partager les résultats des campagnes de hunting.

• Transformer les découvertes issues du hunting en nouveaux cas de détection, règles SIEM ou automatisations SOAR.

Amélioration continue

• Évaluer en permanence l'efficacité des mécanismes de détection.

• Proposer et mettre en œuvre de nouveaux cas d'usage de détection.

• Participer à l'enrichissement des fiches réflexe d'investigation et de réponse.

• Accompagner la montée en compétences de l'équipe SOC.

• Réaliser une veille active sur les nouvelles menaces, les techniques d'attaque et les méthodes de détection.

Compétences techniques requises

Investigation et réponse à incident

• Analyse forensique et investigation de sécurité.

• Méthodologies de réponse à incident.

• Analyse de logs et corrélation d'événements.

• Connaissance du framework MITRE ATT&CK.

• Connaissance des cyber kill chains et TTP adverses.

Cloud Security

Expérience confirmée sur au moins deux des plateformes suivantes :

• Microsoft Azure

• Amazon Web Services (AWS)

• Google Cloud Platform (GCP)

Compétences recherchées :

• Azure Activity Logs, Entra ID, Defender for Cloud.

• AWS CloudTrail, GuardDuty, IAM, Security Hub.

• Google Cloud Audit Logs, Cloud IAM, Security Command Center.

• Investigation d'incidents en environnement cloud.

• Analyse des risques liés aux identités, privilèges et configurations cloud.

Outils SOC

• SIEM : Splunk (obligatoire)

• SOAR

• EDR : Microsoft Defender for Endpoint, CrowdStrike

• ServiceNow

• Outils CTI et plateformes de Threat Intelligence

Scripting

Capacité à développer ou adapter des scripts :

• Python

• PowerShell

• KQL

• SPL Splunk

Profil recherché

Expérience

• Minimum 5 ans d'expérience en SOC, CERT ou CSIRT.

• Expérience démontrée d'investigation complexe.

• Expérience significative sur des incidents de sécurité impliquant des environnements cloud.

Qualités attendues

Nous ne recherchons pas un simple analyste en traitement de tickets.

Le prestataire devra :

• Être autonome et force de proposition.

• Faire preuve d'une forte curiosité technique.

• Être capable d'identifier lui-même des pistes d'amélioration.

• Démontrer une réelle appétence pour le Threat Hunting.

• Être proactif lorsqu'aucun incident n'est en cours de traitement.

• Chercher en permanence à améliorer la qualité de la détection et de la réponse.

• Contribuer activement à la montée en maturité du SOC.

• Posséder un excellent esprit d'analyse et de synthèse.

Critères différenciants

Les candidatures disposant des compétences suivantes seront particulièrement appréciées :

• Expérience CERT ou CSIRT.

• Réalisation régulière de campagnes de Threat Hunting.

• Création de règles de détection avancées.

• Maîtrise de MITRE ATT&CK.

• Connaissances Purple Team.

• Certifications telles que : 

o GCFA

o GCIH

o GCIA

o SC-200

o AZ-500

o AWS Security Specialty

o CCD

o CARTP/CRTP

Le prestataire est attendu sur une contribution proactive à l'amélioration des capacités de détection et d'investigation du SOC. En l'absence d'incident en cours de traitement, il consacrera son activité au threat hunting, à l'amélioration des cas d'usage de détection, à la veille opérationnelle et à l'identification d'opportunités d'amélioration continue.