SOC (Security Operations Center)

Un SOC (Security Operations Center) est une fonction organisationnelle (et souvent un lieu physique ou virtuel) dédiée à la surveillance, détection, analyse et réponse aux incidents de cybersécurité, généralement 24h/24 et 7j/7. Le SOC est le centre nerveux de la défense d'une organisation contre les cybermenaces.

Les équipes SOC sont organisées en niveaux : Tier 1 (analystes en première ligne, triage des alertes), Tier 2 (investigation approfondie, threat hunting léger), Tier 3 (incident response avancée, forensics, threat hunting proactif). S'y ajoutent les ingénieurs SOC (configuration des outils), threat intelligence analysts, et le SOC Manager.

Les outils typiques du SOC : SIEM (Splunk, Sentinel), SOAR (Phantom, XSOAR), EDR (CrowdStrike, SentinelOne, Defender for Endpoint), TIP (Threat Intelligence Platform), case management (TheHive). Les certifications recherchées : SC-200, CySA+, GCIH, CISSP, CCFA. Les SOC peuvent être internes (in-house), externalisés (MSSP), ou hybrides (Co-Managed).