On peut remplacer Splunk par Elastic ou CrowdStrike par Defender sans rien casser. Sauter une étape de la boucle casse tout.
Un SOC n’est pas une pile d’outils, c’est une boucle : voir, détecter, comprendre, agir, apprendre. Deux slides pour la faire tourner en atelier.
Voir, c’est le SIEM qui centralise les journaux, les sondes réseau qui écoutent le trafic et l’EDR qui observe chaque poste. Détecter, c’est y appliquer des règles et du renseignement sur la menace pour transformer un flux brut en alertes qui valent le coup d’œil. Comprendre, c’est l’investigation : répondre à la seule question qui compte, que s’est-il vraiment passé. Agir, c’est piloter l’incident et automatiser les gestes répétitifs. Apprendre, enfin, c’est fermer la porte par laquelle l’attaquant est entré, puis nourrir la visibilité du tour suivant.
Pour une PME, l’enjeu n’est pas d’acheter vingt-six briques mais d’avoir au moins une brique par étape, correctement reliée aux autres. La plupart des outils cités sont libres ou déjà inclus dans des licences existantes. Ce qui manque, en général, ce n’est pas le budget : c’est quelqu’un qui tient la boucle.