Que surveille un SOC managé ?

Un SOC managé surveille les événements de sécurité de votre système d’information : l’activité des postes et serveurs remontée par l’EDR, les connexions et la messagerie Microsoft 365, les journaux des pare-feux et des accès distants. Il travaille sur ces traces, et non sur le contenu de vos fichiers ou de vos e-mails, pour y chercher les signes d’une attaque en cours.

Cet article fait partie de notre série sur le SOC managé. Pour le principe général, voir SOC pour MSP : qu’est-ce que c’est et comment ça fonctionne ?.

Les quatre grandes familles de sources

Source	Ce qui remonte au SOC	Exemples d’attaques détectées
Postes et serveurs (EDR)	Processus lancés, connexions réseau, modifications de fichiers et du registre	Rançongiciel, outil d’attaque, vol d’identifiants en mémoire
Identités (Entra ID, Active Directory)	Connexions, échecs, changements de droits, création de comptes	Connexion depuis un pays inhabituel, élévation de privilèges
Messagerie et collaboratif (Microsoft 365, Google Workspace)	Règles de messagerie, partages, consentements d’applications	Compromission de messagerie, fraude au virement
Réseau (pare-feux, VPN)	Connexions entrantes et sortantes, accès distants	Exploitation d’un VPN, communication avec un serveur malveillant

Les postes et serveurs : l’EDR

L’EDR (Endpoint Detection and Response) installé sur les postes et serveurs est la source la plus riche. Il enregistre ce qui se passe sur chaque machine et permet d’agir à distance, par exemple pour isoler un poste compromis. C’est pourquoi un SOC managé s’appuie presque toujours sur un EDR. Voir Faut-il un EDR pour avoir un SOC managé ?.

Chez Cyna, l’intégration native se fait avec les EDR SentinelOne et Microsoft Defender.

Les identités et la messagerie

Une grande partie des attaques commence par un compte compromis, souvent après un hameçonnage. Le SOC surveille donc les connexions (lieu, appareil, échecs répétés), les changements de droits et, dans la messagerie, les signaux typiques d’une compromission : règle de transfert automatique vers une adresse externe, consentement accordé à une application inconnue, partage massif de fichiers. Voir Un SOC managé surveille-t-il Microsoft 365 ?.

Le réseau

Les journaux des pare-feux et des VPN montrent qui entre dans le réseau et avec quoi il communique. Ils permettent de repérer l’exploitation d’un équipement exposé sur internet ou des échanges avec une infrastructure d’attaquant. Chez Cyna, des connecteurs sont prêts notamment pour les pare-feux Stormshield et Fortinet.

Ce que le SOC cherche

Le SOC ne réagit pas à chaque événement : il cherche des enchaînements suspects. Quelques exemples typiques :

• une connexion réussie depuis l’étranger juste après une série d’échecs ;
• un compte qui crée une règle de transfert de messagerie puis envoie des messages internes inhabituels ;
• un poste qui lance un outil d’administration à distance puis tente de se connecter à d’autres machines ;
• une désactivation de l’antivirus suivie d’un chiffrement massif de fichiers.

Ce sont souvent des signaux faibles, invisibles pour un outil isolé. Nous en avons détaillé trois dans Les 3 signaux faibles qu’un EDR ne voit pas sans SOC.

Par où commencer

Pour la plupart des PME, un ordre raisonnable est l’EDR sur tous les postes et serveurs, puis Microsoft 365 ou Google Workspace, puis les pare-feux et le VPN. Chaque nouvelle source mérite une vérification que ses journaux arrivent bien et sont complets, ainsi qu’une revue des règles de détection qui l’exploitent.

Ce qu’un SOC managé ne surveille pas

• Le contenu des fichiers et des messages. Le SOC exploite des journaux d’activité, pas les données métier.
• La productivité des salariés. Ce n’est pas un outil de contrôle de l’activité.
• La disponibilité des systèmes. Savoir si un serveur est en panne relève de la supervision informatique, pas du SOC. Voir SOC ou NOC : quelle différence ?.

La conservation des journaux

Pour enquêter sur une attaque, il faut pouvoir remonter dans le temps. La durée de conservation dépend du contrat du SOC, mais aussi des sources elles-mêmes : Microsoft indique par exemple conserver par défaut 180 jours d’enregistrements d’audit pour la plupart des activités Microsoft 365, sauf licence ou politique spécifique. L’ANSSI recommande de définir une politique de journalisation qui précise les événements collectés et leur durée de conservation.

Faire le point avec un expert

Vous voulez savoir quelles sources raccorder en priorité pour vos clients ? Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur. Sinon, contactez-nous.

Questions fréquentes

Un SOC managé lit-il les e-mails des salariés ?

Un SOC managé exploite en général les journaux d'activité (connexions, règles de messagerie, partages, consentements d'applications) plutôt que le contenu des messages. Le périmètre exact est décrit dans le contrat.

Faut-il raccorder toutes les sources dès le départ ?

Non. On commence en général par l'EDR et Microsoft 365, qui couvrent l'essentiel des scénarios d'attaque, puis on ajoute les pare-feux et les autres sources selon les besoins.

Les équipements industriels ou les objets connectés sont-ils surveillés ?

Rarement dans une offre standard. Ils demandent des sondes et des compétences spécifiques. Si votre activité en dépend, posez la question explicitement.

Combien de temps les journaux sont-ils conservés ?

Cela dépend du contrat du SOC, mais aussi de vos licences : par exemple, Microsoft conserve par défaut 180 jours d'audit pour la plupart des activités Microsoft 365. Une conservation plus longue facilite les enquêtes.