Que se passe-t-il quand un SOC managé détecte une attaque ?

Quand un SOC managé détecte une attaque, un analyste qualifie d’abord l’alerte pour confirmer qu’il s’agit d’un vrai incident. Le SOC applique ensuite les premières mesures de confinement autorisées, comme isoler un poste ou bloquer un compte, et prévient l’infogérant ou le client selon la procédure convenue. Si l’attaque est sérieuse, une équipe de réponse à incident prend le relais.

Cet article fait partie de notre série sur le SOC managé. Pour le principe général, voir SOC pour MSP : qu’est-ce que c’est et comment ça fonctionne ?.

Étape 1 : la détection

Une règle ou une analyse comportementale déclenche une alerte : un processus suspect sur un poste, une connexion anormale à Microsoft 365, une règle de transfert de messagerie inhabituelle. À ce stade, ce n’est qu’un signal. Voir Que surveille un SOC managé ?.

Étape 2 : la qualification

Un analyste examine l’alerte dans son contexte : l’utilisateur voyage-t-il ? Ce logiciel est-il utilisé habituellement ? D’autres signaux concordent-ils ? Il en conclut :

• faux positif : l’alerte est close et la règle éventuellement ajustée ;
• activité suspecte à confirmer : l’analyste demande une information à l’infogérant ;
• incident confirmé : on passe au confinement.

C’est l’étape qui fait la valeur d’un SOC : sans elle, l’infogérant reçoit des alertes brutes qu’il n’a pas le temps de traiter.

Étape 3 : le confinement

L’objectif est d’arrêter la progression de l’attaquant le plus vite possible. Les actions typiques :

• isoler le poste ou le serveur du réseau via l’EDR ;
• désactiver le compte compromis et révoquer ses sessions ;
• supprimer une règle de messagerie malveillante ;
• bloquer une adresse ou un domaine sur le pare-feu.

Ces actions sont convenues à l’avance avec l’infogérant : certaines sont immédiates, d’autres demandent un accord. Voir SOC managé et infogérant : qui fait quoi ?.

Étape 4 : l’escalade

Le SOC prévient les contacts prévus, avec un message clair : ce qui s’est passé, ce qui a été fait, ce qu’il reste à faire. La procédure fixe qui appeler selon la gravité, y compris la nuit et le week-end.

Étape 5 : la réponse à incident

Pour un incident grave (rançongiciel, compromission étendue), il faut aller plus loin : comprendre comment l’attaquant est entré, ce qu’il a touché, s’il est encore présent, puis reconstruire proprement. C’est le rôle d’une équipe de réponse à incident, souvent appelée CERT. Chez Cyna, la réponse à incident est assurée par son CERT, membre de l’InterCERT France, qui travaille avec les équipes du SOC et peut être mobilisé rapidement. L’astreinte réponse à incident est joignable 24h/24 et 7j/7 depuis la page Déclarer un incident. Voir Que comprend un SOC managé, et qu’est-ce qui n’en fait pas partie ?.

Étape 6 : le rapport et les leçons

L’incident se termine par un rapport : chronologie, cause, impact, mesures prises, recommandations. Il sert à corriger les failles, à informer la direction et, le cas échéant, à préparer les notifications réglementaires. Pour un incident important, l’article 23 de NIS2 prévoit une alerte précoce sous 24 heures, une notification d’incident sous 72 heures et un rapport final sous un mois.

Ce qui conditionne la rapidité de réponse

• Des intégrations qui permettent d’agir : un SOC qui ne peut pas isoler un poste via l’EDR doit attendre que quelqu’un le fasse.
• Une procédure d’escalade à jour : contacts, numéros, droits de décision.
• Des actions pré-autorisées : chaque minute passée à chercher un accord laisse du temps à l’attaquant.

Pour voir ce déroulé en situation réelle, voir notre démonstration des premières minutes d’une cyberattaque.

Faire le point avec un expert

Vous voulez construire ou tester votre procédure d’escalade ? Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur. Sinon, contactez-nous.

Questions fréquentes

Le SOC peut-il agir sans demander l'autorisation ?

Seulement dans le cadre défini au démarrage. On convient à l'avance des actions automatiques ou immédiates (isoler un poste, désactiver un compte) et de celles qui demandent l'accord de l'infogérant ou du client.

Qui est prévenu la nuit ou le week-end ?

Les contacts d'astreinte prévus dans la procédure d'escalade : en général l'infogérant, et un contact du client pour les incidents graves. C'est un point à tester avant d'en avoir besoin.

Le SOC notifie-t-il l'incident à l'ANSSI à ma place ?

Selon l'article 23 de NIS2, la notification est faite par l'entité concernée. Le SOC peut fournir des éléments utiles (chronologie, impact, indicateurs) pour aider à la préparer. Voir Un SOC managé aide-t-il à respecter NIS2 ?.

Combien de temps dure une réponse à incident ?

De quelques heures pour un compte compromis vite contenu, à plusieurs jours ou semaines pour un rançongiciel étendu. La rapidité de détection est ce qui pèse le plus sur cette durée.