SOC ou NOC : quelle différence ?
SOC ou NOC : le NOC surveille la disponibilité et la performance du système d'information, le SOC surveille les attaques. Rôles, outils et complémentarité.
Un NOC (Network Operations Center) surveille la disponibilité et la performance du système d’information : un serveur qui tombe, un lien saturé, un disque plein. Un SOC (Security Operations Center) surveille la sécurité : il cherche les signes d’une attaque et aide à y répondre. Le premier veille à ce que tout fonctionne, le second à ce que personne n’entre sans y être invité.
Cet article fait partie de notre série sur le SOC managé. Pour le principe général, voir SOC pour MSP : qu’est-ce que c’est et comment ça fonctionne ?.
Les différences en un tableau
| NOC | SOC | |
|---|---|---|
| Question posée | Est-ce que ça marche ? | Est-ce qu’on nous attaque ? |
| Adversaire | Pannes, erreurs, saturation | Attaquants humains, logiciels malveillants |
| Sources | Sondes de disponibilité, métriques, état des équipements | EDR, journaux de connexion et d’audit, pare-feux |
| Outils | Supervision, gestion à distance (RMM) | Plateforme de détection, EDR, renseignement sur les menaces |
| Indicateurs | Disponibilité, temps de rétablissement | Délai de détection, délai de confinement |
| Compétences | Réseau, systèmes, exploitation | Analyse d’attaques, investigation, réponse à incident |
| Réaction type | Redémarrer, réparer, rétablir | Isoler, bloquer, enquêter, éradiquer |
Pourquoi on les confond
Les deux font de la « surveillance 24/7 » et s’appuient sur des consoles d’alertes. Beaucoup d’infogérants ont déjà une supervision de type NOC, avec un outil de gestion à distance. Il est tentant de penser que cela couvre aussi la sécurité.
Or un attaquant fait tout pour ne pas provoquer de panne : il se connecte avec des identifiants valides, utilise des outils d’administration légitimes, se déplace discrètement. Rien de tout cela ne déclenche une alerte de disponibilité. Il faut des sources et des compétences différentes pour le voir. Voir Que surveille un SOC managé ?.
Pourquoi ils sont complémentaires
- Une panne peut cacher une attaque. Un serveur qui ralentit brutalement peut être en train de chiffrer ses fichiers.
- Une mesure de sécurité a un impact sur l’exploitation. Isoler un serveur compromis le rend indisponible : le NOC doit le savoir.
- La remise en service après une attaque mobilise les équipes d’exploitation, guidées par les équipes de sécurité.
Les procédures doivent donc prévoir comment les deux se parlent. Voir SOC managé et infogérant : qui fait quoi ?.
Un NOC peut-il devenir un SOC ?
Pas simplement en ajoutant des alertes de sécurité à l’outil de supervision. Un SOC suppose des analystes formés aux modes opératoires des attaquants, des sources spécifiques (EDR, journaux d’identité), des règles de détection maintenues dans le temps et une capacité d’investigation. Pour la plupart des infogérants, s’appuyer sur un SOC managé partenaire est plus réaliste que transformer leur équipe d’exploitation. Voir Qu’est-ce qu’un SOC managé ?.
Pour aller plus loin sur l’organisation interne d’un SOC, voir Les rôles et responsabilités clés dans un SOC.
Exemple : une même nuit vue par le NOC et par le SOC
À 2 heures du matin, un attaquant se connecte au VPN d’une entreprise avec les identifiants d’un salarié, volés la semaine précédente.
- Côté NOC, tout est vert : le VPN fonctionne, les serveurs répondent, aucune saturation. Rien ne déclenche d’alerte.
- Côté SOC, plusieurs signaux s’allument : une connexion à une heure inhabituelle, depuis un pays où le salarié n’a jamais travaillé, suivie de l’exécution d’un outil d’inventaire du réseau sur un serveur.
L’analyste du SOC qualifie l’incident, isole le serveur via l’EDR et désactive le compte. Le lendemain matin, le NOC constate que le serveur est isolé : c’est l’information qu’il doit recevoir pour ne pas le « réparer » trop tôt. Les deux équipes ont regardé la même nuit, avec des yeux différents.
Et pour une petite entreprise ?
La plupart des petites entreprises bénéficient déjà d’une supervision de type NOC dans le cadre de leur contrat d’infogérance. Ce qui leur manque en général, c’est une surveillance de sécurité en dehors des heures de bureau. C’est précisément ce que comble un SOC managé, sans que l’entreprise ait à construire quoi que ce soit elle-même.
Faire le point avec un expert
Vous avez déjà une supervision et vous voulez y ajouter une vraie surveillance de sécurité ? Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur. Sinon, contactez-nous.
Questions fréquentes
Mon outil de supervision (RMM) fait-il office de SOC ?
Non. Un outil de gestion à distance ou de supervision remonte des alertes de disponibilité et d'état des machines. Il ne recoupe pas les signaux d'attaque et personne ne les qualifie en continu comme dans un SOC.
Le SOC et le NOC doivent-ils communiquer ?
Oui. Une panne peut être le symptôme d'une attaque, et une action de sécurité (isoler un serveur) a un impact sur la disponibilité. Les procédures doivent prévoir qui prévient qui.
Cet article fournit des informations générales à titre indicatif. Il ne constitue ni un conseil juridique, ni un engagement contractuel de Cyna : les conditions de service sont celles du contrat conclu via votre infogérant partenaire. Pour toute question réglementaire, rapprochez-vous de votre conseil juridique.