Detection engineering
Collecter des logs ne veut pas dire détecter les attaques. Je construis et j’ajuste les détections qui font de votre SIEM un outil qui vous prévient à temps, sans noyer votre équipe sous le bruit.
Quand c’est utile
- Vous avez un SIEM, mais il lève rarement une alerte utile
- Votre équipe ignore les alertes parce qu’il y a trop de faux positifs
- Après un incident, pour être sûr de voir la même attaque la prochaine fois
- Vous passez à Microsoft Sentinel, Splunk ou ELK et voulez partir sur de bonnes bases
- Vous ne savez pas quelles techniques d’attaque vous détectez vraiment
Ma façon de travailler
- 01
Revue de la visibilité
Les sources de logs collectées, celles qui manquent, et si les événements importants sont vraiment là.
- 02
Priorités
Nous choisissons les techniques les plus importantes pour votre environnement et vos menaces, mappées sur MITRE ATT&CK.
- 03
Construction et tests
Des règles écrites pour votre plateforme, testées avec une activité d’attaque simulée, par exemple avec Atomic Red Team.
- 04
Tuning
Les faux positifs réduits avec votre équipe, pour que chaque alerte mérite qu’on s’y arrête.
- 05
Passation
Chaque détection documentée avec ses étapes de triage, pour que vos analystes sachent quoi faire quand elle se déclenche.
Ce que vous obtenez
- Des règles de détection prêtes à déployer sur votre SIEM (requêtes KQL, SPL ou ELK)
- Une carte de couverture des techniques MITRE ATT&CK que vous détectez désormais
- La liste des angles morts et des sources de logs à ajouter
- Des notes de triage pour chaque détection
Pourquoi Cyber Horizon
- Des détections écrites par quelqu’un qui investigue de vraies attaques : je sais ce que les attaquants laissent derrière eux
- GIAC Certified Detection Analyst (GCDA) et Intrusion Analyst (GCIA)
- Expérience avec Microsoft Sentinel, Splunk et ELK
- Les résultats du threat hunting transformés en nouvelles détections
Questions fréquentes
Avec quel SIEM travaillez-vous ?
Principalement Microsoft Sentinel, Splunk et ELK. Pour d’autres plateformes, la logique reste la même et nous adaptons le langage de requête.
Vous remplacez notre SOC ou notre prestataire MDR ?
Non. Je construis et j’améliore les détections ; votre SOC, votre prestataire MDR ou votre équipe IT continue de traiter les alertes.
Combien de détections faut-il prévoir ?
Cela dépend de vos logs et de vos priorités. Je préfère une liste courte de détections fiables et testées à des centaines de règles que personne ne regarde.
Pouvez-vous partir de nos règles existantes ?
Oui. Revoir et ajuster ce que vous avez déjà est souvent le gain le plus rapide.