Opérations Blue Team : Surveillance SOC, SIEM & Règles Sigma

Dans une organisation moderne, la Blue Team assure la défense en continu des systèmes. Le centre névralgique de cette mission est le SOC (Security Operations Center), appuyé par un SIEM (Security Information and Event Management) qui centralise, normalise et corrèle des millions d'événements réseau et système par seconde.

---

1. La Pyramide de Détection du SOC

`` [ ALERTES PRIORITAIRES (L3 / Incident Response) ] / \ / \ [ RÈGLES DE CORRÉLATION SIEM (L2 / Threat Hunting) ] / \ / \ [ FILTRAGE & TRIAGE DES ÉVÉNEMENTS (L1 / Automatisation) ] / \ / \ [ LOGS BRUTS : Firewalls, Syslog Linux, Windows EVTX, EDR, Cloudtrail, DNS, Web Nginx ] `

Les Niveaux d'Analyse au sein d'un SOC :

* Niveau 1 (Triage & Qualification) : Surveillance de la console d'alertes en temps réel, qualification des faux positifs, escalade vers le N2. Niveau 2 (Investigation Approfondie) : Corrélation des sources, extraction d'artéfacts (IoC - Indicators of Compromise*), écriture de nouvelles règles de détection. * Niveau 3 (Chasse aux Menaces & Incident Response) : Threat Hunting proactif, analyse de malwares et pilotage de crise lors d'une cyberattaque avérée.

---

2. Le Standard des Règles Sigma pour la Détection

Tout comme les règles Yara standardisent la détection de fichiers malveillants, les règles Sigma constituent le standard ouvert et universel pour décrire des requêtes de détection de comportements suspects sur les flux de journaux (indépendamment du SIEM utilisé : Splunk, Elastic, QRadar ou Microsoft Sentinel) :

`yaml title: Détection d'Attaque par Empoisonnement ARP id: 5b4c102b-9273-455b-a621-raylab001 status: production description: Détecte les messages de conflit d'adresses MAC signalant une attaque MITM sur le réseau local. references: - https://raylab.tech/cyberpath author: RayLab Blue Team Academy logsource: category: network_security product: linux service: syslog detection: selection: message|contains: - "mac address changed" - "duplicate IP address" - "kernel: arp: table full" condition: selection level: high tags: - attack.credential_access - attack.t1557.002 # MITRE ATT&CK : Adversary-in-the-Middle ARP Cache Poisoning `

---

3. Le Moniteur d'Intégrité de Fichiers (File Integrity Monitoring - FIM)

Un composant clé de la défense d'hôte (HIDS) consiste à surveiller l'intégrité cryptographique des fichiers critiques du système d'exploitation.

`python import hashlib from pathlib import Path

def generer_base_de_reference(dossier: Path) -> dict[str, str]: """Calcule et enregistre la signature SHA-256 de chaque fichier d'un dossier sensible.""" base = {} for fichier in dossier.rglob("*"): if fichier.is_file(): hasher = hashlib.sha256() with open(fichier, "rb") as f: while chunk := f.read(65536): hasher.update(chunk) base[str(fichier)] = hasher.hexdigest() return base

def auditer_integrite(base_reference: dict[str, str]) -> list[str]: """Compare l'état actuel avec la base de référence pour lever une alerte immédiate.""" anomalies = [] for chemin_str, hash_attendu in base_reference.items(): p = Path(chemin_str) if not p.exists(): anomalies.append(f"[FICHIER SUPPRIMÉ] : {chemin_str}") continue hasher = hashlib.sha256() with open(p, "rb") as f: while chunk := f.read(65536): hasher.update(chunk) if hasher.hexdigest() != hash_attendu: anomalies.append(f"[FICHIER ALTÉRÉ] : {chemin_str} (Hash modifié !)") return anomalies ``