L'argument, posé noir sur blanc.
Tout ce site tient en une phrase : ce qui manque à un SOC, ce ne sont pas des données supplémentaires, c'est la décision — quelle alerte compte, sur quel système, avec quel impact métier. Ces essais en déroulent le raisonnement.
Deux règles s'appliquent à tous ces textes. Chaque chiffre est attribué à qui l'a mesuré, source à l'appui. Et nous n'écrivons rien sur Seculogik que nous ne puissions vous montrer sur vos propres alertes.
Lisez celui qui parle de votre semaine.
Chaque texte se lit indépendamment : commencez par l'argument que vous avez à défendre en premier — le backlog du N1, votre vraie couverture de détection, la facture au gigaoctet, ou ce qu'il faut exiger d'un analyste SOC IA avant de lui faire confiance.
Aucun ne part du principe que vous allez remplacer la stack de détection en place, et aucun ne vous demande de croire un chiffre sur parole. Jugez l'argument avant de demander une démo.
SIEM open source : ce qu'il règle, et ce qui reste à votre charge
Un SIEM open source règle la collecte, le stockage et l'exécution des règles. L'ingénierie de détection, la corrélation entre sources, le cycle de vie des dossiers et le reporting, c'est vous qui les construisez.
TriageTriage des alertes : les six étapes, et où partent vraiment les heures
Les six étapes du triage : dédoublonner, regrouper, cadrer, trancher, agir, consigner. Où partent réellement les heures, ce qu'une machine doit prendre en charge, et ce qui exige encore une personne.
VulnérabilitésPrioriser les vulnérabilités : classer par exploitabilité, pas par CVSS
Trier au seul CVSS fait remonter le mauvais travail en premier. Classez le backlog de remédiation par exploitation avérée, usage par les ransomwares, accessibilité réelle de la machine et impact métier.
MSSPCe qu'un MSSP attend d'une plateforme SOC et qu'un SIEM mono-organisation ne donnera pas
Un SOC managé a besoin de quatre choses qu'aucun SIEM mono-organisation ne fournit — une cloison étanche entre ses clients, les alertes non attribuables mises en attente plutôt que devinées, du reporting à sa marque, un tarif qui ne bouge pas quand il signe.
DétectionCouverture MITRE ATT&CK : votre vrai chiffre est plus bas que celui de votre dashboard
Ce que compte réellement un pourcentage de couverture, pourquoi une règle de détection morte reste au vert, et comment auditer le vôtre en une après-midi sans rien acheter.
TarificationLe coût du SIEM au gigaoctet : quand l'unité de facturation décide de ce que vous surveillez
La plupart des SIEM se facturent au gigaoctet, si bien que chaque source de logs à raccorder devient un arbitrage budgétaire — et l'enfermement fournisseur est la peur qui se cache derrière. Ce qu'une licence au déploiement change, et ce qu'elle ne change pas.
CyberdécisionUn SOC produit des décisions. La plupart des outils le traitent encore comme un système de surveillance.
Un centre d'opérations de sécurité existe pour produire des décisions, pas des alertes — un dossier trié, un verdict avec ses preuves, une file qui dit par quoi commencer. Tout outil qui y entre devrait être jugé sur une seule chose : ce qu'il change à la décision suivante, quelle que soit la stack de détection déjà en place.
Fatigue des alertesLa fatigue des alertes est un problème d'arithmétique, pas de moral
Trois chiffres suffisent à savoir si une file d'alertes est tenable — le volume qui arrive, le temps que prend un vrai triage, les heures analystes disponibles. Pourquoi le recrutement et le tuning n'y suffisent ni l'un ni l'autre, et le seul terme qui fait baisser le backlog.
SOC IAAnalyste SOC IA : ce qu'il faut exiger avant de lui faire confiance
Ne confiez le premier tri à un analyste SOC IA que s'il montre les pistes qu'il a écartées, cite des valeurs vérifiables dans vos propres alertes, abaisse ouvertement son niveau de confiance et garde une supervision humaine sur chaque action destructive.
Ce que ça changeComment un petit SOC peut tenir la charge d'un grand
La plupart des SOC tiennent en deux à dix personnes, et tournent quand même en 24/7. Où partent réellement les heures — premier tri N1, escalade, relève, backlog — et ce que The Verdict Layer vous en rend.
IA souveraineUn analyste SOC IA auto-hébergé : le modèle tourne sur vos machines
Un analyste SOC IA qui raisonne sur vos propres machines, sans GPU, sans que rien ne sorte. Où tourne le modèle par défaut, quel masquage s'applique avant le moindre appel cloud, et comment fermer la porte au cloud une bonne fois.
Depuis WazuhNous sommes partis de Wazuh. Voici l'étage que nous avons construit au-dessus.
Pourquoi un agent de détection open source et gratuit était le bon point de départ, ce qu'un agent de détection n'a jamais eu vocation à faire, et comment une couche de décision indépendante de la source transforme Wazuh — ou la stack que vous exploitez déjà — en dossiers qualifiés, avec un responsable, un chemin d'escalade et un verdict expliqué, sans compteur à l'ingestion.
CorrélationPourquoi le moteur de corrélation est notre joyau
Un moteur de corrélation vous doit quatre choses — un dossier qui s'explique tout seul, une déduplication qui encaisse une rafale sans perdre une alerte, une file de triage qui classe sur ce qu'un dossier est devenu et non sur ce à quoi il ressemblait au départ, et, si vous servez plusieurs clients, un mur entre eux que rien ne franchit. Ce que chacune veut dire pour votre SOC, quelle que soit la stack de détection déjà en place.
RéglementationNIS2, DORA, CIR 2024/2690 : ce que les textes exigent vraiment — et ce que votre plateforme doit pouvoir prouver
Trois textes européens font des prestataires de SOC managé une classe régulée à part entière, mettent un chronomètre sur la classification des incidents chez les entités financières, et écrivent noir sur blanc des obligations de monitoring et de conservation des logs. Les formulations exactes, les dates, et le tri entre les textes et le discours commercial.
Un texte peut le démontrer. Le produit, lui, doit le faire.
Des arguments différents, un seul produit derrière : une alerte est qualifiée, une investigation suit, et un dossier se referme sur un verdict défendable. Lire le raisonnement, c'est la partie facile ; la page Fonctionnement le montre à l'œuvre.