SECULOGIK Expertise cybersécurité
Blog

Vulnérabilités, IA et sécurité.

Comprendre les risques, examiner les usages de l’IA et améliorer les opérations de sécurité. Retrouvez ici les articles disponibles.

Les articles

Des analyses à lire selon vos priorités.

Opérations SOC

Fichier signé dans une alerte : vérifier la signature sans arrêter l’enquête

Distinguez fichier collecté, signature Authenticode, confiance et comportement observé pour examiner un exécutable Windows suspect sans conclusion excessive.

· 6 min de lecture Opérations SOC

Paquet signalé vulnérable : vérifier les correctifs rétroportés

Reliez le paquet installé à l’avis du distributeur pour vérifier un correctif rétroporté, traiter un écart de scanner et conserver une conclusion limitée.

· 6 min de lecture Opérations SOC

Webhook du SOC : une signature valide ne prouve pas un événement nouveau

Séparez signature, fraîcheur, identité et effet du traitement pour recevoir des webhooks sans transformer une retransmission en seconde action.

· 7 min de lecture Opérations SOC

Message suspect : ce que SPF, DKIM et DMARC permettent de conclure

Interprétez l’authentification d’un email suspect : provenance des résultats, domaines évalués, alignement et relais, sans confondre réussite technique et innocuité.

· 5 min de lecture Opérations SOC

Enrichissement d’URL dans le SOC : vérifier la destination réellement contactée

Une URL dans une alerte ne doit pas ouvrir le réseau interne à un outil d’enrichissement. Contrôlez destination, redirections, accès et preuves de refus.

· 6 min de lecture Opérations SOC

Service systemd suspect : relier le changement à l’exécution réelle

Enquêtez sur un service systemd créé ou modifié en distinguant les fichiers, la configuration chargée, les processus observés et les effets à vérifier.

· 5 min de lecture Opérations SOC

Exception de détection : limiter la portée et vérifier le retour des alertes

Traitez une exception SOC comme un changement vérifiable : effet exact, périmètre minimal, tests aux limites, échéance et contrôle après retrait.

· 7 min de lecture Opérations SOC

Export API du SOC : vérifier la pagination avant de conclure

Une requête réussie ne garantit pas un export complet. Vérifiez les pages, le périmètre accessible et les reprises avant de conclure à une absence d’événement.

· 7 min de lecture Opérations SOC

Doublons de logs : distinguer retransmission et action répétée

Avant de dédupliquer des logs, vérifiez l’identité des événements, leur provenance et les effets sur les détections pour préserver les actions réellement distinctes.

· 7 min de lecture Opérations SOC

Stockage objet exposé : établir l’accès possible et les lectures observées

Enquêtez sur un stockage objet signalé public : permissions effectives, URL présignées, couverture des logs et lectures établies avant de vérifier le confinement.

· 7 min de lecture Opérations SOC

Clôturer une alerte SOC : verdict, action et vérification ne sont pas le même statut

Une alerte fermée n’est pas forcément un incident résolu. Séparez qualification, résultat des actions et clôture du dossier pour garder des décisions vérifiables.

· 6 min de lecture Opérations SOC

Document retiré d’un assistant RAG : vérifier les accès et les copies restantes

Contrôlez le retrait d’un document d’un assistant RAG : fragments, autorisations, caches, conversations et tests avec des données synthétiques.

· 7 min de lecture Opérations SOC

Ajout à un groupe privilégié : établir les droits et les usages réels

Enquêtez sur un ajout à un groupe Windows ou Active Directory : acteur, membre, imbrications, tokens et accès observés avant un confinement ciblé.

· 7 min de lecture Opérations SOC

Logs de sécurité Windows effacés : enquêter sur l’événement 1102

Distinguez effacement, compte enregistré et activité réelle : préservez les copies disponibles, corrélez la session et vérifiez le retour de visibilité.

· 7 min de lecture Opérations SOC

Correctifs Node.js : vérifier le runtime réellement déployé

Après les correctifs Node.js du 21 octobre, distinguez version déclarée, processus actif, serveur exposé et génération statique pour prouver la mise à jour.

· 7 min de lecture Opérations SOC

Transfert de messagerie suspect : établir où les messages sont réellement partis

Reliez règle, historique et traces de transport pour enquêter sur un transfert de messagerie suspect, délimiter l’exposition et vérifier le confinement.

· 7 min de lecture Opérations SOC

Consentement OAuth suspect : enquêter sur les droits de l'application

Reliez consentement, principal applicatif, permissions et usages observés pour qualifier un accès OAuth suspect et vérifier une réponse ciblée.

· 7 min de lecture Opérations SOC

Clé SSH ajoutée : relier le changement aux accès réels dans une enquête SOC

Enquêtez sur une clé SSH ajoutée : configuration effective, origine du changement, connexions observées et vérification du confinement.

· 7 min de lecture Opérations SOC

Connexion avec MFA : enquêter sur une session suspecte dans le SOC

Reliez authentification MFA, session et actions applicatives pour qualifier une alerte SOC et vérifier l’effet réel des mesures de confinement.

· 6 min de lecture Opérations SOC

Enquêter sur une tâche planifiée Windows : configuration, historique et exécution

Reliez une tâche planifiée Windows à sa création, ses modifications et son exécution, en distinguant les faits des hypothèses pendant l’investigation SOC.

· 5 min de lecture Opérations SOC

Attribuer une adresse IP au bon poste pendant une investigation SOC

NAT, DHCP, VPN et proxys : une méthode pour relier une connexion au bon poste, vérifier les preuves et conserver les incertitudes.

· 5 min de lecture IA & SOC

Déployer une IA dans le SOC : avancer par paliers avec un retour arrière testé

Structurez un déploiement IA dans le SOC avec des paliers, des critères d’acceptation, une supervision adaptée et un retour arrière vérifié.

· 3 min de lecture Opérations SOC

Préparer le contexte d’un assistant SOC sans perdre le sens des événements

Fiabilisez le contexte fourni à une IA SOC : temps, identités, résultats, doublons et valeurs manquantes, tout en conservant les preuves originales.

· 3 min de lecture IA & SOC

Connecteurs IA du SOC : vérifier quelle identité agit vraiment

Auditez les identités et permissions effectives des connecteurs IA : accès délégué, compte de service, périmètre utilisateur et révocation.

· 3 min de lecture IA & SOC

Secrets et agents IA : garder les identifiants hors du contexte

Concevez les intégrations IA du SOC pour que les outils utilisent les secrets nécessaires sans les exposer aux conversations et aux rapports.

· 2 min de lecture IA & SOC

Journaliser un agent SOC pour pouvoir reconstruire ses actions

Construisez une piste d’audit des agents SOC reliant demande, outils, autorisations et résultats, sans copier inutilement les données sensibles.

· 3 min de lecture IA & SOC

Sorties d’un modèle IA : valider avant toute utilisation technique

Sécurisez le passage d’une réponse IA vers une requête, un ticket ou un outil SOC avec des validations de format, de cible et de périmètre.

· 3 min de lecture IA & SOC

Une synthèse IA du SOC doit permettre de retrouver chaque preuve

Reliez les conclusions IA aux événements sources, aux transformations et à leur date pour produire des synthèses SOC vérifiables.

· 3 min de lecture IA & SOC

SOC assisté par IA : rendre la décision humaine réellement possible

Organisez une validation humaine utile des recommandations IA : preuves visibles, périmètre précis, temps de décision et responsabilité définie.

· 2 min de lecture IA & SOC

Choisir un modèle IA pour le SOC : évaluer les erreurs avant le tarif

Comparez les modèles IA sur des dossiers SOC représentatifs : preuves, omissions, abstention et travail de reprise, avant d’arbitrer leur coût.

· 3 min de lecture IA & SOC

IA en lecture seule : contrôler aussi ce qui sort du SOC

Un accès IA en lecture seule protège certaines opérations, mais demande aussi de maîtriser les données envoyées, conservées et restituées.

· 3 min de lecture IA & SOC

Agents IA dans le SOC : appliquer le moindre privilège à chaque outil

Définir les droits des agents IA du SOC par outil, cible et durée pour limiter les conséquences d’une erreur et garder des actions contrôlables.

· 2 min de lecture Opérations SOC

SOC et responsabilités partagées : attribuer chaque décision avant l’incident

Client, SOC, infogérant et fournisseur cloud : clarifiez qui observe, décide, agit et vérifie pour limiter les zones grises pendant un incident.

· 2 min de lecture Opérations SOC

Reporting SOC : présenter les décisions, les limites et les progrès vérifiés

Construisez un reporting SOC qui explique les risques observés, les angles morts et les actions à décider, avec des indicateurs définis et comparables.

· 2 min de lecture Opérations SOC

Journaux et preuves d’incident : conserver ce qui répond à un besoin défini

Distinguez journaux opérationnels, extraits d’enquête et rapports pour définir une conservation justifiée, des accès maîtrisés et une sortie vérifiable.

· 2 min de lecture Opérations SOC

Playbooks SOC : définir les limites avant d’automatiser la réponse

Déclencheurs, autorisations, effets et arrêt d’urgence : les garde-fous à préciser pour déployer des playbooks SOC adaptés au risque métier.

· 2 min de lecture Opérations SOC

Tester une détection SOC : du résultat de requête à la prise en charge

Définissez des tests de détection qui vérifient les données, la règle, l’alerte et la prise en charge, avec des scénarios contrôlés et traçables.

· 2 min de lecture Opérations SOC

Relève d’incident : transmettre la décision suivante avec le contexte utile

Une relève d’incident exploitable relie faits, hypothèses, actions et décision attendue. Voici une structure courte pour éviter les pertes de contexte.

· 2 min de lecture Opérations SOC

SOC multi-client : vérifier l’isolation jusque dans les exports

Espaces de travail, permissions, tickets et exports : les points à examiner pour maîtriser la séparation des données dans un SOC multi-client.

· 2 min de lecture Opérations SOC

Accès au SOC : attribuer les droits selon les actions réellement utiles

Lecture, investigation, modification et automatisation : une méthode pratique pour cadrer les droits d’accès à une plateforme SOC.

· 2 min de lecture Opérations SOC

Qualité des logs : les contrôles qui rendent une enquête possible

Horodatage, champs utiles, fraîcheur et contexte : construisez une routine de contrôle des journaux adaptée aux besoins réels de votre SOC.

· 2 min de lecture Opérations SOC

Onboarding SOC : les critères qui prouvent qu’une source est prête

Une source connectée doit aussi être exploitable. Voici comment définir une réception SOC fondée sur les événements, le contexte et les tests.

· 3 min de lecture Opérations SOC

SOC managé : définir le service avant de choisir les outils

Périmètre, horaires, escalade et critères de réception : les questions à clarifier pour cadrer un service de SOC managé réellement exploitable.

· 3 min de lecture Opérations SOC

Tester une restauration : vérifier le service rendu, pas seulement les fichiers

Concevez un exercice de restauration utile : environnement isolé, dépendances, critères métier, preuves de résultat et actions correctives.

· 3 min de lecture IA & SOC

Copilote SOC : un journal malveillant reste une donnée, pas une consigne

Protégez un copilote SOC contre les instructions cachées dans les données : provenance, droits limités et validation des actions.

· 2 min de lecture Opérations SOC

Réponse active Wazuh : définir les limites avant d’automatiser

Préparez une réponse active Wazuh maîtrisée : déclencheur, cible, durée, exceptions, journalisation et retour arrière.

· 2 min de lecture Opérations SOC

Journaux DNS : relier une requête au contexte du poste

Analysez les requêtes DNS avec leur contexte : processus, poste, résultat et activité réseau, sans confondre anomalie et compromission.

· 3 min de lecture Opérations SOC

Comptes dormants : pourquoi la dernière connexion ne suffit pas

Examinez les comptes inactifs sans suppression aveugle : tentatives, connexions réussies, propriétaire, dépendances et décision tracée.

· 3 min de lecture Opérations SOC

PowerShell : transformer la journalisation en contexte d’investigation

Exploitez les logs PowerShell avec prudence : événement 4104, contexte d’exécution, accès aux données et validation de collecte.

· 2 min de lecture Opérations SOC

Préserver les éléments d’un incident : source, intégrité et accès

Préservez les éléments d’une investigation : exports délimités, empreintes, provenance, copies de travail et traçabilité des accès.

· 3 min de lecture Opérations SOC

FIM avec Wazuh : surveiller les changements qui méritent une enquête

Concevez une surveillance FIM Wazuh ciblée : chemins critiques, contexte utilisateur, changements attendus et protection des contenus.

· 2 min de lecture Opérations SOC

Collecte SIEM interrompue : détecter la panne et vérifier la reprise

Détectez les interruptions de collecte SIEM et vérifiez la reprise : retard, files d’attente, événements manquants et détections à rejouer.

· 3 min de lecture Opérations SOC

Horodatage des journaux : éviter les chronologies trompeuses

Distinguez heure de l’événement, réception et indexation pour construire des chronologies SOC fiables et documenter leurs limites.

· 3 min de lecture SOC IA

Analyste SOC IA : ce qu'il faut exiger avant de lui faire confiance

Ne confiez le premier tri à un analyste SOC IA que s'il montre les pistes qu'il a écartées, cite des valeurs vérifiables dans vos propres alertes, abaisse ouvertement son niveau de confiance et garde une supervision humaine sur chaque action destructive.

· 7 min de lecture Fatigue des alertes

La fatigue des alertes est un problème d'arithmétique, pas de moral

Trois chiffres suffisent à savoir si une file d'alertes est tenable — le volume qui arrive, le temps que prend un vrai triage, les heures analystes disponibles. Pourquoi le recrutement et le tuning n'y suffisent ni l'un ni l'autre, et le seul terme qui fait baisser le backlog.

· 7 min de lecture Cyberdécision

Un SOC produit des décisions. La plupart des outils le traitent encore comme un système de surveillance.

Un centre d'opérations de sécurité existe pour produire des décisions, pas des alertes — un dossier trié, un verdict avec ses preuves, une file qui dit par quoi commencer. Tout outil qui y entre devrait être jugé sur une seule chose : ce qu'il change à la décision suivante, quelle que soit la stack de détection déjà en place.

· 8 min de lecture Tarification

Le coût du SIEM au gigaoctet : quand l'unité de facturation décide de ce que vous surveillez

La plupart des SIEM se facturent au gigaoctet, si bien que chaque source de logs à raccorder devient un arbitrage budgétaire — et l'enfermement fournisseur est la peur qui se cache derrière. Ce qu'une licence au déploiement change, et ce qu'elle ne change pas.

· 6 min de lecture Détection

Couverture MITRE ATT&CK : votre vrai chiffre est plus bas que celui de votre dashboard

Ce que compte réellement un pourcentage de couverture, pourquoi une règle de détection morte reste au vert, et comment auditer le vôtre en une après-midi sans rien acheter.

· 6 min de lecture MSSP

Ce qu'un MSSP attend d'une plateforme SOC et qu'un SIEM mono-organisation ne donnera pas

Un SOC managé a besoin de quatre choses qu'aucun SIEM mono-organisation ne fournit — une cloison étanche entre ses clients, les alertes non attribuables mises en attente plutôt que devinées, du reporting à sa marque, un tarif qui ne bouge pas quand il signe.

· 7 min de lecture Vulnérabilités

Prioriser les vulnérabilités : classer par exploitabilité, pas par CVSS

Trier au seul CVSS fait remonter le mauvais travail en premier. Classez le backlog de remédiation par exploitation avérée, usage par les ransomwares, accessibilité réelle de la machine et impact métier.

· 6 min de lecture Triage

Triage des alertes : les six étapes, et où partent vraiment les heures

Les six étapes du triage : dédoublonner, regrouper, cadrer, trancher, agir, consigner. Où partent réellement les heures, ce qu'une machine doit prendre en charge, et ce qui exige encore une personne.

· 6 min de lecture Open source

SIEM open source : ce qu'il règle, et ce qui reste à votre charge

Un SIEM open source règle la collecte, le stockage et l'exécution des règles. L'ingénierie de détection, la corrélation entre sources, le cycle de vie des dossiers et le reporting, c'est vous qui les construisez.

· 7 min de lecture Ce que ça change

Comment un petit SOC peut tenir la charge d'un grand

La plupart des SOC tiennent en deux à dix personnes, et tournent quand même en 24/7. Où partent réellement les heures — premier tri N1, escalade, relève, backlog — et ce que Seculogik vous en rend.

· 7 min de lecture IA souveraine

Un analyste SOC IA auto-hébergé : le modèle tourne sur vos machines

Un analyste SOC IA qui raisonne sur vos propres machines, sans GPU, sans que rien ne sorte. Où tourne le modèle par défaut, quel masquage s'applique avant le moindre appel cloud, et comment fermer la porte au cloud une bonne fois.

· 10 min de lecture Depuis Wazuh

Nous sommes partis de Wazuh. Voici l'étage que nous avons construit au-dessus.

Pourquoi un agent de détection open source et gratuit était le bon point de départ, ce qu'un agent de détection n'a jamais eu vocation à faire, et comment une couche de décision indépendante de la source transforme Wazuh — ou la stack que vous exploitez déjà — en dossiers qualifiés, avec un responsable, un chemin d'escalade et un verdict expliqué, sans compteur à l'ingestion.

· 7 min de lecture Corrélation

Pourquoi le moteur de corrélation est notre joyau

Un moteur de corrélation vous doit quatre choses — un dossier qui s'explique tout seul, une déduplication qui encaisse une rafale sans perdre une alerte, une file de triage qui classe sur ce qu'un dossier est devenu et non sur ce à quoi il ressemblait au départ, et, si vous servez plusieurs clients, un mur entre eux que rien ne franchit. Ce que chacune veut dire pour votre SOC, quelle que soit la stack de détection déjà en place.

· 5 min de lecture Réglementation

NIS2, DORA, CIR 2024/2690 : ce que les textes exigent vraiment — et ce que votre plateforme doit pouvoir prouver

Trois textes européens font des prestataires de SOC managé une classe régulée à part entière, mettent un chronomètre sur la classification des incidents chez les entités financières, et écrivent noir sur blanc des obligations de monitoring et de conservation des logs. Les formulations exactes, les dates, et le tri entre les textes et le discours commercial.

· 8 min de lecture