Comment un petit SOC peut tenir la charge d'un grand

D'après le SANS SOC Survey 2025, un SOC compte le plus souvent entre deux et dix personnes au total, et 79 % des SOC tournent en 24/7. Le compte est vite fait : dans le bas de la fourchette, il n'y a pas de rotation 24/7, il y a une personne d'astreinte. Ces équipes ne sont pas en sous-effectif par hasard, elles le sont par construction — et c'est exactement la même chose pour l'équipe d'un MSSP qui surveille plusieurs organisations depuis une seule console.

Un outil acheté par une équipe comme celle-là se juge sur deux critères : les heures qu'il lui rend, et le fait que la facture augmente ou non chaque fois qu'on lui envoie plus de logs.

Seculogik répond aux deux. Ce n'est ni un SIEM de plus, ni un capteur de plus : la plateforme se pose au-dessus de la stack de détection que vous exploitez déjà — SIEM et stacks de données open source comme ClickHouse, Elastic / ELK, OpenSearch et Wazuh ; plateformes du marché comme Splunk, Microsoft Sentinel, CrowdStrike, Microsoft Defender, SentinelOne, Cortex XDR, Fortinet, Okta et Entra ID ; télémétrie cloud AWS et Azure. Si une source manque à l'appel, nous développons le connecteur ; sinon, vous poussez les événements dans le webhook générique et vous les mappez une bonne fois pour toutes.

La licence, elle, se facture par déploiement et par an : aucun compteur au gigaoctet, à l'endpoint ni au client, donc lui envoyer plus de télémétrie ne coûte jamais plus cher. L'ingestion facturée au volume oppose la facture à la couverture de détection : le moyen le moins cher de tenir la facture, c'est d'envoyer moins — et envoyer moins, c'est voir la couverture baisser sans que personne le dise. Deux choses seulement font bouger le prix : l'édition que vous déployez, et les modules que vous activez.

Quelle que soit la source qui l'alimente, le travail reste le même : alertes → dossier → décisions. Dans une équipe de cette taille, la même personne fait le N1 et le N2, et porte le téléphone d'astreinte. Cet article passe en revue les postes où ces heures partent, et ce que The Verdict Layer fait de chacun d'eux.

Premier poste : la corrélation manuelle

L'étude State of the SOC (2026) de Microsoft et Omdia — commanditée par un éditeur, précisons-le — établit que deux tiers des SOC consacrent environ un cinquième de leur capacité hebdomadaire à la corrélation manuelle. Soit une journée par analyste et par semaine à rapprocher des alertes à la main : le même hostname dans trois consoles, et quelqu'un qui décide de mémoire si tout cela raconte la même histoire.

Or dans la plupart des parcs, le signal le plus fort, c'est la concordance. Quand l'EDR, le fournisseur d'identité et le SIEM détiennent chacun un morceau de la même histoire, il y a un dossier — et aucun des trois ne peut le voir seul, puisqu'aucun ne voit les deux autres. Seculogik est l'endroit où ils se croisent.

Le moteur de corrélation fait ce rapprochement avant qu'un humain n'ouvre quoi que ce soit ; il s'active avec l'édition Client. Neuf contrôles indépendants passent chaque alerte au crible — le comportement d'une entité, la progression dans la kill chain, l'existence d'un pattern bénin connu qui expliquerait tout — et doivent s'accorder sur un verdict unique.

L'analyste ouvre alors un dossier qui sait déjà quelles alertes lui appartiennent, et pourquoi. Ce « pourquoi » reste attaché au dossier sous forme de trace de décision lisible : le raisonnement survit à la relève, et à la question que l'auditeur posera six mois plus tard.

Deuxième poste : du bruit qui ressemble à du signal

Tous les SOC connaissent ce moment : une règle part en boucle et se déclenche des centaines de fois en quelques minutes. Ce ne sont pas des centaines d'incidents distincts, et ce n'est pas non plus une ligne de plus dans une liste. La déduplication vous rendrait cette ligne unique et jetterait le volume — or c'est le volume qui fait la gravité.

C'est un seul incident, qui mérite une gravité supérieure à celle de chacune de ses parties. Seculogik absorbe le burst et le classe comme un dossier unique, évalué à sa vraie hauteur — des centaines d'échecs d'authentification en gravité faible deviennent un seul dossier de force brute en gravité élevée — sans rien perdre au passage.

La suppression du bruit est un autre métier, et c'est le catalogue de patterns bénins connus qui s'en charge : les événements du type « sauvegarde planifiée », le faux positif qu'une petite équipe requalifie toutes les semaines. La trace inscrit le pattern reconnu : écarté ne devient jamais, en silence, effacé.

La fatigue des alertes tient rarement au nombre brut. Elle tient à ce qu'on refait la même qualification chaque matin : le burst qu'on a déjà évalué hier, la sauvegarde planifiée qu'on a déjà écartée la semaine dernière.

Troisième poste : décider quoi ouvrir en premier

Une file sans classement, c'est une liste — et une liste, la personne de garde en fait le premier tri de haut en bas ; ce que personne n'atteint devient le backlog. The Verdict Layer ouvre au contraire sur une file de décision : en attente de triage, SLA menacé, risque élevé, critique sans responsable. Le classement se calcule toujours de la même façon, si bien que deux analystes devant le même dashboard voient les mêmes priorités.

Les dossiers s'attribuent automatiquement en fonction de la charge de chacun, donc la file s'équilibre seule dans l'équipe de garde ; les échéances SLA courent selon la gravité ; et la position d'un dossier dans la kill chain avance avec ses preuves, de sorte qu'un dossier arrivé au mouvement latéral passe devant un dossier encore à l'accès initial.

Voilà pour une organisation unique : un parc, des analystes, une file. Si vous opérez un SOC managé, l'édition MSSP ajoute une séparation stricte entre les organisations que vous servez, chacune dans son propre espace de dossier, et met de côté une alerte qu'elle ne peut pas attribuer avec certitude plutôt que de la ranger chez le mauvais client.

Quatrième poste : le reporting

Un analyste qui a tranché doit encore expliquer : au responsable d'équipe, au dirigeant qui valide, au régulateur. Ce sont trois questions différentes : ce qui s'est passé, quel était l'impact métier, et si la posture tient.

Seculogik garde la trace de décision avec le dossier — quels signaux ont pesé, comment le verdict s'est construit, et ce qui l'aurait fait basculer. Le rapport de dossier raconte cette histoire, position dans la kill chain comprise, et le module SOC Reporting transforme les mêmes preuves en rapports de dossier et d'organisation, en tableaux de scores NIST CSF, ISO 27001, RGPD, DORA et NIS2, et en dossiers de preuves qui exposent leur propre méthodologie et leur propre couverture.

Chaque chiffre est accompagné de la preuve qui le fonde, et une mesure qu'on ne peut pas calculer honnêtement — un MTTR avec trop peu de dossiers clos derrière lui — est signalée comme telle plutôt que devinée. Le reporting devient un sous-produit du traitement des dossiers, et non un second travail en fin de poste.

Cinquième poste : le second avis, quand il n'y a pas de N2 à qui demander

Dans un SOC de deux personnes, il n'y a personne vers qui escalader. SIROC — notre analyste IA, le module Advanced AI — tient ce rôle de N2 : il lit le dossier, expose son raisonnement en entier (hypothèses bénignes d'abord, preuves dans les deux sens, verdict en dernier), et chaque preuve qu'il cite est recoupée avec les alertes du dossier lui-même.

Un verdict que les preuves ne soutiennent pas est déclassé sous les yeux de l'analyste, jamais validé en silence. Ce qui revient, c'est un verdict, un niveau de confiance et le raisonnement qui a produit les deux — pas une réponse que l'analyste doit croire sur parole.

Par défaut, il tourne sur un modèle local sous licence ouverte, sur votre propre CPU : le second avis coûte de l'électricité, pas une facture d'API ni une sortie de données. Si vous décidez d'utiliser votre propre clé cloud pour certaines tâches, les secrets et les données personnelles sont masqués avant que quoi que ce soit ne quitte la machine, et chaque appel vers le cloud est inscrit dans un registre inaltérable.

Quand un analyste valide ou corrige, la correction reste attachée au dossier : le second avis s'améliore sur vos dossiers à vous, pas sur ceux de quelqu'un d'autre.

Sixième poste : la réponse que personne ne veut scripter à 3 h du matin

Les playbooks de réponse (le module Automations) exécutent les premiers gestes de routine sur un dossier, pour que personne n'ait à refaire les mêmes étapes à trois heures du matin. Avant toute action destructrice — isoler un hôte, bloquer une adresse — le playbook s'arrête sur une validation avant action et attend un approbateur nommé : il n'y a pas de délai au bout duquel il repartirait tout seul.

Les gestes de routine s'exécutent seuls ; tout ce qui est irréversible reste sous supervision humaine.

Une fois le feu vert donné, des agents de réponse distants, qui tournent sur vos propres hôtes, exécutent la remédiation avec les outils que vous possédez déjà — EDR, pare-feu, fournisseur d'identité : CrowdStrike, Microsoft Defender, SentinelOne, Fortinet, Okta ou Entra ID entre autres, et un connecteur que nous développons si le vôtre manque à la liste. Les identifiants éditeur ne quittent jamais ces hôtes, et la plateforme ne les détient à aucun moment.

Le bilan

Sur Seculogik, une petite équipe passe ses heures à décider, et chaque décision qu'elle prend est classée, étayée par des preuves et encore lisible à la relève suivante.

C'est ce que nous affirmons, et rien de plus : nous ne prétendons pas remplacer l'analyste, et nous ne vendons pas un SOC autonome. Nous ne publions aucun chiffre de précision qui nous soit propre — il n'existe pas à ce jour de comparatif crédible entre éditeurs sur le triage par IA, et nous préférons contribuer à en construire un, reproductible, plutôt que d'avancer un chiffre que personne ne peut vérifier. Nous sommes à un stade précoce, et nous l'assumons : nous n'avons aucun client à nommer aujourd'hui, et les premiers partenaires de conception façonneront la feuille de route, avec un accès direct à l'ingénierie.

Restent deux questions, et le prix découle de leurs réponses : quelle édition vous déployez, quels modules vous activez. Voir ce que contient chaque édition — Free et Client pour une organisation, MSSP pour plusieurs.