Ce qui se passe entre une alerte qui arrive et un analyste qui tranche.
Les alertes sont détectées, qualifiées, investiguées, puis résolues. Votre SIEM fait la première étape ; votre ticketing garde la trace de la dernière. Les deux du milieu, c'est un analyste N1 qui fait le premier tri à la main, à la relève du matin.
Sauf mention d'un module, tout ce qui suit est inclus dans l'édition Client.
Vous ne rebranchez rien.
Seculogik lit la stack de détection que vous payez déjà. Il ne la remplace pas et il ne déplace pas vos logs : changer de source plus tard coûte un connecteur, pas une migration. C'est là que s'arrête l'enfermement fournisseur.
Stacks open source
ClickHouse · Elastic · OpenSearch · Wazuh
Plateformes du marché
Splunk · Sentinel · CrowdStrike · Defender · Cortex XDR — et dix-huit autres
Nous venons chercher les données, vous nous les envoyez, ou nous lisons le stockage en place — et si le connecteur manque, nous le développons. Toutes les sources arrivent au même format : une seule file suffit ensuite à tout classer.
L'écran répond à une seule question : par quoi je commence ?
La déduplication d'abord : des centaines d'alertes répétées deviennent un seul dossier, jugé dans son ensemble. Ce qui reste est qualifié, puis classé par enjeu : en attente de triage, échéance qui approche, critique et sans responsable.
Un dossier est classé sur le pire fait qu'il contient, pas sur la criticité que la source lui a attribuée : c'est ce qui approche le plus de l'impact métier. Commencé par une connexion douteuse, fini en ransomware ? C'est un ransomware, et il passe en tête.
Soixante-douze packs de détection alignés sur MITRE s'importent depuis l'interface, dans toutes les éditions : votre ingénierie de détection ne part pas de zéro.
- Verdict vrai positif · confiance élevée
- Scénario exécution puis ransomware
- Étape déplacement latéral · reclassé
- Recoupement l'endpoint et l'identité l'ont vu tous les deux
- Raisonnement ce qui aurait tout changé
Neuf contrôles lisent chaque alerte, et ils doivent tomber d'accord.
Une règle de détection qui juge un événement isolé, c'est comme ça qu'une vraie intrusion passe pour de la routine — et qu'un job de sauvegarde devient un faux positif. Ici, neuf contrôles indépendants lisent la même alerte et doivent converger vers un seul verdict.
Entités partagées
Une alerte sur une machine déjà impliquée dans une campagne ouverte y est rattachée.
Progression de l'attaque
Quand les étapes suivent l'ordre de la kill chain, elles comptent. Dans le désordre, c'est du bruit.
Sources concordantes
Deux sources qui voient la même entité au même moment se corroborent.
Effet de volume
Une connexion échouée, c'est du bruit. Des centaines en quelques minutes, c'est autre chose.
Dérive lente
Un risque qui monte doucement ouvre un dossier qu'aucune journée prise isolément ne justifierait.
Scénarios connus
Un enchaînement déjà identifié arrive au triage sous forme de scénario, pas d'alertes une par une.
Attaquants récurrents
Les mêmes artefacts d'un dossier à l'autre : un seul adversaire, pas quatre.
Patterns bénins connus
Suppression du bruit, jamais effacement : écartés, mais nommés dans le dossier.
Ce que vos analystes ont décidé
Votre propre tuning : les verdicts passés pèsent sur le dossier suivant, si vous l'autorisez.
Aucun score que personne ne sait expliquer.
- Le déclencheur — une connexion administrateur depuis une IP inhabituelle, sur un serveur de la finance. Notée faible par la source.
- Les contrôles qui se sont exprimés — entités partagées, sources concordantes, effet de volume.
- Le verdict — vrai positif, confiance élevée : rattachée à une campagne ouverte, puis escaladée en N2.
- Ce qui aurait tout changé — sans le recoupement avec votre annuaire d'identités, elle restait une alerte faible que votre N1 n'aurait jamais eu le temps d'ouvrir.
Le raisonnement reste attaché au dossier
→ Trois de vos sources ont convergé sur cette machine en quatre minutes.
→ Les connexions échouées qui l'ont précédée ont été absorbées dans ce dossier.
→ Le dossier a atteint le déplacement latéral : la file l'a reclassé.
Relisible un an plus tard par un analyste, un auditeur ou votre direction.
La routine s'exécute toute seule. Le geste irréversible attend une personne.
Réponse module Automations
Notification, enrichissement, escalade, création du ticket dans votre outil. Autonomie encadrée, pas pilote automatique : toute action destructrice passe par une validation avant action, et le workflow suspendu reprend là où il s'était arrêté.
Vulnérabilités Incluses
La remédiation a sa file et ses échéances à elle, parce que le travail de fond perd tous les jours face à l'incident du moment. La file des vulnérabilités →
Rapports module SOC Reporting
Rapports planifiés et scoring de posture pour NIST CSF, ISO 27001, RGPD, DORA et NIS2. Chaque chiffre porte ses preuves ; une mesure qui ne peut pas être calculée le dit au lieu de l'inventer.
Un seul déploiement, un cloisonnement strict par client.
Si vous protégez un seul parc, passez à la suite. Si vous opérez un SOC managé pour des tiers, chaque alerte est rattachée à un client avant qu'un contrôle la lise, et un dossier à cheval sur deux clients est refusé plutôt que créé.
Marque blanche par client : ils voient la vôtre, vos analystes gardent une file unique.
Personne ne réécrit ce que vos analystes ont décidé.
SSO et habilitations par rôle, une piste d'audit que personne ne peut modifier, et des mises à jour signées, avec retour en arrière si le contrôle de santé échoue.
Trente minutes, sur vos propres alertes.
Apportez-en une semaine. Nous vous montrons les mêmes alertes dédupliquées, qualifiées et classées en dossiers actionnables, raisonnement attaché — avant la moindre signature.