Un centre opérationnel de sécurité, interne ou confié à un prestataire, repose sur une idée simple : quelqu’un regarde. Les journaux des serveurs, des postes, des pare-feu et des comptes remontent dans un outil central, des règles produisent des alertes, et une personne décide de ce qui mérite d’être traité. Cette personne, c’est l’analyste de premier niveau.
Le poste est souvent décrit comme une porte d’entrée dans la cybersécurité, accessible à un administrateur système ou réseau. C’est vrai, à condition de ne pas sous-estimer ce qu’il demande.
Ce que fait un analyste de niveau 1, en pratique
Le cœur du travail tient en trois verbes.
Trier. Une console de supervision produit beaucoup d’alertes, et la plupart ne sont pas des attaques : une sauvegarde qui se connecte en masse, un administrateur qui travaille tard, une règle trop sensible. L’analyste doit écarter rapidement ce qui est normal sans écarter ce qui ne l’est pas.
Qualifier. Pour une alerte qui résiste au tri, il faut rassembler le contexte : quel compte, quel poste, quelles autres traces au même moment, est-ce un comportement connu de cet utilisateur ? À la fin, une décision argumentée : faux positif, anomalie sans gravité, ou incident.
Transmettre. Un incident qualifié part vers l’équipe de réponse ou le niveau 2. La qualité de cette transmission conditionne tout ce qui suit : ce qui a été vu, ce qui a été vérifié, ce qui reste incertain, ce qui a déjà été fait.
Les compétences qui font la différence
Ce n’est pas la connaissance d’un outil précis. Les consoles changent d’un employeur à l’autre ; le raisonnement reste.
- Lire des journaux. Une ouverture de session Windows, une connexion SSH refusée, une requête DNS inhabituelle : savoir ce que dit une ligne, et ce qu’elle ne dit pas.
- Connaître le normal. On ne repère une anomalie que si l’on sait à quoi ressemble l’activité habituelle d’un réseau, d’un serveur ou d’un compte.
- Corréler. Relier un événement d’authentification, une connexion réseau et une exécution sur un poste pour reconstituer une séquence.
- Raisonner par hypothèse. Associer une alerte à un comportement d’attaquant connu, par exemple à l’aide du référentiel MITRE ATT&CK, et chercher les traces qui confirmeraient ou infirmeraient cette hypothèse.
- Écrire. Une fiche d’escalade claire, datée, qui distingue les faits des suppositions.
Pourquoi c’est difficile à apprendre seul
On peut lire beaucoup sur la détection sans jamais avoir trié une vraie file d’alertes. La compétence se construit au contact de journaux réels, avec leur bruit, leurs horodatages décalés et leurs champs manquants. Elle se construit aussi au contact de quelqu’un qui a déjà fait le métier et qui peut dire pourquoi une qualification est fragile.
C’est la raison pour laquelle une formation SOC sérieuse se passe surtout sur un SIEM de laboratoire, alimenté par des traces où une activité malveillante a été mêlée à une activité normale, plutôt que sur des diapositives.
Pour une entreprise : former en interne ou externaliser ?
Même quand la surveillance est confiée à un prestataire, quelqu’un en interne doit comprendre ses alertes, répondre à ses questions et décider des suites. Un administrateur formé aux bases de la détection devient l’interlocuteur qui manque souvent : il sait lire une alerte du prestataire, fournir le contexte qu’il n’a pas, et repérer ce qui ne remonte pas.