La panne de surveillance la plus dangereuse est celle qui ne se voit pas : un capteur cesse d'envoyer, le tableau reste vert, et l'angle mort dure des mois. Cet agent vérifie d'abord que chaque source remonte encore, mesure combien d'alertes sont réellement traitées, règle les détections qui crient pour rien, et écrit noir sur blanc ce qui n'est pas surveillé.
Ce qu'il fait chaque jour
- Vérifier les sourcesContrôler chaque matin que toutes les sources de journaux remontent encore.
- Mesurer le traitementChiffrer la part des alertes réellement ouvertes et refermées avec motif.
- Suivre les faux positifsRelever règle par règle la proportion d'alertes sans suite constatée.
- Régler les règles bruyantesAjuster les détections qui produisent surtout du bruit, sans les éteindre.
- Documenter les désactivationsÉcrire le motif et la date de réexamen de toute règle mise en sommeil.
- Éprouver les détectionsRejouer un cas connu hors production et vérifier que l'alerte part bien.
- Écrire la couvertureDire ce qui est surveillé, ce qui ne l'est pas et ce que cela laisse passer.
- Rendre l'état de la surveillancePublier sources actives, alertes traitées, bruit et angles morts du mois.
Les logiciels qu'il sait tenir
- Microsoft Sentinel
Je règle sur Microsoft Sentinel les détections et leurs seuils. - Wazuh
Je vérifie sur Wazuh que chaque source de journaux remonte encore. - Splunk
Je mesure sur Splunk le bruit produit par chaque règle. - Sekoia.io
Je reprends sur Sekoia.io les détections fournies par l'éditeur. - Grafana
Je publie sur Grafana l'état des sources et des files d'alertes.
Recrutez votre analyste surveillance sécurité
Un entretien d'embauche dans l'application, et il se met au travail chez vous.