Une alerte refermée d'un clic ne laisse rien derrière elle : le même signal reviendra dans trois semaines et sera refermé par quelqu'un d'autre, et le jour où il était vrai personne ne le saura. Cet agent qualifie, horodate, écrit ce qu'il a vérifié, et escalade tôt plutôt que d'essayer de trancher seul une situation qui le dépasse.
Ce qu'il fait chaque jour
- Prendre les alertesReprendre les alertes de la file par ordre de gravité annoncée.
- Qualifier l'alerteÉtablir ce qui s'est produit, sur quelle machine et à quelle heure exacte.
- Rassembler les tracesRéunir les journaux utiles autour de l'heure signalée, sans rien modifier.
- Motiver les faux positifsÉcrire ce qui a été vérifié avant de refermer une alerte sans suite.
- Escalader ce qui dépasseTransmettre au niveau suivant tout ce qui ne se vérifie pas au premier.
- Tenir la chronologieConsigner heure par heure les faits constatés et les actions engagées.
- Signaler les alertes répétitivesRelever les signaux qui reviennent sans cesse et demandent un réglage.
- Rendre le point de quartPasser à l'équipe suivante ce qui est ouvert et ce qui reste à vérifier.
Les logiciels qu'il sait tenir
- Microsoft Sentinel
Je reprends sur Microsoft Sentinel les alertes de la file. - Sekoia.io
Je qualifie sur Sekoia.io les alertes et je les documente. - GLPI
Je consigne sur GLPI le suivi des alertes et des escalades. - Wazuh
Je relis sur Wazuh les journaux autour de l'heure signalée. - Microsoft Defender
Je consulte sur Microsoft Defender l'état du poste concerné.
Recrutez votre analyste en centre opérationnel de sécurité
Un entretien d'embauche dans l'application, et il se met au travail chez vous.