On nous propose une prestation "SOC" — c'est quoi exactement, utile pour notre taille ?

Le consultant essaie simplement de placer son offre d'infogérance packagée. Payer pour de l'analyse de logs alors que les boîtes mail des salariés n'ont même pas le 2FA activé, c'est jeter de l'argent par les fenêtres. Presque toutes les attaques qui touchent les PME passent par du phishing ou un port bureau à distance laissé ouvert, pas besoin de SOC pour corriger ça.

Avant même de penser à un SOC, mettez en place ces trois mesures de base : 1) Testez une fois par mois si la sauvegarde effectuée chaque nuit est réellement restaurable. 2) N'autorisez l'accès au serveur de comptabilité qu'à partir d'une seule adresse IP autorisée. 3) Veillez à ce que l'ensemble du personnel travaille avec des droits d'utilisateur standard, que personne n'ait de mot de passe admin. Ces trois points vous protégeront de l'écrasante majorité des attaques courantes.

Dans notre usine de 60 personnes, on a pris un SOC il y a deux ans sur un conseil similaire. On payait 38.000 TL par mois. Tout ce qu'on recevait à la fin du mois, c'était 20 pages de graphiques générés automatiquement. Une fois, on a eu une tentative de ransomware, mais c'est notre antivirus endpoint qui l'a bloquée ; l'équipe SOC nous a juste envoyé un mail le lendemain matin en disant 'pour info, il y a eu une activité cette nuit'. Dès que le contrat s'est terminé, on n'a pas renouvelé.

edit : j'ai corrigé quelques fautes de frappe.

quand vous prenez un soc et que la boite vous envoie un message à 3h du mat en disant 'activité powershell anormale sur votre serveur' vous avez du personnel technique dispo pour se réveiller et couper le serveur ? si c'est non, c'est de l'argent jeté par les fenêtres.

Posez clairement cette question au consultant : « Est-ce que ce service se contente de surveiller et de prévenir (SOC), ou coupe-t-il internet sur le serveur et neutralise-t-il l'incident dès qu'il détecte une attaque (MDR) ? » S'ils se contentent de prévenir, cela n'a aucune utilité pratique pour une PME, refusez directement l'offre.

Vos clients grands comptes ou votre compagnie d'assurance exigent-ils par contrat un rapport d'un centre de surveillance de sécurité indépendant ? S'il n'y a pas d'obligation légale ni de pression client, ne serait-il pas plus judicieux de consacrer ce budget à la modernisation de votre infrastructure ?

Compte tenu de la taille de votre structure, il serait plus rationnel sur le plan financier de vous orienter vers des solutions sous licence intégrant des capacités de détection et réponse gérées (MDR), plutôt que vers un SOC complet. Cette approche vous permettra de bloquer automatiquement les menaces critiques sans engendrer de charge opérationnelle supplémentaire.

Dans notre boîte, on a seulement le pare-feu du modem et un antivirus de base sur les ordis. franchement ce service de SOC dont vous parlez, il ne fait pas la même chose qu'un antivirus ? C'est quoi exactement la différence ?

PS : c'est demandé plus bas, j'ai répondu dans le deuxième message.

Je ne peux pas totalement adhérer à cela... du coup si vous obtenez trois réponses différentes sur un sujet, la question est mal posée.

Les décisions hâtives finissent par être corrigées six mois plus tard. J'espère que cela vous sera utile.

Je suis d'accord. Si le chemin de notification est long la notification n'arrive pas ; une notification manquante signifie un événement détecté tardivement.

Ce que tout le monde fait ne signifie pas que c'est la bonne chose. Bien sûr cela change si votre situation est différente.

je me permets une petite mise en garde mais ne comptez pas sur une seule mesure de sécurité ; allez par couches.

c'est mon avis, je ne l'écris pas comme une vérité absolue.

Enregistré.

Exact. Les solutions qui fonctionnent à petite échelle s'effondrent en grandissant, j'ai appris cela trop tard.

J'espère que cela vous sera utile.

Séparons les concepts, ils sont souvent confondus. La plupart des incidents ne viennent pas d'une faille mais d'un mot de passe divulgué.

Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

c'est noté, merci.

Je me pose aussi la question.

Merci pour votre retour.