Quand on prend un service SOC, la réponse aux incidents est-elle incluse ou facturée en plus ?

Si votre solution de sécurité endpoint permet des actions à distance, faites inscrire ces scénarios automatisés (playbooks) dans le contrat. L'analyste doit pouvoir isoler du réseau un poste infecté en un clic avant même de vous appeler la nuit. Ce n'est pas de l'intervention lourde, c'est de la réaction de base et ça ne doit pas faire l'objet d'un surcoût.

L'année dernière, lors d'une attaque, notre prestataire SOC a appelé en pleine nuit pour dire « il y a une activité de chiffrement anormale sur votre serveur » et a raccroché direct. On a dû faire intervenir leur équipe de crise, ils nous ont facturé 18 heures à 4.000 TL de l'heure. Prévoyez impérativement au moins 15-20 heures d'intervention incluses dans le contrat.

Rédigez tout de suite une matrice RACI. Listez précisément qui est alerté, qui isole la machine, qui vérifie les sauvegardes, etc. Demandez au prestataire : « quelles étapes de cette matrice prenez-vous en charge ? » et annexez leur réponse écrite au contrat.

Méfiez-vous des offres low-cost qui promettent « on intervient sur tout ». Si un stagiaire payé au lance-pierre pendant la nuit coupe votre serveur de compta par erreur les dégâts seront pires que l'attaque. Les interventions actives sans périmètre d'habilitation ultra-clair c'est très risqué.

pareil pour nous, ils ont envoyé un mail à 4h du mat pour dire qu'il y avait une activité suspecte. en arrivant à 8h le serveur de fichiers était entièrement chiffré... s'ils se contentent d'envoyer une notification franchement ça sert à rien de payer autant.

Vous avez un admin système d'astreinte en interne capable de se connecter la nuit pour couper un serveur ou restaurer un backup dès qu'une alerte tombe ? Si ce n'est pas le cas, vous devez obligatoirement déléguer la réponse aux incidents à l'extérieur.

Mais avec un EDR en place, le logiciel ne met pas déjà la menace en quarantaine automatiquement ? du coup c'est quoi la différence entre l'action manuelle de l'équipe SOC et ce que fait déjà l'outil ?

Pour résumer le débat : surveillance et notification constituent le service de base, l'intervention poussée est facturée en sus. Pour maîtriser vos coûts, faites inclure les actions de premier confinement dans le forfait standard et intégrez dès le départ un pack d'heures dédié à l'analyse approfondie.

Il y a un piège ici je ne pouvais pas ne pas le mentionner. Quand on décide sans mesurer, on revient toujours au même point.

Lors de la prise de décision, écrivez aussi le pire scénario, pas seulement le meilleur. Voilà, désolé si je me suis étendu.

Je vais raconter ce qui m'est arrivé, ça pourrait vous servir. Les environnements de test oubliés sont plus souvent des portes d'entrée que les systèmes de production.

À votre place, j'irais par cette voie.

Il y a un point auquel il faut faire attention. La sécurité n'est pas absolue ; c'est rendre l'attaque trop coûteuse pour valoir l'effort.

Je le note au cas où.

Résumé rapide pour les nouveaux : Si vous obtenez trois réponses différentes sur un sujet, la question est mal posée.

Bon courage.

Ma question va paraître un peu novice, désolé d'avance. Quand on décide sans mesurer, on revient toujours au même point.

La plupart des incidents ne viennent pas d'une faille, mais d'un mot de passe divulgué. J'espère que cela vous sera utile.

Mes doutes sont levés, merci. Tous ceux qui se pressent sur soc reponse aux incidents incluse se heurtent au même obstacle.

Je le note au cas où.

vous avez raison, je suis aussi passé par là puis avant de décider, regardez quuelles données vous avez en main.

prendre des notes pendant deux semaines donne de meilleurs résutats qu'une estimation de six mois.

Séparons les concepts, ils sont souvent confondus. Si le chemin de notification est long la notification n'arrive pas ; une notification manquante signifie un événement détecté tardivement.

C'est confirmé par l'expérience.

je suis entièrement d'accord... le fait que la sauvegarde soit accessible sur le même réseau et avec la même identité en fait une cible potentielle.

la sécurité n'est pas absolue ; c'est rendre l'attaque trop coûteuse pour valoir l'effort mais si vous avez des questions, écrivez-moi je répondrai au mieux.

Je suis d'accord. Si vous grondez les fausses alertes, plus personne ne signalera rien.

Une sauvegarde non testée n'est pas une sauvegarde. Voilà, désolé si je me suis étendu.