01 · 2025–2026
Distributed SOC Lab
Un centre de surveillance de sécurité avec réponse automatique aux incidents
En quelques mots
J'ai monté, sur deux ordinateurs, l'équivalent d'une salle de surveillance de sécurité comme on en trouve en entreprise. Des sondes installées sur les machines surveillées remontent ce qui s'y passe, un moteur de règles repère les comportements suspects, puis un automate enrichit l'alerte avec des sources de renseignement, décide si elle est malveillante et ouvre un dossier d'incident pour l'analyste. J'ai vérifié que tout fonctionne en simulant de vraies attaques, de bout en bout.
Points clés
- Surveillance en temps réel de trois machines : Ubuntu Server, Windows 11 et un poste Linux.
- Réponse automatisée : enrichissement de l'alerte, ouverture du dossier d'incident, notification de l'analyste.
- Validé avec des simulations d'attaque réelles (Atomic Red Team), de la détection jusqu'au dossier.
- Projet académique en équipe avec Mohamed Reda Radouani.
Technologies
- Wazuh
- Shuffle
- TheHive
- Cortex
- Cassandra
- Elasticsearch
- Docker Compose
- Atomic Red Team
Attaques détectées (référentiel MITRE ATT&CK)
- T1053.003 (ouvre un nouvel onglet) Scheduled Task/Job: CronChaîne complète validée : test ART, alerte Wazuh, playbook Shuffle, cas TheHive #3.
- T1543.002 (ouvre un nouvel onglet) Create or Modify System Process: Systemd ServiceAlerte traitée par le playbook.
- T1003 (ouvre un nouvel onglet) OS Credential DumpingAlerte « Mimikatz Usage Detected » reçue dans TheHive.
Limites connues
- Un seul réseau physique : en production il faudrait des VLAN, de la haute disponibilité et un gestionnaire de secrets.
- Détection uniquement à base de règles.
- Couverture ATT&CK volontairement étroite, validée en profondeur.
Contexte: Projet académique en équipe avec Mohamed Reda Radouani. SOC open source sur deux hôtes physiques.
Architecture
- PC A (16 Go) : Wazuh (manager, indexer, dashboard) et Shuffle.
- PC B (8 Go) : TheHive, Cassandra, Elasticsearch et Cortex.
- Docker Compose sur les deux hôtes, LAN dédié 192.168.10.0/24.
- Endpoints surveillés : Ubuntu Server, Windows 11, poste Linux (agents Wazuh).
Détection
- Règles Wazuh personnalisées, chacune avec une sévérité et un identifiant de technique ATT&CK.
- Familles : exécution de commande suspecte via interpréteur de script (High), accès aux fichiers ou processus d'identifiants (Critical), scan de ports et découverte de services (Medium), trafic sortant vers un domaine ou une IP de réputation inconnue (High).
Playbook (Shuffle)
- Une alerte Wazuh arrive par webhook, l'observable est extrait.
- Enrichissement selon le type : IP via Cortex AbuseIPDB, hash de fichier via MalwareBazaar, URL ou domaine via URLhaus.
- Si malveillant : création d'un cas TheHive avec tags ATT&CK, classé TLP:AMBER / PAP:AMBER, et notification de l'analyste. Sinon : log seulement.
- Modèles de cas avec champs obligatoires et convention de tagging des observables.
Validation (Atomic Red Team, VM victime jetable avec snapshot)
- T1053.003 Scheduled Task/Job: Cron, chaîne complète validée (test ART, alerte Wazuh, playbook, cas TheHive #3).
- T1543.002 Create or Modify System Process: Systemd Service, alerte traitée par le playbook.
- T1003 OS Credential Dumping, alerte « Mimikatz Usage Detected » reçue dans TheHive.
Prochaines étapes
- Plus de techniques : T1046, T1059, T1071, T1021.
- Responders Cortex pour le blocage d'IP.
- Segmentation VLAN.