Réponse à incident (cœur du poste) :
- Investigation approfondie des incidents escaladés : reconstitution de la kill chain, analyse forensique de postes et de comptes, qualification de l'impact.
- Pilotage de la remédiation avec le client : confinement, éradication, recommandations, rapport d'incident.
- Gestion de crise : coordination avec le client, sa DSI et les éditeurs, communication factuelle et régulière.
- Threat hunting proactif sur les plateformes (CrowdStrike Falcon, SentinelOne, Netskope et Exabeam).
Ingénierie de détection
- Conception, test et maintenance des règles de détection (Exabeam, CrowdStrike NG-SIEM), avec une approche detection-as-code : versioning Git, revue, déploiement.
- Réduction du bruit : tuning des faux positifs, mesure et amélioration du MTTD et du MTTR.
- Intégration de nouvelles sources de logs et onboarding de nouveaux clients : parsers, normalisation, cas d'usage.
- Automatisation des playbooks via notre SOAR et n8n, exploitation des fonctions IA des plateformes pour le triage.
Relation client et amélioration continue
- Participation aux comités de sécurité clients : présentation des incidents, tendances, plan d'amélioration.
- Rédaction des procédures et playbooks, revue des rapports d'incident produits par le N1.
- Veille sur la menace et intégration du renseignement (IOC, TTP) dans la détection.
- Contribution au build : cadrage technique en avant-vente, définition des cas d'usage lors de l'intégration de nouveaux clients.
Encadrement
- Mentorat et montée en compétences des analystes N1 et des alternants.
- Rôle de référent technique sur un ou deux éditeurs de la stack définie ci-après.
Notre stack technique
- EDR / XDR : CrowdStrike Falcon (EDR, NG-SIEM, Identity Protection), SentinelOne
- SIEM / UEBA : Exabeam New-Scale
- Réseau et accès : Netskope, WALLIX, Extreme Networks, Radware
- Gestion de l'exposition : Tenable, Orca Security
- Automatisation : SOAR, n8n, Python, API éditeurs, Git
Profil recherché
Profil recherché :
Expérience et compétences
- 4 à 8 ans d'expérience en SOC (MSSP ou interne) ou en réponse à incident, dont des interventions menées en autonomie sur des incidents avérés.
- Maîtrise d'au moins un EDR et un SIEM de notre stack ; connaissance approfondie de Windows / Active Directory, Entra ID / Microsoft 365 et Linux.
- Pratique de l'analyse forensique (mémoire, disque, logs) et des techniques d'attaque : MITRE ATT&CK, mouvements latéraux, persistance, exfiltration.
- Capacité à écrire des règles de détection et à scripter (Python, langages de requête SIEM).
- Anglais professionnel : clients internationaux, documentation éditeurs.
Certifications appréciées
- Éditeurs : CrowdStrike CCFA / CCFR / CCFH, Exabeam.
- Blue team : GIAC GCIH / GCFA, CompTIA CySA+, BTL1 / BTL2, eCIR ou équivalent.
- Autres : OSCP (offensif), CISSP.
Qualités attendues
- Rigueur dans l'analyse et calme en situation de crise.
- Clarté à l'écrit et à l'oral, y compris face à un client sous pression.
- Envie de transmettre et de faire progresser l'équipe.