FAQ : AarSOC

Un agent Wazuh installé sur chaque machine transmet ses événements de sécurité à nos managers. Le trafic passe par un tunnel WireGuard propre à votre organisation, sur votre propre sous-réseau ; à l'intérieur, chaque agent échange avec le manager sur une connexion chiffrée par une clé qui lui est propre. L'enrôlement utilise un mot de passe transmis hors du portail, mais il ne suffit pas : une machine n'est rattachée à votre organisation qu'après approbation explicite de notre SOC, machine par machine. Les collecteurs Beats (Suricata et autres sources réseau) s'authentifient, eux, par certificat client (TLS mutuel).

Par agent : systèmes Linux et Windows (journaux système, Sysmon, intégrité des fichiers, inventaire, vulnérabilités) et les journaux d'applications lus localement (syslog, JSON, journaux d'événements Windows). Depuis un outil existant : alertes reçues par API de Wazuh, Elastic Security, Splunk, IBM QRadar, Microsoft Sentinel, Graylog et OpenSearch, ou lues directement dans un Elastic, un OpenSearch ou un Wazuh. Nous n'avons pas de récepteur syslog réseau : un équipement réseau est collecté par un agent ou un relais qui lit ses journaux.

Les décodeurs Wazuh extraient les champs (horodatage, machine, utilisateur, adresses, identifiant d'événement), puis les règles qualifient l'événement. L'alerte est enrichie d'une géolocalisation des adresses publiques calculée sur nos serveurs (base DB-IP mise à jour chaque mois, sans appel à un service externe) et rangée dans les index de votre organisation. Les alertes reçues d'un SIEM tiers sont converties vers un schéma commun avant enregistrement.

Nous écrivons un décodeur et des règles Wazuh à partir d'un échantillon de vos journaux. Le délai dépend du format et de sa documentation. Les sources identifiées au cadrage entrent dans le périmètre initial ; celles découvertes après le démarrage font l'objet d'un avenant.

Vos journaux restent en ligne, interrogeables en temps réel, pendant 6, 12 ou 24 mois selon votre offre (Sentinelle 6 mois, Gardien 12 mois, Citadelle et Souveraine 24 mois). Avec Citadelle et Souveraine, une copie peut en plus être conservée sur votre propre site. La durée est celle de votre offre, inscrite au contrat, et ne peut être modifiée sans accord bilatéral.

Oui, dans le portail AarView : la page Événements recherche dans vos alertes sur les 30 derniers jours au plus, en texte libre ou par règle, machine et adresse. Le serveur limite chaque requête à votre organisation. Une API à clés de portée limitée donne accès à vos incidents et statistiques, et, avec Citadelle et Souveraine, à l'archive de vos événements. Nous ne conservons pas les journaux bruts qui ne déclenchent aucune règle.

La plateforme n'applique aucun plafond de volume et ne tronque jamais vos données. Le périmètre couvert (machines et sources) est défini au contrat ; son extension se fait par avenant.

Oui : les règles Wazuh standard, complétées par nos propres règles (élévation de privilèges, persistance, exfiltration, attaques sur Active Directory comme le Kerberoasting, modification des fichiers sensibles avec l'identité de l'auteur). Nos règles sont versionnées et testées automatiquement avant chaque déploiement.

MITRE ATT&CK. Quand la règle la définit, chaque alerte porte la technique et la tactique correspondantes. Selon l'offre, une page du portail montre quelles techniques sont effectivement couvertes sur votre parc.

Oui. Nous développons des règles à partir des cas d'usage que vous identifiez : comportements anormaux sur vos applications critiques, accès hors plage horaire sur des systèmes sensibles, transferts inhabituels. Elles s'appuient sur les journaux déjà collectés quand les données nécessaires y figurent.

Quatre niveaux dans AarView : faible, moyen, élevé, critique. Pour une alerte Wazuh, ils découlent du niveau de la règle (7 et plus : moyen, 12 et plus : élevé, 15 et plus : critique). Un analyste peut corriger la sévérité lors du tri.

Ils sont ajustés pendant les premières semaines sur votre activité normale, puis à chaque faux positif signalé ou changement significatif de votre environnement. Chaque modification de règle passe par notre dépôt de code et reste tracée.

Dans le portail et par e-mail, en français puis en anglais ; chaque utilisateur choisit : alertes critiques seulement, tous les incidents, tickets qui lui sont assignés, résumé quotidien. Nous pouvons aussi pousser les événements (nouvelle alerte, nouveau cas, changement de statut ou de sévérité, rapport finalisé) vers votre outil par webhook signé, configuré par notre équipe. Il n'existe pas aujourd'hui d'intégration native Jira, ServiceNow, Slack, Teams ou SMS.

Un faux positif est clôturé avec son motif dans le portail. S'il se répète, la règle est affinée ou une exception documentée est ajoutée à nos règles versionnées.

Une alerte critique déclenche l'astreinte : l'analyste de garde est appelé, puis son suppléant après 15 minutes sans prise en charge, puis toute l'équipe après 30 minutes. L'astreinte sur les alertes critiques fait partie de toutes les offres.

Notre équipe d'analystes. Chaque client a un analyste référent ; Gardien ajoute un binôme, Citadelle et Souveraine une équipe. Un analyste ne voit que les clients qui lui sont affectés.

Le 24/7 fait partie de Citadelle et Souveraine, à l'ouverture commerciale. Toutes les offres incluent l'astreinte sur les alertes critiques. Pendant le programme pilote, la couverture est assurée de 6h00 à 24h00 WAT en jours ouvrés : notre équipe est répartie sur quatre fuseaux horaires (Dakar WAT, Casablanca GMT+1, Paris GMT+1/+2, Montréal GMT-4/-5). Nous préférons documenter la couverture réellement assurée à chaque étape plutôt que de la revendiquer par avance.

La plateforme mesure pour chaque incident le délai de détection et le délai de traitement, et les affiche dans votre tableau de bord ; notre objectif interne de traitement est de 4 heures. Les engagements contractuels de délai sont fixés dans votre contrat selon l'offre.

Nous qualifions l'incident (périmètre, technique, machines touchées), documentons sa chronologie dans le portail et partageons les indicateurs de compromission. Avec Citadelle, nous pouvons collecter des preuves à distance sur la machine, sans la modifier. Nous recommandons les actions de confinement adaptées à votre contexte et appuyons votre équipe interne ; à défaut, une mission de réponse à incident peut être engagée.

La détection, la qualification et l'investigation sont incluses. Nos automatisations sont validées par un analyste dès qu'elles concernent une machine, et la collecte de preuves à distance ne fait que lire. Nous n'isolons pas de machine, ne tuons pas de processus et ne supprimons pas de fichier chez vous : la réponse opérationnelle (confinement, éradication, remédiation) relève d'une mission complémentaire, facturée séparément. Nous ne réalisons aucune action sur votre infrastructure sans mandat explicite de votre part.

Votre tableau de bord (score, délais, tendances), les incidents et alertes avec leur chronologie, la recherche d'événements, votre parc de machines et leur posture, les vulnérabilités, les tickets, la messagerie avec votre analyste et vos rapports. Selon l'offre s'ajoutent le renseignement sur les menaces, la chasse, la surveillance des domaines sosies et des fuites de comptes, et les automatisations.

Un rapport de période (mensuel par défaut) en PDF, comparé à la période précédente, et des rapports par incident et par machine, en français ou en anglais. Les PDF exportés sont chiffrés. Il n'y a pas de rapport hebdomadaire.

Dans l'offre opérée par CyberAar, sur nos serveurs en Europe (Helsinki, Finlande), chez un fournisseur d'infrastructure européen. Seule exception : l'assistant IA de Citadelle envoie à un modèle externe (Claude, d'Anthropic) des extraits pseudonymisés au préalable ; Souveraine et le pilote n'ont pas d'IA, et vos données ne quittent alors pas notre infrastructure. Pour des exigences de résidence plus strictes, un déploiement dans votre propre infrastructure s'étudie au cas par cas.

Les analystes affectés à votre organisation, les administrateurs du SOC et les ingénieurs qui exploitent la plateforme. Un analyste non affecté ne voit pas vos données. La consultation d'un incident et de ses preuves est journalisée, comme les accès par API à votre archive. Aucun accès n'est donné à des commerciaux ni à des tiers.

Oui, à plusieurs niveaux : chaque client a son tunnel et son sous-réseau ; une machine n'est rattachée à un client qu'après approbation du SOC ; vos alertes sont rangées dans vos propres index ; la base du portail cloisonne les données par client au niveau de chaque ligne ; chaque requête du portail est filtrée sur votre organisation par le serveur. Il n'y a pas de clé de chiffrement distincte par client.

Uniquement avec Citadelle : tri des alertes, synthèses et brouillons de rapport (fonction en bêta). Avant tout envoi au modèle (Claude, d'Anthropic), nos serveurs remplacent les noms de machines, adresses, comptes, e-mails et noms de clients par des jetons et masquent les secrets ; l'envoi est refusé si une valeur d'origine subsiste. L'IA suggère, un analyste décide : elle ne clôture, n'assigne ni n'escalade rien. Souveraine et le pilote n'utilisent pas d'IA.

Les PDF exportés sont chiffrés en AES-256 avec un mot de passe aléatoire propre à chaque export, dont nous ne conservons qu'une empreinte. Ils circulent en TLS et ne sont accessibles qu'aux comptes de votre organisation habilités dans le portail. Ils ne sont jamais partagés entre clients.

À la résiliation, vos accès sont fermés et la collecte arrêtée. Vous pouvez exporter vos incidents (CSV) et, avec Citadelle et Souveraine, l'archive de vos événements (JSON). Vos données sont ensuite supprimées selon les modalités du contrat. Nos sauvegardes quotidiennes qui les contiennent encore expirent d'elles-mêmes dans les 30 jours suivants : l'attestation de suppression vous est transmise à cette échéance.

C'est possible : la plateforme repose sur des composants open source et le portail AarView est disponible sous licence. Ce déploiement se prépare au cas par cas avec vos équipes (installation, configuration, transfert de compétences). Une étape intermédiaire existe : un collecteur Wazuh installé chez vous, relié à nos managers.

La plateforme repose sur des composants open source. L'infrastructure sous-jacente peut être reprise par n'importe quel tiers qualifié. Vos données restent les vôtres et sont exportables. Notre couche d'orchestration et le portail client sont propriétaires : leur reprise par un tiers nécessiterait un redéveloppement. Pour les déploiements mutualisés, nous nous engageons contractuellement à fournir une image complète de votre environnement avec un préavis de 90 jours en cas de cessation d'activité.

Non. Vos données sont exportables dans des formats standards (CSV, JSON) et les alertes suivent le format Wazuh, ouvert. La plateforme repose sur des protocoles ouverts. Si vous souhaitez migrer ou internaliser l'exploitation, nous fournissons la documentation nécessaire et un accompagnement à la transition.

Vous conservez vos journaux, rapports et configurations exportés. Les règles de détection développées pour votre contexte vous appartiennent et peuvent être exportées : ce sont des règles Wazuh standard.

Oui. Le code des composants open source sous-jacents est public. Notre couche d'orchestration et le portail client ne sont pas publiés. Pour l'environnement mutualisé, nous acceptons des audits techniques encadrés sur demande, selon un périmètre et des conditions définis contractuellement. Notre propre système de management de la sécurité de l'information est engagé dans une démarche de certification ISO/IEC 27001:2022.

Le raccordement technique (tunnel, agents, approbation des machines) se suit étape par étape dans le portail. Viennent ensuite quelques semaines de rodage pour ajuster les règles à votre activité, avec validation des premières alertes par vos équipes. Des applications propriétaires ou un environnement hybride allongent ce délai, estimé au cadrage.

L'agent Wazuh est léger et ne modifie pas la configuration des services surveillés. Sa consommation dépend du volume de journaux lus et des contrôles activés (intégrité des fichiers, inventaire). Nous pouvons le tester d'abord dans votre environnement de qualification.

Les deux sont possibles. AarSOC peut remplacer votre outil de supervision ou s'y ajouter : les alertes de votre SIEM (Splunk, QRadar, Sentinel, Elastic, Graylog, OpenSearch, Wazuh) sont envoyées à AarView par API, ou lues directement dans un Elastic, un OpenSearch ou un Wazuh. Le choix est fait au cadrage.

Oui. Nous poussons les événements vers votre outil par webhook signé, et une API donne accès à vos incidents. Il n'existe pas aujourd'hui de connecteur natif Jira ou ServiceNow.

Un seul flux sortant depuis votre passerelle : UDP 51820 vers notre passerelle WireGuard, dont nous vous donnons l'adresse. Aucun port entrant. Dans le tunnel, vos machines n'atteignent que les ports de collecte (1514 et 1515 pour les agents, 5044 à 5047 pour les collecteurs Beats) et le portail ; tout le reste est bloqué.

Un cadrage technique (sources, machines critiques, notifications), le raccordement et le déploiement des agents avec vos équipes, une période de rodage avec analyse quotidienne des premières alertes, puis un point de validation avant le régime normal. Le portail montre l'avancement de chaque étape.

Mensuellement, selon l'offre choisie et le périmètre couvert, établi au cadrage. Il n'y a pas de frais liés au nombre d'alertes ou d'incidents. Tarifs sur demande.

Les quatre offres sont cumulatives. Sentinelle : surveillance, alertes et incidents, vulnérabilités, astreinte sur les alertes critiques, analyste référent, 6 mois de conservation. Gardien ajoute l'investigation, le renseignement sur les menaces, la posture, un binôme d'analystes et 12 mois. Citadelle ajoute les automatisations, l'investigation numérique à distance, la chasse, le 24/7, une équipe, l'assistant IA, 24 mois et l'archive sur site. Souveraine reprend Citadelle sans IA ni aucun service tiers. Détail sur la page Offres.

Pendant six mois, vous accédez aux fonctions de Citadelle, sans l'assistant IA, avec un analyste référent. À l'issue du pilote, un rapport documente les détections réalisées, les faux positifs rencontrés et les ajustements effectués ; vous choisissez alors une offre, ou vous arrêtez et repartez avec vos données. Les conditions du pilote sont définies contractuellement.

Notre SMSI est aligné sur la norme ISO/IEC 27001:2022 et la démarche de certification est engagée. Nous ne revendiquons pas la certification tant qu'elle n'est pas obtenue.

Oui, dans le périmètre de notre rôle. La plateforme contribue à la traçabilité des événements de sécurité, à la conservation des preuves et à la détection des incidents, éléments requis par des référentiels comme DORA, NIS 2 ou les régulations sectorielles locales. Nous documentons ce que la plateforme couvre et ce qu'elle ne couvre pas, pour que vous puissiez l'intégrer correctement à votre dossier de conformité.

Oui. Un accord de confidentialité est signé avant tout échange d'information sensible et avant tout accès à vos données. Le contrat de service inclut des clauses spécifiques à la confidentialité des données de journalisation.