Sommaire de la documentation
AarSOC · Fonctionnement
Détection et alertes
Les règles de détection AarSOC, leur alignement MITRE ATT&CK, les niveaux de sévérité, les seuils, les faux positifs et les canaux par lesquels vous êtes alerté.
Sur cette page
Les règles
- Les règles standard de notre moteur de détection, complétées par nos propres règles : élévation de privilèges, persistance, exfiltration, attaques sur Active Directory comme le Kerberoasting, modification des fichiers sensibles avec l’identité de l’auteur.
- Nos règles sont versionnées et testées automatiquement avant chaque déploiement.
- Elles sont alignées sur MITRE ATT&CK : quand la règle la définit, chaque alerte porte la technique et la tactique correspondantes. Selon l’offre, une page du portail montre quelles techniques sont effectivement couvertes sur votre parc.
Règles propres à votre métier
Nous développons des règles à partir des cas d’usage que vous identifiez : comportements anormaux sur vos applications critiques, accès hors plage horaire sur des systèmes sensibles, transferts inhabituels. Elles s’appuient sur les journaux déjà collectés quand les données nécessaires y figurent.
Sévérité
Quatre niveaux dans AarView : faible, moyen, élevé, critique. Pour une alerte de notre moteur de détection, ils découlent du niveau de la règle :
| Niveau de la règle | Sévérité AarView |
|---|---|
| 7 et plus | moyen |
| 12 et plus | élevé |
| 15 et plus | critique |
Un analyste peut corriger la sévérité lors du tri.
Seuils et faux positifs
- Les seuils sont ajustés pendant les premières semaines sur votre activité normale, puis à chaque faux positif signalé ou changement significatif de votre environnement.
- Chaque modification de règle passe par notre dépôt de code et reste tracée.
- Un faux positif est clôturé avec son motif dans le portail. S’il se répète, la règle est affinée ou une exception documentée est ajoutée à nos règles versionnées.
Comment vous êtes alerté
- Dans le portail et par e-mail, en français puis en anglais. Chaque utilisateur choisit : alertes critiques seulement, tous les incidents, tickets qui lui sont assignés, résumé quotidien.
- Par webhook signé vers votre outil, configuré par notre équipe : nouvelle alerte, nouveau cas, changement de statut ou de sévérité, rapport finalisé.
- Une API donne accès à vos incidents.
AarView, sur lequel AarSOC fonctionne, sait envoyer un dossier vers Jira, ServiceNow, Slack ou Microsoft Teams depuis la version 1.77.0, chaque envoi étant approuvé (connecteurs sortants) : demandez-nous de l’activer pour votre service. Il n’existe pas d’envoi par SMS.
Une alerte critique déclenche aussi l’astreinte : voir Couverture et astreinte.