MISSIONS PRINCIPALES Réponse à Incident (DFIR) Prendre en charge des incidents de bout en bout : qualification, investigation forensique, containment, éradication, remédiation Collecter et analyser les artefacts forensiques sur endpoints Windows et Linux : journaux EVTX, persistance (registry, prefetch, MFT), analyse mémoire Utiliser les EDR en investigation avancée (CrowdStrike, SentinelOne, Microsoft Defender for Endpoint) ? pas uniquement consommer des alertes Produire des rapports d'investigation exploitables : volet technique détaillé ET synthèse managériale Coordonner les actions de réponse avec les équipes IT/OT des entités impactées et des filiales Réponse à Incident en Environnement OT Adapter la démarche d'investigation aux contraintes industrielles : disponibilité avant tout, pas de patch à chaud, protocoles spécifiques (Modbus, DNP3, OPC-UA) Intervenir sur des incidents impliquant des systèmes SCADA, ICS ou automates sans déstabiliser la production Collaborer avec les équipes OT locales qui connaissent le terrain industriel mais pas les réflexes cyber Threat Hunting & CTI Opérationnelle Conduire des campagnes de threat hunting proactif sur le SI du groupe ? sur hypothèse TTPs, pas uniquement sur alertes Rédiger des requêtes de chasse avancées en SPL (Splunk) ou KQL (Microsoft Sentinel) Effectuer une veille active sur la menace : rapports threat intel, suivi des acteurs menaçants pertinents pour le secteur Alimenter et maintenir le Threat Model du groupe depuis les investigations et la veille CTI Utiliser les plateformes CTI de façon opérationnelle : MISP, OpenCTI, VirusTotal Enterprise Amélioration Continue de la Détection Proposer et implémenter de nouvelles règles de détection SIEM issues des incidents traités et de la veille CTI Assurer le tuning des règles existantes pour réduire le bruit sans dégrader la couverture Traduire les TTPs MITRE ATT&CK (IT et ICS) en règles de détection concrètes Documentation & Capitalisation Rédiger et maintenir les SOP, IRP et IRG Produire des retours d'expérience après chaque incident significatif Contribuer à la montée en compétence de l'équipe via le partage de méthodes et d'outils