Au sein de l'équipe SOC/CSIRT, vous intervenez sur l'ensemble du cycle de vie des incidents de sécurité affectant de nos clients. Vous êtes en première ligne lors des crises cyber (ransomware, compromission de comptes, intrusion, exfiltration de données) et contribuez, hors incident, à renforcer les capacités de détection et de réponse de l'organisation. Missions principales 1. Traitement des incidents (cœur du poste) Qualifier et prioriser les alertes escaladées par le SOC N1/N2 ; distinguer faux positifs, incidents mineurs et compromissions avérées. Piloter les investigations techniques : analyse des logs, de la télémétrie EDR, des flux réseau et des artefacts système. Établir la chronologie de l'attaque, le patient zéro, le périmètre de compromission et les IoC associés. Définir et coordonner les actions de confinement, d'éradication et de remédiation avec les équipes IT, infrastructure et métiers. Assurer la préservation de la preuve (chaîne de custody) lorsque le contexte l'exige (dépôt de plainte, notification CNIL, assurance cyber). Rédiger les rapports d'incident techniques et les synthèses à destination du management et, le cas échéant, des clients. 2. Analyse forensic et malware Réaliser des acquisitions et analyses forensic sur poste de travail, serveur et environnement cloud (disque, mémoire, journaux, artefacts cloud). Effectuer une analyse statique et dynamique de première ligne des binaires suspects ; extraire les IoC exploitables. Reconstituer les TTP de l'attaquant et les cartographier sur MITRE ATT&CK. 3. Préparation et amélioration continue Rédiger, maintenir et tester les playbooks de réponse à incident (ransomware, compromission de messagerie, exfiltration, compromission Active Directory / Entra ID). Contribuer à la définition et à l'amélioration des règles de détection (SIEM, EDR) sur la base des retours d'incidents. Participer à la conception et à l'animation d'exercices de crise cyber et de simulations table-top. Mener des campagnes de threat hunting proactif à partir de l'actualité des menaces et de la CTI. Capitaliser via les retours d'expérience (RETEX) et le suivi des plans d'action post-incident. 4. Support et transverse Accompagner et faire monter en compétence les analystes N1/N2. Contribuer aux échanges avec les partenaires externes : CERT sectoriel, ANSSI, prestataires DFIR, assureurs. Compétences techniques requises Maîtrise du cycle de réponse à incident (NIST SP 800-61 ou SANS PICERL). Forensic Windows avancé : registre, journaux d'événements, MFT, prefetch, shimcache, LNK, analyse mémoire (Volatility). Investigation Active Directory : Kerberoasting, DCSync, Golden/Silver Ticket, mouvements latéraux, analyse des journaux d'authentification. Exploitation approfondie d'un EDR (CrowdStrike Falcon, Microsoft Defender XDR, SentinelOne, Sophos ou équivalent). Maîtrise d'un langage de requêtage SIEM : KQL, SPL, CQL ou équivalent. Analyse réseau : PCAP, Zeek/Suricata, détection de C2 et de tunneling. Connaissance du framework MITRE ATT&CK et de son usage opérationnel. Scripting pour l'automatisation et le traitement de données : Python et PowerShell.