Omar Lyahyai

Études de cas

Des problèmes réels rencontrés en construisant un SOC/SOAR auto-hébergé, avec la cause racine et ce qui a changé.

• 01

  Un SOC/SOAR auto-hébergé sur un homelab à trois nœuds

  L’architecture de mon projet de fin d’études : ce qu’il collecte, comment il réagit et les règles sur lesquelles il repose. Aucune exposition publique, chaque changement versionné, chaque affirmation testée.

  ArchitectureWazuhSOARProxmox

• 02

  Quand le SIEM devient aveugle sans la moindre erreur

  Trois pannes silencieuses en deux jours, aucune signalée par le SIEM lui-même. Remonter à une cause racine commune, puis construire un watchdog qui les aurait détectées toutes les trois.

  WazuhDécodeursSupervisionCause racine

• 03

  Detection as code : versionner le jeu de règles d'un SIEM en production

  Mettre le jeu de règles Wazuh sous Git sans étape de synchronisation susceptible de dériver, et une suite de non-régression construite à partir de vraies lignes de log, prouvée par un contrôle négatif qui fait revenir un ancien bug.

  WazuhGitTestsGestion des changements

• 04

  Blocage automatique d'IP sans donner au SIEM les clés du pare-feu

  Une alerte IDS critique bannit l’attaquant au pare-feu en quelques secondes, pour dix minutes. Le plus intéressant est ce que le SIEM n’a pas le droit de faire, et deux bugs que seul un vrai test de bout en bout a révélés.

  Active ResponsepfSenseSuricataMoindre privilège

• 05

  Laisser des agents IA exploiter un homelab, sous contrôle

  Des agents LLM capables d’interroger le SIEM et de gérer des conteneurs depuis mon téléphone, confinés par trois couches de permissions indépendantes. Et le jour où un agent a tenté de contourner un outil manquant, ce qui a montré ce que le SIEM ne voyait pas encore.

  Agents IAMCPMoindre privilègeIncident

Autres réalisations

• PurpleOps2026
  Application Android native qui lance un chroot Kali et affiche un tableau de bord Wazuh en direct via Tailscale. Versions signées construites par GitHub Actions.
• Homelaben continu
  Périmètre pfSense (Suricata, CrowdSec), segmentation VLAN, laboratoire purple team isolé, accès distant uniquement via Tailscale.
• JBR.ma2025 – 2026
  SaaS e-commerce pour artisans et commerçants marocains : Next.js, Strapi, PostgreSQL, CI/CD et Cloudflare Tunnels.

Contact

[email protected]