Études de cas
Des problèmes réels rencontrés en construisant un SOC/SOAR auto-hébergé, avec la cause racine et ce qui a changé.
- 01
Un SOC/SOAR auto-hébergé sur un homelab à trois nœuds
L’architecture de mon projet de fin d’études : ce qu’il collecte, comment il réagit et les règles sur lesquelles il repose. Aucune exposition publique, chaque changement versionné, chaque affirmation testée.
- 02
Quand le SIEM devient aveugle sans la moindre erreur
Trois pannes silencieuses en deux jours, aucune signalée par le SIEM lui-même. Remonter à une cause racine commune, puis construire un watchdog qui les aurait détectées toutes les trois.
- 03
Detection as code : versionner le jeu de règles d'un SIEM en production
Mettre le jeu de règles Wazuh sous Git sans étape de synchronisation susceptible de dériver, et une suite de non-régression construite à partir de vraies lignes de log, prouvée par un contrôle négatif qui fait revenir un ancien bug.
- 04
Blocage automatique d'IP sans donner au SIEM les clés du pare-feu
Une alerte IDS critique bannit l’attaquant au pare-feu en quelques secondes, pour dix minutes. Le plus intéressant est ce que le SIEM n’a pas le droit de faire, et deux bugs que seul un vrai test de bout en bout a révélés.
- 05
Laisser des agents IA exploiter un homelab, sous contrôle
Des agents LLM capables d’interroger le SIEM et de gérer des conteneurs depuis mon téléphone, confinés par trois couches de permissions indépendantes. Et le jour où un agent a tenté de contourner un outil manquant, ce qui a montré ce que le SIEM ne voyait pas encore.