SuperSOC
Plateforme SOC/SOAR auto-hébergée, de l’attaque simulée à la réponse.
- Cadre
- Projet fil rouge, équipe de 3
- Domaines
- SOC, Infra, Dev
Une plateforme SOC complète, montée à trois sur un serveur physique. Une attaque jouée dans un réseau isolé est détectée par Wazuh, devient un ticket, puis l’IP en cause est enrichie et bloquée.
Le scénario
Pour éprouver la plateforme, on rejoue un incident réaliste dans la cyber range, un réseau que pfSense isole du reste. Une campagne de phishing interne dépose un RAT (pupy), qui ouvre un canal C2 chiffré et s’installe en persistance. Des applications web volontairement vulnérables subissent en parallèle des injections SQL, du XSS, de l’inclusion de fichiers et un webshell.
La détection
Wazuh collecte les journaux des machines de la cyber range. Nos règles maison repèrent les traces du RAT (binaires déposés, persistance systemd ou rc.local, processus masqué) et les attaques web. Chaque règle est rattachée à une technique MITRE ATT&CK, et deux règles de corrélation transforment plusieurs signaux en incident : un hôte compromis, ou une campagne d’attaque web en cours.
La réponse
Chaque alerte de niveau 10 ou plus part vers le SOAR, une API en Python/FastAPI :
- l’alerte brute est conservée dans MongoDB, et un ticket s’ouvre dans MariaDB avec une sévérité tirée du niveau Wazuh ;
- depuis le ticket, l’analyste lance un playbook : enrichissement de l’IP avec VirusTotal et AbuseIPDB, blocage sur pfSense, alerte de l’équipe sur Discord ;
- un tableau de bord Vue.js suit les tickets et les exécutions, avec des rôles et un journal d’audit.
C’est un prototype : certaines actions prévues, comme isoler une machine ou réinitialiser un mot de passe, ne sont pas encore implémentées.
L’investigation
Après l’attaque, l’investigation suit le NIST SP 800-61 : collecte des preuves avant toute remédiation, chronologie, indicateurs de compromission et rapport.
Le déploiement
Tout est décrit en code. Terraform crée les machines virtuelles sur Proxmox, Ansible les configure et déploie la pile Docker, et GitLab CI enchaîne lint, tests, build des images et déploiements, les étapes sensibles restant manuelles. L’administration passe uniquement par OpenVPN, et aucun secret n’est dans le dépôt.