Cloud SOC

Définition

Un Cloud SOC (Cloud Security Operations Center) est un centre de surveillance et de réponse aux incidents de sécurité spécialisé dans les environnements cloud. Il adapte les capacités traditionnelles du SOC aux spécificités du cloud : sources de logs différentes (CloudTrail, Azure Monitor, Cloud Logging plutôt que les logs réseau et endpoint traditionnels), menaces spécifiques (misconfiguration, IAM abuse, lateral movement cross-account), et vitesse de change élevée des environnements cloud. Les sources de données d'un Cloud SOC incluent les logs cloud natifs (CloudTrail, Azure Activity Logs, Cloud Audit Logs), les logs de sécurité des services (VPC Flow Logs, GuardDuty findings, Defender for Cloud alerts), les logs applicatifs (API Gateway, Lambda, CloudFront), les logs de sécurité des workloads (EDR sur les VMs, Falco sur les conteneurs), et les signaux de Threat Intelligence (IOCs cloud : IPs malveillantes, domaines C2, patterns d'attaque cloud connus). Les cas d'usage de détection spécifiques au cloud SOC incluent : l'abus de credentials IAM (utilisation de credentials depuis des pays inhabituels, actions à haute criticité hors des heures de travail), les attaques d'escalade de privilege IAM (création de ClusterRoleBindings vers cluster-admin, modification de policies IAM), la découverte excessive de ressources (listing massif de ressources indiquant une reconnaissance), l'exfiltration via les services cloud (volume anormal de GetObject S3, téléchargement massif via API), et les activités de cryptomining (lancement d'instances GPU non standards). Les outils et services supportant un Cloud SOC incluent : AWS Security Hub et GuardDuty (agrégation et détection native AWS), Microsoft Sentinel avec les connecteurs Azure et AWS, Chronicle SIEM (Google, optimisé pour les volumes de logs cloud), et les solutions tierces comme Splunk, Elastic, et Sumo Logic avec leurs content packs cloud spécifiques. L'organisation d'un Cloud SOC suit des niveaux similaires au SOC traditionnel : L1 (triage des alertes, investigation de premier niveau), L2 (investigation approfondie, corrélation), et L3 (threat hunting proactif, forensique cloud). La principale différence est la nécessité d'une expertise cloud spécifique à tous les niveaux : un analyste L1 doit comprendre les services cloud pour contextualiser les alertes.