Ingénierie de détection

Définition

L'ingénierie de détection est la discipline qui consiste à concevoir, développer, tester et maintenir des mécanismes capables d'identifier des activités malveillantes dans un système d'information. Elle s'appuie sur une méthodologie structurée : recueil des besoins métier et des scénarios de menace, modélisation des comportements adverses via le référentiel MITRE ATT&CK, écriture de règles de détection, validation en environnement de test, puis déploiement dans le SIEM ou l'EDR de production. L'ingénierie de détection dépasse la simple création de signatures ; elle intègre un cycle de vie complet incluant le versionnement des règles, la mesure de leur efficacité, leur ajustement face aux faux positifs et leur retrait lorsqu'elles deviennent obsolètes. Les équipes s'appuient souvent sur des frameworks comme le Detection Engineering Maturity Matrix ou sur des approches de type detection-as-code, où les règles sont gérées dans un dépôt Git, testées automatiquement et déployées par intégration continue. Cette discipline nécessite une collaboration étroite entre analystes SOC, threat hunters et équipes de threat intelligence afin d'aligner les détections sur les tactiques, techniques et procédures réellement observées. Elle constitue un pilier de la maturité en cybersécurité défensive, en particulier pour les organisations soumises à des exigences réglementaires comme NIS2 ou à des référentiels comme le NIST CSF, qui imposent des capacités de détection continue et documentée.