SOC Tier 1 / Tier 2 / Tier 3

general

Définition

La structure en niveaux (Tiers) d'un SOC (Security Operations Center) organise les analystes de sécurité selon leur niveau d'expertise et les types de tâches qu'ils traitent. Ce modèle de triage permet de gérer efficacement le volume d'alertes tout en optimisant l'utilisation des experts les plus qualifiés pour les cas les plus complexes. Le Tier 1 (Triage et monitoring) représente la première ligne de réponse. Les analystes Tier 1 surveillent en temps réel les dashboards SIEM et EDR, traitent le flux d'alertes, effectuent le triage initial (l'alerte est-elle un vrai positif ou un faux positif ?), appliquent les playbooks de réponse standardisés pour les incidents courants, et escaladent les cas complexes vers le Tier 2. Leur expertise est généraliste : ils connaissent les outils du SOC (SIEM, EDR, ticketing) et savent suivre des procédures. Le Tier 1 gère souvent le plus grand volume d'alertes — jusqu'à 100-200 alertes par shift pour certains SOC. La fatigue d'alerte (trop d'alertes, beaucoup de faux positifs) est le principal défi du Tier 1. Le Tier 2 (Investigation et réponse aux incidents) reçoit les escalades du Tier 1. Les analystes Tier 2 ont une expertise plus approfondie en forensics numérique, analyse des malwares, investigation des logs, et réponse aux incidents. Ils analysent les incidents escaladés, déterminent l'étendue et l'impact, coordonnent les actions de containment et d'éradication, et gèrent les cas actifs jusqu'à leur résolution. Ils participent aussi à l'amélioration des playbooks et à la tuning des règles de détection (réduire les faux positifs qui surchargent le Tier 1). Le Tier 3 (Threat Hunting et expertise avancée) est le niveau le plus expert. Les analystes Tier 3 conduisent le threat hunting proactif (recherche active de compromissions non détectées), développent de nouvelles règles de détection et de nouveaux playbooks, gèrent les incidents les plus complexes (APT, compromissions avancées), et mènent les analyses de malwares approfondies (reverse engineering). Ils définissent aussi la stratégie de détection du SOC, alignée sur le framework MITRE ATT&CK. Les SOC modernes complètent cette structure humaine avec l'automatisation SOAR (Security Orchestration, Automation and Response) qui automatise les tâches répétitives du Tier 1 (enrichissement des IOC, réponses automatisées aux incidents de faible sévérité), permettant aux analystes de se concentrer sur la valeur ajoutée.

Métriques par Tier — SLA et performance

Chaque Tier du SOC a des SLA (Service Level Agreements) de réponse. Tier 1 : acknowledge d'une alerte critique en < 5 minutes, triage initial en < 15 minutes, escalade en < 30 minutes si le cas dépasse ses capacités. Tier 2 : début d'investigation en < 1 heure après escalade, rapport d'impact préliminaire en < 4 heures. Tier 3 : disponibilité pour les escalades urgentes 24/7, analyse malware complète en < 24 heures. Les métriques clés suivies par management incluent : MTTD (Mean Time to Detect), MTTA (Mean Time to Acknowledge), MTTC (Mean Time to Contain), taux de faux positifs par source d'alerte, volume d'alertes traité par analyste, et taux d'escalade Tier 1 → Tier 2 (un taux élevé signale soit un manque de formation du Tier 1, soit trop de faux positifs difficiles à identifier).

MSSP vs SOC interne — avantages et limites

Un MSSP (Managed Security Service Provider) fournit les services SOC en outsourcing : monitoring 24/7, détection, et réponse initiale aux incidents. Les avantages du MSSP : couverture 24/7 à moindre coût qu'un SOC interne full-time (le MSSP mutualise ses analystes entre plusieurs clients), accès à une équipe d'experts sans le délai de recrutement et de formation, threat intelligence mutualisée (les incidents d'un client informent la protection de tous), et flexibilité (scale up/down selon les besoins). Les limites : connaissance moins approfondie du contexte métier du client, délai de réponse dû aux processus d'escalade entre MSSP et client, et dépendance à un tiers pour des fonctions critiques. Le modèle hybride (SOC interne Tier 1 avec MSSP en support Tier 2/3, ou MSSP Tier 1 avec équipe interne Tier 2/3) est souvent le plus efficace pour les organisations de taille intermédiaire.

Dimensionnement d'un SOC — calcul du nombre d'analystes

Le dimensionnement d'un SOC est un exercice complexe. Pour une couverture 24/7 avec 5 shifts (3 shifts de 8h + weekends/jours fériés couverts), il faut généralement 5-6 analystes par poste de monitoring (pour couvrir congés, formations, absences). Un SOC minimal 24/7 nécessite donc 5-6 analystes Tier 1 + 3-4 Tier 2 + 1-2 Tier 3 + 1 responsable SOC = 10-13 personnes. À cela s'ajoutent les coûts d'infrastructure (SIEM, EDR, SOAR, CTI plateforme) qui peuvent représenter 500K€ à plusieurs millions d'euros annuels. Pour les organisations dont le budget ne permet pas un SOC interne complet, le SOC as a Service (SOCaaS) — une variante MSSP plus intégrée — offre une alternative avec des SLA garantis et des modèles de tarification à l'usage ou à l'abonnement mensuel.

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis