Triage d'alertes SOC : comment faire en 2026

Le triage d'alertes est l'activité principale d'un analyste SOC L1 : qualifier chaque alerte de sécurité (SIEM, EDR, NDR, CASB, threat intel) en faux positif, incident à escalader ou auto-remédier, en 5 à 15 minutes par alerte selon complexité. Un analyste traite en moyenne 50 à 150 alertes par jour (SANS SOC Survey 2024), sur un flux de 5 000 à 20 000 alertes quotidiennes cumulées dans un SOC grand compte. La méthodologie standard 2026 repose sur un framework en 6 étapes : classification initiale (severity, catégorie, asset criticality), enrichissement multi-sources (VirusTotal, MISP, AbuseIPDB, WHOIS, GeoIP, Active Directory, SIEM lookback), scoring structuré (threat intel correlation, asset criticality, user profile, baseline deviation, recency), décision (FP close, escalade L2, auto-remédier SOAR, investigation L1), documentation complète (ticket, timeline, artifacts, justification), feedback loop vers détection engineering. Le framework MITRE ATT&CK Enterprise v15 structure le mapping des TTPs observées. La règle 1-10-60 CrowdStrike (1 min MTTD, 10 min MTTI, 60 min MTTC) fixe la haute barre pour SOC top-tier ; les SOC ETI 2026 visent typiquement 15 min MTTD, 30-60 min MTTI, 2-4 h MTTC sur incidents critiques. L'automation SOAR (voir Qu'est-ce qu'un SOAR) libère les analystes de 30-50 % du temps de triage répétitif pour qu'ils se concentrent sur le threat hunting et l'investigation profonde. Cet article détaille le framework 6 étapes, les facteurs de scoring, les outils d'enrichment gratuits et premium, 5 playbooks de triage concrets (malware EDR, phishing, login anomalie, vulnerability scan, DNS tunneling), les KPIs à suivre et les 5 erreurs classiques du débutant. Sources : SANS SOC Survey 2024, Mandiant M-Trends 2024, CrowdStrike Global Threat Report 2024, MITRE ATT&CK v15.

1. Contexte : le flux d'alertes dans un SOC 2026

Avant la méthodologie, dimensionner le problème.

1.1 Volumes d'alertes typiques

Ratio faux positifs médian 2024-2026 : 40-60 % des alertes brutes selon Ponemon Institute et SANS. Après tuning mature, descendu à 20-35 %.

1.2 Positionnement L1 / L2 / L3

• L1 (Tier 1) : triage initial, enrichment, FP close, escalade. Traitement court (5-15 min). Rotation shift 24/7.
• L2 (Tier 2) : investigation approfondie, forensic léger, tuning règles, chasse ciblée. Traitement long (30 min - 4 h).
• L3 (Tier 3) : threat hunting proactif, développement détections, reverse malware, adversary emulation. Stratégique.

Un triage mal fait en L1 pollue toute la chaîne : surcharge L2, miss de vrais positifs, fausse assurance sur la posture.

2. Framework de triage en 6 étapes

Structure standard utilisée dans les SOC matures 2026.

2.1 Étape 1 — Classification initiale (30 secondes)

Dès l'ouverture de l'alerte, 4 questions :

• Severity SIEM : Critical, High, Medium, Low (brut avant enrichment).
• Catégorie : authentication, malware, data exfiltration, DoS, lateral movement, policy violation.
• Asset concerné : serveur tier 0 production, endpoint dev, laptop standard.
• User concerné : admin Domain Admins, user privileged, user standard, service account.

Cette classification détermine l'effort d'investigation initial à allouer. Une alerte sur serveur tier 0 avec user admin justifie 15-30 min même si severity brute est Medium ; une alerte sur laptop standard avec user standard peut être closed en 5 min si enrichment confirme FP.

2.2 Étape 2 — Enrichissement multi-sources (3-8 minutes)

Phase la plus chronophage en manuel, la plus automatisable en SOAR.

Enrichments standards

Pratique : parallèliser les enrichments via SOAR (voir Qu'est-ce qu'un SOAR section 4). Gain de temps 15-45 min manuel → 30-120 sec automatisé.

2.3 Étape 3 — Scoring structuré (1-2 minutes)

Calcul d'un score pondéré sur 5 facteurs clés.

def compute_alert_score(alert, enrichments):
    """
    Calcul de score d'alerte SOC pondéré.
    Seuils indicatifs : supérieur à 70 auto-escalate, 40-69 investigate, moins de 40 likely FP.
    À calibrer selon contexte organisation.
    """
    score = 0
 
    # 1. Threat intel correlation (30-40 points)
    if enrichments.get("virustotal_malicious_count", 0) >= 5:
        score += 35
    if enrichments.get("misp_matches"):
        score += 30
    if enrichments.get("vendor_intel_attribution"):  # Recorded Future, Mandiant
        score += 30
 
    # 2. Asset criticality (25-30 points)
    asset_tier = enrichments.get("asset_tier")
    if asset_tier == "tier0":
        score += 30
    elif asset_tier == "tier1":
        score += 20
    elif asset_tier == "tier2":
        score += 10
 
    # 3. User profile (25-30 points)
    if enrichments.get("user_is_domain_admin"):
        score += 30
    elif enrichments.get("user_is_privileged"):
        score += 20
    elif enrichments.get("user_is_service_account"):
        score += 15
 
    # 4. Baseline deviation (15-25 points)
    if enrichments.get("impossible_travel"):
        score += 25
    if enrichments.get("off_hours_activity"):
        score += 15
    if enrichments.get("volume_anomaly"):
        score += 15
 
    # 5. Recency (10-20 points)
    if enrichments.get("ioc_first_seen_within_30d"):
        score += 15
    if enrichments.get("cve_exploited_in_wild_recent"):
        score += 20
 
    return min(score, 100)

Seuils recommandés (à calibrer 2-3 mois)

• supérieur à 70 : auto-isoler ou escalader L2 immédiatement.
• 40 à 69 : investigation L1 approfondie, escalade L2 si indice supplémentaire.
• moins de 40 : probable faux positif, close avec justification écrite.

2.4 Étape 4 — Décision (1 minute)

Quatre voies possibles selon score et criticité.

1. False positive close : alerte évidente (scanner connu whitelisté, maintenance planifiée, IOC expiré).
2. Escalade L2 : vraie menace probable nécessitant investigation profonde.
3. Auto-remédier SOAR : action de containment prédéfinie (isolation host via EDR, block IP firewall, quarantaine email).
4. Investigation L1 prolongée : creuser un peu plus avant décision finale.

2.5 Étape 5 — Documentation (2-3 minutes)

Tout triage doit laisser une trace auditable.

• Ticket ouvert (Jira, ServiceNow, TheHive) avec ID unique.
• Timeline des enrichments effectués et résultats.
• Decision prise avec justification écrite en 2-5 phrases.
• Artifacts attachés (captures SIEM, hash, logs).
• MITRE ATT&CK mapping : tactique et technique identifiées.
• Severity finale vs severity brute.

Sans documentation, le feedback loop vers détection engineering est impossible, et l'apprentissage équipe zéro.

2.6 Étape 6 — Feedback loop

Le triage alimente la boucle d'amélioration continue.

• Faux positifs récurrents → ticket détection engineering pour tuner la règle.
• Faux négatifs découverts → analyse cause racine, nouvelle règle si applicable.
• Temps de triage > cible → identifier goulot (enrichment lent, manque contexte, manque automation).
• Rétrospectives hebdomadaires en équipe : 3-5 alertes marquantes, leçons partagées.

Sans feedback loop, le SOC stagne : les mêmes faux positifs reviennent, les détections ne s'améliorent pas, l'équipe s'épuise.

3. MITRE ATT&CK en triage : framework obligatoire 2026

MITRE ATT&CK Enterprise v15 (publiée octobre 2024) est le référentiel standard pour mapper les TTPs observées en triage.

3.1 Structure du framework

• 14 tactiques (Reconnaissance, Resource Development, Initial Access, Execution, Persistence, Privilege Escalation, Defense Evasion, Credential Access, Discovery, Lateral Movement, Collection, C2, Exfiltration, Impact).
• 200+ techniques, 450+ sous-techniques.
• Matrices spécifiques : Enterprise, Mobile, ICS, Cloud, Containers.

3.2 Usage en triage

Pour chaque alerte, identifier :

• Tactique (pourquoi l'attaquant fait ça).
• Technique (comment techniquement).
• Sous-technique (variante précise si applicable).

Exemple : alerte "PowerShell obfusqué avec encoded command".

• Tactique : TA0002 Execution.
• Technique : T1059 Command and Scripting Interpreter.
• Sous-technique : T1059.001 PowerShell.
• Techniques adjacentes à vérifier : T1027 Obfuscated Files or Information, T1140 Deobfuscate/Decode Files or Information.

3.3 Outils intégrant ATT&CK Navigator

• MITRE ATT&CK Navigator (gratuit, web) : visualisation et annotation.
• Sigma rules : détections portables avec mapping ATT&CK natif.
• Chronicle / Microsoft Sentinel / Splunk ES : colonnes ATT&CK dans les alertes modernes.
• Atomic Red Team : tests d'attaque mappés ATT&CK pour valider les détections.

4. KPIs opérationnels : la règle 1-10-60 et alternatives

4.1 Règle 1-10-60 CrowdStrike (haute barre)

Popularisée par CrowdStrike 2018-2019, toujours d'actualité 2026 pour SOC top-tier.

• 1 minute MTTD (Mean Time To Detect) : détection de l'anomalie.
• 10 minutes MTTI (Mean Time To Investigate) : qualification comme vraie menace.
• 60 minutes MTTC (Mean Time To Contain) : isolation effective.

4.2 Cibles pragmatiques ETI 2026

Pour un SOC ETI avec ressources limitées et pas SOC 24/7 dédié :

4.3 Pourquoi le 1-10-60 compte

Breakout time adversaires 2024 (Mandiant M-Trends 2024) :

• APT sophistiqués : median 62 minutes entre initial compromise et lateral movement.
• Ransomware groupes organisés : médian 84 minutes.
• Opportunistes : plusieurs heures à plusieurs jours.

Rester sous les 60 minutes MTTC divise par 2-3 la probabilité d'un incident à impact business majeur selon CrowdStrike Global Threat Report 2024.

5. Cinq playbooks de triage concrets

Scénarios récurrents avec checklist pratique.

5.1 Playbook — Alerte EDR malware détecté

Alerte type : CrowdStrike Falcon détecte un process cmd.exe lançant PowerShell encoded sur endpoint.

Triage étape par étape

1. Classification : severity EDR High, catégorie malware, endpoint standard.
2. Enrichment :
   • VT hash du process : malicious ? (Tier1 malware connu ou nouveau ?).
   • AD : user = qui, role, recent logins.
   • SIEM lookback 7 jours : events similaires sur cet endpoint ?
   • MITRE : T1059.001 PowerShell, T1027 Obfuscation.
3. Scoring :
   • Si VT malicious 15+ et user non-privileged → score 85, auto-isoler.
   • Si VT clean ou low et activity pattern normal (dev qui script) → score 30, close FP après validation.
4. Décision : auto-isoler via EDR API et ticket L2 pour forensic, ou close FP avec justification.

5.2 Playbook — Phishing email reporté user

Alerte type : user reporte email suspect via bouton Outlook / Gmail.

Triage étape par étape

1. Classification : catégorie phishing, severity Medium jusqu'à enrichment.
2. Enrichment :
   • VT sender domain : malicious ?
   • URLScan.io des URLs : redirects, credential harvester, malware dropper ?
   • VT hash attachments.
   • SIEM : d'autres users ont-ils reçu l'email ?
3. Scoring :
   • Si URL malicious et >10 users reçus → score 90, auto-quarantaine bulk.
   • Si sender propre et user sur-réactif → score 20, éducation + close.
4. Décision : quarantaine email security bulk + notification équipe ou close FP avec feedback user.

Voir playbook SOAR détaillé dans Qu'est-ce qu'un SOAR section 5.

5.3 Playbook — Impossible travel / suspicious login

Alerte type : Entra ID ou Okta détecte connexion depuis Paris à 9h et connexion depuis Singapour à 9h15.

Triage étape par étape

1. Classification : catégorie authentication anomaly, user profile = premier facteur.
2. Enrichment :
   • IP Singapour : VPN legit ? Tor ? Hoster suspect ?
   • User profile : utilise-t-il habituellement un VPN ?
   • Device fingerprint : connu ?
   • AD : user privileged ? MFA utilisé ?
3. Scoring :
   • Si admin + IP hoster suspect + no MFA → score 95, auto-logout + reset MFA.
   • Si user standard + VPN corporate légitime → score 15, close FP.
4. Décision : force logout + reset MFA + notification user + ticket L2, ou close FP avec whitelist VPN.

5.4 Playbook — Vulnerability scanner detection

Alerte type : IDS détecte pattern scan Nessus depuis IP externe.

Triage étape par étape

1. Classification : catégorie reconnaissance, severity brute High.
2. Enrichment :
   • IP source : AbuseIPDB score, Shodan, WHOIS.
   • Scan patterns : aggressive (many ports rapidly), slow (stealth), focused (targeted assets).
   • Target : perimeter exposé légitime ou interne ?
3. Scoring :
   • Scan agressif depuis IP hoster non-friendly vers perimeter sensible → score 80, block firewall + escalate.
   • Scan régulier connu (scanner audit partenaire) → score 10, whitelist + close.
4. Décision : block IP via firewall + alert perimeter team, ou close après validation whitelist.

5.5 Playbook — DNS tunneling suspect

Alerte type : volume DNS anormal depuis endpoint, queries vers domaines d'apparence aléatoire.

Triage étape par étape

1. Classification : catégorie C2 ou exfiltration, severity High.
2. Enrichment :
   • Domaine patterns : regex pour DGA (Domain Generation Algorithm).
   • TXT record queries : exfil over DNS probable.
   • Endpoint : process origine via EDR.
   • Threat intel : domaine connu comme C2 ?
3. Scoring :
   • Pattern DGA + volumes anormaux + process suspect → score 90, isoler endpoint.
   • Logiciel légitime (Antivirus update, cloud backup) → score 20, close FP.
4. Décision : isolation EDR + block domain firewall + ticket L2 forensic, ou close FP.

6. Les 5 erreurs classiques du débutant

Observations récurrentes en évaluations SOC France 2024-2026.

6.1 Close trop rapide comme faux positif

Anti-pattern : voir une alerte avec severity Low ou qui "ressemble" à un FP récurrent et closer en 30 secondes sans enrichment.

Conséquence : 10-20 % des FP déclarés par des L1 débutants sont en réalité des vrais positifs sous-investigués selon évaluations internes.

Remède : minimum enrichment obligatoire (au moins VT + MISP + SIEM lookback) avant tout FP close, même si severity brute est Low.

6.2 Sur-analyse d'une alerte simple

Anti-pattern : passer 30-60 minutes sur une alerte simple, cherchant à tout résoudre seul au lieu d'escalader L2.

Conséquence : la queue d'alertes s'accumule, MTTD global dégrade, frustration équipe.

Remède : règle 15-15 : maximum 15 minutes en triage L1, si besoin de plus, escalade L2 avec notes.

6.3 Ignorer le contexte asset et user

Anti-pattern : traiter toutes les alertes avec rigueur uniforme, sans ajuster selon la criticité de ce qui est touché.

Conséquence : alertes sur serveur tier 0 sous-investiguées en régime de surcharge, alertes sur laptops standards sur-traitées.

Remède : matrice severity × asset criticality × user profile affichée en permanence sur le dashboard analyst.

6.4 Documentation insuffisante

Anti-pattern : ticket créé avec juste "FP, closed" sans justification écrite, sans artifacts.

Conséquence : feedback loop impossible, apprentissage équipe zéro, audit incomplet.

Remède : template obligatoire de ticket avec 5 champs minimum : enrichments effectués, résultats, scoring, décision, justification en 2-5 phrases.

6.5 Ignorer MITRE ATT&CK

Anti-pattern : voir l'alerte isolée sans penser à la kill chain globale.

Conséquence : ratés de corrélation (plusieurs alertes mineures = un APT actif).

Remède : mapping ATT&CK systématique à chaque triage, même approximatif au début. La discipline s'affine en 2-4 semaines.

7. Roadmap apprentissage triage pour L1 débutant

Progression 3-6 mois pour un analyste L1 partant de zéro.

8. Outils et stack recommandés pour un L1 2026

Stack minimum fonctionnelle pour un L1 productif.

Points clés à retenir

• Triage = qualification d'alertes en FP, incident à escalader, auto-remédier. Activité principale de l'analyste SOC L1 (50-150 alertes par jour).
• Framework 6 étapes : classification initiale (30 sec), enrichment multi-sources (3-8 min), scoring structuré (1-2 min), décision (1 min), documentation (2-3 min), feedback loop.
• 5 facteurs de scoring clés : threat intel correlation (30-40 pts), asset criticality (25-30), user profile (25-30), baseline deviation (15-25), recency (10-20). Seuils : supérieur à 70 escalate, 40-69 investigate, moins de 40 FP probable.
• 7 outils gratuits d'enrichment : VirusTotal, MISP, AbuseIPDB, URLScan.io, Shodan, Censys, DomainTools WHOIS. Couvrent 70-80 % du besoin.
• MITRE ATT&CK Enterprise v15 obligatoire : mapping tactique + technique + sous-technique à chaque triage, augmente productivité L1 de ~40 %.
• KPIs 1-10-60 (CrowdStrike top-tier) vs cibles ETI 2026 (15 min MTTD, 30-60 min MTTI, 2-4 h MTTC). Breakout time adversaires 62-84 min médian Mandiant 2024.
• 5 playbooks récurrents : malware EDR, phishing email, impossible travel, vulnerability scanner, DNS tunneling.
• 5 erreurs débutant : close trop rapide FP, sur-analyse, ignorer contexte asset/user, doc insuffisante, ignorer ATT&CK.
• Automation SOAR libère 30-50 % du temps triage répétitif pour threat hunting et investigation profonde.
• Roadmap L1 débutant : 3-6 mois fondamentaux + méthodologie + triage autonome. Certifications ROI : Security+ puis CySA+ ou BTL1.

Pour aller plus loin

• Qu'est-ce qu'un SOAR — automation des étapes répétitives du triage.
• Qu'est-ce qu'un analyste SOC — contexte métier L1/L2/L3.
• Salaire analyste SOC — impact certifications et séniorité sur rémunération.
• CI/CD sécurisée : définition — alertes pipeline qui remontent en triage SOC.
• Roadmap DevSecOps — skill tree avec detection engineering niveau 5.
• Devenir DevSecOps sans expérience — pillar DevSecOps.