# Un SOC. Deux mondes. | Opérations IT et sécurité OT > Étendez les opérations de sécurité de l’IT à l’OT avec Yellow Cube : visibilité commune, isolation unidirectionnelle, investissements ciblés et responsabilités de réponse clairement définies. - URL canonique: https://yellowcube.eu/fr/how-a-soc-works/ - Éditeur: Yellow Cube - Langue: fr - Contact: hello@yellowcube.eu Détectez et répondez là où la vitesse compte. Prévenez et isolez là où la sécurité physique prime. Construisez un centre de commandement qui comprend cette différence. 01 / Le modèle d’exploitation ## [**Un SOC.** Deux responsabilités distinctes.]() Un centre des opérations de sécurité (SOC) réunit une équipe, des technologies et un processus qui transforment les signaux de sécurité en décisions. Il collecte les éléments, examine les événements importants, contient les attaques et améliore les défenses. Acheter une console n’est qu’un début : quelqu’un doit prendre en charge chaque incident grave, même à trois heures du matin. En informatique (IT), la priorité est de protéger les identités, les applications et les données pendant que l’entreprise évolue. En technologies opérationnelles (OT), il faut préserver un procédé physique sûr : produire de l’électricité, traiter l’eau, faire circuler des trains ou exploiter une ligne de production. **Une vision commune de l’attaque. Une réponse adaptée à l’environnement.** Isoler un ordinateur de bureau compromis peut être judicieux. Isoler un contrôleur industriel sans comprendre ses dépendances peut provoquer un incident à lui seul. L’approche Yellow Cube ### Un centre de commandement. **Des limites de réponse claires.** **IT** **Détecter vite. Contenir avec assurance.** Investissez dans la détection et la réponse rapides, en limitant l’automatisation aux actions approuvées sur les terminaux, identités et systèmes métier. **OT** **Garder la menace à l’extérieur.** Privilégiez l’isolation et la prévention. Surveillez passivement et laissez les décisions de réponse industrielle aux responsables du site. **SOC** **Réunir les éléments.** Reliez les signaux IT et OT dans une même investigation, avec des responsables d’incident nommés et un plan d’escalade testé. ### Chaîne d’attaque IT 1. Reconnaissance 2. Intrusion 3. Persistance 4. **Mouvement latéral** Pivot possible vers l’OT → 5. Incident 6. Reprise ### Chaîne d’attaque OT 1. Reconnaissance 2. Mouvement latéral 3. Incident 4. **Dégâts** Le cycle peut s’arrêter ici. L’IT peut récupérer et recommencer. Les dégâts physiques en OT peuvent être irréversibles. Un pivot exige un point d’entrée OT accessible. Mettre en place. Exploiter. Améliorer. ### [Un SOC est un service que vous **construisez en continu.**]() Commencez par des responsabilités et des limites de réponse convenues. Répétez ensuite ce cycle au rythme de l’entreprise, du site et des menaces. **Une vision partagée.** Réponse IT. Sécurité OT. 1. #### Connecter de nouveaux signaux Cartographiez les actifs, leurs responsables et les processus critiques. Connectez à Open XDR les sources EDR, NDR, identités et applications approuvées ; préparez les nouvelles sources OT sans les activer avant vérification de l’isolation. 2. #### Sécuriser et vérifier l’isolation Construisez et testez le chemin de surveillance à sens unique de l’OT vers l’IT. Recherchez les contournements et approuvez chaque flux exporté et procédure d’import hors ligne avant usage ; revérifiez après toute modification. 3. #### Collecter les éléments et enquêter Surveillez l’état des flux et les journaux manquants. Corrélez les éléments des terminaux, du réseau et des identités avec la criticité des actifs pour comprendre les événements et hiérarchiser les incidents. 4. #### Décider, répondre et rétablir Contenez les menaces IT selon les procédures approuvées et vérifiez la reprise. Transmettez les actions OT aux responsables d’exploitation et de sécurité selon des procédures locales testées. 5. #### Apprendre, maintenir et améliorer Analysez incidents et exercices, ajustez les détections, entretenez capteurs et connecteurs, puis retestez réponse et reprise. Intégrez les lacunes de couverture et les changements de configuration au cycle suivant. **Chaque changement déclenche une nouvelle vérification.** Réexaminez après toute nouvelle intégration, modification d’infrastructure ou incident, ainsi que lors des exercices planifiés. Utilisez les enseignements pour améliorer la couverture et revérifier l’isolation. [Recommandations de sécurité OT \[6\]]() 02 / Suivre les conséquences ## [Le même budget. **Un autre centre de gravité.**]() Notre point de départ pour répartir l’effort de sécurité dans un environnement mature. Il s’agit de recommandations de planification Yellow Cube, pas de moyennes sectorielles ni d’une formule d’achat. IT ### Trouver. Contenir. Rétablir. **30%** prévention **70%** détection et réponse Investissez au-delà de la première ligne de défense : comportements, identités, visibilité réseau, investigation et équipe de réponse efficace. OT ### Garder l’attaque à l’extérieur. **70%** prévention **30%** détection et réponse Privilégiez l’isolation, les transferts contrôlés et une ingénierie sûre. Maintenez une surveillance passive et un plan de réponse exercé. Appliquez cette répartition après accord sur le périmètre. Elle ne signifie pas abandonner les contrôles d’identité, les sauvegardes, la formation ou l’ingénierie de sécurité. Maturité, exposition et conséquences d’une défaillance déterminent l’investissement réel. Pourquoi l’équilibre change entre IT et OT | Décision | IT d’entreprise | OT industrielle | | --- | --- | --- | | Que faut-il protéger ? | Les informations, les identités et la continuité des services. | Les personnes, les équipements et le procédé physique. | | Peut-on modifier le système ? | Des mises à jour fréquentes et des terminaux gérés centralement sont souvent possibles. | Les changements dépendent du support fournisseur, des tests et des fenêtres de maintenance. | | Peut-on annuler une réponse ? | De nombreuses actions sont réversibles, mais l’interruption d’activité reste importante. | Un arrêt ou la perte d’un signal de commande peut avoir des conséquences physiques immédiates. | | Que restaure la reprise ? | Des sauvegardes testées peuvent restaurer les systèmes, sans annuler le vol d’informations. | Les sauvegardes peuvent restaurer logique et configurations, pas réparer des machines endommagées. | 03 / IT : supposer qu’une menace passe ## [Un scan de fichier sans alerte **ne garantit pas un environnement sain.**]() **82%** des détections CrowdStrike en 2025 étaient **sans malware**. 82 % sans malware · 18 % autres détections. CrowdStrike 2026 Global Threat Report. Ces chiffres décrivent les détections observées, pas la proportion de toutes les attaques mondiales. [\[1\]]() C’est une raison convaincante de dépasser les signatures. Un attaquant peut se connecter avec des identifiants volés, détourner un outil d’administration à distance ou utiliser un shell légitime pour se déplacer. « Sans malware » est plus large que « sans fichier » : cela inclut des activités ne nécessitant aucun programme malveillant. Les attaques living-off-the-land transforment les outils déjà approuvés par les administrateurs en instruments d’attaque. Il faut savoir qui les a utilisés, sur quelle machine, avec quels privilèges et ce qui a suivi. L’EDR, le NDR, les événements d’identité et les journaux cloud révèlent chacun une partie du récit. La détection et réponse étendues (XDR) les relient. ### Construire un socle fiable de 30 % ****10%** Prévention sur les terminaux** L’antivirus à signatures constitue une base, renforcée par la prévention comportementale, le contrôle applicatif et la protection contre les exploits. La prévention reste utile même si elle ne voit pas toutes les attaques. ****10%** Posture de sécurité** Supprimez l’exposition inutile, les permissions excessives, les paramètres d’identité faibles et les configurations cloud risquées. L’inventaire et les responsabilités transforment les constats en actions attribuées. ****10%** Gestion des vulnérabilités et des correctifs** Priorisez les actifs exposés et exploitables ainsi que l’impact métier. Vérifiez que la correction est effective ; un correctif planifié n’est pas une vulnérabilité résolue. La recherche assistée par IA accentue cette pression. En mars 2026, Anthropic a annoncé avoir trouvé avec Mozilla 22 vulnérabilités Firefox en deux semaines. C’est un exemple concret d’accélération des découvertes, pas la preuve que l’IA explique chaque hausse du nombre de CVE. Notre conclusion pratique : raccourcir le chemin entre une vulnérabilité pertinente et une correction vérifiée. [\[2\]]() ### Rendre les 70 % restants opérationnels Faire fonctionner plusieurs moteurs antivirus temps réel concurrents sur chaque ordinateur est généralement peu pratique : compatibilité, performances et exploitation deviennent le problème. Un scanner dédié aux transferts a une autre charge de travail et peut combiner plusieurs moteurs à un point de contrôle maîtrisé. En IT, consacrez le reste de l’effort à observer les comportements, enquêter et agir vite. Préapprouvez des réponses réversibles, comme isoler un poste non critique ou révoquer une session risquée. Protégez les comptes privilégiés et de service par des règles plus strictes. Testez restauration des sauvegardes et reprise après sinistre ; un travail de sauvegarde marqué « réussi » ne suffit pas à les garantir. 04 / Une attaque est un parcours ## [Les attaquants **ne naissent pas** dans le réseau OT.]() Ils ont besoin d’une entrée, de privilèges utiles et d’un moyen d’influencer le procédé. Chaque dépendance offre une occasion d’interrompre l’attaque. 1. 01 ### Établir une tête de pont Une identité hameçonnée, un service exposé ou un équipement fournisseur compromis donne l’accès initial. **Surveiller : identité, e-mail, terminal** 2. 02 ### Préparer l’itinéraire L’attaquant découvre les systèmes, collecte des identifiants et cherche un passage vers les opérations. **Surveiller : EDR, NDR, accès privilégiés** 3. 03 ### Franchir la frontière Une session distante, un transfert de confiance ou un équipement de maintenance devient la voie d’entrée tentée. **Prévenir : isolation, politique de transfert** 4. 04 ### Affecter le procédé Des changements de logique, de paramètres ou de visibilité opérateur peuvent transformer un incident cyber en dommage physique. **Protéger : sécurité locale et ingénierie** Ce parcours est illustratif, sans promettre des heures ou des jours pour réagir. Certains attaquants vont vite ; d’autres se préparent des semaines. Détecter tôt la tête de pont IT peut supprimer l’accès prévu avant que les systèmes industriels soient atteints. Le contrôle distant interactif exige un chemin de communication. Une diode correctement conçue, orientée uniquement vers l’extérieur, supprime ce retour. Cependant, un malware prépositionné, un acteur interne ou un support amovible compromis peut agir sans opérateur saisissant des commandes en direct. Isolation et prévention des menaces par fichier doivent travailler ensemble. Isoler une tête de pont IT peut couper l’accès à l’attaquant qui en dépend. Cela ne prouve pas qu’un environnement OT déjà compromis est sain. 05 / L’architecture de référence ## [Unifier les éléments. **Préserver la frontière.**]() Placez les protections sur un modèle Purdue familier : EDR sur les terminaux IT, NDR passif dans les deux réseaux et un centre de commandement au-dessus de la frontière d’isolation. Vue Purdue · lire depuis le procédé physique vers le haut[Explorer l’architecture complète]() L5–L4 ### IT d’entreprise **Poste de travail**Agent EDR **Portable / terminal utilisateur**Agent EDR **Serveur métier**Agent EDR Commutateur IT · copie TAP / SPAN **Capteur NDR IT** Observe une copie miroir du trafic IT. Événements EDR des terminaux + données réseau NDR Un centre de commandement · côté IT ### Stellar Cyber Open XDR Éléments des terminaux et du réseau corrélés dans une même investigation. - EDR sur les postes et serveurs IT - Observations NDR IT - Éléments NDR OT via la diode **Analyse et réponse assistées par IA** Automatisez les actions IT approuvées. Escaladez les décisions concernant le site aux ingénieurs OT. L3.5 ### Isolation imposée par le matériel Les données de surveillance peuvent quitter l’OT. Aucune session retour ni voie de commande du SOC vers le site. **Diode de données unidirectionnelle**De l’OT vers l’IT uniquement OPSWAT ou Waterfall Export / réplication validés Dans la zone OT protégée ### Capteur NDR OT **Trafic miroir uniquement.** L’interface de capture observe une copie provenant du commutateur OT ou du TAP. Capture passive. Aucun blocage en ligne. Aucune interrogation active dans cette conception. Seuls les éléments de surveillance approuvés sont exportés par la diode située au-dessus. L3–L2 ### Opérations et contrôle OT **Poste d’ingénierie** **HMI / SCADA** **Serveur d’historisation** Commutateur OT / TAP · copie miroir vers le capteur NDR OT Le trafic de production reste dans le réseau OT. Le capteur reçoit une copie d’observation séparée. L1–L0 ### Contrôleurs et procédé physique **Automates / RTU** **Variateurs / capteurs de terrain** **Machines / procédé** Les systèmes locaux de contrôle et de sécurité restent sous l’autorité du site. ### Une copie apporte la visibilité. Une diode préserve l’isolation. Le mirroring SPAN ou TAP seul ne suffit ni à la sécurité OT ni à établir une frontière entre IT et OT. Le chemin matériel à sens unique empêche le SOC de renvoyer du trafic par cette connexion de surveillance. Placement Purdue simplifié ; les zones réelles suivent la conception du site. Entre les panneaux, les liaisons pleines portent les éléments de sécurité ; les pointillés indiquent le trafic miroir. L’observation OT est passive et seules les données de surveillance approuvées traversent la diode. Validez le couple capteur/passerelle et prévoyez les mises à jour locales des capteurs. Voir [les recommandations de déploiement Stellar Cyber \[8\]](). ### Ce que signifie « airgap » ici Un airgap au sens strict n’a aucune connexion réseau. Cette conception utilise une frontière unidirectionnelle matérielle pour préserver l’isolation tout en exportant des données. Elle ne doit pas être confondue avec une règle de pare-feu ordinaire, modifiable pour autoriser des sessions de retour vers l’OT. Syslog peut être collecté dans l’OT puis réémis à l’extérieur. FTP et les autres protocoles bidirectionnels nécessitent des extrémités de réplication ou de proxy compatibles ; une session FTP normale ne traverse pas simplement un fil à sens unique. Waterfall documente cette approche pour la surveillance de sécurité, et OPSWAT propose des diodes optiques et des passerelles. [\[3\]]() [\[4\]]() ### Concevoir toute la frontière Choisissez le sens, les protocoles, le volume et la tolérance aux pertes pour chaque flux approuvé. Placez le collecteur là où il peut fonctionner sans administration cloud entrante, puis validez la mise en tampon, la synchronisation horaire et les mises à jour. Vérifiez la combinaison de produits retenue par une preuve de concept. Inventoriez tous les chemins alternatifs : VPN fournisseurs, portables à double connexion, liaisons sans fil, modems cellulaires et relations de confiance administratives partagées. Une diode protège son propre chemin ; une connexion oubliée peut compromettre l’architecture. Le placement des capteurs ne signifie pas que chaque capteur fonctionne à travers chaque diode. 06 / OT : prévenir les situations dangereuses ## [Inspecter le transfert. **Protéger le procédé.**]() L’OT offre une possibilité rare pour un portable itinérant : concentrer les fichiers entrants sur quelques points de transfert contrôlés. Paquets de maintenance, configurations et supports fournisseurs peuvent être vérifiés avant d’atteindre un poste d’ingénierie protégé. OPSWAT MetaDefender Kiosk et Core soutiennent cette approche préventive grâce à l’inspection multi-moteur et, pour les formats adaptés, à la neutralisation et reconstruction du contenu. L’objectif est une inspection approfondie à la frontière avec une décision de libération auditable. Le scan n’est pas une garantie ; firmwares signés et programmes de contrôle nécessitent toujours des contrôles d’authenticité et une validation technique. [\[5\]]() 1. **Identifier.** Consignez le fournisseur, l’actif cible, le type de fichier et l’objectif métier. 2. **Inspecter.** Appliquez les moteurs approuvés, la politique de fichiers et le parcours de neutralisation. Mettez en quarantaine les échecs ou résultats non concluants. 3. **Approuver.** Un responsable habilité confirme que le contenu est approprié, compatible et attendu. 4. **Transférer et vérifier.** Ne libérez que l’artefact approuvé, conservez la trace d’audit et validez son utilisation pendant la fenêtre de maintenance prévue. ### Quand les correctifs sont difficiles, compenser délibérément L’application de correctifs OT est contrainte, pas inexistante. Certains actifs ont de longs cycles de support ou de courtes fenêtres d’arrêt ; d’autres n’acceptent ni agent ni scan ordinaire. Maintenez un inventaire des actifs et vulnérabilités, utilisez les mises à jour approuvées par le fournisseur lorsque c’est possible et documentez les mesures compensatoires en cas de report. La surveillance passive reste précieuse. Une activité d’ingénierie inattendue, un nouvel équipement ou une communication modifiée peuvent révéler un problème avant le dommage. Mais détecter après une commande dangereuse peut laisser trop peu de temps. L’architecture doit prévenir l’accès à ce chemin de commande avant de compter sur une course à la détection de son détournement. **On peut restaurer la configuration d’un contrôleur. On ne restaure pas une turbine brisée depuis une sauvegarde.** L’OT a toujours besoin de sauvegardes testées, de procédures de reprise, de pièces de rechange et de plans de redémarrage sûrs. Ils permettent la reprise sans effacer les conséquences physiques. Le NIST inclut explicitement fiabilité, sûreté et reprise dans la sécurité OT. [\[6\]]() Import contrôlé / OPSWAT MetaDefender ### [Un point de transfert. **Huit couches d’inspection.**]() Établissez la confiance avant qu’un fichier n’atteigne l’OT. Chaque couche répond à une question différente sur sa provenance, son contenu ou son comportement. **Partir d’un fichier fournisseur ou support amovible non fiable** Identifiez le véritable type de fichier, inspectez les archives prises en charge et conservez l’original en quarantaine pendant les contrôles requis. Retenu au poste de transfert 1. Politique de provenance #### [Pays d’origine]() Identifiez l’origine géographique des logiciels pris en charge à partir des empreintes et métadonnées. Soumettez les provenances inconnues ou restreintes à examen selon la politique de l’organisation. 2. Réputation et contexte #### [Renseignement sur les menaces]() Corrélez réputation du fichier, indicateurs connus et renseignements comportementaux. Signalez les liens avec une infrastructure malveillante, des malwares associés ou des campagnes connues. 3. Faiblesses logicielles connues #### [Évaluation des vulnérabilités par fichier]() Avant installation, recherchez dans les exécutables, installateurs et bibliothèques pris en charge les composants et versions connus comme vulnérables. Écartez du site les CVE évitables. 4. Analyse multiple Metascan #### [Plus de 30 moteurs antivirus]() Combinez les principaux moteurs antimalware de fournisseurs du monde entier. Une large couverture de signatures renforce la prévention des menaces connues, complétée par des heuristiques et d’autres méthodes de détection. 5. Alin AI prédictive #### [IA prédictive]() Examinez les signaux structurels et sémantiques des fichiers avant exécution pour identifier des fichiers potentiellement malveillants jamais vus auparavant. Ajoutez une protection précoce contre les menaces zero-day. 6. Analyse comportementale #### [Adaptive Sandbox]() Émulez les fichiers dans un environnement d’analyse isolé pour révéler charges cachées, comportements d’évasion et connexions réseau de rappel avant leur arrivée en production. 7. Politique de données sensibles #### [Proactive DLP]() Détectez informations sensibles, identifiants et contenus réglementés. Bloquez ou masquez selon la politique de transfert ; particulièrement utile lorsque les fichiers quittent un environnement protégé. 8. Neutraliser et reconstruire #### [Deep CDR]() Reconstruisez les documents pris en charge à partir de contenus approuvés en supprimant les éléments actifs risqués. Imaginez recréer un PDF à partir de pages saines : un fichier neuf et utilisable plutôt que de faire confiance aux scripts et objets incorporés d’origine. RETENIR / REJETER #### Un contrôle échoué ou incomplet bloque la libération. Mettez le fichier en quarantaine pour investigation. Les résultats inconnus et exceptions exigent une décision du responsable compétent. APPROUVER / TRANSFÉRER #### Libérez l’artefact approuvé par la procédure hors ligne. Utilisez la copie reconstruite pour les documents pris en charge. Pour correctifs et firmwares, préservez le paquet authentique du fournisseur ; vérifiez sa signature, sa version prévue et sa cible, puis testez la correction attendue avant déploiement. **Un parcours d’inspection proposé, pas un ordre d’exécution produit fixe.** Les contrôles peuvent s’exécuter en parallèle ; type de fichier, politique et modules sous licence déterminent le parcours. Le CDR concerne les formats documentaires pris en charge, pas la reconstruction de firmwares signés. Le renseignement sur les menaces éclaire la revue des correctifs ; la validation technique confirme qu’ils corrigent le problème visé. Aucune connexion active IT vers OT n’est créée. [Explorer les technologies OPSWAT MetaDefender]() 07 / La plateforme universelle Yellow Cube ## [**Une investigation.** Les bons spécialistes en appui.]() Partez des actifs et des capacités d’exploitation du client. Conservez les protections utiles, comblez les lacunes et reliez les éléments. 01 / Centre de commandement ### Stellar Cyber Open XDR Réunissez les éléments des terminaux, identités, réseaux, cloud et produits de sécurité dans une investigation commune. Enrichissement, corrélation et triage assistés par IA aident les analystes à réduire le bruit et à cibler les incidents pertinents. L’automatisation respecte les procédures approuvées et les autorisations réellement accordées. [\[7\]]() 02 / Visibilité ### NDR dans l’IT et l’OT Observez le trafic là où les agents ne peuvent pas être installés. Les recommandations OT de Stellar Cyber prennent en charge capteurs réseau et journaux industriels sur une plateforme d’analyse commune. Confirmez couverture protocolaire et contraintes de déploiement ; « universel » signifie un modèle d’investigation unique, pas une visibilité identique sur chaque équipement. [\[8\]]() 03 / Des experts, jour et nuit ### Cynet + CyOps Cynet associe protection et détection des terminaux à un service expert 24×7. Choisissez le niveau de service et l’autorité de confinement préapprouvée adaptés au client. La couverture concerne l’environnement Cynet convenu ; elle n’exploite pas automatiquement tous les outils tiers connectés à Stellar Cyber. [\[9\]]() 04 / La frontière industrielle ### OPSWAT + Waterfall Utilisez MetaDefender pour l’inspection contrôlée des fichiers et les procédures de transfert. Sélectionnez une solution unidirectionnelle OPSWAT ou Waterfall pour les chemins de données approuvés. Ces rôles se complètent dans l’architecture ; combinaison exacte, protocoles et maintenance sont validés avec le partenaire. ### Intégrer le reste du portefeuille Un shell suspect prend davantage de sens lorsqu’il est relié à l’e-mail précédent, à l’identité utilisée et aux données consultées. Selon le projet, Yellow Cube peut ajouter ces capacités spécialisées. Disponibilité des connecteurs et autorisations de réponse sont vérifiées individuellement. **Bloquer et révéler le chemin d’entrée** IronScales pour la défense e-mail ; Whalebone pour la sécurité DNS ; WithSecure ou Cynet pour les terminaux ; iVerify pour les risques mobiles. **Maîtriser les accès et les déplacements** Stormshield pour la segmentation du réseau ; Imprivata pour les accès privilégiés ; A10 Networks pour la protection DDoS et des applications/API. **Comprendre l’intention et l’impact** Group-IB pour le renseignement sur les menaces et l’exposition externe ; Varonis pour la sécurité des données ; Teramind pour le contexte des risques internes. MailStore assure l’archivage des e-mails, un besoin distinct de la sauvegarde des systèmes. **Démontrer la capacité opérationnelle** Cymulate pour valider les protections ; CYBER RANGES et Yellow Cube HackLab pour les exercices pratiques, les compétences d’investigation et les escalades répétées. [Explorer la matrice complète des produits →]() [Placer les protections dans l’architecture →]() 08 / Une IA aux limites opérationnelles définies ## [Automatiser le travail. **Définir l’autorité.**]() L’IA peut enrichir une alerte, relier les événements, résumer une investigation et proposer ou exécuter une réponse autorisée. Elle peut aussi se tromper. Traitez la suppression des faux positifs comme un processus ajusté, audité et révisé, pas comme la promesse que toute alerte clôturée était inoffensive. Convenez d’une matrice d’action avant le premier incident. Confiance, criticité de l’actif et contexte métier déterminent les automatismes. Conservez ensemble éléments, décision et action afin qu’un analyste puisse reconstituer les faits. Automatiser selon la politique ### Confinement IT courant Collectez les éléments, ouvrez un dossier, prévenez le responsable et isolez une catégorie explicitement approuvée de terminaux non critiques. Consignez l’action et prévoyez la reprise. Exiger une approbation ### Actions à impact plus large Désactivez un compte privilégié, isolez un serveur partagé ou modifiez un accès réseau uniquement selon les règles d’escalade convenues. Un compte de service peut soutenir plusieurs processus métier. L’autorité OT reste locale ### Modifications du site Escaladez vers le personnel d’exploitation et de sécurité. Utilisez des procédures locales validées pour les changements de contrôleurs, les arrêts et les redémarrages. Une procédure SOC d’entreprise ne doit pas les déclencher aveuglément. Un attaquant peut chercher une réaction excessive du défenseur. Une fausse alerte provoquant un arrêt inutile peut suffire à perturber la production. La réponse n’est pas d’ignorer les alertes OT, mais d’associer les éléments du SOC à l’autorité technique et à une décision sûre. 09 / Du concept au service opérationnel ## [Commencer par un site réel. **Démontrer le parcours complet.**]() Pour les partenaires, l’opportunité commerciale est une capacité opérationnelle : conception, intégration, validation et service continu autour des investissements existants du client. 1. 01 ### Cartographier l’environnement et les conséquences Identifiez processus critiques, dépendances IT, outils existants et chaque connexion IT/OT. Définissez les systèmes isolables et le responsable de chaque décision. Le résultat est une architecture au périmètre défini, pas une nomenclature générique. 2. 02 ### Démontrer les chemins de données Connectez un ensemble représentatif de sources IT et de télémétrie OT passive. Testez parsing, horodatages, réplication par diode, mise en tampon et état des collecteurs. Démontrez que le chemin de surveillance ne peut pas devenir un chemin de commande. 3. 03 ### Répéter la réponse Exercez une compromission IT, le rejet d’un fichier de maintenance et une anomalie OT. Confirmez qui reçoit le dossier hors horaires, ses autorisations et comment joindre le site. Validez la reprise autant que le confinement. 4. 04 ### Exploiter, mesurer et améliorer Suivez couverture télémétrique, délais d’investigation et de confinement approuvé, exceptions de transfert et résultats des exercices de reprise. Examinez avec le client les actifs modifiés, nouvelles connexions et exceptions de maintenance arrivant à échéance. ### Apportez votre schéma réseau et vos outils de sécurité actuels. Nous pouvons travailler ensemble sur la frontière, les lacunes de visibilité, l’adéquation des produits et le modèle d’exploitation 24×7. Définissons une preuve de concept concrète et un service que votre équipe pourra fournir avec assurance. [Échangeons sur votre architecture SOC ]()[Explorer la sécurité managée 24×7 →]() ## [Sources et lectures complémentaires]() Capacités produit et recherche vérifiées en septembre 2026. Répartition budgétaire et architecture de référence : recommandations Yellow Cube. 1. [CrowdStrike · Présentation du Global Threat Report 2026]() — 82 % de détections sans malware en 2025. 2. [Anthropic et Mozilla · Recherche sur la sécurité de Firefox, mars 2026](). 3. [Waterfall · Surveillance de sécurité par passerelles unidirectionnelles](). 4. [OPSWAT · MetaDefender Optical Diode](). 5. [OPSWAT · MetaDefender Kiosk]() et [MetaDefender Core](); [Technologies MetaDefender]() (les sources de chaque technologie sont liées dans le diagramme d’inspection). 6. [NIST SP 800-82 Rev. 3 · Guide de sécurité OT]() et [Recommandations de sauvegarde OT 2026](). 7. [Stellar Cyber · SOC autonome augmenté par l’humain](). 8. [Stellar Cyber · Recommandations de déploiement OT](). 9. [Cynet · Périmètre CyOps et modèles de réponse](). ## Avant de concevoir votre SOC ### Faut-il remplacer notre EDR ou notre SIEM actuel ? Partez de ce qui fonctionne. Open XDR peut réunir les sources de données prises en charge dans une même investigation. Nous validons la couverture des connecteurs, la conservation, les doublons et les autorisations de réponse avant de recommander une consolidation ou un remplacement. ### Une isolation forte permet-elle d’arrêter la surveillance OT ? Non. La surveillance passive et la préparation locale aux incidents restent indispensables face aux menaces internes, erreurs de maintenance, imports malveillants et connexions inattendues. La prévention réduit l’exposition ; la surveillance vérifie que les hypothèses restent valides. ### Qui prend en charge un incident hors des heures ouvrées ? Définissez-le explicitement lors de la conception du service. Cynet CyOps couvre le périmètre Cynet souscrit. Le partenaire, le client et tout autre prestataire SOC doivent définir les responsabilités pour les autres sources, l’escalade vers le personnel du site et l’autorité d’action. Une console commune ne remplace pas un contrat de service. ### Peut-on commencer par l’IT et ajouter l’OT ensuite ? Oui. Établissez d’abord la détection et la réponse IT, puis ajoutez la visibilité OT par des chemins approuvés. Cartographiez les dépendances industrielles dès le départ pour éviter qu’une automatisation IT ne perturbe involontairement les opérations. Construisez la frontière avant de connecter le site. ### Que faut-il démontrer avant un déploiement plus large ? Commencez par un site représentatif et convenez des critères de réussite avant le choix final des produits. Démontrez la valeur des éléments IT et OT dans une même investigation, la fiabilité de la télémétrie unidirectionnelle, les imports contrôlés et une réponse répétée avec des responsables nommés. Mesurez couverture, délais d’investigation et exceptions de transfert. Le résultat doit montrer ce qui fonctionne, ce qui demande de l’ingénierie et les besoins d’exploitation à grande échelle. ### Qu’est-ce qui détermine le coût ? Faut-il toute la solution ? Adaptez le périmètre du service aux actifs et aux risques à couvrir. Le nombre de terminaux et de sites, le volume et la conservation de la télémétrie, les capteurs OT, les passerelles, les modules d’inspection, les intégrations et la couverture du service influencent l’offre. Conservez les protections efficaces et complétez les capacités manquantes. Distinguez dans le périmètre commercial la mise en œuvre, les licences récurrentes, le support et les responsabilités d’exploitation. ### Pouvons-nous proposer cela comme service managé à nos clients ? Oui. Les partenaires peuvent bâtir un service associant évaluation, intégration, surveillance, transferts contrôlés et amélioration continue. Yellow Cube accompagne l’architecture, le choix des produits, la validation technique et l’accompagnement commercial. Définissez qui exploite chaque plateforme, qui couvre les incidents hors horaires et quelles actions exigent l’accord du client. Confirmez le périmètre des services des fournisseurs et les conditions commerciales de la combinaison retenue avant de vous engager auprès du client. ### Peut-on ajouter de la visibilité OT sans perturber la production ? Prévoyez une observation passive et un déploiement progressif, avec validation par l’équipe du site de l’emplacement des capteurs, de l’export des données et des fenêtres de maintenance. Validez le chemin de surveillance et ses dépendances avant d’activer une nouvelle source, puis convenez des critères d’acceptation et de retour arrière. La surveillance ne doit pas créer de dépendance de contrôle en ligne. Toute modification des équipements ou connexions exige toujours une validation technique propre au site. ### Que faut-il maintenir après la mise en service du SOC ? Désignez des responsables pour les connecteurs, capteurs, réplications des passerelles, politiques d’inspection et règles de détection. Surveillez les journaux manquants et l’état des collecteurs, planifiez les mises à jour approuvées, révisez les autorisations et exercez l’escalade et la reprise. Revalidez l’isolation lorsque les actifs ou connexions changent. Les revues régulières doivent suivre la couverture, les délais d’investigation, les exceptions de transfert et les actions achevées pour que le SOC évolue avec l’environnement protégé. ### Que préparer pour notre premier échange ? Apportez un schéma sommaire du réseau, vos outils de sécurité actuels, les sites et actifs concernés, ainsi que les connexions connues entre IT et OT. Précisez qui traite les incidents, les contraintes de production et les lacunes de couverture. Pour les partenaires, décrivez le service envisagé. Ces éléments permettront de définir une preuve de concept concrète et les prochaines étapes techniques et commerciales. ## Construisons une cyberdéfense plus efficace, ensemble La confiance, l’expertise et la réussite commune sont au cœur de nos partenariats. Développer votre activité, enrichir votre offre de cybersécurité ou lancer des solutions innovantes sur de nouveaux marchés : Yellow Cube vous accompagne dans la durée. [Contactez Yellow Cube]() ## Attribution et portée Cette version Markdown est générée à partir des mêmes contenus approuvés que la page HTML canonique. Utilisez l’URL canonique pour toute citation.