Mostafa EL ALLIOUI

- Analyse et investigation des alertes de sécurité remontées par le SIEM, EDR, Azure, etc. - Traitement des emails de phishing remontés par les utilisateurs. - Traitement des alertes de sécurité liées à la Threat Intelligence (XMCO). - Participation dans les campagnes de sensibilisation des utilisateurs. - Création de règles de corrélation sur le SIEM. - Création de processus et playbooks pour la gestion d'incidents liée aux règles de corrélation créées. - Documentation des use cases créées au niveau de Confluence. - Participation dans le tuning des règles de corrélations. - Optimisation de la configuration des scans dans Qualys VMDR : ajustement des plages IP, des groupes d’actifs et des politiques de scan pour améliorer la couverture technique (serveurs, postes, équipements réseau). - Amélioration de la granularité des scans Qualys par environnement (prod, dev, recette, etc.) et par criticité métier. - Réalisation de plan d’amélioration d’audit (rationalisation des tags, politiques de scan, fréquence, performances) avec rédaction d’un rapport d’analyse des points d’amélioration. - Participation à l’intégration des données Qualys dans XSOAR pour automatiser la priorisation des vulnérabilités critiques. - Rédaction de documentations techniques détaillées (runbooks, fiches de procédure). - Définition et suivi les indicateurs permettant d’évaluer l’efficacité et la pertinence des processus. - Contribution à l’évolution des outils de suivi et de gestion des incidents. - Participation à la veille cybersécurité (Gestion des IOCs, Gestion de vulnérabilités). - Participation à la gestion des vulnérabilités (Bitsight, Nessus). Environnement technique : - Security Operations Center (SOC) - SIEM : Splunk, Microsoft Sentinel - SOAR : Cortex XSOAR - EDR : CrowdStrike, Microsoft Defender - Langage : SPL - Scanner de vulnérabilités : Qualys & Nessus - Veille Cybersécurité : XMCO, Bitsight - Gestion de projet : Jira - Gestion de tickets : ServiceNow - Documentation : Confluence

- Accompagnement et encadrement du prestataire pour implémenter les use cases avec pertinence en se basant sur les processus et procédures mis en place. - Participation dans les réunions entre le client, le prestataire et l’équipe de revue pour discuter autour des use cases à implémenter. - Revue du code KQL des règles de corrélation pour assurer la pertinence et l’optimisation du code. - Revue des playbooks et templates d’escalade d’incidents pour chaque nouveau use case développé. - Proposition de nouveaux uses cases à implémenter suivant le framework MITRE ATT&CK. - Participation dans le tuning des règles de corrélations. - Accompagnement des analystes L1 pour bien comprendre la logique derrière les UCs et comment utiliser les playbooks. - Gestion des requêtes de tuning remontées par les analystes SOC concernant la performance des use cases ce qui permet d’éliminer les faux positifs. Environnement technique : - Security Operations Center (SOC) - SIEM : Microsoft Sentinel - Langage : KQL - Gestion de projet : Azure DevOps - Gestion de tickets : Jira - Documentation : Confluence

- Détection et gestion des incidents de sécurité remontés par le SIEM et l’EDR. - Analyse et investigation avancée des alertes/incidents remontées par les analystes. - Traitement des alertes de phishing escaladées par les utilisateurs finaux. - Gestion des alertes en collaboration avec toute partie prenante. - Notification et escalade des incidents de sécurité selon les processus et playbooks définis dans le SOC. - Recommandation de plans de confinement et contre-mesures. - Threat Intelligence : analyse et veille des menaces externes. - Documentation des playbooks de réponse aux incidents. - Proposition de nouveaux use cases suivant le Framework MITRE ATT&CK afin de couvrir des risques particuliers. - Threat Hunting : supervision et identification des menaces. - Identification, qualification et élimination des faux positifs à travers des propositions de tuning. - Reporting hebdomadaire et participation aux différentes réunions avec les parties prenantes. Environnement technique : - Security Operations Center (SOC) - SIEM : RSA, Microsoft Sentinel - EDR & DLP : Microsoft 365 Defender - SOAR : SecOps - Inventaire des hôtes et des référentiels : Splunk - Threat Intelligence : MISP

- Surveillance des évènements et des alertes de sécurité liées aux filiales Africaines de la Société Générale. - Analyse et investigation avancée des alertes/incidents remontées par le SIEM et l’EDR. - Traitement des alertes de phishing escaladées par les utilisateurs finaux, chefs de départements, RSSI, etc. - Notification et escalade des incidents de sécurité selon les processus et les playbooks du SOC. - Recommandation de plans de confinement et contre-mesures. - Gestion des alertes conformément aux processus définis dans le SOC. - Gestion des alertes en collaboration avec d’autres entités : externes, utilisateurs finaux, etc. - Proposition d'amélioration continue pour le bon fonctionnement du SOC. - Rédaction de rapports d’incidents de sécurité et participation dans les réunions avec les différentes parties prenantes. - Threat Intelligence : analyse et veille des menaces externes. - Documentation des playbooks de réponse aux incidents. Environnement technique : - Security Operations Center (SOC) - SIEM : RSA - EDR : Microsoft 365 Defender - Ticketing : SecOps

- Surveillance des évènements et des alertes de sécurité internes et externes en temps réel. - Triage des alertes entrantes selon leur criticité. - Traitement des alertes remontées par le périmètre Cloud O365 (mails, activités des collaborateurs). - Analyse et investigation des alertes/incidents remontées par le MSSP (SOC hybride). - Traitement des alertes de phishing escaladées par les utilisateurs finaux, chefs de départements, RSSI, etc. - Exploitation de la solution SOAR pour qualification, orchestration et enrichissement des cases SOC. - Configuration de la solution SOAR et création des playbooks. - Notification et escalade des incidents de sécurité selon les processus et les playbooks mis en place dans le SOC. - Participation dans la gestion et les investigations des incidents. - Proposition de plans de confinement et contre-mesures. - Gestion des tickets d’alertes conformément aux processus et aux playbooks définis dans le SOC. - Gestion des alertes en collaboration avec d’autres entités externes, utilisateurs finaux, etc. - Analyses des tentatives d’usurpation des noms de marque de la banque et ses filiales à travers le brand monitoring. - Identification, qualification et élimination des faux positifs en les accompagnants par des propositions de tuning. - Recherche de présence des nouvelles menaces identifiées à travers la Threat Intelligence. - Interfaçage avec un de nos prestataires de Threat Intelligence afin de mieux répondre à nos besoins. - Suivi et validation de l’intégration des sources d'événements en plus de la surveillance de leur disponibilité (périmètre PCI-DSS). - Recommandations d’améliorations des dispositifs de sécurité mis en place. - Rédaction de rapports et participation à des points quotidiens et des réunions hebdomadaire avec les différentes parties prenantes. Environnement technique : - Security Operations Center (SOC) - SIEM : ArcSight, Splunk - SOAR : Siemplify - Antivirus & EDR : Symantec - DLP : Symantec

- Étude, benchmarking et conception du modèle SOC adapté aux besoins du client (interne, externe, hybride). - Définition des rôles, processus et procédures de supervision et gestion d'incidents. - Proposition des technologies SOC, formalisation de la démarche et rédaction des livrables