romain M

Analyste SOC N2/N3 – Orange Cyberdéfense (SOC mutualisé) Mission en clientèle – Référent technique - Référent technique sur un client grand compte, avec astreintes de nuit et déplacements sur site. - Détection, investigation et gestion des incidents de sécurité remontés par le SIEM (Splunk ES) et les EDR (Cortex XDR, Microsoft Defender). - Traitement des alertes de sécurité (P1, P2, P3) : détection, qualification, investigation et réponse à incident. - Identification et suppression des faux positifs via des propositions de tuning et d’optimisation des règles de détection. - Rédaction et mise à jour de fiches réflexes d’investigation pour les règles de détection. - Formation et accompagnement d’alternants et d’analystes juniors (onboarding, coaching technique). - Automatisation des processus dans Cortex XSOAR : conception de playbooks, développement d’automations et de layouts personnalisés. - Maîtrise complète de Splunk : datamodels, lookups, macros, dashboards (classiques et Studio), saved searches, Enterprise Security. - Création d’outils et tableaux de bord Splunk : - Dashboards d’investigation pour les analystes (phishing, TOR, enrichissement, web, etc.) - Tableaux de bord de suivi des règles (statuts dev/prerun/run, whitelists, drafts, fiches réflexes, intégration XSOAR) - Dashboards de threat hunting sur les datamodels Web et Network. - Développement de scripts Python pour automatiser les tâches récurrentes et faciliter les investigations. - Reporting hebdomadaire et participation active aux réunions avec les parties prenantes. - Rédaction de documents techniques et guides d’aide à l’investigation pour Cortex XDR. Environnement technique : - SOC (Security Operations Center) - SIEM : Splunk Enterprise Security - EDR : Cortex XDR, Microsoft Defender - Mail: Proofpoint - Automatisation : Cortex XSOAR - Langages : SPL, XQL, Python - Gestion des tickets : TheHive, ServiceNow - Documentation : GitLab

Organisation: - Utilisation de YouTrack pour gérer les projets & les incidents Gestion de crise: - Initiation à la gestion d'une crise cyber d'un OIV par le biais d'un cyber exercice organisé par DIATEAM sur une semaine, répartie en plusieurs équipes (comm, admin sys, soc, TI et forensic). Je m'occupais de la partie investigation numérique comme Team leader et coordinateur de mon équipe afin de communiquer et de se répartir les tâches avec les autres équipes, rédaction d'un rapport d'investigation et présentation a froid de l'exercice sous forme d'un RETEX. Compétences Cyber: - Maîtrise de SIEM Splunk et cortex XDR, backup/réfèrent sur le client, utilisation de cortex XSOAR - rédaction de documentation pour les fiches d'invest - Purple Team (mise en place d'un lab, règles de détections, simulation d'attaque AD, création de scénario d'attaque en fonction des groupes APT retenue & C2 avec sliver) - Utilisation de Splunk RBA signaux faibles, tunning de règles de Splunk, création de dashboard splunk - Compréhension des attaques: des différents groupes d'APT a partir des bulletin de TI, TTP, malware, phishing, exfiltration de donnée, technique d'attaque sur l'AD (AS-REP, kerberoasting...etc) - Compréhension de l'environnement AD, services, eventid, sysinternals..etc - réponse à incident sur des alertes de priorité maximale avec la rédaction d'un rapport d'investigation sur un cas concret LummaStealer - Analyse statique et dynamique avec FlareVM + KASM desktop pour le phishing Devops: - terraform, packer, ansible, docker, docker-compose => pour la création des labs - Splunk ES et Gitlab CI/CD => ingestion automatique des règles et dashboards - Python automatisation des taches Veille cyber: - Blog, podcast, article de presse, CERT, OSINT, rapport de threat intel des différents vendeurs de solution cyber Mandiant..etc - Participation a des évènements cyber comme le hack Auto formation: - Youtube, site web comme VX underground, tryhackme, hackthebox, cyberdefenders

Grafana, loki, prometheus, Docker, python, kali linux, sensibilisation à la cybersécurité (présentation et développement d'une campagne de faux phishing), Wazuh (HIDS) et Suricata, opencve Threat hunting, SIEM Script python blacklist pour Pi-hole OSINT: retracer une attaque de phishing