SOC / SIEM

Un pipeline SIEM complet, du log brut à l'alerte triée par IA.

Plateforme SOC open-source déployée via Docker Compose : les logs (auth, pare-feu, IDS, web, audit) transitent par un bus Kafka (Redpanda), puis Vector les filtre, déduplique et les route par valeur — événements de sécurité vers OpenSearch (tier chaud), volumétrie vers ClickHouse (tier colonnaire avec rollups, codecs de compression et rétention 30 jours).

Un moteur de corrélation natif exécute 7 règles de détection en SQL ClickHouse (brute-force SSH, scans réseau, élévation de privilèges, anomalie volumétrique non supervisée par z-score…), chacune taguée MITRE ATT&CK. Chaque alerte est ensuite triée par Claude (API Anthropic) : verdict, score de priorité 0-100, étape d'attaque et action recommandée, avec rapports SOC automatiques par e-mail incluant des playbooks de remédiation.

Visualisation à deux niveaux : OpenSearch Dashboards pour l'investigation sécurité, Grafana pour la volumétrie, les alertes corrélées et la file priorisée par IA.