Ingénieur Cybersécurité SOC · CTI · Réponse à Incident

Intervention au sein d'un cloud souverain qualifié SecNumCloud pour renforcer l'équipe de sécurité et industrialiser les processus du SOC.

• A piloté l'intégration de 4 nouveaux clients au SOC avec le cadrage et le raccordement des logs sur Sentinel et M365, l'implémentation des règles de détection et la rédaction des fiches réflexes d'exploitation.
• A coordonné un incident critique de déni de service DDoS en réalisant une analyse réseau avec Wireshark et Netflow, en adaptant les règles de filtrage sur F5, Barracuda WAF et Fortinet, puis en rétablissant le service avec un audit de durcissement.
• A conçu un playbook de confinement automatisé sur des incidents Trellix critiques assurant l'isolation réseau, la mise en quarantaine et l'orchestration SOAR via Azure Logic Apps et Sentinel avec un déclenchement 24/7 dès la détection sans attendre l'analyste.
• A conçu un playbook d'analyse d'incident assistée par IA pour traiter les incidents SIEM dès leur création avec une restitution structurée dans les tickets incluant le verdict, le MITRE ATT&CK et les recommandations, réduisant le temps de qualification initiale de 30 %.
• A industrialisé l'exploitation du SOC et la gestion des vulnérabilités en automatisant les rapports CVE sur Qualys, Vulncheck et Sploitscan, en créant des playbooks SOAR sur Logic Apps et Shuffle, et en déployant sous Git.
• A réalisé un audit d'exposition externe et de lutte contre l'usurpation de marque en OSINT en détectant les domaines usurpateurs, en priorisant le risque, en établissant un plan d'actions avec blocage proxy, DNS, messagerie et règles SIEM, et en pilotant les démarches de retrait auprès des registrars jusqu'à fermeture effective.
• A traité une campagne massive d'infostealers en caractérisant la chaîne d'infection, en réalisant des pivots CTI, une chasse rétrospective sur le parc supervisé, en mettant en liste noire les IOC à grande échelle, en remédiant les identifiants exfiltrés et en rédigeant une note d'alerte aux clients.

Intégration de l'organisation hôte du CSIRT.TN, un CSIRT accrédité FIRST, pour renforcer les capacités de Threat Intelligence et de réponse à incident.

• A mis en place et exploité une chaîne CTI complète avec une collecte multi-sources issue de l'OSINT, du Dark Web et des flux publics, une qualification et notation de la fiabilité, une structuration STIX et une diffusion via MISP et OpenCTI, permettant la détection de fuites d'identifiants et l'accompagnement des clients.
• A mené l'investigation forensique d'une attaque par rançongiciel Djvu et STOP par l'analyse d'artefacts et du disque, la reconstitution de la chaîne d'infection, l'extraction d'IoC et la publication d'un article d'analyse.
• A développé des outils internes dont un moteur de Threat Hunting en Python basé sur les règles SIGMA et MITRE ATT&CK, la génération automatisée de rapports CVE et la détection de domaines frauduleux avec des cycles courts et un réajustement des priorités selon les retours des analystes utilisateurs.
• A conçu et déployé THRIVE, une plateforme de Threat Hunting et d'investigation post-incident intégrant Hoarder, Zircolite, Hayabusa et Kuiper pour automatiser la collecte et l'analyse de journaux et accélérer les investigations SOC.
• A animé des formations professionnelles en CTI, réponse à incident et tests d'intrusion en Tunisie et dans plusieurs pays d'Afrique.