Trouvez votre prochaine offre d’emploi ou de mission freelance Cortex XSOAR

Notre client dans le secteur Infrastructure, BTP et matériaux de construction recherche un/une Team Lead "Security Automation" (SOAR) H/F Description de la mission : Contexte Au sein d'un CSIRT opérant dans un contexte international, l'équipe Automatisation & Detection Engineering fournit ses services à l'ensemble de la CyberDefense, de la réponse à incident à la gestion des vulnérabilités. Mission Prendre la tête de l'équipe Automatisation & Detection Engineering, composée de 3 à 4 ingénieurs, tout en conservant une activité opérationnelle hands-on. Le poste est rattaché au Head of CSIRT et constitue le référent technique du domaine. Principales responsabilités Piloter les priorités, la charge et la roadmap de l'équipe ; livrer les projets dans les délais, le périmètre et les standards de qualité attendus. Être le référent et le point d'escalade sur les sujets SOAR, automatisation et detection engineering. Garantir la qualité des livrables par des revues de conception et de code, et faire appliquer les bonnes pratiques de développement, de test et de déploiement. Faire monter l'équipe en compétences et animer les rituels techniques : ateliers, partage de connaissances et présentations à la CyberDefense. Concevoir, développer et maintenir les playbooks et workflows SOAR avec Torq pour l'enrichissement, le triage, l'investigation et la remédiation. Développer et maintenir via API les intégrations avec l'écosystème de sécurité : SIEM, EDR/XDR, Threat Intelligence et outils de ticketing ou de case management. Fiabiliser et optimiser les playbooks existants en matière de robustesse d'exécution, de performance et de couverture. Identifier les opportunités d'automatisation avec les équipes CyberDefense et traduire les besoins opérationnels en solutions industrialisées. Gérer le cycle de vie des use cases de détection : conception, tests, tuning et retrait, en les alignant sur les TTP des attaquants et MITRE ATT&CK. Mettre en œuvre une approche Detection as Code : versionnement, revue, tests et déploiement des règles via CI/CD. Challenger les demandes de détection pour garantir leur pertinence et leur valeur opérationnelle. Réduire les faux positifs et améliorer le ratio signal/bruit afin de limiter l'alert fatigue. Environnement technique SOAR et automatisation : Torq ou Cortex XSOAR Développement et intégration : Python, API REST, JSON, YAML Sécurité : SIEM, EDR/XDR, Threat Intelligence, case management Detection Engineering : MITRE ATT&CK, Detection as Code DevOps : Git, CI/CD Profil recherché Expérience 8 à 9 ans d'expérience en cybersécurité, dont 4 à 6 ans en automatisation, SOAR ou detection engineering, idéalement en CSIRT ou SOC. Expérience confirmée en lead technique ou en management d'une équipe d'ingénieurs. Bonne compréhension des processus de réponse à incident et de leurs contraintes opérationnelles. Formation Bac+3 à Bac+5 en informatique, cybersécurité ou génie logiciel. Compétences techniques Expérience SOAR : Torq est un plus ; à défaut, solide expérience Cortex XSOAR ou d'un SOAR équivalent. Maîtrise de Python et des API REST ; connaissance de JSON, YAML et Git. Très bonne connaissance des SIEM, EDR/XDR, plateformes de Threat Intelligence et outils de case management. Pratique du Detection as Code et des pipelines CI/CD. Certifications appréciées : GIAC GCIA, Microsoft SC-200 ou certification Cortex XSOAR. Compétences personnelles Leadership technique et capacité à fédérer. Profil hands-on, rigoureux et structuré face aux problèmes complexes. Capacité à challenger les besoins et à prendre l'ownership des résultats. Communication claire avec des interlocuteurs techniques et non techniques. Curiosité technique et goût de l'apprentissage continu. Langues Anglais courant indispensable, à l'écrit comme à l'oral, dans un environnement international et distribué. Compétences / Qualités indispensables : Cybersécurité et réponse à incident, Automatisation SOAR et conception de playbooks, Detection Engineering et MITRE ATT&CK, Python et API REST, Leadership technique et management d'équipe, Anglais courant Compétences / Qualités qui seraient un + : Expérience Torq ; certifications GIAC GCIA, Microsoft SC-200 ou Cortex XSOAR ; Microsoft Sentinel, Microsoft Defender, Azure Logic Apps, Copilot for Security, Jira/Jira Automation, GitHub, analyse de phishing et gestion de projet.Informations concernant le télétravail : Oui — 2 jours/semaine

pour un de nos clients, nous recherchons un Analyste SOC N3 confirmé, éligible aux exigences d'habilitation applicables, disponible pour un entretien immédiat et un démarrage dans la foulée. Le consultant rejoint l'équipe d'expertise N3 chargée de la détection, de l'investigation et de la réponse aux incidents de sécurité sur un périmètre national, critique et fortement réglementé. Le poste se situe à la frontière entre l'analyse SOC et l'infrastructure sécurité : une solide maîtrise des réseaux (DNS, proxy, firewall, VPN, routage) est attendue autant que l'expertise SIEM. Des chantiers de migration d'équipements ou d'outils de sécurité peuvent être confiés.

Contexte Nous recherchons un(e) Ingénieur(e ) Cybersécurité pour le compte de notre client (secteur du service). Mission 1/ Detection Engineer Concevoir et développer de nouveaux scénarios de détection. Mettre à jour et optimiser les règles existantes. Réduire les faux positifs et améliorer la pertinence des alertes. Développer et maintenir des règles SPL, Sigma, YARA Concevoir et maintenir les modèles de corrélation et de scoring reposant sur le Risk-Based Alerting (RBA) de Splunk Enterprise Security. Définir les indicateurs de risque, les objets de risque et les mécanismes d'agrégation permettant une priorisation efficace des alertes de sécurité. Exploiter les retours d'expérience issus des incidents, du Threat Hunting et de la CTI pour enrichir les capacités de détection. Réaliser les tests, recettes et validations avant passage en production. Participer à la définition de tableaux de bord de suivi de l'efficacité des détections. Assurer le transfert des contenus développés vers les équipes SOC. Mission 2/ Développer et maintenir les connecteurs entre les plateformes de sécurité (SIEM, SOAR, CTI, EDR, NDR, outils d'investigation, etc.). Développer des scripts et outils d'automatisation en Python, PowerShell, Bash ou technologies équivalentes. Participer à l'intégration de nouvelles sources de logs et nouveaux équipements dans le SIEM. Industrialiser les enrichissements CTI et les processus d'investigation. Participer aux projets d'automatisation de la détection et de la réponse à incident. Assurer la qualification, les tests et la validation des flux de données de sécurité. Contribuer à l'amélioration de la qualité des données exploitées par le SOC. Maintenir la documentation technique des intégrations mises en œuvre. Mission 3/ Innovation et intégration de l'IA au sein du SOC/CSIRT Réaliser une veille sur les solutions d'IA appliquées à la cybersécurité. Participer à la définition de la stratégie d'intégration de l'IA dans les activités de surveillance et de réponse à incident. Identifier les cas d'usage permettant d'améliorer l'efficacité opérationnelle des analystes SOC et CSIRT. Contribuer à l'expérimentation et à l'évaluation de solutions basées sur les LLM, l'IA générative ou les systèmes agentiques. Participer à la conception de mécanismes d'assistance à l'investigation, à l'analyse d'alertes et à la génération de contenus de détection. Contribuer aux réflexions sur l'architecture des plateformes IA, la gouvernance des données, la sécurité des usages et l'intégration avec les outils de cybersécurité existants. Participer à l'évaluation des risques liés à l'usage de l'IA et à la définition des mesures de maîtrise associées. Livrables attendus : Connecteurs et développements d'intégration opérationnels. Scripts et outils d'automatisation documentés Dossiers d'architecture et d'intégration. Procédures d'exploitation et de maintenance. Matrice des flux et dépendances techniques. Rapports de qualification et de recette. Documentation technique des développements réalisés. Catalogue de règles et scénarios de détection. Documentation technique des cas d'usage. Rapports d'optimisation et de réduction des faux positifs. Matrice de couverture MITRE ATT&CK. Dossiers de recette et de mise en production. Tableaux de bord de suivi des performances de détection. Avantages & Perspectives Localisation du poste : Aix-en-Provence Date de démarrage : 26/10/2026 Distanciel : 2 jrs/semaine Rémunération : package global +/- 60 K selon profil (Politique d'intéressement en place depuis 2015) TJM : +/- 550 selon profil

Missions et responsabilités Prendre en charge les incidents escaladés par les niveaux N1/N2 : qualification, investigation approfondie, remédiation et retour d'expérience. Build SIEM : participer à la conception et au déploiement de la plateforme SIEM (architecture, dimensionnement EPS, raccordement et normalisation des sources de logs, parsers, tableaux de bord), jusqu'à sa mise en production. Administration de l'EDR : déploiement et suivi des agents, gestion des politiques de protection, exclusions et mises à jour, maintien en condition opérationnelle de la console et intégration des alertes EDR dans le SIEM. Concevoir, tester et maintenir les règles de corrélation et cas d'usage SIEM (alignement MITRE ATT&CK, réduction des faux positifs). Analyser les journaux réseau et applicatifs : DNS, proxy (référent, User-Agent), firewall, VPN. Contribuer à la maîtrise des flux : règles firewall stateful, tunnels VPN, routage par politique (PBR), bascule en cas de perte de tunnel. Participer aux projets de migration d'outils ou d'équipements de sécurité (SIEM, firewall, EDR). Rédiger procédures, playbooks et rapports d'incident ; produire les indicateurs pour le RSSI. Accompagner et faire monter en compétences les analystes N1/N2. Compétences techniques requises Domaine Attendu Exemples d'outils (CV validés) SIEM et détection Indispensable – création de règles de corrélation, tableaux de bord, tuning Splunk, ELK, Wazuh, Microsoft Sentinel, Logpoint, Rapid7 InsightIDR EDR / XDR / SOAR Indispensable – investigation et remédiation Cortex XDR / XSOAR, SentinelOne, Microsoft Defender Réseau et protocoles Indispensable – TCP/IP , modèle OSI (couches 3 et 4), DNS, HTTP Analyse de logs, Wireshark Firewall et VPN Indispensable – stateful, IPsec, PBR, haute disponibilité Palo Alto / Panorama, Fortinet, Stormshield Proxy et web Indispensable – forward / reverse proxy, filtrage, analyse HTTP Zscaler, HAProxy, Squid

Compétences recherchées Compétences métiers : Connaissance approfondie des grandes technologies et pratiques de la Cybersécurité ; Capacité à traduire des besoins fonctionnels en sujets techniques ; Avoir des connaissances réglementaires : SOC - Cyber Expertise Linux ; Connaissance de la sécurité Linux La maitrise des technologies suivants est un plus : Cortex XSOARS, CEPH, Proxmox, Ansible, Rundeck, Openldap, NTPs, Rsyslog, PKI, Gentoo et NGINX Bonne connaissance des techniques d'attaques et de défense ; Capacité à faire de la rédaction de documentation technique Prendre en charge la rédaction de documentation de durcissement Compétences comportementales : Esprit d'équipe et sens du collectif ; Sens de l'écoute et un bon relationnel ; Force de proposition et amélioration continue ; Esprit d'analyse et de synthèse ; Capacité à communiquer de façon claire et adaptée à son auditoire ; Curiosité Langues Anglais opérationnel

Missions et responsabilités Prendre en charge les incidents escaladés par les niveaux N1/N2 : qualification, investigation approfondie, remédiation et retour d'expérience. Build SIEM : participer à la conception et au déploiement de la plateforme SIEM (architecture, dimensionnement EPS, raccordement et normalisation des sources de logs, parsers, tableaux de bord), jusqu'à sa mise en production. Administration de l'EDR : déploiement et suivi des agents, gestion des politiques de protection, exclusions et mises à jour, maintien en condition opérationnelle de la console et intégration des alertes EDR dans le SIEM. Concevoir, tester et maintenir les règles de corrélation et cas d'usage SIEM (alignement MITRE ATT&CK, réduction des faux positifs). Analyser les journaux réseau et applicatifs : DNS, proxy (référent, User-Agent), firewall, VPN. Contribuer à la maîtrise des flux : règles firewall stateful, tunnels VPN, routage par politique (PBR), bascule en cas de perte de tunnel. Participer aux projets de migration d'outils ou d'équipements de sécurité (SIEM, firewall, EDR). Rédiger procédures, playbooks et rapports d'incident ; produire les indicateurs pour le RSSI. Accompagner et faire monter en compétences les analystes N1/N2. Compétences techniques requises Domaine Attendu Exemples d'outils (CV validés) SIEM et détection Indispensable – création de règles de corrélation, tableaux de bord, tuning Splunk, ELK, Wazuh, Microsoft Sentinel, Logpoint, Rapid7 InsightIDR EDR / XDR / SOAR Indispensable – investigation et remédiation Cortex XDR / XSOAR, SentinelOne, Microsoft Defender Réseau et protocoles Indispensable – TCP/IP , modèle OSI (couches 3 et 4), DNS, HTTP Analyse de logs, Wireshark Firewall et VPN Indispensable – stateful, IPsec, PBR, haute disponibilité Palo Alto / Panorama, Fortinet, Stormshield Proxy et web Indispensable – forward / reverse proxy, filtrage, analyse HTTP Zscaler, HAProxy, Squid