Analyste CSIRT Tenable - AVIGNON - Freelance

Taux journalier (TJM): 450

Intitulé

Expert(e) CSIRT sur l'activité : #Tenable #GestionVulnérabilités #ScanExterne #Cloud

Date de démarrage

Démarrage souhaité dans les meilleurs délais, idéalement sous 4 à 6 semaines après validation, à confirmer avec le Responsable du domaine CSIRT.

Condition

Les horaires de travail sont de 8h30/9h à 17h30/18h et cette mission ne comporte pas d'astreinte.

Télétravail

Jours de télétravail autorisés 3 jours par semaine maximum

Éligibilité Possible après 1 mois d'ancienneté sur la mission

Contexte

Au sein de la Direction des Opérations et des Infrastructures Informatiques (DO2I), l'Analyste CSIRT est intégré au domaine CSIRT, sous le pilotage du Responsable du domaine.

Les missions s'inscrivent dans un contexte d'exploitation d'infrastructures critiques IT & OT, nécessitant un haut niveau d'exigence en matière de cybersécurité, de résilience et de conformité réglementaire.

Activité Détection

La Détection consiste à assurer la supervision du système d'information afin d'identifier au plus tôt tout comportement suspect ou indicateur d'activité malveillante.

Elle couvre notamment :

• La surveillance continue des alertes de sécurité (SOC).

• L'analyse des événements issus des logs, EDR/XDR, SIEM et équipements réseau.

• L'amélioration des règles de détection, des scénarios et des playbooks.

• Le suivi de la qualité du signal (bruit, faux positifs, tuning).

• L'intégration de nouvelles sources techniques ou métiers dans la surveillance.

Activité Réaction

La Réaction est le processus de prise en charge d'une alerte ou d'incident de sécurité pour en limiter l'impact, en analyser les causes et coordonner les mesures de remédiation.

Elle inclut :

• La qualification et la priorisation des incidents de sécurité.

• Les investigations techniques (forensic, analyse de traces, IOC handling).

• La coordination avec les équipes internes et les prestataires (SOC, intégrateurs, métiers).

• L'activation et le suivi des plans d'action techniques (containment, éradication, remédiation).

• Le reporting incident et le retour d'expérience (REX).

• L'automatisation des traitements avec TheHive / Cortex / SOAR.

Activité Veille Menace et Vulnérabilité

La Veille consiste à surveiller en continu les menaces et vulnérabilités qui pourraient toucher les infrastructures IT et OT.

Elle comprend :

• L'analyse quotidienne des CVE et bulletins de sécurité.

• L'évaluation du niveau de criticité (exploitabilité, exposition, impact).

• Le suivi des campagnes d'exploitation actives (threat intelligence).

• La recommandation des mesures correctives (patch, contournement, durcissement).

• Le pilotage de la gestion des vulnérabilités avec les équipes techniques.

Dans le cadre du renforcement du dispositif de gestion des vulnérabilités (VMV), le client a récemment fait l'acquisition de la solution Tenable, déployée sur le périmètre cloud et sur le scan des expositions externes (adresses IP publiques, sites et applications exposés sur Internet). Cette solution vient compléter le dispositif existant et nécessite la définition d'une stratégie dédiée, la construction d'une intelligence sur les actifs externes ainsi que la mise en place d'une méthodologie et d'une gouvernance robustes, avant passation aux équipes de RUN quotidien.

Missions

Stratégie & cadrage – périmètre externe et cloud

Définir et structurer la stratégie de gestion des vulnérabilités sur le périmètre externe et cloud, notamment :

• Élaborer la stratégie globale de gestion des vulnérabilités sur le périmètre externe (IP publiques, sites web, applications exposées) et cloud (IaaS/PaaS/SaaS).

• Construire et maintenir une cartographie / intelligence des actifs externes (inventaire des domaines, sous-domaines, IP, certificats, services exposés).

• Définir la méthodologie de scan (fréquence, profils, périmètres, gestion des exceptions et des faux positifs).

• Prioriser les campagnes de scan selon la criticité, l'exposition et la valeur métier des actifs.

• Assurer une veille active sur l'évolution de la surface d'exposition externe (nouveaux actifs, shadow IT, changements DNS).

Déploiement & administration de Tenable

Contribuer au déploiement opérationnel et à l'administration de la solution :

• Paramétrer et administrer la solution Tenable (Tenable.io / Tenable ASM) sur le périmètre cloud et externe.

• Configurer les scans, les groupes d'actifs, les tags et les profils de reporting.

• Fiabiliser la remontée, la qualification et la déduplication des vulnérabilités détectées.

• Assurer l'intégration de Tenable avec les autres outils du domaine CSIRT (ITSM, SOAR, reporting, threat intelligence).

• Contribuer au paramétrage des accès et des habilitations de l'outil.

Playbooks & fiches réflexe

Formaliser les processus de traitement afin d'en garantir la reproductibilité :

• Concevoir des playbooks de traitement des vulnérabilités, de la détection à la remédiation.

• Rédiger des fiches réflexe opérationnelles à destination des équipes de RUN quotidien.

• Documenter les procédures de qualification, de priorisation et d'escalade.

• Définir les SLA de traitement selon la criticité des vulnérabilités et le niveau d'exposition des actifs.

• Mettre à jour la documentation au fil des évolutions de l'outil et des processus.

Accompagnement des responsables applicatifs & processus de correction

Construire et animer le dispositif de correction avec les métiers :

• Construire un processus structuré d'accompagnement des responsables applicatifs à la correction des vulnérabilités (RACI, circuit de validation, relances).

• Sensibiliser et former les équipes applicatives aux enjeux de la surface d'exposition externe.

• Assurer le suivi des plans de remédiation et des indicateurs d'avancement (patch, contournement, durcissement).

• Produire des rapports de suivi et des tableaux de bord dédiés au périmètre externe et cloud.

• Organiser des points de suivi réguliers avec les responsables applicatifs et le Responsable du domaine CSIRT.

Passation aux équipes de RUN quotidien

Préparer et sécuriser le transfert de compétences vers le RUN :

• Former les équipes de RUN à l'utilisation opérationnelle de Tenable et aux processus mis en place.

• Transférer la documentation, les playbooks et les fiches réflexe.

• Assurer une période d'accompagnement et de supervision avant autonomie complète des équipes RUN.

• Définir les indicateurs de suivi de la qualité du traitement post-passation.

Réaction

La mission principale n'est pas centrée Réaction, mais l'analyste peut intervenir en soutien ponctuel :

• Traitement ponctuel des alertes et incidents issus du SOAR (xSOAR, TheHive), en cas de besoin.

• Respect des SLA de prise en charge, qualification, escalade et clôture.

• Qualification, priorisation et documentation des incidents de sécurité.

• Escalade et coordination avec le SOC, les équipes IT, OT et les intégrateurs.

Veille Menace et Vulnérabilité

La mission principale s'inscrit déjà dans la Veille Menace et Vulnérabilité au sens large ; l'analyste peut également intervenir en soutien sur le périmètre interne, notamment :

• Support en cas d'absence sur l'analyse hebdomadaire des vulnérabilités internes.

• Participation ponctuelle à la qualification des vulnérabilités prioritaires (CVE critiques, exploits actifs).

• Appui sur le suivi des tickets de remédiation avec les équipes techniques.

Plan de charge par activités prévisionnel

Stratégie & Pilotage Tenable (Cloud / Externe) - 80 %

Réaction (soutien) - 10 %

Veille (soutien) - 10 %