Évoluer d'analyste SOC N1 à N3 : le parcours concret
Passer d'analyste SOC N1 à N2 puis N3 : compétences à acquérir à chaque niveau, preuves à réunir, erreurs à éviter et comment demander à évoluer.
Beaucoup d'analystes entrent en SOC au niveau N1 avec une question en tête : combien de temps avant de faire autre chose que trier des alertes ? La réponse dépend moins de l'ancienneté que de ce que vous apprenez, et de ce que vous savez montrer. Ce guide décrit ce qui distingue réellement chaque niveau, les compétences à construire pour passer au suivant et la manière de rendre votre progression visible.
Ce qui change vraiment entre N1, N2 et N3
Les intitulés varient d'un SOC à l'autre, et certaines équipes ne parlent pas de niveaux du tout. La logique reste pourtant proche : à chaque palier, vous traitez des situations moins encadrées par des procédures et vous prenez plus de décisions seul.
| Niveau | Question à laquelle vous répondez | Ce que l'on attend de vous |
|---|---|---|
| N1 | « Cette alerte est-elle un vrai problème ? » | Appliquer les procédures, qualifier vite et bien, escalader avec un ticket clair |
| N2 | « Que s'est-il passé, jusqu'où, et que faut-il faire ? » | Mener une investigation complète, corréler plusieurs sources, proposer des actions |
| N3 | « Pourquoi ne l'avons-nous pas vu plus tôt, et comment l'éviter ? » | Traiter les cas complexes, améliorer la détection, chasser, transmettre aux autres |
Le passage de N1 à N2 est un passage de l'exécution à l'enquête. Le passage de N2 à N3 est un passage de l'enquête à l'amélioration du dispositif. Gardez cette idée en tête : ce n'est pas le volume d'alertes traitées qui vous fait monter, c'est la nature des problèmes que vous savez résoudre.
Si vous n'êtes pas encore en poste, commencez par notre guide pour devenir analyste SOC, qui détaille les bases attendues à l'entrée.
De N1 à N2 : passer du tri à l'investigation
Un bon N1 est rigoureux, rapide et fiable. Un futur N2 se repère à autre chose : il ne s'arrête pas à la question posée par la procédure.
Les compétences à construire
- Lire les journaux sans l'outil. Savoir ce que contient un événement d'authentification Windows, un journal de proxy ou une trace DNS, et pas seulement ce que la console en affiche.
- Maîtriser l'EDR. Remonter un arbre de processus, comprendre une ligne de commande suspecte, identifier ce qui a été lancé avant et après.
- Corréler. Relier une alerte à d'autres événements sur la même machine, le même compte ou la même période.
- Connaître votre environnement. Quels serveurs sont critiques, quels comptes sont à privilèges, quels comportements sont normaux chez vous.
- Raisonner en techniques d'attaque. Le référentiel MITRE ATT&CK donne un vocabulaire commun pour situer ce que vous observez dans un scénario d'intrusion.
Les habitudes qui vous font remarquer
Au lieu de clore une alerte en faux positif, notez pourquoi c'en est un, et proposez un ajustement de la règle si elle se déclenche trop souvent. Quand vous escaladez, joignez déjà vos premières vérifications. Demandez à suivre la suite des incidents que vous avez transmis : c'est la façon la plus directe d'apprendre ce que fait un N2.
Un ticket bien construit vaut une démonstration. Il dit ce que vous avez observé, ce que vous avez vérifié, ce que vous en concluez et ce qui reste ouvert. Les responsables de SOC lisent ces tickets, et c'est souvent sur eux qu'ils jugent la maturité d'un analyste.
De N2 à N3 : passer de l'enquête à l'amélioration
Au niveau N3, on ne vous demande plus seulement de bien traiter un incident. On vous demande de faire en sorte que le suivant soit détecté plus tôt, ou n'arrive pas.
Les compétences à construire
- Ingénierie de détection. Écrire, tester et maintenir des règles dans votre SIEM ou votre EDR, et savoir mesurer leur bruit. Le format Sigma est un bon terrain pour s'exercer à penser une règle indépendamment de l'outil.
- Chasse aux menaces. Partir d'une hypothèse, chercher dans les données, documenter même quand rien n'est trouvé.
- Connaissance offensive. Comprendre comment un attaquant se déplace dans un Active Directory, abuse d'outils légitimes ou maintient sa persistance. Vous n'avez pas besoin d'être pentester, mais vous devez reconnaître ces techniques.
- Gestion d'incidents majeurs. Garder une vision d'ensemble, prioriser, coordonner avec l'équipe de réponse à incident, l'exploitation et parfois la direction.
- Transmission. Former les N1 et N2, rédiger des procédures, relire leurs investigations.
Le changement de posture
Le N3 est souvent la personne vers qui l'on se tourne quand personne ne sait. Cela demande de l'assurance technique, mais aussi la capacité à dire « je ne sais pas encore, voici comment je vais le découvrir ». La qualité de l'écrit compte encore plus qu'au niveau précédent : vos retours d'expérience et vos propositions d'amélioration sont lus par des personnes qui n'étaient pas dans l'incident.
Construire des preuves de votre progression
Une évolution se demande avec des éléments concrets, pas avec une ancienneté. Constituez au fil des mois un dossier personnel, sans données confidentielles, qui montre ce que vous savez faire.
- Les investigations dont vous êtes fier. Résumez le contexte, votre démarche et le résultat, en anonymisant tout ce qui doit l'être.
- Les améliorations que vous avez apportées. Une règle ajustée, une procédure réécrite, une source de journaux ajoutée, un tableau de bord utile.
- Ce que vous avez appris hors poste. Home lab, scénarios défensifs sur des plateformes d'entraînement, rédactions de CTF orientés investigation. Notre article sur le portfolio cybersécurité explique comment présenter ce travail.
- Les retours reçus. Un incident bien géré salué par l'équipe, une formation donnée à un nouvel arrivant.
Les certifications peuvent aider à structurer votre apprentissage, surtout sur l'investigation et la détection. Elles ne remplacent pas la pratique : notre guide des certifications utiles selon votre poste vous aide à choisir celles qui ont du sens à votre niveau.
Demander votre évolution
Une fois les preuves réunies, ne comptez pas sur le fait que votre responsable les remarque seul. Préparez la conversation.
- Demandez les critères. Qu'est-ce qui distingue un N2 d'un N1 dans cette équipe ? Si la réponse est floue, proposez de la formaliser ensemble.
- Montrez l'écart comblé. Reprenez chaque critère et associez-y un exemple tiré de votre dossier.
- Proposez une période de transition. Prendre en charge certaines investigations N2 sous supervision est souvent plus facile à accepter qu'un changement immédiat.
- Parlez des conditions. Une évolution de niveau change souvent les astreintes, les horaires et la rémunération. Abordez ces points clairement, avec l'aide de notre guide pour négocier son salaire en cybersécurité.
Si l'organisation ne permet pas d'évoluer, parce que le SOC est trop petit, très externalisé ou sans niveau supérieur, ce n'est pas un échec de votre part. C'est une information. Changer d'employeur est alors souvent la voie la plus rapide, et votre dossier de preuves devient votre meilleur argument en entretien.
Les erreurs qui freinent la progression
- Viser la vitesse plutôt que la compréhension. Clore beaucoup d'alertes sans comprendre pourquoi n'apprend rien.
- Rester enfermé dans la console. Si vous ne savez travailler qu'à travers un seul outil, vous serez en difficulté au premier changement de SIEM ou d'EDR.
- Négliger l'écrit. Une excellente investigation mal restituée ne sera pas reconnue.
- Ne jamais sortir de son périmètre. Discuter avec l'équipe infrastructure, l'équipe réponse à incident ou les auditeurs élargit votre compréhension plus vite que n'importe quelle formation.
- Ignorer la fatigue. Les rythmes postés et les astreintes usent. Une progression durable suppose un rythme tenable sur la durée.
Et après le N3 ?
Le niveau N3 ouvre plusieurs directions. Certains restent experts en détection et deviennent ingénieurs détection. D'autres se spécialisent dans la chasse aux menaces, la réponse à incident ou l'analyse forensique. D'autres encore prennent la responsabilité d'une équipe ou d'un SOC entier. Aucun de ces chemins n'est supérieur aux autres : choisissez celui qui correspond à ce que vous aimez faire au quotidien.
En résumé
Évoluer de N1 à N3, c'est passer de l'application des procédures à l'investigation, puis de l'investigation à l'amélioration du dispositif de détection. Construisez les compétences de l'étape suivante avant qu'on vous les demande, accumulez des preuves concrètes et préparez la conversation avec votre responsable comme un entretien.
Vous visez un poste N2 ou N3, ou un SOC qui vous permettra de progresser ? Rejoignez gratuitement le réseau Cyber Recrut : nos candidats présélectionnés démontrent leurs compétences sur des labs pratiques, ce qui permet de faire reconnaître un niveau réel plutôt qu'un intitulé de poste. Découvrez notre façon de travailler.