Questions d'entretien pour un analyste SOC : la grille
Les questions d'entretien à poser à un analyste SOC, du N1 au N3 : triage, journaux, EDR, escalade, écrit, avec les bonnes réponses et les signaux d'alerte.
Un entretien d'analyste SOC dérive facilement vers une revue des outils : quel SIEM, quel EDR, combien d'alertes par jour. On en ressort sans savoir si la personne sait trier une alerte, mener une investigation ou rédiger un ticket qu'un collègue pourra reprendre à 3 h du matin. Voici une grille de questions organisée par thème, adaptée au niveau du poste, avec pour chacune ce qu'une bonne réponse contient et les signaux qui doivent vous alerter.
Avant l'entretien : fixer le niveau et le contexte
Une grille utile part du poste réel. Avant de recevoir le premier candidat, tranchez trois points :
- Le niveau : N1 qui qualifie et escalade, N2 qui investigue, N3 qui traite les incidents complexes et améliore la détection.
- Le contexte : SOC interne qui connaît un seul système d'information, ou MSSP qui surveille plusieurs clients aux environnements différents.
- Le rythme : travail posté, astreintes, horaires de nuit ou de week-end.
Si ces éléments ne sont pas encore clairs, notre guide pour recruter un analyste SOC détaille le cadrage, et notre modèle de fiche de poste d'analyste SOC vous aide à le formaliser.
Toutes les questions ci-dessous ne conviennent pas à tous les niveaux. Pour un N1, privilégiez la méthode, la rigueur et le réflexe d'escalade. Pour un N2 ou un N3, insistez sur l'investigation, la corrélation et l'amélioration de la détection.
Triage et qualification des alertes
Le triage est le cœur du métier. C'est aussi la partie la plus difficile à simuler en entretien, d'où l'intérêt de questions concrètes.
« Une alerte remonte : connexion réussie sur un compte utilisateur depuis un pays inhabituel. Que vérifiez-vous avant de conclure ? »
Une bonne réponse liste des vérifications dans un ordre logique : historique de connexion du compte, déplacement ou VPN connu, appareil utilisé, authentification multifacteur validée ou non, actions réalisées après la connexion (règles de messagerie, téléchargements, changement de mot de passe). Le candidat doit aussi dire à quel moment il escalade.
Signal d'alerte : une conclusion immédiate (« c'est un faux positif, c'est le VPN ») sans vérification.
« Comment distinguez-vous un faux positif d'un incident quand vous n'avez pas de certitude ? »
On attend une réponse honnête : documenter ce qui a été vérifié, ce qui ne l'a pas été, et escalader en le disant plutôt que de clore par défaut. Les meilleurs candidats expliquent qu'un faux positif récurrent doit aussi être signalé pour faire évoluer la règle.
« Vous avez trente alertes en attente et une seule personne disponible. Comment priorisez-vous ? »
Bonne réponse : criticité de l'actif, gravité de la règle, signaux combinés sur un même hôte ou un même compte, alertes qui touchent des comptes privilégiés. Le candidat doit évoquer la communication avec son responsable si la charge dépasse ce qu'il peut traiter correctement.
Lecture des journaux et de l'EDR
Ces questions s'adressent surtout aux N2 et N3, mais une version simplifiée fonctionne pour un N1 confirmé.
« Quels événements Windows regardez-vous pour suivre une authentification suspecte, puis une élévation de privilèges ? »
Le candidat doit citer les familles d'événements utiles (ouvertures de session réussies et échouées, types de connexion, création de processus, ajout à un groupe privilégié, création de service ou de tâche planifiée) et surtout expliquer ce qu'ils permettent de reconstituer. Un bon profil précise aussi ce que ces journaux ne montrent pas si l'audit n'est pas configuré.
Signal d'alerte : une liste de numéros récitée sans capacité à dire ce que chacun raconte.
« L'EDR montre un document bureautique qui lance un interpréteur de commandes, lequel télécharge un fichier. Que lisez-vous dans cet arbre de processus ? »
On attend une lecture parent par enfant : le document comme point d'entrée probable (phishing), l'interpréteur comme signe d'exécution anormale, le téléchargement comme seconde étape. Puis les actions : identifier l'origine du document, chercher d'autres postes touchés, évaluer l'isolation du poste et ses conséquences pour l'utilisateur.
« Écrivez, à l'oral ou au tableau, la logique d'une requête SIEM pour trouver tous les postes qui ont contacté un domaine suspect la semaine dernière. »
Le langage importe peu. Ce qui compte : la bonne source (DNS ou proxy), la fenêtre de temps, l'agrégation par poste, puis le pivot vers les utilisateurs concernés. Un candidat qui maîtrise un autre SIEM que le vôtre et raisonne juste est un très bon signe.
Investigation et escalade
« Racontez-moi l'investigation dont vous êtes le plus fier. »
C'est souvent la question la plus révélatrice. Écoutez la chronologie, les hypothèses formulées puis écartées, les sources consultées, la décision finale. Relancez sur un détail technique : un récit vécu résiste aux relances.
« À quel moment escaladez-vous, et que contient votre message d'escalade ? »
Bonne réponse : escalade dès que l'impact potentiel dépasse ce que la procédure permet de traiter, ou dès qu'un doute sérieux persiste. Le message contient le contexte, les éléments vérifiés, les indicateurs trouvés, les actions déjà prises et la question précise posée au niveau supérieur.
« Vous soupçonnez un compte administrateur compromis un vendredi soir. Que faites-vous dans la première heure ? »
On attend une démarche structurée : confirmer les signaux, alerter selon la procédure (astreinte, responsable), préserver les éléments utiles, proposer des mesures de confinement sans agir seul sur un compte critique si ce n'est pas prévu. Notre grille de questions d'entretien en réponse à incident prolonge ce type de scénario pour les profils plus seniors.
Signal d'alerte : le candidat désactive le compte de lui-même sans prévenir personne, ou attend le lundi.
Connaissance des techniques d'attaque
« Expliquez-moi comment un attaquant passe d'un poste compromis à d'autres machines du réseau. »
Attendus : vol d'identifiants en mémoire ou dans des fichiers, réutilisation de mots de passe, connexions à distance avec des comptes légitimes, exploitation de droits excessifs. Le bon candidat relie chaque technique aux traces qu'elle laisse et à la manière de la détecter.
« Comment utilisez-vous MITRE ATT&CK dans votre travail ? »
Une réponse mûre parle d'un outil pour structurer une investigation ou évaluer la couverture de détection, pas d'une grille à réciter. Pour un N3, demandez un exemple de règle qu'il a écrite ou améliorée à partir d'une technique précise.
Écrit et communication
Dans un SOC, la qualité de la passation dépend de la qualité des tickets. Cette partie est trop souvent oubliée.
« Rédigez en cinq lignes le ticket d'une alerte que vous avez qualifiée comme incident. »
Faites-le réellement, sur papier ou à l'écran. Vous cherchez : ce qui s'est passé, ce qui a été vérifié, les indicateurs, les actions prises, ce qui reste à faire. Un ticket que vous comprenez sans être technique est un bon signe.
« Expliquez cet incident à un directeur métier qui veut savoir s'il doit s'inquiéter. »
Le candidat doit passer du vocabulaire technique à l'impact : quelles données ou quels services sont concernés, ce qui est maîtrisé, ce qui ne l'est pas encore.
Rythme, astreintes et motivation
« Qu'est-ce qui vous attire dans le SOC, et qu'est-ce qui vous pèse ? »
Une réponse honnête sur la fatigue des alertes ou le travail de nuit vaut mieux qu'un enthousiasme de façade. Elle vous permet d'aborder franchement vos propres conditions.
« Comment restez-vous à jour sur les menaces ? »
Veille régulière, labs personnels, CTF, lecture de rapports publics : la forme importe moins que la régularité et la capacité à citer un sujet récent qu'il a creusé.
Grille de synthèse
Notez chaque candidat avec la même grille, juste après l'entretien.
| Thème | Ce que vous cherchez | Signal d'alerte |
|---|---|---|
| Triage | Vérifications ordonnées, doute assumé | Conclusion immédiate sans preuve |
| Journaux et EDR | Explique ce que chaque trace raconte | Récitation de références sans sens |
| Investigation | Chronologie, hypothèses écartées | Récit flou qui s'effrite aux relances |
| Escalade | Bon moment, message complet | Escalade systématique ou jamais |
| Techniques d'attaque | Lien entre technique et détection | Vocabulaire sans mécanisme |
| Écrit | Ticket clair et réutilisable | Notes illisibles par un collègue |
| Rythme | Rapport lucide aux astreintes | Découverte des horaires en fin de processus |
Compléter l'entretien par un exercice pratique
L'entretien mesure le raisonnement et la communication. Il mesure mal la capacité à investiguer seul, sur des données réelles, en temps limité. Un exercice court sur des journaux synthétiques, suivi d'un débrief (« pourquoi cette piste, qu'avez-vous écarté ? »), comble ce manque. Notre article pour évaluer les compétences en cybersécurité explique comment le concevoir équitablement, et si personne en interne ne peut mener la partie technique, notre guide pour structurer un entretien technique cyber sans être expert vous donne des appuis.
En résumé
Une bonne grille d'entretien pour un analyste SOC couvre le triage, la lecture des journaux et de l'EDR, l'investigation et l'escalade, la connaissance des techniques d'attaque, l'écrit et le rapport au rythme du poste. Adaptée au niveau recherché, notée de la même façon pour tous et complétée par un exercice pratique, elle vous permet de décider sur des faits plutôt que sur une liste d'outils.
Vous recrutez un analyste SOC ? Chez Cyber Recrut, un recruteur et un praticien de la sécurité mènent chaque recherche ensemble, et nos candidats présélectionnés prouvent leurs compétences sur des labs pratiques construits autour de votre environnement. Découvrez notre méthode ou confiez-nous votre recrutement.