Teknik - Dans le feu des tranchés, opérer le SOC au Hackfest - Parce que... c'est l'épisode 0x654!
Parce que… c’est l’épisode 0x654!
Shameless plug
4 et 5 novembre 2025 - FAIRCON 2025
8 et 9 novembre 2025 - DEATHcon
17 au 20 novembre 2025 - European Cyber Week
25 et 26 février 2026 - SéQCure 2026
14 au 17 avril 2026 - Botconf 2026
28 et 29 avril 2026 - Cybereco Cyberconférence 2026
9 au 17 mai 2026 - NorthSec 2026
3 au 5 juin 2025 - SSTIC 2026
Description
Introduction et contexte
Dans cet épisode du podcast 0x654 Teknik, Nicolas Corin s’entretient avec Alex Tardif de Palo Alto Networks sur l’opération du centre de sécurité (SOC) lors du Hackfest, un événement majeur de cybersécurité au Québec. Depuis plusieurs années, même avant 2022, Palo Alto est responsable de monter l’infrastructure et de sécuriser le CTF (Capture The Flag) de l’événement. Cette présence unique offre à l’équipe une visibilité exceptionnelle sur des trafics hostiles dans un environnement volontairement vulnérable.
La mission de sécurisation
Contrairement à ce qu’on pourrait penser, sécuriser un CTF n’est pas contradictoire. L’objectif principal est de contrôler ce qui se passe pour s’assurer que les participants respectent le code de conduite et ne dépassent pas les limites établies. Il faut empêcher les attaques sur les infrastructures hors périmètre du CTF et surveiller l’adresse IP publique pour éviter que des activités malveillantes n’affectent le Centre des Congrès qui héberge l’événement. Cette diligence est essentielle pour maintenir la confiance de l’organisation et garantir l’accès internet.
Une infrastructure complète de bout en bout
Palo Alto déploie bien plus que des pare-feu. L’équipe utilise une suite complète de solutions de sécurité, incluant des pare-feu nouvelle génération, un SOC, et des produits de sécurité cloud. Cette architecture permet une traçabilité complète, de l’utilisateur jusqu’aux challenges dans le cloud, en passant par le réseau. Cette année, l’infrastructure comprenait plus de 260 serveurs pour le challenge Active Directory, avec 5 à 6 serveurs instantanés par équipe.
Les outils déployés incluent Xsoar (leur outil SIEM automatisé), des solutions d’attack surface management, de la sécurité applicative pour analyser le code des challenges, et potentiellement pour l’année prochaine, des outils de sécurité pour les LLM (Large Language Models).
Une préparation approfondie
La préparation commence plusieurs mois à l’avance, dès avril-mai pour l’événement d’octobre. Cette planification extensive couvre la logistique, la nature des challenges, les connexions d’infrastructure et le déploiement des solutions. L’équipe connecte les challenges deux semaines avant l’événement pour effectuer des audits de sécurité, identifier les vulnérabilités présentes et confirmer avec les créateurs de challenges que tout est intentionnel. Cette approche “purple team” permet d’équilibrer la sécurité et l’intérêt des défis.
L’équipe et son organisation
Cette année, l’équipe a adopté un organigramme de SOC traditionnel avec 14 ressources sur place, incluant des SOC managers, des analystes de niveau 1, 2 et 3, et un analyste de sécurité réseau. L’événement se déroule sur 24 heures, du jeudi 19h30 au vendredi 19h30, ce qui représente un défi opérationnel considérable. L’équipe est principalement composée de ressources locales en prévente chez Palo Alto, avec des profils variés : red teaming, cloud, anciens directeurs de SOC, et spécialistes de l’implémentation de pare-feu.
Le mode détection plutôt que blocage
L’équipe opère entièrement en mode détection, avec seulement un événement bloqué cette année : une tentative d’injection sur la page de connexion WiFi. Ce mode nécessite plus d’intervention humaine mais offre une expérience d’apprentissage unique dans un environnement de production extrêmement bruyant, rempli de C2, malware et exploitations de vulnérabilités.
Des statistiques impressionnantes
Les chiffres de cette année témoignent de l’ampleur de l’événement : 486 Go de données analysées en 24 heures, 31,4 millions de menaces uniques détectées, 11 300 alertes générées et converties en 1 000 incidents. Grâce à l’automatisation, 663 incidents ont été traités automatiquement, soit plus de la moitié. L’équipe a atteint un temps moyen de détection et de réponse (MTTR/MTTD) de moins de 15 minutes, un exploit remarquable comparé à certaines grandes organisations.
L’automatisation et l’intelligence artificielle
L’automatisation joue un rôle crucial dans la gestion du volume d’alertes. Une fois qu’un type d’incident est résolu et compris, le système Xsoar recommande des playbooks pour automatiser la fermeture d’incidents similaires. Cette approche permet aux analystes de se concentrer sur les incidents vraiment intéressants plutôt que sur le triage répétitif, améliorant ainsi la rétention du personnel et la satisfaction au travail.
Les incidents et anecdotes marquantes
L’histoire justifie la vigilance : en 2022, un participant avait déployé des malwares via un faux captcha dans un PDF, ciblant la Russie et le Vietnam. En 2023, des machines infectées (notamment une VM Kali piratée) ont été détectées, et des tentatives de DDoS sur l’infrastructure du Hackfest ont été stoppées.
Cette année a été relativement calme, avec quelques anecdotes amusantes : une équipe a uploadé des photos de Vladimir Poutine aux pectoraux surdimensionnés sur un challenge GCP, et un participant paranoïaque a effectué 929 tentatives de validation DNS avec des DGA (Dynamically Generated Addresses).
L’utilisation de l’IA par les participants
Une découverte intéressante : 242 utilisateurs uniques ont utilisé ChatGPT durant les challenges, soit environ un tiers des participants. Plus surprenant encore, 68 utilisateurs ont utilisé Bing AI, probablement faute d’abonnement à d’autres services. Cette tendance soulève des questions sur l’équité et l’apprentissage dans les CTF.
Conclusion et perspectives
Cette expérience unique bénéficie autant à Palo Alto qu’au Hackfest. Pour l’entreprise, c’est une opportunité exceptionnelle de tester leurs solutions dans un environnement de production hostile et d’acquérir une expertise concrète pour mieux conseiller leurs clients. Pour le Hackfest, c’est la garantie d’un événement sécuritaire et professionnel. L’équipe invite d’ailleurs les intéressés à venir observer le SOC en action l’année prochaine, une opportunité rare de voir ces outils professionnels déployés dans un contexte réel et d’apprendre aux côtés d’experts.
Collaborateurs
Nicolas-Loïc Fortin
Alex Tardif
Crédits
Montage par Intrasecure inc
Locaux réels par Bâton Rouge - Galeries de la Capitale
France