The posting
A propos d’HUB ONE
Hub One est l’opérateur de technologies digitales pour les entreprises et les organisations publiques. Filiale à 100% d’Aéroports de Paris SA, notre activité historique d'opérateur télécom a été enrichie et nous comptons près de 640 collaborateurs et plus de 10 agences au niveau national.
Notre métier
Acteur de référence de la transformation numérique en univers contraints, Hub One s’appuie sur ses trois expertises : TELECOM, TRACABILITE et CYBERSECURITE. Les défis numériques des entreprises nourrissent au quotidien les innovations de Hub One. Hub One propose ainsi le meilleur des technologies au travers de réseaux digitaux fiables, sécurisés et adaptés aux besoins et usages des professionnels, de logiciels métiers et de services, et ce pour une meilleure efficacité opérationnelle.
La Business Line SOC et Intégration intègre les services et produits de cybersécurité opérés au
sein de son SOC dans les environnements de ses clients.
Nous recherchons un profil d’intégrateur SIEM confirmé, capable de prendre en charge de
bout en bout la mise sous supervision des technologies du système d’information de nos clients,
dans le cadre de la mise en place de leur SOC : de la conception de la chaîne de collecte jusqu’à
la recette complète, sur des périmètres regroupant de nombreuses technologies hétérogènes.
Coeur de la mission : l’intégration des sources de logs
Vous êtes responsable, sur les plateformes Sekoia.io et Splunk / Splunk ES, des activités
suivantes :
1. Design et mise en oeuvre des infrastructures de collecte
Concevoir avec le client l’architecture de collecte : concentrateurs / forwarders Sekoia,
Universal Forwarder, Heavy Forwarder, deployment server / deployment apps, relais
syslog (rsyslog, syslog-ng), agents, collecteurs API.
Dimensionner, sécuriser (TLS, filtrage, cloisonnement) et documenter ces chaînes de collecte.
Piloter les prérequis côté client (flux réseau, comptes de service, droits, exports) et challenger
les architectures proposées.
2. Collecte et parsing des logs, technologies on-premise et SaaS
Mettre en place la collecte sur des sources hétérogènes : équipements réseau et sécurité,
systèmes Windows/Linux, annuaires, hyperviseurs, applications métier, solutions SaaS et
Cloud (M365, Entra ID, AWS, GCP, Azure…).
Traiter les cas de collecte non standards : fichiers plats, API REST, webhooks, files de
messages, formats propriétaires.
Écrire et maintenir le parsing : extraction de champs, normalisation, horodatage, gestion des
multi-lignes, expressions régulières.
3. Création et modification d’Intakes (Sekoia) et de Technical Add-ons (Splunk)
Créer ou faire évoluer des intakes Sekoia.io : définition de l’intake, écriture et test des
parseurs, normalisation vers le modèle de données (ECS).
Développer, adapter ou corriger des TA Splunk : inputs.conf , props.conf , transforms.conf ,
eventtypes.conf , tags.conf , sourcetypes, index-time vs search-time, mapping CIM.
Assurer le versioning, la recette et la documentation de ces développements.
4. Vérification de la conformité et de l’exhaustivité des logs
Contrôler l’exhaustivité et la qualité des événements reçus : champs obligatoires présents,
valeurs correctement normalisées, volumétrie et fraîcheur conformes.
Contrôler que le paramétrage de journalisation côté source répond aux exigences de
journalisation définies par les équipes de détection, et porter les recommandations de
configuration correspondantes auprès du client.
Valider le mapping ECS / CIM et confirmer avec les équipes de détection que les données
collectées sont exploitables en l’état.
5. Debug de la chaîne de collecte en cas d’incident
Diagnostiquer les ruptures de collecte de bout en bout : source → relais → forwarder →
indexation → recherche.
Utiliser les outils de troubleshooting de la plateforme (logs internes, index _internal , btool ,
métriques de licence et de volumétrie, tests de parsing, capture réseau) pour isoler la cause
racine.
Mettre en place la supervision de la collecte (détection d’absence de logs, seuils de
volumétrie) et les actions correctives durables.
6. MCO / MCS des infrastructures SIEM mises en oeuvre
Participer au maintien en condition opérationnelle et de sécurité (MCO / MCS) des
infrastructures déployées, notamment via la mise en place et l’évolution de playbooks
Ansible.
Faire évoluer et améliorer les architectures en place.
Activités complémentaires
Build des SI
Accompagner les chefs de projet dans le design de l’architecture, spécifier les paramétrages
et définir les exigences techniques de sécurité.
Revoir l’architecture existante, identifier les écarts et formuler des recommandations
d’amélioration.
Contribuer au paramétrage des solutions de sécurité et à la gestion des changements.
Valider l’installation des outils en environnement de production.
Exploitation des SI
Gérer les droits d’accès aux solutions en fonction des profils.
Traiter les incidents, anomalies et exceptions.
Veiller au bon fonctionnement de la remontée des logs et des alertes.
Assurer le suivi des actions et la documentation des processus.
Participer aux Comités de Pilotage clients.
Contribution ponctuelle à l’activité SOC
Dans le cadre de votre évolution professionnelle, vous serez amené(e) à intervenir
ponctuellement au sein de l’équipe SOC afin de maintenir et développer vos compétences en
détection : - Analyser et qualifier des alertes de sécurité, réaliser les investigations initiales. -
Participer à l’amélioration continue des scénarios et cas d’usage de détection. - Apporter un
retour d’expérience opérationnel aux équipes d’intégration.
Profil recherché
Vous justifiez d’une expérience réelle et significative d’intégrateur SIEM sur Sekoia.io et
Splunk / Splunk ES.
Formation et parcours
Diplôme de niveau Bac+3 à Bac+5 en informatique ou cybersécurité.
3 à 6 ans d’expérience en cybersécurité opérationnelle, dont au minimum 2 ans
consacrés à l’intégration de sources de logs dans un SIEM en contexte multi-clients ou
multi-environnements.
Une expérience complémentaire en SOC (détection, qualification d’alertes, réponse à
incident) est un atout apprécié.
Compétences techniques indispensables
Solides bases systèmes (Linux et Windows) et réseaux : protocoles, flux, TLS, DNS,
routage, filtrage.
Maîtrise des mécanismes de collecte, normalisation, corrélation et enrichissement des
événements de sécurité.
Formats et protocoles de journalisation : syslog (RFC 3164/5424), CEF, LEEF, JSON, XML, CSV,
Windows Event Log, API REST.
Aisance en expressions régulières et en lecture de journaux bruts.
Scripting et automatisation (Python, Bash, PowerShell, Ansible), usage de Git.
Compréhension des principes de détection, d’investigation et de réponse à incident, et des
référentiels de menaces (MITRE ATT&CK).
Compétences appréciées (secondaires)
Expérience opérationnelle sur un EDR : HarfangLab, SentinelOne, CrowdStrike Falcon,
Microsoft Defender for Endpoint.
Connaissance d’autres SIEM du marché : LogPoint, Microsoft Sentinel, Elastic.
Détection réseau : Snort, Suricata.
Gestion des vulnérabilités : Nessus, Rapid7, Qualys.
Protection DNS / messagerie : Cisco Umbrella, Vade Secure.
Familiarité avec les familles fonctionnelles FW, WAF, IDS/IPS, XDR, SOAR et les
architectures Cloud.
Qualités attendues
Bonnes capacités rédactionnelles (documentation d’architecture, fiches de source, procédures)
et anglais technique. Rigueur, autonomie, sens du client et goût du
