SOC

Les journaux de vos machines et de vos applications au même endroit, des alertes quand quelque chose cloche, et un dossier pour chaque incident.

En préparation Créer un compteAussi pour

SOC rassemble les journaux de toute l'organisation : ceux des machines Windows et Linux, par un petit programme installé en une commande, et ceux de vos propres applications, par une API ou par un type de journal que vous décrivez vous-même, sans écrire de code. Une recherche unique les parcourt, avec un langage simple (« host:web01 AND level>=warning »), des graphiques par minute et la liste des valeurs les plus fréquentes.

Des règles surveillent le flux : un événement suffit, ou trop d'échecs depuis la même adresse, ou une machine qui s'est tue. Vingt-quatre règles sont livrées, chacune rattachée à une technique MITRE ATT&CK. Une alerte regroupe les événements semblables au lieu de se répéter ; on la prend en charge, on la note, on l'ouvre en dossier, et le courriel, un webhook, Slack ou Teams préviennent la bonne personne sans la noyer.

Le collecteur ne fait que lire : il n'ouvre aucun port, ne reçoit aucun ordre du serveur et ne lit que ce que l'administrateur de la machine lui a permis de lire. Il garde ses lots sur disque quand le réseau tombe et les renvoie ensuite, sans doublon. Vos agents IA peuvent interroger les journaux et traiter les alertes par le point MCP, sans jamais rien supprimer. SOC cherche et alerte : ce n'est ni un antivirus, ni un outil de réponse automatique.

SOC est en préparation. Elle rejoindra le catalogue de l'abonnement Prophetix à sa sortie.

Toutes les fonctionnalités de SOC

147 fonctionnalités en 23 domaines

Tableau de bord

Montre les alertes à traiter, mises à jour toutes les 30 secondes.
Trace le nombre d'événements reçus sur 24 heures.
Signale les collecteurs silencieux : machine éteinte, réseau coupé, service arrêté, ou collecteur neutralisé par un intrus.
Propose des premiers pas : installer un collecteur, créer une clé d'API, décrire ses journaux, voir les règles, configurer les notifications.

Collecteurs Windows et Linux

Un fichier autonome, sans rien à installer avant, installé par une commande à coller qui s'écrit à l'écran avec l'adresse de votre serveur.
Collecteurs pour Windows et Linux, en x64 et en ARM64 ; paquet .deb pour Debian et Ubuntu.
Lit le Journal d'événements Windows : Sécurité, Système, Applications, PowerShell, Defender et Sysmon, avec les identifiants d'événements choisis.
Lit journald sous Linux, ainsi que des fichiers de journaux et le syslog selon le profil.
Enrôle chaque machine avec un billet à usage limité, montré une fois et valable quelques jours.
Vérifie l'empreinte SHA-256 du téléchargement avant d'installer.
Garde ses lots sur disque quand le réseau tombe et les renvoie ensuite, sans doublon.
Signe chaque envoi ; une machine révoquée par la console s'arrête d'elle-même.
Suit l'état de chaque collecteur : en attente, en ligne, silencieux, révoqué.
Choisit ce que lit chaque machine avec des profils de collecte, vérifiables avant usage, avec un profil par défaut par système.
Applique l'intersection du profil et d'une liste blanche locale que seul l'administrateur de la machine peut écrire.
Ne reçoit aucun ordre du serveur, n'ouvre aucun port et n'exécute rien à distance.

Vos propres journaux

Envoie des événements par l'API avec une clé, en JSON, NDJSON ou lignes brutes, avec compression gzip possible.
Surveille un fichier de journal avec le collecteur.
Décrit un type de journal dans l'écran sans écrire de code : texte libre, expression régulière, JSON, clés et valeurs, CEF ou syslog.
Indique quel morceau de la ligne devient l'heure, le niveau, la machine, le compte, l'adresse source ou destination, le message, et garde le reste comme champs libres.
Essaie le type sur une ligne avant de l'enregistrer.
Fournit un modèle d'exemple pour les journaux d'accès nginx.
Donne les exemples d'envoi avec Fluent Bit, Vector et rsyslog.
Impose si besoin un flux à une clé, pratique pour un expéditeur qu'on ne maîtrise pas.

Recherche

Cherche dans tous les événements avec un langage d'une ligne, par exemple host:web* AND level>=warning -user:svc-*.
Affiche des graphiques par minute et la liste des valeurs les plus fréquentes d'un champ.
Enregistre ses recherches et les partage avec l'équipe.
Suit les événements arrivés en direct.
Exporte le résultat en CSV ou en NDJSON.
Charge la suite des résultats à la demande, avec une aide intégrée sur les champs et les opérateurs.
Affiche toutes les heures en UTC.

Règles de détection

24 règles livrées pour Windows, Linux et les services courants, chacune rattachée à une technique MITRE ATT&CK.
Détecte par correspondance (un événement suffit), par seuil (trop d'échecs depuis la même adresse ou le même compte, valeurs distinctes) ou par absence (une machine qui s'est tue).
Couvre par exemple journal effacé, rafale d'échecs de connexion, pulvérisation de mots de passe, compte créé, ajout à un groupe d'administration, nouveau service, force brute SSH, connexion root.
Crée vos propres règles avec fenêtre, seuil, gravité, durée de silence après alerte et fréquence d'évaluation.
Rédige pour chaque règle un conseil de traitement en Markdown, affiché sur l'alerte.
Essaie une règle sur les dernières 24 heures avant de l'activer.
Garde des listes de surveillance, par exemple des mauvaises adresses, citées dans une recherche ou une règle.
Choisit les canaux de notification de chaque règle.

Alertes et dossiers

Regroupe les événements semblables dans une même alerte au lieu de la répéter.
Prend en charge, attribue, résout une alerte ou la classe comme faux positif.
Lit ce qui s'est passé, la chronologie, ce qu'il faut faire et des événements d'exemple, et ouvre tous les événements de l'alerte dans la recherche.
Ajoute des notes à une alerte.
Ouvre un dossier numéroté SOC-n avec une ou plusieurs alertes, un titre, une gravité et un responsable.
Avance le dossier : ouvert, en cours, contenu, clos, avec une chronologie et des notes.
Clôt le dossier avec une issue : vrai positif, faux positif, test ou exercice, autre.
Tient un journal d'audit des actions de l'équipe, filtrable par auteur et par type.

Notifications

Prévient par courriel, webhook signé HMAC-SHA256, Slack ou Microsoft Teams.
Règle la gravité minimale de chaque canal.
Essaie un canal avant de s'y fier.
Passe par une file qui reprend les envois échoués ; on peut aussi renvoyer à la main.
Affiche les dernières notifications avec leur état et la dernière erreur.
Refuse les adresses internes et le http:// pour ne pas servir à sonder votre réseau.

Accès, API et agents IA

Quatre rôles : lecteur, analyste, ingénieur de détection, administrateur.
Le premier venu d'une organisation et tout propriétaire ou administrateur Prophetix est administrateur ; chaque organisation ne voit que ses données.
Une licence expirée met le SOC en consultation mais n'interrompt pas la réception des journaux.
API REST avec clés (ingestion, lecture, écriture) : envoyer des événements, chercher, lister alertes, dossiers, collecteurs et règles, traiter une alerte.
Documente l'API à l'adresse /api/docs.
Limite le débit à 600 requêtes par minute par clé et 60 000 événements par minute par organisation.
Offre un point MCP pour vos agents IA : chercher, compter, lire alertes et dossiers, changer un statut, annoter, ouvrir un dossier.
Aucun outil MCP ne supprime, n'envoie de message ni ne lance de commande ; l'agent est averti que le texte d'un journal vient de l'extérieur.

Conservation, import et export

Règle la durée de conservation des journaux (30 jours par défaut, 400 au plus).
Affiche l'espace occupé et le recompte exactement.
Exporte les événements d'une requête en CSV ou en NDJSON.
Exporte la configuration (règles, listes, types de journaux, profils) en un fichier JSON sans secret, relisible avec n'importe quel outil.
Importe ce paquet dans une autre organisation, en remplaçant ou non ce qui existe sous le même nom.

Sur vos appareils

Web : l'application complète, avec connexion unique et données sur le serveur.
Windows et Linux : le collecteur, service Windows ou systemd, qui continue de lire les journaux sans connexion.
Pas d'application de bureau ni d'application Android : un SOC vit de journaux venus de plusieurs machines. Sur téléphone, les alertes arrivent par courriel ou webhook et la page web s'adapte à l'écran.

À savoir

SOC cherche et alerte : ce n'est ni un antivirus, ni un outil de réponse automatique.
Pas de moteur Sigma ni de détection comportementale.
Essayé sur Linux réel (Ubuntu) de bout en bout et sur Windows ARM64 ; l'installation Windows en administrateur et les collecteurs x64 n'ont pas été lancés.
Le serveur n'est pas encore en ligne ; les envois réels de courriel, Slack et Teams et la charge n'ont pas été essayés.
Une seule base sur un nœud : confortable jusqu'à quelques millions d'événements par organisation.
Pas encore branché sur les quotas de stockage de la plateforme ; la conservation et une limite d'ingestion bornent le volume.
Pas encore disponible : la notification native des alertes critiques sur le téléphone de l'astreinte, et l'acquittement d'une alerte d'un geste.

Coffres, dossiers et recherche

Range les secrets d'une organisation en coffres, eux-mêmes organisés en dossiers imbriqués.
Crée, renomme, déplace et supprime coffres et dossiers ; un dossier non vide ne se supprime pas.
Cherche dans les titres, identifiants, adresses, hôtes, coffres et dossiers ; plusieurs mots se cumulent.
Filtre par favoris, par entrées bientôt expirées, ou par coffre ou dossier avec ses sous-dossiers.
Se retrouve sur trois colonnes (arbre, liste, fiche) sur grand écran, et sur un seul volet à la fois sur téléphone.
Suit le thème clair ou sombre du système.
Choisit l'organisation à la connexion quand on en a plusieurs, et permet d'en changer.

Entrées et secrets

Gère huit types d'entrées : mot de passe, bureau à distance, connexion SSH, base de données, clé d'API, note sécurisée, carte bancaire, identité.
Ajoute à chaque entrée notes, champs personnalisés, date d'expiration, favori et code à usage unique.
Génère un mot de passe et en mesure la solidité d'une jauge.
Déplace une entrée entre dossiers, ou entre coffres avec rechiffrement.
Garde l'ancien mot de passe dans l'historique de l'entrée à chaque modification.
Ne montre jamais un secret dans une liste ni dans la fiche : il s'affiche trente secondes ou se copie, avec vidage du presse-papiers après trente secondes.
Conserve un secret laissé vide à la modification, au lieu de l'effacer.
Chiffre les mots de passe, les clés SSH et les certificats dans la base ; chaque coffre a sa propre clé.

Codes à usage unique et Authentificateur

Calcule les codes TOTP sur le serveur et les affiche avec un décompte, copiables d'un clic.
Gère une page Authentificateur : ajout d'un code par adresse otpauth ou par réglages, retrait, copie.
Range chaque code comme une entrée de coffre, dans le coffre personnel « Authentificateur » par défaut.
Calcule les codes SHA-1, SHA-256 ou SHA-512, de 6 à 8 chiffres.
Propose une application Android d'authentification (écrite, pas encore publiée) : codes affichés sans réseau, synchronisés avec le coffre.
Ajoute un code sur le téléphone par code QR, par adresse collée, par export de Google Authenticator ou par saisie de la clé.
Valide d'une touche, avec cette application, les connexions Prophetix : la notification ouvre la demande et on touche le bon nombre parmi trois.
Verrouille l'application par biométrie ou code du téléphone, et peut sauvegarder les codes chiffrés dans un espace privé de Google Drive.

Partage et droits

Partage un coffre par personne, en lecture, en lecture-écriture ou en administration.
Réserve la gestion du coffre à son propriétaire et à ses administrateurs.
Cloisonne les organisations : un membre d'une autre organisation ne voit rien.
Passe en consultation seule quand l'organisation n'a pas de licence : on lit, on ne modifie rien.

Journal et historique des accès

Journalise chaque accès : qui, quoi, quand, depuis quelle adresse, quel appareil et quelle session.
Ne garde dans le journal que le nom du champ consulté, jamais sa valeur.
Montre à chacun ses actions, aux administrateurs d'un coffre toutes celles de leur coffre, à ceux de l'organisation toute l'organisation.
Affiche l'activité de chaque entrée dans un onglet de sa fiche.
Filtre l'historique par période, coffre, membre, action et champ, ou sur les seuls champs secrets.
Présente des chiffres, une courbe par jour et le classement des membres et des entrées les plus actifs.
Exporte l'historique en CSV ou en JSON, ou l'imprime en PDF, et inscrit chaque export à l'historique.

Passerelle SSH et accès à privilèges

Fait du serveur le client SSH : la personne ouvre la session dans son navigateur sans jamais voir l'identifiant.
Réserve une entrée à la passerelle : mot de passe et clé ne sont jamais remis, ni affichés ni copiés.
Enregistre la session (ce qui s'affiche, pas la frappe) dans un fichier chiffré et annonce l'enregistrement dès la première ligne.
Relit un enregistrement, avec lecture, vitesse et téléchargement, en vérifiant son intégrité ; la relecture est réservée aux administrateurs du coffre et tracée.
Permet de couper une session en cours, au propriétaire, aux administrateurs du coffre et à ceux de l'organisation.
Retient la clé de l'hôte à la première connexion et refuse une clé différente.
Choisit par coffre une politique d'enregistrement : facultatif, obligatoire ou désactivé.
Ouvre directement PowerShell ou Windows PowerShell par SSH depuis l'entrée.
Limite la durée des sessions, l'inactivité, le nombre de sessions par personne et la durée de conservation.

Bureau à distance (RDP) enregistré

Ouvre un bureau à distance dans le navigateur : le serveur tient la connexion RDP et le navigateur affiche.
Dessine sous le bureau une bande avec le nom, le courriel, l'organisation, « session enregistrée » et l'heure UTC.
Inclut cette bande dans l'enregistrement : la relecture porte l'identité et l'heure.
Ferme le presse-papiers, les fichiers, l'impression et l'audio dans les deux sens.
Retient le certificat du serveur à la première connexion et refuse un certificat différent.
Choisit par coffre entre un profil équilibré et un profil « texte net » sans perte.

Observation en direct

Permet à un administrateur du coffre d'observer une session de terminal en cours, en lecture seule.
Prévient la personne observée dans sa session, avec le nom de qui observe.
Inscrit l'observation au journal avant le premier octet lu.
Se désactive dans la configuration du serveur.

Import

Importe une base KeePass (.kdbx) avec son mot de passe maître, après un aperçu sans aucun secret.
Choisit entre un seul coffre, où les groupes deviennent des dossiers, ou un coffre par groupe.
Ignore les doublons et la corbeille KeePass par défaut, et reprend codes TOTP, champs personnalisés et étiquettes.
Importe tout ou rien, avec une ligne dans l'historique pour chaque coffre touché.

Coffre : Sur vos appareils

Web : l'application complète dans le navigateur, avec la passerelle SSH et RDP.
Android : l'application d'authentification Prophetix, écrite mais pas encore publiée (codes à usage unique et validation des connexions).
Windows : le client de bureau est à adapter à la connexion Prophetix et ne fonctionne pas encore avec le serveur actuel.
iOS : le code de l'application d'authentification est écrit, mais n'a pas été compilé.

Coffre : À savoir

Vault n'est pas encore proposé à l'abonnement.
La passerelle n'a été essayée qu'avec un serveur OpenSSH de test et un bureau Linux de test : pas encore avec un serveur Windows réel.
L'observation en direct ne porte que sur les terminaux, pas sur les bureaux à distance.
Un enregistrement montre tout ce qui s'affiche : il demande une information préalable des personnes et, selon le pays, la consultation de leurs représentants.
Les notes, champs personnalisés et noms d'utilisateur ne sont pas chiffrés dans la base.
La suppression est définitive : il n'y a pas de corbeille.
Sur un téléphone, seuls son lancement et l'écran des codes ont été essayés ; la sauvegarde Google Drive et la liaison au coffre ne l'ont pas été en réel.

Coffre : Prévu (pas encore disponible)

Demande d'accès avec approbation avant une session privilégiée.
Partage d'un coffre à un groupe, certificats dans le navigateur et export des coffres.
Recherche dans les enregistrements, SFTP, observation d'un bureau à distance.