Mon lab SOC à la maison : comment je traite une alerte phishing de l'alerte à l'IOC

J'ai monté un mini SOC chez moi pour documenter mon travail sur securitywithlove.com. Pas de SIEM payant, juste des outils open source. Voici mon workflow exact quand je reçois une alerte phishing, de l'alerte à l'IOC exploitable.

Mon environnement de lab

• Wazuh Manager sur Ubuntu VM
• Agent Wazuh + Sysmon sur Windows
• TheHive en local
• MISP privé

Cette semaine, Wazuh m'a remonté : Rule 1002 - Suspicious attachment with double extension. Fichier : Facture_08_2026.pdf.exe

Triage - 3 minutes

Dans Wazuh, je vérifie User, Process parent outlook.exe, et SHA256 depuis Sysmon. Action : isolation réseau via Wazuh Active Response.

Extraction

SHA256 : a1f2c3... VirusTotal : 28/72. Comportement dans FlareVM : tentative de connexion vers 185.234.218.12:443

IOCs : IP 185.234.218.12, Domaine secure-update-edf-billing.top

Documentation dans TheHive et amélioration de la règle Wazuh en level 12.