Ingénieur Cybersécurité – Intégration Siem & Soc (H/F)

A propos d’HUB ONE Hub One est l’opérateur de technologies digitales pour les entreprises et les organisations publiques. Filiale à 100% d’Aéroports de Paris SA, notre activité historique d'opérateur télécom a été enrichie et nous comptons près de 640 collaborateurs et plus de 10 agences au niveau national. Notre métier Acteur de référence de la transformation numérique en univers contraints, Hub One s’appuie sur ses trois expertises : TELECOM, TRACABILITE et CYBERSECURITE.

Les défis numériques des entreprises nourrissent au quotidien les innovations de Hub One. Hub One propose ainsi le meilleur des technologies au travers de réseaux digitaux fiables, sécurisés et adaptés aux besoins et usages des professionnels, de logiciels métiers et de services, et ce pour une meilleure efficacité opérationnelle.

La Business Line SOC et Intégration intègre les services et produits de cybersécurité opérés au sein de son SOC dans les environnements de ses clients. Nous recherchons un profil d’intégrateur SIEM confirmé, capable de prendre en charge de bout en bout la mise sous supervision des technologies du système d’information de nos clients, dans le cadre de la mise en place de leur SOC : de la conception de la chaîne de collecte jusqu’à la recette complète, sur des périmètres regroupant de nombreuses technologies hétérogènes.

Coeur de la mission : l’intégration des sources de logs Vous êtes responsable, sur les plateformes Sekoia.io et Splunk / Splunk ES, des activités suivantes : 1 . Design et mise en oeuvre des infrastructures de collecte Concevoir avec le client l’architecture de collecte : concentrateurs / forwarders Sekoia, Universal Forwarder, Heavy Forwarder, deployment server / deployment apps, relais syslog (rsyslog, syslog-ng), agents, collecteurs API.

Dimensionner, sécuriser (TLS, filtrage, cloisonnement) et documenter ces chaînes de collecte. Piloter les prérequis côté client (flux réseau, comptes de service, droits, exports) et challenger les architectures proposées. 2. Collecte et parsing des logs, technologies on-premise et SaaS Mettre en place la collecte sur des sources hétérogènes : équipements réseau et sécurité, systèmes Windows/Linux, annuaires, hyperviseurs, applications métier, solutions SaaS et Cloud (M365, Entra ID, AWS, GCP, Azure…). Traiter les cas de collecte non standards : fichiers plats, API REST, webhooks, files de messages, formats propriétaires. Écrire et maintenir le parsing : extraction de champs, normalisation, horodatage, gestion des multi-lignes, expressions régulières. 3. Création et modification d’Intakes (Sekoia) et de Technical Add-ons (Splunk) Créer ou faire évoluer des intakes Sekoia.io : définition de l’intake, écriture et test des parseurs, normalisation vers le modèle de données (ECS). Développer, adapter ou corriger des TA Splunk : inputs.conf , props.conf , transforms.conf , eventtypes.conf , tags.conf , sourcetypes, index-time vs search-time, mapping CIM. Assurer le versioning, la recette et la documentation de ces développements. 4. Vérification de la conformité et de l’exhaustivité des logs Contrôler l’exhaustivité et la qualité des événements reçus : champs obligatoires présents, valeurs correctement normalisées, volumétrie et fraîcheur conformes. Contrôler que le paramétrage de journalisation côté source répond aux exigences de journalisation définies par les équipes de détection, et porter les recommandations de configuration correspondantes auprès du client. Valider le mapping ECS / CIM et confirmer avec les équipes de détection que les données collectées sont exploitables en l’état. 5. Debug de la chaîne de collecte en cas d’incident Diagnostiquer les ruptures de collecte de bout en bout : source → relais → forwarder → indexation → recherche. Utiliser les outils de troubleshooting de la plateforme (logs internes, index _internal , btool , métriques de licence et de volumétrie, tests de parsing, capture réseau) pour isoler la cause racine. Mettre en place la supervision de la collecte (détection d’absence de logs, seuils de volumétrie) et les actions correctives durables. 6. MCO / MCS des infrastructures SIEM mises en oeuvre Participer au maintien en condition opérationnelle et de sécurité (MCO / MCS) des infrastructures déployées, notamment via la mise en place et l’évolution de playbooks Ansible. Faire évoluer et améliorer les architectures en place. Activités complémentaires Build des SI Accompagner les chefs de projet dans le design de l’architecture, spécifier les paramétrages et définir les exigences techniques de sécurité. Revoir l’architecture existante, identifier les écarts et formuler des recommandations d’amélioration. Contribuer au paramétrage des solutions de sécurité et à la gestion des changements. Valider l’installation des outils en environnement de production. Exploitation des SI Gérer les droits d’accès aux solutions en fonction des profils. Traiter les incidents, anomalies et exceptions. Veiller au bon fonctionnement de la remontée des logs et des alertes. Assurer le suivi des actions et la documentation des processus. Participer aux Comités de Pilotage clients. Contribution ponctuelle à l’activité SOC Dans le cadre de votre évolution professionnelle, vous serez amené(e) à intervenir ponctuellement au sein de l’équipe SOC afin de maintenir et développer vos compétences en détection :

• Analyser et qualifier des alertes de sécurité, réaliser les investigations initiales.
• Participer à l’amélioration continue des scénarios et cas d’usage de détection.
• Apporter un retour d’expérience opérationnel aux équipes d’intégration. Profil recherché Vous justifiez d’une expérience réelle et significative d’intégrateur SIEM sur Sekoia.io et Splunk / Splunk ES. Formation et parcours Diplôme de niveau Bac+3 à Bac+5 en informatique ou cybersécurité. 3 à 6 ans d’expérience en cybersécurité opérationnelle, dont au minimum 2 ans consacrés à l’intégration de sources de logs dans un SIEM en contexte multi-clients ou multi-environnements. Une expérience complémentaire en SOC (détection, qualification d’alertes, réponse à incident) est un atout apprécié. Compétences techniques indispensables Solides bases systèmes (Linux et Windows) et réseaux : protocoles, flux, TLS, DNS, routage, filtrage. Maîtrise des mécanismes de collecte, normalisation, corrélation et enrichissement des événements de sécurité. Formats et protocoles de journalisation : syslog (RFC 3164/5424), CEF, LEEF, JSON, XML, CSV, Windows Event Log, API REST. Aisance en expressions régulières et en lecture de journaux bruts. Scripting et automatisation (Python, Bash, Power. Shell, Ansible), usage de Git. Compréhension des principes de détection, d’investigation et de réponse à incident, et des référentiels de menaces (MITRE ATT&CK). Compétences appréciées (secondaires) Expérience opérationnelle sur un EDR : Harfang. Lab, Sentinel. One, Crowd. Strike Falcon, Microsoft Defender for Endpoint. Connaissance d’autres SIEM du marché : Log. Point, Microsoft Sentinel, Elastic. Détection réseau : Snort, Suricata. Gestion des vulnérabilités : Nessus, Rapid7, Qualys. Protection DNS / messagerie : Cisco Umbrella, Vade Secure. Familiarité avec les familles fonctionnelles FW, WAF, IDS/IPS, XDR, SOAR et les architectures Cloud. Qualités attendues Bonnes capacités rédactionnelles (documentation d’architecture, fiches de source, procédures) et anglais technique. Rigueur, autonomie, sens du client et goût du