INGÉNIEUR CYBERSÉCURITÉ - INTÉGRATION SIEM & SOC (H/F)

A propos d’HUB ONE

Hub One est l’opérateur de technologies digitales pour les entreprises et les organisations publiques. Filiale à 100% d’Aéroports de Paris SA, notre activité historique d'opérateur télécom a été enrichie et nous comptons près de 640 collaborateurs et plus de 10 agences au niveau national.

Notre métier

Acteur de référence de la transformation numérique en univers contraints, Hub One s’appuie sur ses trois expertises : TELECOM, TRACABILITE et CYBERSECURITE. Les défis numériques des entreprises nourrissent au quotidien les innovations de Hub One. Hub One propose ainsi le meilleur des technologies au travers de réseaux digitaux fiables, sécurisés et adaptés aux besoins et usages des professionnels, de logiciels métiers et de services, et ce pour une meilleure efficacité opérationnelle.

La Business Line SOC et Intégration intègre les services et produits de cybersécurité opérés au

sein de son SOC dans les environnements de ses clients.

Nous recherchons un profil d’intégrateur SIEM confirmé, capable de prendre en charge de

bout en bout la mise sous supervision des technologies du système d’information de nos clients,

dans le cadre de la mise en place de leur SOC : de la conception de la chaîne de collecte jusqu’à

la recette complète, sur des périmètres regroupant de nombreuses technologies hétérogènes.

Coeur de la mission : l’intégration des sources de logs

Vous êtes responsable, sur les plateformes Sekoia.io et Splunk / Splunk ES, des activités

suivantes :

1 . Design et mise en oeuvre des infrastructures de collecte

Concevoir avec le client l’architecture de collecte : concentrateurs / forwarders Sekoia,

Universal Forwarder, Heavy Forwarder, deployment server / deployment apps, relais

syslog (rsyslog, syslog-ng), agents, collecteurs API.

Dimensionner, sécuriser (TLS, filtrage, cloisonnement) et documenter ces chaînes de collecte.

Piloter les prérequis côté client (flux réseau, comptes de service, droits, exports) et challenger

les architectures proposées.

2. Collecte et parsing des logs, technologies on-premise et SaaS

Mettre en place la collecte sur des sources hétérogènes : équipements réseau et sécurité,

systèmes Windows/Linux, annuaires, hyperviseurs, applications métier, solutions SaaS et

Cloud (M365, Entra ID, AWS, GCP, Azure…).

Traiter les cas de collecte non standards : fichiers plats, API REST, webhooks, files de

messages, formats propriétaires.

Écrire et maintenir le parsing : extraction de champs, normalisation, horodatage, gestion des

multi-lignes, expressions régulières.

3. Création et modification d’Intakes (Sekoia) et de Technical Add-ons (Splunk)

Créer ou faire évoluer des intakes Sekoia.io : définition de l’intake, écriture et test des

parseurs, normalisation vers le modèle de données (ECS).

Développer, adapter ou corriger des TA Splunk : inputs.conf , props.conf , transforms.conf ,

eventtypes.conf , tags.conf , sourcetypes, index-time vs search-time, mapping CIM.

Assurer le versioning, la recette et la documentation de ces développements.

4. Vérification de la conformité et de l’exhaustivité des logs

Contrôler l’exhaustivité et la qualité des événements reçus : champs obligatoires présents,

valeurs correctement normalisées, volumétrie et fraîcheur conformes.

Contrôler que le paramétrage de journalisation côté source répond aux exigences de

journalisation définies par les équipes de détection, et porter les recommandations de

configuration correspondantes auprès du client.

Valider le mapping ECS / CIM et confirmer avec les équipes de détection que les données

collectées sont exploitables en l’état.

5. Debug de la chaîne de collecte en cas d’incident

Diagnostiquer les ruptures de collecte de bout en bout : source → relais → forwarder →

indexation → recherche.

Utiliser les outils de troubleshooting de la plateforme (logs internes, index _internal , btool ,

métriques de licence et de volumétrie, tests de parsing, capture réseau) pour isoler la cause

racine.

Mettre en place la supervision de la collecte (détection d’absence de logs, seuils de

volumétrie) et les actions correctives durables.

6. MCO / MCS des infrastructures SIEM mises en oeuvre

Participer au maintien en condition opérationnelle et de sécurité (MCO / MCS) des

infrastructures déployées, notamment via la mise en place et l’évolution de playbooks

Ansible.

Faire évoluer et améliorer les architectures en place.

Activités complémentaires

Build des SI

Accompagner les chefs de projet dans le design de l’architecture, spécifier les paramétrages

et définir les exigences techniques de sécurité.

Revoir l’architecture existante, identifier les écarts et formuler des recommandations

d’amélioration.

Contribuer au paramétrage des solutions de sécurité et à la gestion des changements.

Valider l’installation des outils en environnement de production.

Exploitation des SI

Gérer les droits d’accès aux solutions en fonction des profils.

Traiter les incidents, anomalies et exceptions.

Veiller au bon fonctionnement de la remontée des logs et des alertes.

Assurer le suivi des actions et la documentation des processus.

Participer aux Comités de Pilotage clients.

Contribution ponctuelle à l’activité SOC

Dans le cadre de votre évolution professionnelle, vous serez amené(e) à intervenir

ponctuellement au sein de l’équipe SOC afin de maintenir et développer vos compétences en

détection : - Analyser et qualifier des alertes de sécurité, réaliser les investigations initiales. -

Participer à l’amélioration continue des scénarios et cas d’usage de détection. - Apporter un

retour d’expérience opérationnel aux équipes d’intégration.

Profil recherché

Vous justifiez d’une expérience réelle et significative d’intégrateur SIEM sur Sekoia.io et

Splunk / Splunk ES.

Formation et parcours

Diplôme de niveau Bac+3 à Bac+5 en informatique ou cybersécurité.

3 à 6 ans d’expérience en cybersécurité opérationnelle, dont au minimum 2 ans

consacrés à l’intégration de sources de logs dans un SIEM en contexte multi-clients ou

multi-environnements.

Une expérience complémentaire en SOC (détection, qualification d’alertes, réponse à

incident) est un atout apprécié.

Compétences techniques indispensables

Solides bases systèmes (Linux et Windows) et réseaux : protocoles, flux, TLS, DNS,

routage, filtrage.

Maîtrise des mécanismes de collecte, normalisation, corrélation et enrichissement des

événements de sécurité.

Formats et protocoles de journalisation : syslog (RFC 3164/5424), CEF, LEEF, JSON, XML, CSV,

Windows Event Log, API REST.

Aisance en expressions régulières et en lecture de journaux bruts.

Scripting et automatisation (Python, Bash, PowerShell, Ansible), usage de Git.

Compréhension des principes de détection, d’investigation et de réponse à incident, et des

référentiels de menaces (MITRE ATT&CK).

Compétences appréciées (secondaires)

Expérience opérationnelle sur un EDR : HarfangLab, SentinelOne, CrowdStrike Falcon,

Microsoft Defender for Endpoint.

Connaissance d’autres SIEM du marché : LogPoint, Microsoft Sentinel, Elastic.

Détection réseau : Snort, Suricata.

Gestion des vulnérabilités : Nessus, Rapid7, Qualys.

Protection DNS / messagerie : Cisco Umbrella, Vade Secure.

Familiarité avec les familles fonctionnelles FW, WAF, IDS/IPS, XDR, SOAR et les

architectures Cloud.

Qualités attendues

Bonnes capacités rédactionnelles (documentation d’architecture, fiches de source, procédures)

et anglais technique. Rigueur, autonomie, sens du client et goût du