Titre du poste : Ingénieur sécurité, investigation avancée et réponse à incident
Référence : 26-04-6613-001
Lieu : Genève
Date de début souhaitée : 01.01.2027
Taux d'occupation : 100%
Rémunération : à partir de 149'000 CHF / an
Description du poste et contexte :
Nous recherchons pour un client, une administration publique à Genève, un(e) ingénieur(e) sécurité spécialisé(e) en investigation avancée et en réponse à incident afin de renforcer ses capacités de cybersécurité opérationnelle.
La personne retenue sera dédiée à la surveillance des événements de sécurité, à l'investigation des alertes (en particulier EDR) et à la qualification des incidents, ainsi qu'à la recherche et à l'analyse des traces d'une compromission et à la réponse visant à l'éradiquer. Elle travaillera en interaction étroite avec le SOC externe et les équipes de sécurité opérationnelle, infrastructure, réseau, systèmes, applications et IAM. Mission de longue durée (jusqu'à 5 ans).
Responsabilités :
- Contribuer à l'amélioration continue des capacités de détection, de réponse et d'investigation du SOC et de l'équipe interne.
- Détecter, analyser, investiguer et contribuer au traitement des événements et incidents de cybersécurité, en exploitant les alertes EDR et les autres sources de données de sécurité disponibles.
- Analyser la couverture de détection et proposer, développer et ajuster des règles ou cas d'usage de détection à partir des incidents observés, des techniques d'attaque et du framework MITRE ATT&CK.
- Évaluer la qualité des télémétries et des données de sécurité nécessaires à une investigation et identifier les lacunes de visibilité.
- Qualifier les incidents, en définir le périmètre, assurer le confinement et la collecte des éléments techniques, accompagner l'éradication et le rétablissement, puis capitaliser sur les enseignements tirés.
- Coordonner les aspects techniques et les investigations avec le SOC externe et les équipes infrastructure, réseau, systèmes, applications et IAM.
- Transformer une alerte technique en compréhension de la situation de sécurité : déterminer ce qui s'est produit, sur quel système, avec quel compte ou quelle identité, par quel vecteur, quelles actions ont été réalisées et quels autres systèmes pourraient être concernés.
- Déterminer si l'événement constitue ou non un incident de sécurité et quelles mesures de confinement ou de remédiation sont nécessaires.
- Proposer, créer et ajuster des règles de détection afin de réduire les taux de faux positifs et de faux négatifs.
Formation :
- Master universitaire en informatique, diplôme d'ingénieur EPF ou équivalent.
- Expérience professionnelle confirmée en SOC, CSIRT ou équipe de réponse à incident, avec une pratique effective d'investigations de sécurité complexes.
Compétences primordiales :
- Excellente connaissance des principes de fonctionnement d'un SOC.
- Utilisation opérationnelle approfondie d'un EDR/XDR pour l'investigation (analyse des arbres de processus, investigation endpoint, etc.), la recherche, la collecte de traces et les actions de réponse.
- Expérience pratique d'un SIEM et maîtrise d'un langage de requête permettant de conduire des investigations sur de grands volumes de logs (SPL ou équivalent).
- Maîtrise de l'analyse de logs.
- Bonne connaissance des techniques et tactiques utilisées par les attaquants et capacité à les analyser au travers de MITRE ATT&CK.
- Maîtrise de la recherche par IoC, IoA et TTP.
- Capacité à conduire une investigation de sécurité.
- Connaissance des principales techniques d'attaque.
- Connaissance des mécanismes de persistance et de mouvement latéral.
- Excellente compréhension des systèmes Windows et Linux.
- Connaissance de TCP/IP, DNS, HTTP(S), proxy, firewall et VPN.
- Connaissance d'Active Directory.
- Compréhension des mécanismes d'authentification (Kerberos, NTLM, OAuth2, OIDC, SAML).
- Capacité à investiguer les compromissions d'identités : comptes compromis, élévation de privilèges, vol d'identifiants, mouvements latéraux et abus des mécanismes d'authentification.
Compétences importantes :
- Expérience en Threat Hunting.
- Connaissance du cloud (Entra ID, M365, Azure).
Compétences optionnelles :
- Connaissance des mécanismes SOAR.
- Scripting PowerShell.
- Scripting Python.
- Connaissance des outils de forensic.
Qualités requises :
- Esprit analytique et capacité à investiguer méthodiquement.
- Curiosité et goût pour la recherche technique.
- Rigueur et qualité de documentation.
- Capacité à communiquer et à travailler avec des équipes multidisciplinaires.
- Autonomie et capacité à travailler sous pression lors d'incidents.