Ingénieur sécurité, investigation avancée et réponse à incident

Titre du poste : Ingénieur sécurité, investigation avancée et réponse à incident Référence : 26-04-6613-001 Lieu : Genève Date de début souhaitée : 01.01.2027 Taux d'occupation : 100% Rémunération : à partir de 149'000 CHF / an Description du poste et contexte : Nous recherchons pour un client, une administration publique à Genève, un(e) ingénieur(e) sécurité spécialisé(e) en investigation avancée et en réponse à incident afin de renforcer ses capacités de cybersécurité opérationnelle. La personne retenue sera dédiée à la surveillance des événements de sécurité, à l'investigation des alertes (en particulier EDR) et à la qualification des incidents, ainsi qu'à la recherche et à l'analyse des traces d'une compromission et à la réponse visant à l'éradiquer. Elle travaillera en interaction étroite avec le SOC externe et les équipes de sécurité opérationnelle, infrastructure, réseau, systèmes, applications et IAM. Mission de longue durée (jusqu'à 5 ans).

- Contribuer à l'amélioration continue des capacités de détection, de réponse et d'investigation du SOC et de l'équipe interne. - Détecter, analyser, investiguer et contribuer au traitement des événements et incidents de cybersécurité, en exploitant les alertes EDR et les autres sources de données de sécurité disponibles. - Analyser la couverture de détection et proposer, développer et ajuster des règles ou cas d'usage de détection à partir des incidents observés, des techniques d'attaque et du framework MITRE ATT&CK. - Évaluer la qualité des télémétries et des données de sécurité nécessaires à une investigation et identifier les lacunes de visibilité. - Qualifier les incidents, en définir le périmètre, assurer le confinement et la collecte des éléments techniques, accompagner l'éradication et le rétablissement, puis capitaliser sur les enseignements tirés. - Coordonner les aspects techniques et les investigations avec le SOC externe et les équipes infrastructure, réseau, systèmes, applications et IAM. - Transformer une alerte technique en compréhension de la situation de sécurité : déterminer ce qui s'est produit, sur quel système, avec quel compte ou quelle identité, par quel vecteur, quelles actions ont été réalisées et quels autres systèmes pourraient être concernés. - Déterminer si l'événement constitue ou non un incident de sécurité et quelles mesures de confinement ou de remédiation sont nécessaires. - Proposer, créer et ajuster des règles de détection afin de réduire les taux de faux positifs et de faux négatifs. Formation : - Master universitaire en informatique, diplôme d'ingénieur EPF ou équivalent. - Expérience professionnelle confirmée en SOC, CSIRT ou équipe de réponse à incident, avec une pratique effective d'investigations de sécurité complexes.

- Excellente connaissance des principes de fonctionnement d'un SOC. - Utilisation opérationnelle approfondie d'un EDR/XDR pour l'investigation (analyse des arbres de processus, investigation endpoint, etc.), la recherche, la collecte de traces et les actions de réponse. - Expérience pratique d'un SIEM et maîtrise d'un langage de requête permettant de conduire des investigations sur de grands volumes de logs (SPL ou équivalent). - Maîtrise de l'analyse de logs. - Bonne connaissance des techniques et tactiques utilisées par les attaquants et capacité à les analyser au travers de MITRE ATT&CK. - Maîtrise de la recherche par IoC, IoA et TTP. - Capacité à conduire une investigation de sécurité. - Connaissance des principales techniques d'attaque. - Connaissance des mécanismes de persistance et de mouvement latéral. - Excellente compréhension des systèmes Windows et Linux. - Connaissance de TCP/IP, DNS, HTTP(S), proxy, firewall et VPN. - Connaissance d'Active Directory. - Compréhension des mécanismes d'authentification (Kerberos, NTLM, OAuth2, OIDC, SAML). - Capacité à investiguer les compromissions d'identités : comptes compromis, élévation de privilèges, vol d'identifiants, mouvements latéraux et abus des mécanismes d'authentification.

- Expérience en Threat Hunting. - Connaissance du cloud (Entra ID, M365, Azure).

- Connaissance des mécanismes SOAR. - Scripting PowerShell. - Scripting Python. - Connaissance des outils de forensic. Qualités requises : - Esprit analytique et capacité à investiguer méthodiquement. - Curiosité et goût pour la recherche technique. - Rigueur et qualité de documentation. - Capacité à communiquer et à travailler avec des équipes multidisciplinaires. - Autonomie et capacité à travailler sous pression lors d'incidents. working at null