Formation IBM QRadar SIEM : Du débutant à l'expert

Module 1 : Fondamentaux du SIEM, Architecture et aperçu de l'écosystème

Établit une compréhension complète des fondamentaux du SIEM (Security Information and Event Management), de l'architecture de la plateforme IBM QRadar, de son intégration écosystémique et du paysage plus large de l'analyse de sécurité, y compris les plateformes XDR, SOAR et de renseignement sur les menaces.

1.1 Fondamentaux de l'analyse de sécurité et du SIEM

• Le paysage du SIEM : évolution de la gestion des journaux (logs) vers l'analyse de sécurité
• SIEM vs SOAR vs XDR : comprendre la convergence des outils de sécurité
• Composants principaux du SIEM : collecte des logs, normalisation, corrélation et alertes
• Flux de travail de l'analyste SOC : détection, triage, investigation et réponse
• Aperçu du cadre MITRE ATT&CK et son rôle dans la cartographie SIEM

1.2 Architecture de la plateforme IBM QRadar

• Architecture QRadar on-premise : Processeur d'événements (Event Processor), Gestionnaire de logs (Log Manager), Console et Processeur de flux (Flow Processor)
• QRadar sur Cloud : architecture multi-locataire, modèles d'ingestion et évolutivité
• Déploiement hybride QRadar Cloud : combinaison des capacités on-premise et cloud
• Options de déploiement : Appliances virtuelles, Appliances matérielles et SaaS
• Haute disponibilité (HA) et configurations Actif-Actif vs Actif-Passif

1.3 Composants QRadar et navigation dans la console

• Console IBM QRadar : aperçu de l'interface, espaces de travail, tableaux de bord et navigation
• Applications complémentaires, Framework d'applications QRadar et IBM App Exchange
• Exploreur de contexte (Context Explorer), Analyseur de risque et intégration du renseignement sur les menaces
• Modèle de données : Hôtes, Équipements, protocoles et catégories dans QRadar

1.4 L'écosystème QRadar

• IBM QRadar SOAR : intégration de l'orchestration de la sécurité et de la réponse automatisée
• IBM QRadar EDR : intégration de la détection et de la réponse aux endpoints (points de terminaison)
• Intégration du renseignement sur les menaces (flux VTI, flux de menaces personnalisés)
• Intégration avec des outils SIEM : Splunk, Elastic SIEM, IBM QRadar (gestion des sources de logs)

1.5 Intégration avec la suite IBM Security

• Intégration IBM QRadar SOAR pour l'automatisation et l'orchestration des playbooks
• Intégration IBM QRadar EDR pour la télémétrie des endpoints
• Intégration IBM QRadar VTI (Vulnerability and Threat Intelligence)
• Applications et modules complémentaires d'IBM QRadar App Exchange
• Intégration de la Plateforme d'intégration réseau IBM QRadar (NFI)

Compétences alignées sur le marché : Fondamentaux du SIEM, Gestion de l'information et des événements de sécurité (SIEM), Architecture de la plateforme IBM QRadar, Déploiement QRadar On-Prem, Architecture Cloud QRadar, Sécurité Cloud Hybride, Opérations SOC et SIEM, Analyse de sécurité, Intégration XDR, Intégration plateforme SOAR, Plateforme de renseignement sur les menaces (TIP), Cartographie du cadre MITRE ATT&CK, Convergence des outils de sécurité, Architecture de sécurité enterprise, Gestion des logs et analyse, Évolutivité et planification de capacité SIEM, Configuration haute disponibilité (HA), Navigation et configuration de la console QRadar

Module 2 : Gestion des sources de logs, ingestion de données et normalisation

Plongée technique dans la configuration des sources de logs, les stratégies de collecte de données, la normalisation des logs et les protocoles essentiels pour établir une visibilité de sécurité à l'échelle enterprise across les environnements locaux, cloud et hybrides.

2.1 Configuration des sources de logs et protocoles

• Méthodes de collecte de logs : Syslog (RSYSLOG), Connexions réseau (CEF), Common Event Format (CEF) et QRadar Common Event Format (CEF)
• Protocole CEF : en-tête, noms d'extension, extensions personnalisées et mappage CEF-vers-CEF
• Collecte de logs basée sur le réseau : NetFlow v5/v9, IPFIX (sFlow)
• Collecte par agent (IBM QRadar Agent) pour la visibilité des endpoints
• Configuration des sources de logs Active Directory, DNS, DHCP, HTTP, SMTP et bases de données
• Meilleures pratiques de déploiement des sources de logs : sources à haut débit, compression et chiffrement

2.2 Ingestion de données et planification de la capacité

• Compréhension du volume quotidien des fichiers de logs (GLP) et de la capacité d'ingestion de données événementielles quotidiennes
• Politiques de rétention des données et gestion de la rétention conforme aux réglementations
• Priorisation des sources de logs et filtrage des événements pour contrôler les coûts
• Planification de la capacité pour les déploiements SIEM à l'échelle enterprise
• Calculs de dimensionnement et optimisation des performances pour les environnements à grande échelle

2.3 Normalisation et classification des logs

• Moteur de normalisation QRadar : cartographie des formats de logs natifs vers les protocoles QRadar
• Gestionnaire des propriétés de source de log et mappage des protocoles
• Création de sources de logs personnalisées pour les logs propriétaires
• Mappage des événements, flux et sources de logs
• Règles de normalisation et dépannage des problèmes de parsing

Compétences alignées sur le marché : Gestion des sources de logs, Configuration Syslog, Protocole CEF, Connexions réseau (CEF), Déploiement de l'agent QRadar, Collecte de logs Active Directory, Collecte de logs DNS et DHCP, Collecte de logs HTTP/S et SMTP, Intégration collecte de logs de base de données (CEF), Collecte NetFlow et IPFIX, Déploiement SIEM sans agent, Stratégie de collecte de logs enterprise, Normalisation des logs, Mappage des protocoles, Configuration de sources de logs personnalisées, Parsing et classification des événements, Estimation du volume quotidien de logs (DLV), Planification de capacité SIEM, Optimisation des performances pour SIEM à grande échelle, Rétention des données pilotée par la conformité

Module 3 : Détection, corrélation et développement de règles

Le cœur des opérations SIEM : créer, tester et gérer des règles de détection, allant des règles d'événements simples aux règles de corrélation composées complexes qui identifient les attaques, les anomalies et les violations de politique.

Le cœur des opérations SIEM : créer, tester et gérer des règles de détection, allant des règles d'événements simples aux règles de corrélation composées complexes qui identifient les attaques, les anomalies et les violations de politique.

3.1 Règles d'événements et règles d'agrégation

• Règles d'événements : filtrage, extraction des champs et création d'attributs personnalisés à partir des événements bruts
• Règles d'agrégation : comptage et regroupement des événements par adresse IP, protocole, utilisateur, etc.
• Actions des règles d'agrégation : notifications, seuils de compteur et propriétés personnalisées
• Activation des règles, ordre d'exécution et logique d'exécution des règles

3.2 Règles de corrélation composées

• Construction de règles de corrélation composées : jointure de données provenant de plusieurs sources
• Types de règles : Événement, Agrégation et Corrélation Composée
• Composants des règles composées : déclencheurs, agrégations, corrélations et actions
• Logique de corrélation : corrélation temporelle, corrélation par seuil et corrélation contextuelle
• Propriétés des règles de prédiction et de corrélation : niveaux de confiance, sévérité et escalade
• Rédaction de règles de corrélation efficaces : éviter la fatigue d'alerte et garantir la qualité du signal

3.3 Règles de détection pour les techniques MITRE ATT&CK

• Règles mappées aux techniques MITRE ATT&CK : Accès Initial, Exécution, Persistance, Élévation de privilège, Évasion de défense, Accès aux identifiants, Découverte, Mouvement latéral, Collecte, Command and Control (C2), Exfiltration
• Détections personnalisées pour des catégories d'attaques spécifiques :
• Règles pour : Bruteforce, Scan de ports, Communication malware, Menace interne, Mouvement latéral, Élévation de privilège, Exfiltration de données, Command and Control (C2)
• Règles pour : Échecs d'authentification par force brute, Scan de ports, Injection SQL, Tunneling DNS, Élévation de privilège, Mouvement latéral via Pass-the-Hash

3.4 Chasse aux menaces avec les règles QRadar

• Méthodologie proactive de chasse aux menaces utilisant QRadar
• Construction de règles pour la détection des menaces inconnues / zero-day
• Analyses comportementales et règles de déviation par rapport à la ligne de base (baseline)

Compétences alignées sur le marché : Développement de règles d'événements, Création de règles d'agrégation, Développement de règles de corrélation composées, Conception de règles de corrélation personnalisées, Cartographie MITRE ATT&CK, Ingénierie de détection des menaces, Cartographie des techniques d'attaque (Accès Initial, Exécution, Persistance, Élévation de privilège, Évasion de défense, Accès aux identifiants, Découverte, Mouvement latéral, Collecte, Command and Control, Exfiltration), Détection de communication malware, Détection d'injection SQL, Détection de tunneling DNS, Règle d'élévation de privilège, Détection bruteforce, Détection de mouvement latéral, Détection de menace interne, Détection d'exfiltration de données, Détection Command-and-Control (C2), Gestion de la fatigue d'alerte, Affinage et optimisation des règles, Ingénierie de règles de détection SOC, Chasse proactive aux menaces

Module 4 : Moteur d'incidents (Offense Engine) QRadar et enquête sur les incidents

Couvre en profondeur le moteur d'incidents QRadar : création d'incidents, workflows d'enquête, analyse contextuelle, gestion des faux positifs, triage et gestion des incidents.

4.1 Le moteur d'incidents (Offense Engine)

• Création d'incidents, agrégation et gestion du cycle de vie
• Propriétés de l'incident : sévérité, confiance, statut et attribution
• Logique d'agrégation des incidents : regroupement des événements liés en incidents significatifs
• Escalade, assignation et gestion des workflows des incidents

4.2 Enquête sur les incidents et analyse contextuelle

• Context Explorer pour l'analyse approfondie des événements et la reconstitution de la chronologie
• Analyse de la chronologie des événements : reconstitution chronologique des incidents de sécurité
• Analyse des adresses IP et enrichissement par réputation (Renseignement sur les menaces)
• Contexte utilisateur et actif : activité utilisateur, inventaire des hôtes et analyse des risques d'actifs
• Corrélations d'événements dans les vues de détails d'incidents et d'événements
• Corrélation d'événements, groupement d'événements et collecte de preuves

4.3 Intégration du renseignement sur les menaces

• Intégration des flux de Renseignement sur la Vulnérabilité et les Menaces (VTI)
• Enrichissement automatisé du renseignement sur les menaces avec IBM QRadar VTI
• Téléchargements de flux de menaces personnalisés et profils d'acteurs de menaces
• Contexte du renseignement sur les menaces dans les incidents et l'analyse des risques

4.4 Gestion des faux positifs et affinage des règles

\r
• Identification et classification des faux positifs dans le moteur d'incidents
• Règles de suppression des faux positifs et workflows de suppression
• Affinage des règles : réduction du bruit tout en maintenant la sensibilité de détection
• Documentation des incidents de faux positifs pour l'amélioration continue

Compétences alignées sur le marché : Gestion du moteur d'incidents QRadar, Enquête et analyse des incidents, Investigation des menaces, Utilisation de Context Explorer, Analyse de la chronologie des événements, Analyse de réputation IP, Analyse des risques d'actifs, Enrichissement du renseignement sur les menaces, Intégration de flux VTI, Gestion des faux positifs, Affinage des alertes et réduction du bruit, Workflow de réponse aux incidents SOC, Cycle de vie des incidents de sécurité, Analyse des indicateurs de compromission, Attribution cybernétique des menaces

Module 5 : Gestion des vulnérabilités QRadar (QVM) et Risk Manager (QRM)

Plongée technique dans IBM QVM : intégration du scan de vulnérabilités, priorisation des vulnérabilités basée sur le risque, configurations de gestion des risques et évaluation de la posture de sécurité pilotée par les risques.

5.1 IBM QRadar Vulnerability Manager (QVM)

• Architecture QVM : intégration avec les scanners Nessus, Qualys et Rapid7
• Workflows de scan de vulnérabilités et planification des scans
• Analyse des résultats d'évaluation des vulnérabilités et intégration QRadar
• Corrélation des scores CVSS et classification de la sévérité des vulnérabilités
• Analyse des tendances des vulnérabilités et priorisation de la correction

5.2 IBM QRadar Risk Manager (QRM)

• Architecture QRM : moteur de calcul des risques et méthodologie de scoring
• Configuration des règles de risque : criticité des actifs, probabilité d'exploitation des vulnérabilités, profils de risque des actifs
• Calcul du score de risque : combinaison des données de vulnérabilité, renseignement sur les menaces, données d'incidents et valeur de l'actif
• Classement des actifs basé sur le risque et configuration des tableaux de bord des risques
• Priorisation des actifs basée sur le risque et priorisation des corrections basée sur le risque

Compétences alignées sur le marché : Évaluation et gestion des vulnérabilités, IBM QRadar Vulnerability Manager (QVM), Corrélation des scores CVE, Intégration du scan de vulnérabilités, Intégration Qualys/Nessus, Priorisation des vulnérabilités basée sur le risque, IBM QRadar Risk Manager (QRM), Calcul du score de risque, Évaluation de la criticité des actifs, Corrections basées sur le risque, Configuration du tableau de bord des risques, Analyse des tendances des vulnérabilités, Gestion enterprise des vulnérabilités, Évaluation et gestion enterprise des risques

Module 6 : QRadar SOAR, Automatisation et réponse aux incidents

Couvre IBM QRadar SOAR (Security Orchestration, Automation, and Response), l'orchestration des playbooks, l'automatisation des runbooks et l'automatisation de la réponse aux incidents essentiels aux opérations SOC modernes.

6.1 Aperçu d'IBM QRadar SOAR

• Orchestration de sécurité et réponse automatisée : définition et valeur
• Architecture et composants QRadar SOAR : playbooks, incidents, actions d'automatisation et actions de données
• Intégration QRadar SOAR : connexion SIEM, EDR, renseignement sur les menaces et systèmes de billetterie (ServiceNow, Jira)
• SOAR vs automatisation traditionnelle : orchestration de workflow pilotée par les playbooks

6.2 Conception et exécution des playbooks

• Création de playbook : construction de workflows d'enquête et de réponse automatisés
• Déclencheurs de playbook : création d'incidents, déclencheurs de règles et activation manuelle
• Actions du playbook : enrichissement des adresses IP, blocage des IPs, création de tickets, requête sur les flux de menaces
• Conditions du playbook et logique conditionnelle

6.3 Automatisation de la réponse aux incidents

• Réponse automatisée aux incidents : de l'alerte au confinement en quelques minutes
• Chasse automatisée aux menaces : enquête sur les menaces pilotée par playbook
• Containement automatisé des incidents : blocage des IPs, isolement de l'endpoint et suspension de compte
• Workflows de réponse automatisée aux incidents pour ransomware, phishing, attaques bruteforce et menaces internes

6.4 Intégration avec les systèmes externes

• Intégrations QRadar SOAR avec ServiceNow, Jira, Slack, e-mail et systèmes basés sur webhooks
• Intégration API personnalisée avec les plateformes de renseignement sur les menaces
• Intégration EDR pour les actions automatisées sur l'endpoint
• Automatisation de l'analyse des payloads (fichier, URL, domaine)

Compétences alignées sur le marché : Orchestration de la sécurité, Automatisation IA et réponse (SOAR), IBM QRadar SOAR, Automatisation playbook, Conception Runbook, Orchestration automatique de workflows de réponse aux incidents, Automatisation de sécurité pilotée par API, Intégration renseignement sur les menaces, Containment automatisé des incidents, Analyse automatisée des menaces, Intégration ServiceNow pour la sécurité, Automatisation système de billetterie, Automatisation réponse endpoint, Blacklisting automatique d'IP, Automatisation réponse phishing, Automatisation réponse ransomware

Module 7 : Forensique QRade, Forensique réseau et analyse de données

Couvre les capacités d'enquête forensique IBM QRadar Incident Forensics (QRIF) et l'analyse forensique des réseaux (NFI) pour l'analyse des captures de paquets, ainsi que les techniques d'analyse forensique utilisées dans l'enquête sur les incidents.

7.1 IBM QRadar Forensics (QRIF)

• QRIF : collecte et stockage des données forensiques pour les investigations
• Sources de données forensiques : captures de paquets, journaux d'événements et forensique endpoint
• Analyse forensique : reconstitution de la chronologie, analyse de fichiers et analyse forensique réseau
• Préservation des preuves forensiques et chaîne de custody
• Outils et techniques d'analyse forensique au sein de QRIF

7.2 Forensique réseau et inspection (NFI)

• Forensique réseau : analyse des captures de paquets et inspection du trafic réseau
• Analyse des données de flux : NetFlow, sFlow et IPFIX dans la forensique réseau QRadar
• Analyse des protocoles : HTTP, DNS, SMTP, SSH, FTP et inspection de protocoles personnalisés
• Détection de menaces via la forensique réseau : beaconing C2, exfiltration de données et détection de mouvement latéral
• Identification des schémas de trafic suspects

7.3 Analytics sur le comportement des utilisateurs et entités (UEBA)

• UEBA : compréhension de la ligne de base du comportement utilisateur et détection d'anomalies
• Sources de données UEBA : Active Directory, journaux proxy, journaux endpoint, journaux DLP, journaux d'authentification, journaux cloud
• Scoring UEBA : scores de risque utilisateur et scores de risque entité
• Détection de menaces pilotée par UEBA : comptes compromis, menaces internes et exfiltration de données

Compétences alignées sur le marché : Forensique d'incident QRadar (QRIF), Collecte de données forensiques, Investigation et analyse forensique, Forensique réseau, Analyse de captures de paquets, Analyse des données de flux, Détection de menaces par forensique réseau, Analytics sur le comportement des utilisateurs et entités (UEBA), Détection d'anomalies utilisateur, Détection de menace interne, Détection de compte compromis, Exfiltration de données via comportement utilisateur, Détection beaconing C2, Mouvement latéral par forensique réseau, Forensique numérique et réponse aux incidents (DFIR), Préservation des preuves et chaîne de custody, Analyse des protocoles, Forensique des journaux de sécurité, Chasse aux menaces par analytics réseau

Module 8 : SIEM Cloud, SIEM-as-Code, Conformité et opérations SIEM

Évalue les opérations IBM QRadar, la mise à l'échelle, les rapports de conformité, l'intégration SIEM cloud, les pratiques détection-as-code et la gouvernance SOC essentiels au déploiement SIEM à l'échelle enterprise.

8.1 Opérations et administration QRadar

• Administration de QRadar : rôles utilisateur, permissions et politiques de sécurité
• Audit des configurations QRadar et journaux d'accès
• Rapports planifiés et conception de rapports personnalisés pour la direction et la conformité
• Tâches planifiées : sauvegarde/restauration, nettoyage de base de données et maintenance
• Configuration du serveur Syslog pour le transfert de logs SIEM
• Mises à jour logicielles et gestion des correctifs pour les appliances QRadar

8.2 Rapports de conformité et mappage réglementaire

• Exigences SIEM PCI DSS et rapports de conformité QRadar
• Mappage de la conformité HIPAA, GDPR, SOX, NIST CSF et ISO 27001 avec les rapports QRadar
• Rapports d'audit réglementaire : modèles de rapports personnalisés pour les auditeurs PCI DSS et HIPAA
• Surveillance de la conformité en temps réel et tableaux de bord de conformité continue

8.3 SIEM-as-Code et Infrastructure as Code

• Gestion des règles SIEM contrôlée par version : déploiement de règles basé sur Git
• Terraform et Ansible pour le provisionnement et la configuration des appliances QRadar
• Pipeline CI/CD pour les règles SIEM et les playbooks
• Automatisation pilotée par l'API QRadar pour le déploiement et la gestion des règles

8.4 SIEM Cloud et Sécurité Cloud Hybride

• Intégration des sources de logs cloud : AWS CloudTrail, Microsoft Sentinel, GCP Audit Logs, Azure Monitor
• Stratégies SIEM natif cloud : SIEM pour environnements SaaS (AWS, Azure, GCP, Office 365, AWS)
• Intégrations SIEM microsoft Sentinel, Azure Sentinel, AWS CloudWatch Logs, Google Cloud Logging
• Surveillance de l'identité et des accès cloud : IAM, Active Directory, Entra ID
• Protection des charges de travail cloud et intégration SIEM

8.5 Détection des menaces sur l'identité

• L'identité comme nouvelle frontière des menaces : détection de compromission de compte
• Détection de menaces Active Directory : Kerberoasting, AS-REP roasting, attaques par tickets Golden/Sid
• Détection contournement de l'authentification multi-facteurs (MFA)
• Surveillance de la gestion des identités privilégiées (PIM)

8.6 Surveillance Zero Trust

• Surveillance de l'architecture Zero Trust : contrôles d'identité, d'appareil et de réseau
• Surveillance de la microsegmentation et validation du respect des politiques
• Rapports de conformité Zero Trust via intégration SIEM

8.7 Opérations SOC et gouvernance SIEM

• Métriques et indicateurs clés de performance (KPI) SOC : MTTR (Mean Time to Respond), MTTD pour la surveillance SIEM
• Évaluation de la maturité SOC et amélioration du SOC pilotée par le SIEM
• Gouvernance SIEM : gestion des règles, suivi des faux positifs et amélioration continue
• Meilleures pratiques opérationnelles SIEM : surveillance, alerte et procédures d'escalade

Compétences alignées sur le marché : Administration QRadar, Opérations et gestion SIEM, Gestion de la conformité SIEM, Rapports de conformité PCI D SIEM, Conformité SIEM HIPAA et GDPR, Conformité SIEM SOX et ISO 27001, Cartographie SIEM NIST CSF, Surveillance continue de la conformité, Rapports personnalisés de conformité, SIEM-as-Code et Infrastructure as Code, Terraform pour SIEM, Ansible pour déploiement SIEM, CI/CD pour règles SIEM, Automatisation API QRadar, Intégration SIEM Cloud, AWS CloudTrail SIEM, Intégration Microsoft Sentinel, GCP Cloud Logging SIEM, Azure Monitor SIEM, Intégration SIEM Office 365, SIEM Natif Cloud, Surveillance Zero Trust, Détection de menaces IAM, Détection de menaces d'identité, Détection de menaces Active Directory, Détection d'attaques Kerberos, Surveillance des identités privilégiées, Sécurité Multi-Factor Authentication (MFA), Gestion KPI et métriques SOC, Évaluation de la maturité SOC, Meilleures pratiques opérationnelles SIEM, Gouvernance réponse aux incidents, Gestion du cycle de vie des règles SIEM, Gouvernance SIEM enterprise

Module 9 : Projet final et scénarios de menaces réels

Un projet final pratique complet simulant des scénarios de sécurité enterprise comprenant la détection de menaces, l'enquête et la réponse aux incidents utilisant IBM QRadar.

9.1 Projet final : Scénario de sécurité enterprise

• Mise en place d'un environnement enterprise simulé avec des sources de logs réalistes et des scénarios d'attaque
• Déploiement des sources de logs et configuration des politiques de collecte de logs
• Construction de règles de détection mappées à MITRE ATT&CK
• Enquête sur les données d'incidents réelles dans QRadar et réalisation d'analyses forensiques
• Conception et déploiement de playbooks SOAR pour la réponse automatisée
• Génération de rapports de conformité pour PCI DSS, HIPAA et GDPR
• Réalisation de la planification de capacité et mise à l'échelle du déploiement SIEM

9.2 Scénarios de menaces réels

• Attaques simulées : déploiement ransomware, menace interne, mouvement latéral, attaques bruteforce, attaques par chaîne d'approvisionnement et phishing
• Détection ransomware : mouvement latéral, staging de données et détection de mouvement latéral
• Menace interne : tentatives d'exfiltration de données et détection d'anomalies
• Détection attaque par chaîne d'approvisionnement : détection d'accès fournisseur compromis
• Réponse phishing : blocage automatisé URL et workflows d'enquête e-mail
• Chasse aux menaces zero-day : détection de menaces inconnues utilisant des techniques de chasse sans règles
• Détection menace persistante avancée (APT) utilisant UEBA et analyse forensique

Compétences alignées sur le marché : Livraison de projet sécurité final, Simulation SIEM enterprise, Conception de scénarios de menaces réels, Déploiement règles détection MITRE ATT&CK, Enquête incident SOC, Conception playbook QRadar SOAR, Simulation réponse ransomware, Détection menace interne, Automatisation réponse phishing, Détection attaque chaîne d'approvisionnement, Chasse menaces zero-day, Détection menace persistante avancée (APT), Planification capacité SIEM et mise à l'échelle, Rapports multi-conformité (PCI DSS, HIPAA, GDPR), Réponse enterprise aux menaces, Investigation forensique des menaces, Enrichissement renseignement sur les menaces, Containment automatisé incidents, Simulation opérations SOC, Pratique ingénierie SIEM à grande échelle