L'analyse a révélé les domaines C2 du malware et un mutex unique. Quel est le livrable de plus grande valeur pour le SOC ?

Cette question vérifie si vous analysez pour des résultats opérationnels ou pour la satisfaction de comprendre. L'analyste de malware existe pour rendre le reste du SOC plus rapide — c'est-à-dire produire des détections déployables, pas un article de recherche.

Pourquoi les IOC et détections exploitables l'emportent

Le SOC a une seule mission immédiate : trouver tout autre hôte infecté et stopper la propagation. Pour cela, il lui faut un contenu de détection à coller directement dans l'outillage — domaines et IP C2 à bloquer et surveiller, hachages pour les recherches de fichiers malveillants connus, artefacts hôte comme le mutex unique (un signal fiable et peu bruyant que le malware s'exécute) et signatures comportementales ou YARA qui attrapent les variantes par leur structure ou leurs actions plutôt qu'une valeur fragile unique. Accompagnés d'un peu de contexte (ce que signifie chaque indicateur, les faux positifs attendus), le SOC peut traquer et bloquer en quelques minutes. C'est le livrable au plus fort effet de levier.

Pourquoi les autres options sont fausses

• Un long récit de chaque appel d'API. Intéressant pour le reverse approfondi, mais le SOC ne peut rien en faire directement. La valeur opérationnelle est quasi nulle face à des détections prêtes à déployer.
• Juste le hachage du fichier. Un hachage est réel mais fragile : une recompilation, un octet changé, et il est inutile. Ne livrer que le hachage aveugle le SOC face à la prochaine variante.
• Votre opinion sur le pays auteur. L'attribution est spéculative, politiquement chargée et non déployable. Le SOC ne peut pas bloquer « un État-nation » ; il bloque des domaines, des hachages et des comportements.

Ce que recherchent les examinateurs

Le signal, c'est l'empathie pour le défenseur : vous savez ce que le SOC consomme réellement et vous classez les indicateurs par durabilité — artefacts comportementaux et hôte plutôt que hachages facilement modifiés. Les bons candidats évoquent aussi le format de partage et le contexte pour que les indicateurs ne noient pas le SOC sous les faux positifs. Le jugement testé : votre production se mesure-t-elle à ce que les autres peuvent exploiter, pas à l'ingéniosité de votre analyse.