Ingénieur(e) sécurité investigation avancée et réponse à incident in Genf

Localisation : Genève · Contrat : CDI · Mission : longue durée · Taux : 100 % · Début : janvier 2027

Pour l'un de nos clients basé à Genève, nous recherchons un(e) Ingénieur(e) sécurité investigation avancée et réponse à incident pour renforcer ses capacités de cybersécurité opérationnelle.

Contexte

L'équipe de surveillance et de coordination de la sécurité informatique souhaite disposer d'une compétence dédiée à la surveillance des événements de sécurité, à l'investigation des alertes et à la qualification des incidents de cybersécurité. Cette fonction s'inscrit dans l'évolution du dispositif de sécurité opérationnelle. Elle vise notamment à renforcer l'exploitation des alertes produites par les solutions de sécurité, en particulier l'EDR, ainsi que la capacité de l'organisation à rechercher et analyser les traces d'une compromission et à y répondre dans le but de l'éradiquer. Vous travaillez en interaction étroite avec le SOC externe, les équipes de sécurité opérationnelle et les équipes infrastructure, réseau, systèmes, applications et IAM.

Vos missions

• Détecter, analyser, investiguer et contribuer au traitement des événements et incidents de cybersécurité, en exploitant les alertes EDR et les autres sources de données de sécurité disponibles.
• Analyser la couverture de détection, proposer, développer et ajuster des règles ou cas d'usage de détection à partir des incidents observés, des techniques d'attaque et du framework MITRE ATT&CK.
• Évaluer la qualité des télémétries et données de sécurité nécessaires à une investigation et identifier les lacunes de visibilité.
• Conduire la réponse aux incidents : qualification, définition du périmètre, confinement, collecte des éléments techniques, accompagnement de l'éradication et du rétablissement, puis capitalisation des enseignements.
• Coordonner les aspects techniques et les investigations avec le SOC externe et les équipes infrastructure, réseau, systèmes, applications et IAM.
• Transformer une alerte technique en une compréhension de la situation de sécurité : ce qui s'est produit, sur quel système, avec quel compte ou quelle identité, par quel vecteur, quelles actions ont été réalisées, quels autres systèmes pourraient être concernés, s'il s'agit ou non d'un incident de sécurité et quelles mesures de confinement ou de remédiation sont nécessaires.
• Proposer, créer et ajuster des règles de détection et réduire les taux de faux positifs et de faux négatifs.

Formation

Master universitaire en informatique, diplôme d'ingénieur EPF ou équivalent.

Compétences essentielles

• Expérience professionnelle confirmée en SOC, CSIRT ou équipe de réponse à incident, avec pratique effective d'investigations de sécurité complexes.
• Excellente connaissance des principes de fonctionnement d'un SOC.
• Utilisation opérationnelle approfondie d'un EDR/XDR pour l'investigation (analyse des arbres de processus, investigation endpoint, etc.), la recherche, la collecte de traces et les actions de réponse.
• Expérience pratique d'un SIEM et maîtrise d'un langage de requête permettant de conduire des investigations sur de grands volumes de logs (SPL ou équivalent).
• Maîtrise de l'analyse de logs.
• Bonne connaissance des techniques et tactiques utilisées par les attaquants et capacité à les analyser au travers de MITRE ATT&CK.
• Maîtrise de la recherche par IoC, IoA et TTP.
• Capacité à conduire une investigation de sécurité.
• Connaissance des principales techniques d'attaque, des mécanismes de persistance et de mouvement latéral.
• Excellente compréhension des systèmes Windows et Linux.
• Connaissance de TCP/IP, DNS, HTTP(S), proxy, firewall et VPN.
• Connaissance d'Active Directory.
• Compréhension des mécanismes d'authentification (Kerberos, NTLM, OAuth2, OIDC, SAML).
• Capacité à investiguer les compromissions d'identités : comptes compromis, élévation de privilèges, vol d'identifiants, mouvements latéraux et abus des mécanismes d'authentification.

Compétences appréciées

• Expérience en Threat Hunting.
• Connaissance du cloud (Entra ID, M365, Azure).

Un plus

• Connaissance des mécanismes SOAR.
• Scripting PowerShell.
• Scripting Python.
• Connaissance des outils de forensic.

Qualités personnelles

• Esprit analytique et capacité à investiguer méthodiquement.
• Curiosité et goût pour la recherche technique.
• Rigueur et qualité de documentation.
• Capacité à communiquer et à travailler avec des équipes multidisciplinaires.
• Autonomie et capacité à travailler sous pression lors d'incidents.