Security Operations Engineer (Senior+ / Staff) — SOC RUN & BUILD (IT) / Freelance

Onyx-Conseil; Paris; Sur place; EUR 65 000 - 90 000; Plein temps

Résumé du poste

Onyx-Conseil recherche un Security Operations Engineer expérimenté pour renforcer un SOC interne et construire des capacités de détection et d’automatisation.

Le profil doit mener des investigations complexes, livrer du code et déployer des automatisations de qualité production, avec une forte orientation RUN et BUILD.

Qualifications

• Profil opérateur-buildeur capable de mener des investigations, livrer du code et automatisations de production.

Responsabilités

• Volet RUN : triage et priorisation des alertes sur Splunk/CrowdStrike/Wiz/AWS; investigations de bout en bout; pilotage de la réponse à incident; accompagnement des analystes juniors; exploitation du SOC agentique pour le volume de signaux.
• Volet BUILD : conception et optimisation de recherches Splunk (SPL); intégration de logs; développement d’automatisations (Torq/SOAR, scripts Python/Bash); enrichissement et corrélation des données; réalisation de dashboards et reporting.

Description du poste

Le contexte

Pour un acteur international de la tech évoluant dans un environnement à forte exigence de sécurité, nous recherchons un Security Operations Engineer expérimenté.

L'équipe Security Operations protège les environnements corporate, cloud, SaaS et datacenter : anticipation, détection, investigation et réponse aux menaces sur les endpoints, workloads, identités et l'infrastructure. Équipe réduite, senior et exigeante, qui construit en continu son propre SOC : intégration de sources de logs, qualité de la donnée, couverture de détection, dashboards, workflows et un SOC agentique développé en interne.

Stack : Splunk (SIEM) · CrowdStrike (EDR) · Wiz (CSPM/CNAPP) · Torq (SOAR) · AWS (dont EKS/Kubernetes) · SOC agentique interne

La mission

Renforcer immédiatement la capacité opérationnelle en absorbant le RUN du SOC, tout en contribuant au BUILD dès que la charge le permet. Cible indicative : ~60 % RUN / ~40 % BUILD.

Profil recherché : operator-builder — capable de mener seul des investigations complexes et de livrer du code, des détections et des automatisations de qualité production.

Volet RUN — opérer le SOC (priorité)

• Triage, classification et priorisation des alertes (Splunk, CrowdStrike, Wiz, AWS)
• Investigations de bout en bout : endpoints, cloud, identités, SaaS, workloads, infra — collecte de preuves, timeline, root cause
• Pilotage de la réponse à incident : containment, remediation, post-mortems
• Point d'escalade pour les analystes juniors (revue d'analyses, partage de connaissance)
• Exploitation du SOC agentique pour absorber le volume de signaux faibles
• Documentation rigoureuse de chaque investigation

Volet BUILD — faire progresser le SOC

• Detection engineering : conception et optimisation de recherches Splunk (SPL), nouveaux use cases (AWS/IAM, EKS/K8s, workloads), réduction du bruit
• Qualité de la donnée & pipeline : intégration de sources de logs, parsing, normalisation (CIM), data models, performance
• Automatisation : workflows Torq/SOAR, scripts et intégrations API (Python, Bash, GitHub Actions)
• SOC agentique : contribution à son évolution (workflows d'investigation, corrélation, enrichissement)
• Reporting & dashboards, cloud security (Wiz, AWS/EKS), threat hunting (CTI/OSINT), capitalisation (runbooks, playbooks, standards)