Ritchie Dagonia, analyste en cybersécurité à Nouméa

Je m'appelle Ritchie Dagonia, j'ai 29 ans et je travaille comme analyste en cybersécurité à Nouméa, en Nouvelle-Calédonie. Je fais partie d'une équipe de supervision : nous surveillons, jour et nuit, ce qui se passe sur les systèmes que mon employeur nous confie, et nous décidons, alerte après alerte, de ce qui mérite qu'on s'en inquiète.

Ce site est un espace personnel, sans autre prétention que de raconter le métier tel que je le vis, loin des images d'écrans noirs et de lignes vertes. Le carnet de veille rassemble quelques notes courtes sur des sujets que je croise souvent.

Le métier, concrètement

Une journée commence par un tri. Le SIEM a collecté des dizaines de milliers d'événements pendant la nuit ; une partie d'entre eux a déclenché des alertes ; la plupart de ces alertes ne veulent rien dire. Mon travail consiste d'abord à séparer ce qui est normal mais bruyant de ce qui est discret mais anormal. Un compte qui se connecte à trois heures du matin, c'est peut-être un administrateur qui rattrape une mise à jour, ou peut-être autre chose. L'EDR remonte un processus inhabituel sur un poste : est-ce un script d'inventaire ou le début d'une compromission ? Je passe une bonne partie de mon temps à répondre à ce genre de questions, avec des journaux, du contexte et, souvent, un coup de fil à la personne concernée.

Le reste se partage entre l'écriture de règles de détection, la documentation des incidents et l'amélioration des procédures. Écrire une règle, c'est traduire une intuition en critères précis, puis la laisser tourner et compter combien de fois elle se trompe. Documenter un incident, c'est raconter, avec des horodatages, ce qu'on a vu, ce qu'on a fait et ce qu'on aurait pu faire mieux. Ce n'est pas la partie la plus spectaculaire du métier, mais c'est celle qui reste quand tout le monde est rentré chez soi.

Onze heures d'avance sur la métropole

Nouméa vit à UTC+11. Quand je commence ma journée, la France dort encore ; quand les équipes de métropole arrivent au bureau, la mienne se termine. Ce décalage change tout dans la façon de travailler ensemble. Les réunions communes tombent tôt le matin pour moi et tard le soir pour eux, ou l'inverse, et on apprend vite à écrire plutôt qu'à parler : un ticket bien rédigé, une note claire dans l'outil de suivi, valent mieux qu'un appel que personne ne pourra prendre.

Il y a aussi un avantage réel. La nuit calédonienne, c'est le jour en métropole : nos astreintes couvrent des heures où beaucoup de choses se passent ailleurs, et à l'inverse nos matins tranquilles servent à relire ce qui s'est produit pendant que d'autres géraient. La veille du matin, café à la main, avant que les alertes ne reprennent, c'est le moment que je préfère : lire quelques bulletins, parcourir des journaux à tête reposée, noter deux ou trois idées de règles à tester dans la journée.

Ce que quelques années de métier m'apprennent

J'ai 29 ans et quelques années de supervision derrière moi. Ce n'est pas beaucoup, mais c'est assez pour gagner un peu d'humilité. Le faux positif est un excellent professeur : chaque fois que je suis sûr de tenir quelque chose et que ce n'est rien, j'apprends à vérifier une source de plus avant de lever la main. Inversement, les incidents qui comptent commencent rarement par une alerte rouge ; ils commencent par un détail qui ne colle pas et que quelqu'un prend le temps de regarder.

J'apprends aussi, chaque semaine, la valeur d'une bonne procédure. Quand une alerte tombe à deux heures du matin, on ne réfléchit pas aussi bien qu'à dix heures. Une procédure claire, écrite par quelqu'un de reposé, permet à quelqu'un de fatigué de ne pas oublier l'étape importante. Ce n'est pas de la bureaucratie, c'est une forme de prudence.

Le bon analyste n'est pas celui qui trouve tout ; c'est celui qui sait dire, calmement, ce qu'il a vu, ce qu'il n'a pas vu, et ce qu'il reste à vérifier.

Pourquoi Nouméa

On me demande souvent pourquoi je travaille si loin. La réponse tient en deux parties. La première, c'est que le métier s'exerce ici comme ailleurs : les mêmes journaux, les mêmes alertes, les mêmes questions, avec en plus le petit défi du décalage horaire. La seconde, c'est le choix de partir loin, d'avoir une vie où le travail ne remplit pas tout. Sur le Caillou, la fin de journée existe vraiment. Le lagon est à quelques minutes, le vent souffle presque toujours, et la saison chaude vous apprend à ralentir. Je plonge de temps en temps, sans rien de sérieux, juste pour regarder le fond et ne plus penser aux alertes.

Entrer dans le métier sans passer par la case « hacker de film »

Si vous voulez rejoindre une équipe de supervision, voici ce que je dirais, honnêtement.

• Apprenez à lire des journaux avant d'apprendre à attaquer quoi que ce soit. La plus grande partie du métier consiste à comprendre ce qui est normal pour pouvoir remarquer ce qui ne l'est pas.
• Comprenez les systèmes : comment une machine s'authentifie, ce que fait un serveur de messagerie, à quoi ressemble un réseau d'entreprise ordinaire. Les détections viennent après.
• Écrivez. Des tickets, des comptes rendus, des procédures. On juge un analyste sur la clarté de ce qu'il laisse derrière lui.
• Acceptez l'ennui. Beaucoup de journées sont calmes ; c'est le prix d'un système qui tient.
• Méfiez-vous des raccourcis. Ni les outils ni les listes de titres ne remplacent la pratique quotidienne et la curiosité.

Le reste s'apprend en équipe, avec des collègues patients et des erreurs bien documentées. C'est un métier de calme et d'attention, pas de spectacle ; c'est précisément pour cela que je l'aime.