Professional Security Operations Engineer — Questions d'entraînement et examen blanc

La certification Professional Security Operations Engineer valide la capacité à détecter, surveiller, analyser et investiguer les menaces de sécurité visant les workloads, les endpoints et l’infrastructure, ainsi qu’à y répondre à l’aide des ressources Google Cloud. Elle couvre les opérations de plateforme, la gestion des données, le threat hunting, la detection engineering, la réponse aux incidents et l’observabilité, en évaluant ta maîtrise de Google Security Operations (SecOps), de Security Command Center (SCC), de l’écriture de règles de détection, de l’ingestion de logs et de l’automatisation de la réponse.

C’est une certification de niveau professionnel destinée aux analystes et ingénieurs en opérations de sécurité spécialisés dans la détection des menaces, la réponse aux incidents et la surveillance de la sécurité sur Google Cloud. Google recommande au moins 3 ans d’expérience dans le secteur de la sécurité, dont au moins 1 an avec les outils de sécurité Google Cloud. Elle ouvre la voie à des postes d’analyste SOC, de threat hunter ou de detection engineer.

C’est l’ingénierie de détection qui pèse le plus lourd, avec 22 % : conception de règles YARA-L, détection basée sur le risque et adossée à la threat intelligence, réduction des faux positifs via le scoring des alertes. Vient ensuite la réponse à incident, à 21 % : confinement et recherche de cause racine, conception de playbooks SOAR, progression des cas tout au long du cycle de réponse. Le threat hunting occupe 19 %, avec la recherche d’indicateurs de compromission et de schémas d’attaque émergents dans la télémétrie de l’environnement et la threat intelligence. Les opérations de plateforme et la gestion des données sont à égalité, 14 % chacune : d’un côté l’intégration des sources de télémétrie et l’authentification, de l’autre l’ingestion des logs et le réglage des parsers dans Google SecOps. L’observabilité, qui couvre les dashboards et la surveillance de la santé de la plateforme, ferme le blueprint à 10 %.

À elles deux, détection et réponse représentent 43 % de l’examen. Malgré des intitulés de domaines qui sonnent très terrain, les questions portent bien plus sur les mécanismes de Google Security Operations et de Security Command Center que sur le jugement d’un analyste SOC en général.

L’examen propose 50 à 60 questions à choix unique et à choix multiples en 120 minutes, réparties grosso modo à 80 % de questions à réponse unique pour 20 % à réponses multiples. Les questions évaluent ta connaissance pratique des capacités SIEM/SOAR de Google Security Operations (anciennement Chronicle) et des fonctionnalités de Security Command Center, pas la théorie générale de l’analyse en sécurité.

Chaque domaine de l’examen GCP-PSOE a assez de questions dans la banque pour être travaillé en profondeur. Un examen blanc te pose 55 questions d’affilée, sur le même chrono de 120 minutes que le jour de l’examen.

Le temps qu’il te faut dépend de ton expérience pratique. Le reste est fixé par l’éditeur : comment l’examen se déroule, quand tu peux le repasser et combien de temps la certification reste valable.

Tu peux passer l’examen en ligne avec surveillance à distance, ou dans un centre d’examen. La certification est valable 2 ans, et se renouvelle en repassant une version actualisée de l’examen pendant la période d’éligibilité au renouvellement.

Security Command Center (SCC) et Google Security Operations se recouvrent suffisamment dans leurs objectifs pour que, sous la pression de l’examen, on ne sache plus dire quel outil assure quelle fonction. La confusion la plus fréquente : l’Event Threat Detection automatisé de SCC face aux règles de détection YARA-L personnalisées de SecOps. Les parser modifications et les parser extensions répondent à des besoins de normalisation des données différents dans SecOps, et beaucoup de supports de révision les présentent comme interchangeables, ce qui entretient l’amalgame. Les questions de réponse à incident supposent que tu maîtrises tout le cycle de vie d’un playbook SOAR, y compris les étapes de case management et les workflows d’escalade, bien au-delà du simple confinement. Logs Explorer, Log Analytics et BigQuery correspondent chacun à des scénarios d’investigation différents : choisir le mauvais te coûte du temps, même si ton analyse aurait été juste sur le fond.