# HELIOS Micro-SOC XDR

HELIOS est un laboratoire personnel reproductible de détection et réponse multi-client. Il couvre Endpoint, Identity, Cloud, Mobile et Network, depuis la journalisation jusqu'au reporting client. Toutes les organisations, identités, infrastructures et données sont synthétiques.

## Résultats de référence — juin 2026

| Indicateur | Résultat |
|---|---:|
| Clients / actifs | 3 / 1 790 |
| Événements normalisés | 75 000 |
| Règles de détection | 24 |
| Alertes brutes | 776 |
| Alertes après tuning | 255 |
| Réduction du bruit | 67,14 % |
| Cas corrélés / incidents | 43 / 39 |
| Précision des cas | 90,70 % |
| MTTD / MTTA médians | 32 / 51 min |
| Confinement médian | 106 min |
| SLA respecté | 94,87 % |
| Couverture télémétrique | 92,88 % |
| Couverture ATT&CK prioritaire | 70,00 % |
| Tests de règles réussis | 96,88 % |

## Architecture

`Sources → ingestion → normalisation → qualité → détection → tuning/exclusions → corrélation → investigation → réponse → pilotage`

- **Sources** : MDE/Wazuh/Sysmon, Entra ID, Azure Activity, CloudTrail, Intune/MTD, Suricata/Zeek.
- **Détection** : Sigma, KQL, Wazuh, Suricata et corrélation.
- **Réponse** : cinq playbooks, chronologies, diagnostic, confinement, remédiation et recovery.
- **Pilotage** : modèle Excel de 18 feuilles / 17 457 formules, dashboard, brief client et contrôles QA.

## Arborescence

- `data/` — jeux de données synthétiques et référentiels.
- `src/helios_soc/` — pipeline Python.
- `rules/` — règles Sigma, KQL, Wazuh, Suricata et corrélation.
- `playbooks/` — cinq procédures de réponse.
- `notebooks/` — quatre notebooks exécutés.
- `model/` — modèle Excel avancé.
- `dashboards/` — KPI et graphiques.
- `docs/` — rapport, architecture, méthodologie et spécifications.
- `evidence/` — résultats des tests de règles.
- `qa/` — tests d'acceptation, audit de formules et manifeste.
- `website/` — données et prompt autonome pour générer le one-pager avec Lovable.

## Exécution

```bash
python -m venv .venv
source .venv/bin/activate  # Windows: .venv\Scripts\activate
pip install -r requirements.txt
PYTHONPATH=src python run_pipeline.py
PYTHONPATH=src pytest -q
```

Résultat attendu :

```text
{'events': 75000, 'assets': 1790, 'incidents': 39}
1 passed
```

## Méthodes

Le projet s'appuie sur des références publiques : recommandations ANSSI de journalisation, EBIOS Risk Manager, MITRE ATT&CK Enterprise/Mobile, NIST SP 800-61 Rev. 3, spécification Sigma, documentation Microsoft Defender XDR, Wazuh, Suricata et principes CNIL de traçabilité/minimisation.

## Transparence

Ce repository ne constitue pas un déploiement de production. Il démontre une méthodologie, des artefacts et des contrôles reproductibles sur des données entièrement synthétiques.
