Manuel d'utilisation de PersonalSOC

Ce manuel explique comment utiliser l'application qui rassemble, en lecture seule et d'un seul bouton, les journaux et l'état des défenses de cet appareil dans un rapport lisible d'un coup d'œil. Les opérations à l'écran viennent d'abord, la ligne de commande est regroupée dans un chapitre plus loin.

1. Qu'est-ce que PersonalSOC

PersonalSOC est une application qui rassemble les journaux et l'état des défenses de cet appareil et les résume en constats et en rapport. Elle est conçue pour qu'un particulier, sans personnel de sécurité dédié, voie preuves à l'appui ce qui se passe sur son appareil et décide de la suite.

Elle est en lecture seule : elle ne modifie aucun réglage, ne supprime aucun fichier et ne bloque aucun trafic. L'analyse des journaux est faite par des analyseurs à procédure fixe, qui n'utilisent ni LLM ni réseau. L'intégration LLM est facultative et désactivée au départ.

Ce qu'elle ne fait pas

• C'est un outil pour l'unique appareil sur lequel elle tourne. Il n'y a pas de fonction pour voir plusieurs appareils ensemble.
• Elle n'élève jamais ses privilèges. Un journal que seul root peut lire est affiché comme « illisible », et sudo n'est pas utilisé.
• « Aucune détection » n'est pas une preuve de sécurité. Le risque global n'est lui aussi qu'une estimation de 0 à 100, pas une probabilité.
• Elle ne lit qu'un ensemble fixe de sources. On ne peut pas indiquer depuis l'écran de fichiers ou de commandes à lire.

2. Installation et lancement

PersonalSOC est une application distincte de RoamSwitch. Elle a sa propre icône et est livrée avec RoamSwitch. Les menus de RoamSwitch n'offrent pas d'accès : on l'ouvre comme une application à part.

3. Première vérification de l'état

Il ne lit les sources fixes que lorsque vous appuyez sur « Vérifier l'état ». Vous pouvez désactiver dans les réglages les sources que vous ne voulez pas qu'il lise.

Marche à suivre

1. Ouvrez l'application et appuyez sur « Réglages » en haut à droite.
2. En dessous figurent les sources lues sur ce système. Décochez celles que vous ne voulez pas faire lire.
3. Appuyez sur « Enregistrer », puis sur « ← Retour » pour revenir à l'accueil.
4. Appuyez sur « Vérifier l'état ». Une barre de progression apparaît, puis les onglets de résultats s'affichent à la fin.

À la fin, les nombres s'affichent, par exemple « Vérification terminée. 3 détection(s) / 2 IOC ». Le chapitre suivant explique les onglets.

4. Lire les résultats

5. Réglages et exécution périodique

« Réglages », en haut à droite de l'accueil, est divisé en onglets par fonction. Après une modification, appuyez sur « Enregistrer », puis sur « ← Retour » pour revenir à l'accueil.

Langue d'affichage Outre « Automatique (selon le système) », vous pouvez choisir japonais, anglais, allemand, espagnol, français, italien, coréen, portugais (Portugal), chinois simplifié ou chinois traditionnel, chacun affiché sous son propre nom.

Exécution périodique (facultatif)

Cochez « Vérifier automatiquement à intervalles réguliers » et enregistrez : un agent utilisateur launchd est créé sur Mac, un timer utilisateur systemd sous Linux. L'intervalle se choisit parmi 7 paliers entre 15 minutes et 24 heures, et vaut 1 heure au départ.

Seule la commande personalsoc scan --notify s'exécute, sans root. Une notification n'est envoyée que s'il y a une détection absente la dernière fois, et son texte ne contient que des nombres (sous Linux, notify-send est nécessaire). La case « Notifier seulement s'il y a une détection absente la dernière fois » permet aussi de couper la notification.

Décochez la case et enregistrez : l'inscription est supprimée.

6. Intégration LLM (facultatif)

L'intégration LLM est facultative et désactivée au départ. Une fois activée, après la vérification de l'état, la commande du LLM choisi mène une enquête supplémentaire et rédige un rapport en tant qu'auditeur. Les commandes utilisables sont opencode, claude, codex et agy.

Marche à suivre

1. Cochez « Activer l'intégration LLM ».
2. Choisissez le « LLM à utiliser ». Un LLM indiqué « (non installé) » n'a pas de commande sur cet appareil.
3. Si besoin, modifiez le modèle et le délai (secondes). Si le modèle reste vide, la valeur par défaut de ce LLM est utilisée.
4. Appuyez sur « Enregistrer », revenez à l'accueil et appuyez sur « Vérifier l'état ». Après la vérification, l'enquête du LLM enchaîne aussitôt.

Ce qui parvient au LLM

• Sont transmis le contenu des détections, les lignes de journal qui servent de preuves, les chaînes renvoyées par MCP et les remarques sur les sources. Ils sont transmis pour que la situation soit examinée avec précision.
• Avant la transmission, les secrets tels que clés, jetons et mots de passe sont masqués et les caractères invisibles sont retirés.
• PersonalSOC ne donne au LLM ni shell ni fichiers. Le LLM ne fait que demander ce qu'il veut examiner ; PersonalSOC exécute les outils en lecture seule qu'il autorise et renvoie les résultats. Il y a au plus 6 tours d'enquête.
• La sortie du LLM n'est pas considérée comme fiable et figure dans le rapport comme une citation. Un LLM peut lire une détection comme plus grave qu'elle n'est ; vérifiez donc toujours la conclusion dans les « Constats ».

À propos de la restriction des outils

• Dans la colonne « État » du tableau des réglages, opencode et claude affichent « Outils verrouillés ». claude est lancé avec ses outils intégrés, ses serveurs MCP et ses skills désactivés, sans charger vos propres réglages. opencode est lancé avec toutes les permissions refusées.
• codex et agy ne peuvent pas être bridés de cette façon ; ils affichent donc « Outils non verrouillables ».

7. Utiliser la ligne de commande

La commande est personalsoc. Sous Linux, elle se trouve dans /usr/bin/personalsoc ; sur Mac, dans PersonalSOC.app/Contents/MacOS/.

8. Emplacements de stockage et mises à jour

Ce qui est enregistré

PersonalSOC n'enregistre ni les rapports ni les journaux collectés dans des fichiers. Pour en conserver un, utilisez « Copier le Markdown » à l'écran ou la sortie de la ligne de commande. Pour ajouter un LLM, modifiez à la main profiles dans le fichier de réglages ; l'écran ne permet pas de le changer.

Mises à jour

Sur Mac, la mise à jour se fait depuis « Mises à jour » dans les réglages. L'application ne se connecte à lafine.net que lorsque vous appuyez sur « Rechercher des mises à jour », et reçoit les informations sur la dernière version (un JSON public). Rien sur cet appareil ni sur ses journaux n'est envoyé. S'il existe une version plus récente, appuyez sur « Télécharger et installer ». La signature du fichier téléchargé est vérifiée avec la clé publique intégrée à l'application ; en cas d'échec, rien n'est installé. L'application redémarre ensuite.

Sur Mac, la mise à jour de RoamSwitch lui-même ne met pas PersonalSOC à jour. Sous Linux, il n'y a pas de fonction de mise à jour ; PersonalSOC est inclus dans les mises à jour des paquets RoamSwitch.

9. En cas de problème