Chasseur de menaces : fiche complète 2026
Les attaques informatiques avancées contournent désormais les défenses automatiques en quelques heures. Les équipes SOC (Security Operations Center) peinent à trier le volume d’alertes générées par les outils de détection. Le chasseur de menaces, ou threat hunter, intervient en amont : il cherche les signes de compromission que les systèmes n’ont pas détectés. Son approche proactive distingue ce métier des postes de réponse à incident ou d’analyste SOC. La demande pour ces profjets explose depuis l’entrée en vigueur du AI Act, qui impose une surveillance humaine renforcée des systèmes critiques.
Périmètre du métier et différences vs métiers proches
Le chasseur de menaces formule des hypothèses sur les modes opératoires des attaquants, puis les valide par une analyse forensique des logs, des flux réseau et des endpoints. Il ne répond pas aux incidents en direct. Cette mission le distingue de l’analyste SOC, qui traite les alertes remontées par les outils de détection. Il se différencie aussi de l’expert en réponse à incident, qui agit une fois la compromission confirmée. Le threat hunter travaille en amont, souvent en lien avec le renseignement cyber (CTI) pour intégrer les indicateurs de compromission récents. Il documente ses découvertes et propose des règles de détection aux équipes SOC.
Cadre réglementaire 2026
Le AI Act classe les systèmes de détection d’intrusion comme à haut risque. Cela impose un contrôle humain régulier, que le chasseur de menaces incarne directement. Le RGPD encadre l’accès aux données personnelles contenues dans les logs, ce qui oblige à des procédures de pseudonymisation et de journalisation des accès. La directive NIS 2, transposée en droit français, exige que les opérateurs de services essentiels disposent d’une capacité de threat hunting. Le Code du travail, via l’obligation de sécurité de l’employeur, justifie la surveillance des systèmes d’information, dans le respect de la vie privée des salariés. La plupart des postes relèvent de la convention collective Syntec ou de la métallurgie selon le secteur employeur.
Spécialités et sous-métiers
Le threat hunter peut se spécialiser dans un type d’environnement. Certains se concentrent sur le cloud public (AWS, Azure, GCP) et maîtrisent les logs spécifiques à chaque fournisseur ainsi que les outils de détection cloud-native. D’autres travaillent sur les systèmes industriels (OT/ICS) où les protocoles propriétaires et les contraintes de disponibilité exigent une approche différente du hunting. Une troisième spécialité concerne la chasse aux menaces persistantes avancées (APT) : ces experts analysent les techniques des groupes étatiques et construisent des hypothèses sur leurs prochaines cibles. Enfin, le threat hunter spécialisé en forensic répond aux incidents complexes tout en gardant une posture proactive, un rôle hybride de plus en plus recherché.
Outils et environnement technique
Le chasseur de menaces utilise une stack technique variée. Les EDR/NDR (Endpoint/Network Detection and Response) comme CrowdStrike, SentinelOne ou Microsoft Defender for Endpoint constituent la base de ses investigations. Pour l’analyse centralisée des logs, il emploie des SIEM (Splunk, Elastic SIEM, Microsoft Sentinel). Le langage de requête KQL ou Splunk SPL est incontournable. Les frameworks MITRE ATT&CK et Cyber Kill Chain structurent ses hypothèses. Côté OSINT, des outils comme Shodan ou VirusTotal aident à croiser les indicateurs. Enfin, les notebooks Jupyter et langages Python (Pandas, Scikit-learn) servent à automatiser l’analyse de grands volumes de données.
- EDR/NDR : CrowdStrike, SentinelOne, Microsoft Defender for Endpoint
- SIEM : Splunk, Elastic SIEM, Microsoft Sentinel
- Langages : KQL, Splunk SPL, Python
- Frameworks : MITRE ATT&CK, Cyber Kill Chain
- OSINT : Shodan, VirusTotal
Grille salariale 2026
Le salaire varie selon l’expérience, la localisation et le secteur. À Paris, un débutant (0-2 ans) perçoit entre 38 000 et 45 000 euros brut par an. En région, la fourchette descend à 33 000-40 000 euros. Un confirmé (3-6 ans) gagne 50 000 à 65 000 euros à Paris, 44 000 à 58 000 euros en province. Un senior (7 ans et plus) atteint 70 000 à 90 000 euros à Paris, contre 60 000 à 78 000 euros en région. Les grands groupes et les ESN spécialisées proposent des primes de pénurie pouvant atteindre 10 % du salaire annuel.
| Expérience | Paris | Régions |
|---|---|---|
| Junior (0-2 ans) | 38 000 - 45 000 | 33 000 - 40 000 |
| Confirmé (3-6 ans) | 50 000 - 65 000 | 44 000 - 58 000 |
| Senior (7+ ans) | 70 000 - 90 000 | 60 000 - 78 000 |
Formations et diplômes
Le recrutement privilégie les profils bac+5 en cybersécurité, informatique ou réseaux. Les masters comme celui de l’École Polytechnique (Cybersecurity), le MSc de l’IMT ou le Mastère Spécialisé de l’ENSIBS sont reconnus. Les écoles d’ingénieurs (INSA, Centrale, EPITA) délivrent des diplômes préparant au métier via des options cyber. Les titres professionnels de niveau 7 (ex-bac+5) enregistrés au RNCP sont également acceptés, sans numéro précis. Un bac+3 en informatique (BUT, licence pro cybersécurité) peut suffire si le candidat justifie d’une expérience solide en SOC ou en forensic.
Reconversion vers ce métier
Plusieurs profils se reconvertissent avec succès dans le threat hunting. Un administrateur systèmes et réseaux connaît déjà l’architecture des SI et les logs : une formation courte (6 à 12 mois) en cybersécurité offensive et l’obtention d’une certification comme la CEH ou la CISSP suffisent souvent. Un analyste SOC junior, après deux à trois ans de pratique, peut évoluer en interne vers le hunting avec un accompagnement par un senior. Enfin, un développeur spécialisé en Python ou en data analyse a les compétences nécessaires pour traiter les grandes masses de logs ; il lui manque surtout la culture de la menace, qu’il acquiert via des plateformes comme TryHackMe ou des stages dédiés.
- Administrateur systèmes et réseaux : passerelles via formation cyber offensive + certification
- Analyste SOC junior : évolution interne après 2-3 ans et mentorat
- Développeur Pythoata : acquisition de la culture menace via labs et stages
Exposition au risque IA
Le score CRISTAL-10 de 79 % indique une exposition forte à l’automatisation par IA, sans pour autant menacer le métier à court terme. Les algorithmes de détection (machine learning supervisé, analyse comportementale) automatisent déjà une partie des tâches de corrélation et de tri des alertes. Les assistants IA générative aident à rédiger des requêtes SIEM ou à résumer des logs. Mais la formulation d’hypothèses, la compréhension des modes opératoires humains et la contextualisation des attaques complexes restent difficiles à automatiser. Le threat hunter voit son champ de travail évoluer : il délègue les tâches répétitives à l’IA et se concentre sur l’analyse des cas non résolus. Les postes les plus menacés sont ceux qui se limitent à du tri d’alertes sans valeur ajoutée.
Marché de l’emploi
Le secteur cyber recrute massivement depuis le Plan France 2030 et les obligations réglementaires. La tension est particulièrement forte sur les profils de threat hunting : les offres publiées par les ESN spécialisées et les grands groupes (EDF, Thales, Airbus, Orange Cyberdefense) restent ouvertes plusieurs mois. Les PME et ETI commencent aussi à embaucher, souvent via des cabinets de conseil. La demande dépasse largement l’offre de candidats formés. Le marché est moins concurrentiel en région, où les salaires débutent plus bas mais où la progression est rapide. Les secteurs les plus dynamiques sont la défense, la banque-assurance, l’énergie et le conseil en cybersécurité.
| Secteur | Dynamique de recrutement | Volume estimé |
|---|---|---|
| Défense & sécurité | Très forte | Élevé |
| Banque & assurance | Forte | Élevé |
| Énergie | Modérée | Moyen |
| ESN / conseil cyber | Très forte | Très élevé |
Certifications et labels reconnus
Les certifications techniques sont fréquemment exigées ou fortement recommandées. La GIAC (Global Information Assurance Certification) propose des examens ciblés comme le GCFA (Forensic Analysis) ou le GNFA (Network Forensic Analyst). La CISSP (ISC)² valide une maîtrise globale de la sécurité des SI. La CEH (EC-Council) reste une porte d’entrée pour les profils en reconversion. La certification OSCP (Offensive Security) atteste d’une aptitude au pentest, utile pour penser comme un attaquant. Côté attendus, les labels Qualiopi et ISO 27001 sont souvent mentionnés dans les cahiers des charges des clients finaux.
- GIAC GCFA / GNFA : spécialisation forensic et analyse réseau
- CISSP (ISC)² : vision globale de la sécurité des systèmes d’information
- OSCP (Offensive Security) : compétences en test d’intrusion
- CEH (EC-Council) : culture de la menace pour les profils débutants
Évolution de carrière
À trois ans, un chasseur de menaces junior devient confirmé et peut encadrer un ou deux analystes SOC en rotation sur des missions de hunting. À cinq ans, il accède à un poste de senior threat hunter ou de responsable de l’équipe de hunting. Il supervise les hypothèses et valide les découvertes avant leur transmission au SOC. À dix ans, les trajectoires divergent : direction de la cybersécurité (CISO) dans une ETI, consultant expert en menace pour un cabinet international, ou spécialiste en renseignement cyber au sein d’une agence étatique. Certains intègrent les CERT (Computer Emergency Response Team) nationaux ou sectoriels.
Perspectives du métier
L’adoption massive de l’IA générative par les attaquants complexifie la détection, les e-mails de phishing devenant quasi indistincts des messages légitimes et les deepfakes vocaux étant utilisés dans des attaques d’ingénierie sociale. L’AI Act européen imposera une traçabilité accrue des décisions des systèmes de détection, renforçant le rôle du chasseur comme validateur humain indispensable. La démocratisation du threat hunting vers les PME via des services managés va créer une demande soutenue pour des profils capables de conseiller et d’opérer à distance. Le télétravail, déjà bien implanté dans le secteur, devrait se maintenir, le hunting étant une activité largement dématérialisée.