Tout centre des opérations de sécurité (SOC) doit maîtriser deux éléments : la visibilité sur ce qui se passe dans l’ensemble de l’environnement et la qualité des décisions que prennent les analystes une fois cette visibilité acquise. Les renseignements sur les menaces font le lien entre les deux.
De bons renseignements élargissent la visibilité en indiquant à une équipe ce qu’elle doit rechercher — notamment les comportements, les indicateurs et les schémas qui comptent dans son environnement — afin de rendre les menaces détectables. Ils affinent également la prise de décision en fournissant aux analystes le contexte dont ils ont besoin pour déterminer rapidement et avec assurance si une activité est légitime ou justifie une escalade.
Le problème est que la plupart des organisations ne parviennent pas à opérationnaliser les renseignements à la vitesse et au volume auxquels ils arrivent.
Dans ce cas, les deux bénéfices s’érodent simultanément. La visibilité se réduit aux seuls renseignements effectivement rendus exploitables, car les flux qui ne sont ni normalisés, ni contextualisés, ni mis en correspondance avec l’environnement de l’organisation offrent peu d’éléments sur lesquels les analystes peuvent agir. Les décisions d’investigation commencent alors à se fonder sur l’instinct plutôt que sur le contexte.
Pour de nombreuses organisations, c’est l’opérationnalisation des renseignements, et non leur collecte, qui constitue le principal point de rupture des programmes.
La plupart des renseignements ne sont pas destinés à déclencher une nouvelle détection
Demandez à une équipe de centre des opérations de sécurité (SOC) quel pourcentage de ses renseignements sur les menaces donne lieu à une action, et la réponse dépendra de la définition donnée à « donner lieu à une action ».
La plupart des renseignements sur les menaces servent à éclairer les décisions, pas nécessairement à déclencher de nouvelles détections. Lorsqu’un indicateur déclenche une alerte et qu’un analyste utilise les renseignements environnants pour déterminer que l’activité est légitime, ces renseignements ont rempli leur rôle. Clôturer rapidement et correctement un faux positif est une action.
Le reste des renseignements ne sont pas simplement jetés. Ils deviennent partie intégrante des détections, de l’enrichissement et des listes de surveillance, prêts à fournir du contexte lorsque le trafic ou un artefact finit par leur correspondre. Certains renseignements peuvent ne jamais devenir pertinents, devenir obsolètes puis être retirés. C’est normal, car les renseignements sur les menaces ont une durée de vie limitée.
Une petite partie des renseignements peut entraîner une action directe, tandis qu’une part bien plus importante contribue à des décisions plus rapides et plus sûres. Le reste attend de devenir pertinent ou d’expirer. Rien de tout cela n’indique qu’un programme n’exploite pas ses renseignements. C’est à cela que ressemble un programme de renseignement opérationnel.
Les lacunes de couverture dépassent rarement le niveau de l’analyste
Les analystes des SOC désactivent régulièrement des règles ou dépriorisent des flux parce que leur volume est ingérable. Les règles trop bruyantes sont réduites au silence pour que la file d’attente reste exploitable. Plus souvent, les règles ne sont jamais activées, car les ensembles de règles des fournisseurs et des communautés arrivent avec des détections qui nécessitent un réglage et une validation que l’équipe n’a pas le temps d’effectuer.
Les analystes disposent de peu de temps, et traiter un grand volume d’alertes est souvent le seul moyen de garder la file d’attente sous contrôle.
Le véritable risque, toutefois, ne tient pas simplement au fait que des alertes sont générées. Il tient au fait que les décisions de couverture sont prises au niveau des analystes, et que la direction peut ne jamais savoir ce qui a été supprimé, pourquoi cela l’a été ni quelle visibilité a été perdue en conséquence. Cela crée une dangereuse rupture. Une organisation peut croire disposer d’une large couverture de détection tout en fonctionnant avec des lacunes qu’elle ne peut ni voir, ni quantifier, ni réévaluer.
Des renseignements pertinents peuvent contribuer à combler cette lacune sous un autre angle. Lorsque les renseignements qui alimentent le triage sont liés à l’environnement réel de l’organisation, les analystes peuvent écarter le bruit avec davantage d’assurance plutôt que de s’appuyer sur une suppression généralisée. Désactivez une règle trop bruyante sans ce contexte, et l’organisation risque également de perdre les détections que cette règle aurait générées.
De meilleurs renseignements donnent aux analystes le contexte nécessaire pour distinguer le bruit d’une couverture réellement utile. Ils peuvent ainsi réduire les alertes superflues, préserver les détections importantes et consacrer leur temps aux menaces qui ont le plus de chances d’être réelles. À la clé : moins de suppressions indiscriminées et un réglage plus ciblé, fondé sur ce qui compte réellement dans l’environnement.
Corrigez les processus et l’automatisation avant d’ajouter l’IA
Avant d’ajouter l’IA, la plupart des équipes SOC doivent maîtriser deux fondamentaux : les processus et l’automatisation.
- Priorisez les renseignements pertinents. Filtrez les renseignements en fonction de vos actifs, de vos utilisateurs et de votre surface d’attaque réels avant même qu’un outil n’agisse dessus : une grande partie du bruit pourra ainsi être éliminée avant le début de l’analyse.
- Mettez en place des processus reproductibles. Cela permet de transformer les renseignements pertinents en détections, en recherches proactives et en investigations, tout en protégeant le temps nécessaire à leur mise en œuvre.
- Automatisez les tâches répétitives. Utilisez l’automatisation pour l’enrichissement, les recherches et la corrélation, afin de libérer les analystes pour les décisions qui exigent un jugement humain.
- Intégrez les renseignements aux workflows existants. Fournissez directement le contexte pertinent dans les alertes et les investigations au lieu de le laisser dans des rapports distincts que les analystes n’ont peut-être pas le temps de consulter.
Le défi ne consiste toutefois pas simplement à mettre ces pratiques en place, mais à veiller à ce qu’elles restent une composante régulière des opérations quotidiennes du SOC.
C’est là que de nombreuses équipes échouent. Elles collectent et lisent les renseignements, mais ne les opérationnalisent jamais de manière constante, car ce travail passe sans cesse après les urgences de la semaine. Sans processus reproductible, même des renseignements de grande qualité restent de l’information au lieu de devenir une capacité opérationnelle.
L’emplacement compte également. Les renseignements doivent parvenir aux analystes au sein des workflows d’alerte et d’investigation, là où les décisions sont prises, plutôt que de rester dans un rapport que personne n’a le temps d’ouvrir pendant un incident.
Mettez en place des processus et une automatisation efficaces, et le SOC pourra évoluer avec le volume au lieu de s’y noyer. Cette base rend également l’IA plus utile.
Les capacités agentiques peuvent amplifier encore cette capacité en prenant en charge des signaux ambigus et volumineux qui nécessitent encore aujourd’hui une attention humaine considérable. Il est toutefois important de noter que l’ajout d’agents à un SOC caractérisé par des processus faibles, un bruit excessif et une automatisation incohérente ne résout pas ces problèmes sous-jacents. Au contraire, il peut les accélérer.
La meilleure approche consiste à concevoir dès le départ un SOC prêt pour les agents. Établissez d’abord des renseignements pertinents, des processus reproductibles et une automatisation efficace. L’IA pourra alors rendre un système fonctionnel plus rapide, plus évolutif et plus performant, au lieu de devoir réparer un système défaillant.
Commencez par ce que vous avez déjà
La course à l’intégration de l’IA dans le SOC ne doit pas détourner les organisations des renseignements, des processus et de l’automatisation déjà à leur portée. L’IA peut considérablement étendre ce que les équipes de sécurité peuvent voir et accélérer leur réaction, mais sa valeur dépend des fondations sur lesquelles elle repose.
Pour tirer parti de la sécurité agentique, les organisations doivent d’abord rendre leurs renseignements existants exploitables, leurs processus reproductibles et leur automatisation efficace. L’avenir du SOC sera peut-être piloté par l’IA, mais pour y parvenir, il faut commencer par mieux exploiter ce dont on dispose déjà.
À lire également : une étude sur 14 modèles concernant l’injection indirecte de prompts dans les agents IA montre que les taux de réussite des attaques peuvent varier selon la manière dont les agents IA traitent les contenus non fiables, ce qui souligne la nécessité de tests de sécurité rigoureux avant leur déploiement.