Ce n’est un secret pour personne que le travail des \u00e9quipes SOC continue de devenir de plus en plus difficile. L’augmentation du volume et de la sophistication des attaques afflige les \u00e9quipes sous-financ\u00e9es avec des faux positifs et l’\u00e9puisement des analystes.<\/p>\n
Cependant, comme de nombreuses autres industries, la cybers\u00e9curit\u00e9 commence maintenant \u00e0 s’appuyer sur les progr\u00e8s de l’automatisation et \u00e0 en b\u00e9n\u00e9ficier pour non seulement maintenir le statu quo, mais aussi pour obtenir de meilleurs r\u00e9sultats en mati\u00e8re de s\u00e9curit\u00e9.<\/p>\n
Automatisation sur plusieurs phases du flux de travail SOC<\/h2>\n
Le besoin d’automatisation est clair et il est \u00e9vident qu’il devient un enjeu de table pour l’industrie. De toutes les organisations cyber-r\u00e9silientes, IBM estime que 62%<\/a> ont d\u00e9ploy\u00e9 des outils et des processus d’automatisation, d’IA et d’apprentissage automatique. <\/p>\n Jusqu’\u00e0 pr\u00e9sent, la plupart de ces avanc\u00e9es en mati\u00e8re d’automatisation se sont concentr\u00e9es sur la r\u00e9ponse, les outils SOAR et de r\u00e9ponse aux incidents jouant un r\u00f4le d\u00e9terminant dans la gestion de la phase la plus urgente du flux de travail SOC. <\/p>\n Cependant, centrer l’attention uniquement sur la r\u00e9ponse signifie que nous traitons les sympt\u00f4mes plut\u00f4t que la cause profonde de la maladie. En d\u00e9composant le flux de travail SOC en phases, il est facile de voir plus de cas o\u00f9 l’automatisation peut am\u00e9liorer la vitesse et l’efficacit\u00e9 des \u00e9quipes de s\u00e9curit\u00e9. <\/p>\n Les quatre phases o\u00f9 il est possible d’\u00e9tendre la couverture de l’automatisation comprennent\u00a0: <\/p>\n L’ingestion d’\u00e9normes quantit\u00e9s de donn\u00e9es peut sembler \u00e9crasante pour de nombreuses \u00e9quipes de s\u00e9curit\u00e9. Historiquement, les \u00e9quipes ont eu du mal \u00e0 connecter les sources de donn\u00e9es ou ont simplement d\u00fb ignorer les volumes de donn\u00e9es qu’elles ne pouvaient pas g\u00e9rer en raison des mod\u00e8les d’outils h\u00e9rit\u00e9s au co\u00fbt prohibitif qui facturent pour la quantit\u00e9 de donn\u00e9es qu’ils stockent.<\/p>\n Alors que le monde migre continuellement vers le cloud, il est imp\u00e9ratif que les \u00e9quipes de s\u00e9curit\u00e9 n’h\u00e9sitent pas \u00e0 utiliser des donn\u00e9es massives. Au lieu de cela, ils doivent adopter des solutions qui les aident \u00e0 le g\u00e9rer et, \u00e0 leur tour, \u00e0 obtenir de meilleurs r\u00e9sultats en mati\u00e8re de s\u00e9curit\u00e9 en ayant une visibilit\u00e9 accrue sur l’ensemble de la surface d’attaque. <\/p>\n Les lacs de donn\u00e9es de s\u00e9curit\u00e9 ont entra\u00een\u00e9 un changement de paradigme dans les op\u00e9rations de s\u00e9curit\u00e9. Ils prennent en charge l’ingestion de volumes massifs et d’une vari\u00e9t\u00e9 de donn\u00e9es, \u00e0 la vitesse du cloud, et permettent aux plates-formes de s\u00e9curit\u00e9 d’ex\u00e9cuter des analyses dessus avec une complexit\u00e9 r\u00e9duite et \u00e0 un co\u00fbt pr\u00e9visible. <\/p>\n \u00c0 mesure que davantage de donn\u00e9es sont ing\u00e9r\u00e9es, il y aura intrins\u00e8quement plus d’alertes d\u00e9couvertes. Encore une fois, cela peut sembler intimidant pour les \u00e9quipes de s\u00e9curit\u00e9 surcharg\u00e9es, mais les processus automatis\u00e9s, tels que les r\u00e8gles de d\u00e9tection pr\u00eates \u00e0 l’emploi sur les vecteurs d’attaque, sont un autre exemple parfait o\u00f9 l’automatisation peut conduire \u00e0 une am\u00e9lioration de la couverture. <\/p>\n D’une mani\u00e8re g\u00e9n\u00e9rale, il existe de nombreuses similitudes dans la mani\u00e8re dont les r\u00e9seaux sont attaqu\u00e9s, avec environ 80 % des signaux de menace<\/a> \u00e9tant commun \u00e0 la plupart des organisations. <\/p>\n Une plate-forme SOC moderne propose des r\u00e8gles de d\u00e9tection pr\u00eates \u00e0 l’emploi qui couvrent ces 80\u00a0% en se connectant \u00e0 des flux de renseignements sur les menaces, des bases de connaissances open source, des m\u00e9dias sociaux ou des forums Web sombres, pour cr\u00e9er une logique de protection contre les menaces les plus courantes. En combinant celles-ci avec des r\u00e8gles suppl\u00e9mentaires r\u00e9dig\u00e9es par des \u00e9quipes de s\u00e9curit\u00e9 internes, les plates-formes sont en mesure de se tenir au courant des techniques de menace et d’utiliser la d\u00e9tection automatis\u00e9e autour d’elles.<\/p>\n La phase d’investigation du flux de travail SOC est une phase qui n’est pas souvent associ\u00e9e \u00e0 l’automatisation. Il est traditionnellement enlis\u00e9 par de nombreux outils et enqu\u00eates manuelles limitant l’efficacit\u00e9 et la pr\u00e9cision des \u00e9quipes de s\u00e9curit\u00e9.<\/p>\n Les processus qui peuvent \u00eatre renforc\u00e9s par l’automatisation au cours de la phase d’enqu\u00eate comprennent\u00a0:<\/p>\n Ensemble, ces t\u00e2ches automatis\u00e9es offrent aux analystes des indications rapides sur les incidents les plus prioritaires et n\u00e9cessitant une enqu\u00eate plus approfondie. Il s’agit d’une am\u00e9lioration drastique par rapport aux syst\u00e8mes h\u00e9rit\u00e9s o\u00f9 les analystes v\u00e9rifient et rev\u00e9rifient constamment les incidents, enqu\u00eatent sur les redondances et reconstituent manuellement les \u00e9v\u00e9nements.<\/p>\n L’investigation automatis\u00e9e, lorsqu’elle est associ\u00e9e \u00e0 des pratiques de recherche manuelle, peut conduire \u00e0 des incidents plus r\u00e9els \u00e9tudi\u00e9s, tri\u00e9s et compris avec plus de pr\u00e9cision.<\/p>\n Une fois qu’une menace est identifi\u00e9e, la prochaine \u00e9tape \u00e9vidente serait d’y r\u00e9pondre. Comme mentionn\u00e9 pr\u00e9c\u00e9demment, les SOAR font du bon travail en automatisant la phase de r\u00e9ponse aux menaces connues.<\/p>\n L’efficacit\u00e9 de cette automatisation d\u00e9pend toutefois fortement des donn\u00e9es fournies par d’autres sources, c’est-\u00e0-dire lorsque les phases pr\u00e9c\u00e9dentes du flux de travail SOC peuvent fournir des sorties utilisables et fiables pouvant \u00eatre envoy\u00e9es \u00e0 un logiciel de r\u00e9ponse. <\/p>\n L’int\u00e9gration de donn\u00e9es plus pr\u00e9cises qui ont \u00e9t\u00e9 normalis\u00e9es et \u00e9tudi\u00e9es par une automatisation con\u00e7ue par des experts rend les outils de r\u00e9ponse beaucoup plus fiables et efficaces.<\/p>\n \u00c9videmment, toutes les r\u00e9ponses ne peuvent pas \u00eatre automatis\u00e9es car les attaquants continuent de faire \u00e9voluer leurs m\u00e9thodes. Dans de nombreux cas, les analystes doivent enqu\u00eater de mani\u00e8re approfondie sur les incidents et adopter des r\u00e9ponses manuellement. Mais comme les autres phases du workflow, plus ces t\u00e2ches pourront \u00eatre automatis\u00e9es, plus les \u00e9quipes de s\u00e9curit\u00e9 seront lib\u00e9r\u00e9es pour faire face \u00e0 des attaques plus complexes.<\/p>\n De nombreuses \u00e9quipes savent que l’automatisation augmentera leur productivit\u00e9, mais changer de processus et de logiciel est souvent difficile pour plusieurs raisons\u00a0: <\/p>\n Ces bloqueurs empil\u00e9s sur des p\u00e9nuries extr\u00eames de personnel peuvent rendre la t\u00e2che intimidante.<\/p>\n Mais, alors que l’automatisation continue d’occuper le devant de la sc\u00e8ne, l’industrie continuera de voir des r\u00e9ductions significatives du co\u00fbt total de possession (TCO), du temps moyen de d\u00e9tection\/r\u00e9ponse (MTTD\/MTTR), de l’\u00e9puisement professionnel des analystes et de la frustration des RSSI.<\/p>\n Lorsque plusieurs \u00e9l\u00e9ments du flux de travail SOC sont combin\u00e9s et automatis\u00e9s, le poids et la pression de la charge de travail normale commencent \u00e0 se dissoudre. Les analystes commenceront \u00e0 pouvoir dire adieu aux longues heures pass\u00e9es \u00e0 passer d’un outil \u00e0 l’autre, \u00e0 rechercher les faux positifs ou simplement \u00e0 maintenir les solutions SIEM traditionnelles.<\/p>\n La nouvelle g\u00e9n\u00e9ration de plateformes SOC a beaucoup \u00e0 offrir, \u00e0 chaque \u00e9tape du flux de travail SOC. N\u00e9es dans le cloud, les plates-formes SOC sont capables d’utiliser des architectures de donn\u00e9es modernes pour d\u00e9velopper plus facilement des fonctionnalit\u00e9s et des am\u00e9liorations suppl\u00e9mentaires. Ceci, associ\u00e9 \u00e0 l’avantage de pouvoir ing\u00e9rer toutes les donn\u00e9es de s\u00e9curit\u00e9 \u00e0 une fraction du co\u00fbt des outils h\u00e9rit\u00e9s, a entra\u00een\u00e9 une tendance \u00e0 une automatisation accrue int\u00e9gr\u00e9e \u00e0 ceux-ci.<\/p>\n\n
![\"Plateformes](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/01\/1673979880_624_4-endroits-pour-booster-votre-SOC-avec-lautomatisation.png\" "\\"Plateformes")
<\/div>\nDonn\u00e9es\u00a0: jeter les bases de l’automatisation<\/h2>\n
D\u00e9tection\u00a0: Automatiser les 80\u00a0%<\/h2>\n
Enqu\u00eate\u00a0: s\u00e9parer le signal du bruit <\/h2>\n
\n
R\u00e9ponse : Agir rapidement et en toute confiance <\/h2>\n
Alors, pourquoi n’y a-t-il pas plus d’entreprises qui utilisent l’automatisation\u00a0? <\/h2>\n
\n
![\"Plateformes](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/01\/1673979881_530_4-endroits-pour-booster-votre-SOC-avec-lautomatisation.png\" "\\"Plateformes")
<\/div>\nLes plateformes SOC \u00e0 la rescousse<\/h2>\n
![\"Plateformes](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/01\/1673979881_266_4-endroits-pour-booster-votre-SOC-avec-lautomatisation.png\" "\\"Plateformes")
<\/td>\n<\/tr>\n