Article

Assistants IA dans les centres d'opérations de sécurité

TIRER PARTI DE L'IA POUR AMÉLIORER LA GOUVERNANCE ET LES OPÉRATIONS DE SÉCURITÉ

L'intégration d'assistants pilotés par l'IA dans les centres d'opérations de sécurité (SOCs) et les fonctions de sécurité plus larges offre un moyen d'améliorer l'efficacité, de combler les lacunes en matière de ressources et de construire des mécanismes de défense plus résilients et proactifs.

Présentation des assistants IA pour obtenir des résultats tangibles dans les SOCs

L'expérience de Reply montre des résultats tangibles dans les déploiements réels d'assistants IA dans les opérations de sécurité. Dans une étude de cas axée sur le renforcement des capacités d'une équipe SOC de niveau 1, la mise en œuvre d'un assistant IA a entraîné des améliorations remarquables : le temps nécessaire pour le triage initial des incidents a été réduit de jusqu'à 50 %, avec une réduction similaire de 50 % du temps de réponse global. Cette accélération n'a pas été réalisée au détriment de la qualité ; au contraire, la qualité de l'analyse a été considérablement améliorée grâce à une meilleure corrélation des événements et à l'enrichissement des données fourni par l'assistant.

Renforcer les capacités existantes

Le parcours vers l'adoption d'un assistant IA dans un contexte de sécurité commence par un choix stratégique entre deux chemins principaux : renforcer les capacités existantes ou combler les lacunes procédurales. La première stratégie consiste à renforcer les processus déjà en place. Par exemple, une entreprise disposant d'un flux de travail de réponse aux incidents établi peut tirer parti de l'IA pour l'augmenter et l'améliorer. Cela se fait en introduisant des automatisations sophistiquées et des manuels d'enrichissement des données conçus pour des cas d'utilisation spécifiques, ce qui améliore la qualité et l'efficacité de la gestion de la sécurité. Un objectif clé est d'améliorer l'efficacité opérationnelle en se concentrant sur les domaines où les équipes sont surchargées, réduisant ainsi leur charge de travail manuelle. Cette approche favorise un cycle d'amélioration continue, où les flux de travail existants sont constamment renforcés par une intelligence augmentée.

Combler les lacunes procédurales

Le deuxième chemin est choisi lorsqu'une organisation identifie un écart significatif dans ses processus de sécurité, peut-être à la suite d'une analyse formelle des écarts. Au lieu d'optimiser quelque chose qui fonctionne déjà, l'accent est mis sur la création de nouveaux flux de travail pour gérer des scénarios de sécurité auparavant non traités. Cela est particulièrement pertinent face à de nouvelles exigences réglementaires, telles que celles imposées par NIS2 ou DORA, qui peuvent exiger des processus entièrement nouveaux comme une notification rapide après un incident. Les assistants IA peuvent être essentiels pour combler ces lacunes, en particulier dans les domaines souffrant d'un manque de ressources ou d'expertise spécialisée. Cette stratégie ne consiste pas seulement à combler des trous, mais à améliorer l'adaptabilité et l'évolutivité en introduisant de nouvelles capacités pour une défense proactive.

Comment choisir ?

La décision entre ces stratégies est influencée par une gamme de facteurs critiques uniques à chaque organisation. Ces moteurs incluent les spécificités de la gestion des données, telles que le fait qu'un SIEM soit hébergé sur site ou dans le cloud, ainsi que le paysage de conformité et réglementaire global régissant l'utilisation des données. Dans le contexte du SOC, les considérations s'étendent à l'approche souhaitée pour l'analyse des incidents—qu'il s'agisse d'appliquer une méthodologie uniforme à tous les incidents ou de se concentrer intensément sur un groupe sélectionné de cas à enjeux élevés. Le niveau d'automatisation existant, par exemple grâce à la mise en œuvre d'une plateforme de Sécurité, Orchestration, Automatisation et Réponse (SOAR), est un autre élément crucial. Enfin, le sentiment général de l'entreprise envers l'intelligence artificielle et son intégration dans les processus de sécurité critiques joue un rôle déterminant dans l'orientation stratégique.

Solutions prêtes à l'emploi

Une fois qu'une stratégie est définie, la prochaine considération est la technologie elle-même. Ici, les organisations font face à un autre choix : mettre en œuvre une solution prête à l'emploi ou se lancer dans le développement d'un assistant sur mesure. Les outils prêts à l'emploi sont prêts à l'utilisation et offrent différents niveaux d'automatisation et de capacité, allant des fonctions d'assistant de base au rôle plus avancé d'analyste virtuel. La distinction principale réside dans leur paradigme opérationnel. Certains fonctionnent comme des assistants passifs, fournissant un support à la demande pour une enquête lorsqu'ils sont sollicités par un analyste humain—par exemple, en fournissant plus d'informations sur un utilisateur ou une adresse IP spécifique. D'autres opèrent comme des analystes virtuels plus autonomes, jouant un rôle actif en effectuant une analyse préliminaire de premier niveau d'un incident, préparant ainsi un dossier bien contextualisé pour qu'un analyste de niveau 2 puisse agir rapidement et précisément.

“Créez votre propre assistant”

À l'inverse, une organisation peut choisir d'adopter une approche sur mesure : ce chemin offre une flexibilité sans précédent, car l'architecture peut être adaptée pour répondre aux exigences exactes de cas d'utilisation spécifiques, souvent uniques, de l'entreprise. Cette nature sur mesure permet un degré de contrôle et de précision plus élevé. Cependant, cette flexibilité a un coût en termes d'investissement initial plus élevé. Le processus implique l'intégration d'un modèle d'IA approprié avec divers outils internes, tels que des plateformes SOAR et d'autres technologies d'automatisation, pour construire un assistant de sécurité propriétaire. Une architecture efficace pour un tel système implique la création d'une base de connaissances complète alimentée par un flux continu de données provenant d'outils de sécurité comme les SIEM et les XDR, ainsi que des plateformes de billetterie et des contributions d'analystes. Cette base de connaissances, qui comprend le contexte spécifique de la réalité de l'organisation, est ensuite exploitée par le modèle d'IA via des orchestrateurs pour fournir un soutien actif et impactant aux opérations de sécurité.

Pour l'équipe SOC

L'IA est inestimable pour réduire le fardeau des activités répétitives et de faible valeur. Une application classique est l'utilisation de chatbots pour fournir un enrichissement instantané et une contextualisation lors d'une enquête. Un analyste peut simplement demander à l'assistant plus d'informations sur un indicateur de compromission, comme si un utilisateur particulier avait déjà participé à des activités similaires, ce qui permet de gagner un temps précieux. De plus, l'IA peut automatiser toute la première phase d'une enquête, en exécutant des scénarios préconfigurés pour rassembler des données préliminaires pour certains types d'incidents. Cela fournit à l'analyste humain une alarme riche et contextualisée dès le départ, permettant une réponse plus rapide et une qualité d'analyse supérieure. La génération de rapports et de tickets, souvent fastidieuse mais nécessaire, peut également être déléguée à un assistant IA qui comprend suffisamment le contexte de sécurité pour rédiger des rapports spécifiques et précis.

Pour les responsables de la sécurité et les CISOs

Pour ceux qui opèrent à un niveau plus stratégique, les assistants IA servent d'outil puissant pour la gouvernance et la supervision. En s'intégrant aux systèmes de billetterie, aux SIEM et à d'autres plateformes de sécurité, l'IA peut développer une vue d'ensemble de la posture de sécurité, fournissant aux gestionnaires un accès à la demande à des données corrélées sans avoir besoin de consulter plusieurs équipes. Cette intelligence centralisée est cruciale pour les activités de conformité. Par exemple, un assistant IA peut être interrogé pour évaluer l'adhésion d'une organisation aux exigences de la directive NIS2, identifiant les domaines clés à améliorer. L'assistant peut analyser le texte réglementaire complexe, extraire les exigences clés et les recouper avec les politiques internes et la documentation de l'entreprise pour signaler les conflits ou les lacunes.

Pour les administrateurs système et informatique

Dans la gestion de la configuration, un assistant IA qui comprend la pile technologique de l'organisation peut soutenir les administrateurs en identifiant les erreurs de configuration qui ont pu conduire à un incident de sécurité. L'un des cas d'utilisation les plus convaincants se trouve dans la gestion des vulnérabilités et des correctifs. Lorsqu'un nouveau CVE est annoncé, l'IA peut analyser l'avis, identifier tous les actifs affectés au sein de l'environnement d'entreprise, évaluer leur exposition et leur criticité commerciale pour déterminer les priorités, identifier le propriétaire du système, et même initier un contact pour inciter à la remédiation. Cela transforme un processus manuel complexe en plusieurs étapes en un flux de travail hautement automatisé et efficace. De même, pour la gestion des politiques, l'IA peut automatiquement identifier les violations et rationaliser la communication avec les parties prenantes concernées.

Tirez parti de l'expérience de Reply avec les assistants IA dans les SOCs

L'expérience étendue de Reply montre que l'adoption réussie des assistants IA dépend d'une stratégie soigneusement alignée sur les besoins spécifiques et le niveau de maturité de l'organisation. À mesure que ces systèmes intelligents deviennent de plus en plus centraux dans les défenses des entreprises, il est important de rappeler que les systèmes d'IA eux-mêmes doivent être protégés de manière robuste. Les experts en sécurité de Reply suggèrent de maintenir une approche humaine dans la boucle, combinant la validation manuelle pour les actions critiques avec des garde-fous techniques qui limitent strictement le champ d'action de l'assistant.

Cyber Security Operation Center
En savoir plus

Communication Valley

Communication Valley Reply est la société du Groupe Reply spécialisée dans la fourniture de services de sécurité gérés. Grâce à son Cyber Security Operation Center, certifié ISO27001 et opérationnel 24/7 toute l'année, l'entreprise garantit la continuité des activités et la prévention des fraudes tant pour les organisations de taille moyenne que pour celles de grande taille. Les services offerts par Communication Valley Reply incluent la surveillance des systèmes et de la sécurité, la gestion et l'optimisation à distance des SIEM, la gestion des journaux, la gestion des dispositifs de sécurité et la gestion des dispositifs réseau. De plus, Communication Valley Reply fournit des services hautement spécialisés de détection de fraude bancaire qui permettent d'identifier les incidents de fraude en ligne et d'adopter les mesures nécessaires, ainsi que des packages d'opérations IT qui permettent d'externaliser des systèmes entiers sur une base 24/7. Communication Valley Reply collabore étroitement avec les principaux organismes de recherche, des universités internationales et les principaux partenaires technologiques du secteur, dans le but d'établir le point de référence européen pour les services de sécurité gérés.