Des gestes toujours identiques
Les procédures de premier niveau sont écrites, connues et répétitives - donc automatisables sans perte de qualité.
Une grande partie du travail d'un analyste consiste à refaire les mêmes vérifications : interroger la réputation d'une adresse, extraire une pièce jointe, la détoner, isoler un poste, ouvrir un ticket. Splunk SOAR enchaîne ces gestes automatiquement, à travers vos outils existants, et ne réveille un humain que pour la décision qui en vaut la peine.
Le problème
Prenez une alerte d'hameçonnage. Il faut récupérer le message, extraire les liens et les pièces jointes, vérifier chacun auprès de plusieurs sources, regarder qui d'autre l'a reçu, supprimer les copies, prévenir les destinataires, documenter. Une vingtaine de gestes, tous connus d'avance, tous identiques d'une fois sur l'autre.
Multipliez par le nombre d'alertes quotidiennes. Le coût n'est pas seulement le temps perdu : c'est que ce temps n'est plus disponible pour les incidents qui demandent vraiment un cerveau humain.
Les procédures de premier niveau sont écrites, connues et répétitives - donc automatisables sans perte de qualité.
Chaque vérification impose de changer d'outil, de se reconnecter, de recopier un identifiant. Le contexte se perd à chaque saut.
Entre l'alerte et le premier geste de confinement, il s'écoule des heures - le temps que quelqu'un ouvre le dossier.
Capacités
Le principe est simple : ce que vos analystes font à la main devient une procédure exécutable. L'éditeur est visuel, ce qui permet à l'équipe sécurité de construire ses propres enchaînements sans passer par un développeur.
Des enchaînements d'actions mobilisant plusieurs outils s'exécutent en quelques secondes, là où le traitement manuel prend des heures.
Pare-feux, antivirus, annuaires, messagerie, billetterie : les outils déjà en place deviennent pilotables depuis les procédures.
Construction des procédures par assemblage de blocs prédéfinis, avec possibilité de descendre au code quand c'est nécessaire.
Découpage en tâches, affectation aux analystes et documentation de l'incident dans le même outil que l'automatisation.
La threat intelligence et les travaux de la Splunk Threat Research Team alimentent directement les décisions des procédures.
Hébergé, installé sur site ou en mode mixte, avec intégration native à Splunk Enterprise Security.
Par où commencer
Inutile d'automatiser tout le SOC. Trois cas d'usage couvrent l'essentiel du volume répétitif et se mettent en service en quelques semaines.
« Jusqu'à 95 % de réponse automatisée, et une détection cinq fois plus rapide. »
« 500 000 dollars d'économies en huit mois, sur 80 000 événements traités. »
Chiffres et témoignages publiés par Splunk. Ils ne concernent pas des déploiements menés par SECURE NETWORK.
Se repérer dans la plateforme
Le SOAR n'a de matière à traiter que si quelque chose détecte en amont. Il se déploie donc rarement seul.
SIEM
Collecte les journaux de toutes les sources et déclenche sur des règles de détection maintenues.
Voir Enterprise Security →SOAR
Exécute automatiquement les gestes de réponse répétitifs, à travers les outils déjà en place.
UEBA
Apprend le comportement habituel de chaque utilisateur et machine, puis signale les écarts.
Voir Splunk UEBA →Un partenaire, pas seulement un revendeur
Automatiser une procédure mal maîtrisée revient à répéter une erreur plus vite. L'ordre des opérations compte autant que l'outil.
Nous écrivons la procédure avec vos analystes avant de l'automatiser. Ce qui n'est pas clair à la main ne le devient pas en s'exécutant seul.
Isoler un serveur de production ne doit jamais se déclencher sans validation. Nous plaçons les points d'arrêt humains au bon endroit.
Nous connectons vos outils réels - y compris ceux qui n'ont pas de connecteur tout fait - plutôt que de vous demander d'en changer.
Nous relevons le temps de traitement avant automatisation, pour que le bénéfice soit démontrable et non supposé.
Nous identifions vos procédures les plus répétitives, mesurons ce qu'elles coûtent aujourd'hui et automatisons les premières. Réponse sous 24 heures ouvrées.