Dossier : le continuum moderne de détection et réponse aux incidents

Introduction

La chaîne s’étendant de la détection des incidents de cybersécurité à leur traitement a significativement évolué au cours des 5 à 10 dernières années. Cela a commencé par le passage de la simple protection antivirale des postes de travail et serveurs à la détection et la réponse (EDR), avec intégration de l’analyse comportementale, afin de repérer les moindres anomalies susceptibles de trahir la présence d’une menace.

Dans le même temps, cette approche s’est étendue au réseau, avec l’IPS/IDS se muant en NDR (Network Detection and Response) à grand renfort d’analyse du trafic réseau (NTA). Ce point d’observation complétant celui fourni par les points de terminaison du réseau, c’est tout naturellement qu’est apparue la XDR, ou Détection et Réponse Étendues (pour eXtended Detection and Response, en anglais).

Mais que faire avec toute la télémétrie générée par ces points de visibilité ? L’envoyer directement dans un système de gestion des événements et des informations de sécurité (SIEM) ? Pas vraiment… la tarification de ces systèmes historiquement utilisés surtout à des fins de conformité n’y serait guère adaptée. Seule une partie des événements leur est généralement remontée, après un premier traitement à un niveau inférieur. Là, savoir où placer le curseur ne relève pas toujours de l’évidence. D’où des choix d’intégration parfois difficiles.

Et c’est sans compter avec la question des ressources disponibles, en interne, voire chez son prestataire de services de sécurité managés. Car il faut bien traiter, à un moment, toutes les informations remontées. C’est là qu’entre en scène la SOAR (ou Security Orchestration Automation and Response) : une brique conçue pour accélérer les traitements et alléger la charge de travail des analystes. Mais est-ce bien suffisant alors que l’horizon des menaces est loin de s’éclaircir ? Non. Et les éditeurs l’ont bien compris.

Ces toutes dernières années, ils ont pris le virage de l’intelligence artificielle générative. D’abord pour des fonctions plus ou moins limitées, ce qui pouvait donner l’impression d’un simple gadget à l’utilité réelle limitée. Mais le passage à l’agentique commence à changer la donne, avec des IA venant plus efficacement épauler les équipes en charge de la sécurité opérationnelle, ne serait-ce que pour l’intégration de multiples sources de données et la corrélation de signaux. Et ce n’est probablement qu’un début, compte tenu de la puissance que leurs connecteurs et compétences confèrent à ces agents.

1Comprendre-

Les différents composants de la chaîne

2Intelligence Artificielle-

La sécurité à l’heure du tout agentique

3Témoignages-

Comment ils ont fait évoluer leur approche SOC