Pourquoi un SOC agentique commence par des données à haute fidélité

Pourquoi un SOC agentique commence par des données à haute fidélité

Un SOC agentique est généralement décrit par ce que font les agents : trier les alertes, enquêter et contenir les menaces, le tout à la vitesse de la machine. Dans de nombreuses opérations, cela signifie traiter un flux dans lequel certaines équipes reçoivent plus de 100 000 alertes par jour, dont jusqu’à 67 % ne font jamais l’objet d’une investigation. Si l’on applique un agent autonome à ce flux, il ne distingue pas automatiquement le bruit du signal. Il traite les deux à grande vitesse, faisant remonter les incidents et prenant des mesures de confinement sur la base d’éléments qu’un analyste épuisé aurait peut-être écartés. La véritable contrainte d’un SOC agentique réside donc dans la qualité des données sur lesquelles les agents s’appuient.

Voici une représentation courante du SOC actuel cherchant à réussir sa transition vers un modèle agentique : un agent détecte un processus signalé sur un serveur financier, l’associe à un schéma connu et isole l’hôte avant même que quiconque ne soit réveillé. Au matin, soit la mesure de confinement était correcte, soit l’agent a mis en quarantaine un traitement de paiement à cause d’un journal obsolète et mal étiqueté. Le seul moyen de savoir ce qui s’est réellement passé est de retracer les données auxquelles l’agent a fait confiance.

La capacité d’un SOC agentique à véritablement « fonctionner » dépend de la fidélité des données. Et cette fidélité repose non pas sur une, mais sur quatre propriétés :

1. L’exhaustivité signifie que l’enregistrement est complet : aucune donnée n’a été échantillonnée ou supprimée, ni n’a expiré avant que vous n’en ayez besoin. 
2. La cohérence signifie que toutes les sources utilisent un même schéma, de sorte qu’une connexion reste représentée comme telle, qu’elle provienne d’un terminal, d’un fournisseur d’identité ou du cloud. 
3. L’enrichissement signifie que les renseignements sur les menaces et les éléments de contexte font partie intégrante de l’événement lui-même : ils sont fusionnés avec celui-ci dès son ingestion, plutôt que recherchés ultérieurement par un analyste ou un agent. 
4. La traçabilité signifie que vous pouvez retracer l’origine d’un enregistrement et la manière dont il a été traité. C’est ce qui permet de justifier a posteriori une action autonome et de l’annuler lorsqu’elle était erronée. 

La fiabilité d’un agent est limitée par le maillon le plus faible parmi ces quatre propriétés.

Les défis liés aux données

La cohérence est généralement la première à se dégrader. La télémétrie est dispersée entre des dizaines d’outils, chacun utilisant son propre format et sa propre définition des champs. La corrélation s’effectue donc manuellement, console après console. Demander à un agent de raisonner à partir de données aussi fragmentées revient en réalité à lui demander de réconcilier les schémas en temps réel.

L’exhaustivité est la victime suivante, généralement pour des raisons financières. Le volume médian d’ingestion quotidienne des SIEM a atteint 3,7 To en 2024, en forte hausse par rapport aux niveaux de 2021 — une progression que les propres analystes d’IDC ont qualifiée de plus importante que prévu. Comme la plupart des plateformes facturent en fonction du volume ingéré, les équipes limitent la rétention à 30 ou 90 jours et relèguent les données plus anciennes dans des niveaux de stockage froid. Cela fonctionnerait si les attaquants suivaient votre calendrier, mais ce n’est pas le cas. Selon le dernier rapport M-Trends de Mandiant, les intrusions présentant les durées de présence les plus longues — espionnage à long terme et campagnes de fraude impliquant des acteurs internes — restent dans l’environnement pendant une durée médiane de 122 jours, soit environ quatre mois. Une investigation qui ne peut remonter que 30 jours en arrière ne peut pas les détecter. Vous ne pouvez pas détecter une menace à partir de données que vous avez supprimées pour réduire vos coûts d’ingestion.

L’enrichissement et la traçabilité peuvent également se dégrader au fil du temps. Un signal brut indique à un agent ce qui s’est passé, mais pas ce que cela signifie. Une menace réelle et un événement bénin peuvent donc sembler identiques tant qu’aucun contexte n’est ajouté. Par exemple, l’empreinte numérique d’un fichier n’est en soi qu’une chaîne de caractères. Associée à des renseignements sur les menaces, il peut devenir un chargeur malveillant connu lié à une campagne active — ou ne représenter absolument rien de suspect. L’agent ne peut pas distinguer ces deux situations si le contexte n’accompagne pas les données. De même, lorsqu’il est impossible de retracer l’origine d’un enregistrement, personne ne peut encadrer une action autonome fondée sur celui-ci ni expliquer cette action ultérieurement à un auditeur. Une traçabilité insuffisante explique pourquoi tant d’équipes maintiennent les agents dans un rôle consultatif : elles ne font pas suffisamment confiance aux fondements sur lesquels reposerait la décision.

Les options pour les résoudre

De nombreuses équipes de sécurité tentent de résoudre le problème en investissant couche par couche. Voici les limites que nous observons avec cette approche :

• Rendre le SIEM plus intelligent ajoute des règles et accroît l’ingestion de données qui restent fragmentées. 
• Accélérer la plateforme de Threat Intelligence implique toujours de rapprocher manuellement les renseignements des données, alerte après alerte. 
• Mettre en place un lac de données améliore le stockage et les coûts, mais un lac de données brut ne résout que la moitié du problème. Sans normalisation, il devient simplement un endroit où les données restent stockées sans être interrogées. 
• Déployer directement des agents dans chaque système source ne résout pas le problème des données : cela l’automatise, tout en multipliant les identités non humaines non gouvernées et les coûts associés à leurs jetons dans l’ensemble des systèmes. 

Chacune de ces approches corrige une couche particulière tout en héritant des mêmes problèmes de données sous-jacents. Pour obtenir simultanément les quatre propriétés de fidélité, il faut une couche unique qui agit sur les données dès leur arrivée : tout ingérer, normaliser selon un schéma unique, dédupliquer avant le stockage et intégrer des renseignements validés dans chaque événement afin que le contexte accompagne les données.

La question du schéma est en grande partie résolue. Environ 200 organisations utilisent OCSF en production, et OCSF a rejoint la Linux Foundation fin 2024. Sa ratification par l’UIT en tant que norme internationale est attendue d’ici à la mi-2026. En dissociant la puissance de calcul du stockage, la conservation de données en haute fidélité cesse d’être un enjeu budgétaire, ce qui permet de restaurer l’exhaustivité mise à mal par les modèles de tarification basés sur l’ingestion. Et puisque cette couche se situe sous le SIEM que vous utilisez déjà, elle peut être ajoutée sans remplacement complet de l’existant, puis étendue progressivement.

Bonnes pratiques pour réussir la mise en place d’un SOC agentique

1. Intégrez les quatre propriétés dès l’ingestion plutôt que d’essayer de les reconstruire en aval. Normalisez et dédupliquez les données afin que la cohérence soit structurelle, fusionnez les renseignements sur les menaces pour automatiser l’enrichissement et conservez la provenance de chaque enregistrement afin que la traçabilité soit disponible lorsqu’il faut justifier une décision. Faites-le une seule fois, au point d’entrée, et toutes les détections, toutes les investigations et tous les agents en bénéficieront automatiquement.

2. Dissociez le calcul du stockage afin de rendre abordable la rétention à long terme, puis effectuez vos investigations sur l’intégralité de l’historique plutôt que sur une période récente limitée. C’est ainsi que vous pouvez détecter les intrusions qui durent 122 jours. Avec Anomali, une administration d’un État américain a intégré plus de 30 sources de données en moins de quatre mois, toutes normalisées selon un schéma commun, puis effectué des investigations rétrospectives sur l’ensemble de ces données. L’ingénierie de détection s’améliore également, car les règles peuvent être écrites et testées rétrospectivement sur des données complètes plutôt que sur un échantillon ayant simplement survécu à la période de rétention.

3. Considérez la gouvernance comme une composante de l’architecture, et non comme un contrôle ajouté juste avant le lancement. Un modèle d’identité et d’habilitation, des contrôles d’accès et la traçabilité permettent à une plateforme de calculer le rayon d’impact — c’est-à-dire l’ensemble des identités et des systèmes qu’une action pourrait affecter — et d’encadrer cette action avant son exécution. Ensemble, la traçabilité et la gouvernance permettent de passer de « l’agent a fait quelque chose » à « l’agent a effectué une action que nous pouvons expliquer et annuler ». C’est la véritable différence entre un agent que vous devez superviser et un agent dont vous pouvez approuver les actions.

4. Progressez vers l’autonomie par étapes, en maintenant initialement un analyste aux commandes. La plupart des équipes commencent par automatiser le triage de niveaux 1 et 2 en s’appuyant sur les critères de jugement propres à leur équipe. Une autonomie plus complète vient ensuite, à mesure que le programme gagne en maturité et en confiance. Dans tous les cas, il sera impossible de résoudre le problème du volume uniquement en recrutant davantage : le déficit mondial de professionnels de la cybersécurité atteint 4,8 millions de personnes. L’objectif consiste donc à augmenter le périmètre que chaque analyste peut couvrir, et non à supprimer le rôle de l’analyste. Mesurez les résultats à l’aide du délai moyen jusqu’à la remédiation priorisée et du nombre d’heures-analystes récupérées grâce à la réduction du triage des faux positifs. Ces indicateurs s’améliorent lorsque la fidélité des données progresse.

Un SOC agentique n’est pas un interrupteur que l’on actionne. Il se construit progressivement sur une fondation de données à haute fidélité. Assurez l’exhaustivité, la cohérence, l’enrichissement et la traçabilité, et chaque étape vers davantage d’autonomie reposera sur des fondations que l’équipe pourra pleinement assumer. Les agents n’ont jamais été la partie la plus difficile. Le véritable travail consiste à leur fournir des données suffisamment fiables pour qu’ils puissent agir.

Découvrez les quatre propriétés réunies au sein d’une même plateforme. Anomali intègre l’exhaustivité, la cohérence, l’enrichissement et la traçabilité dans vos données dès leur ingestion, afin que vos agents puissent agir sur la base d’éléments que vous êtes en mesure de justifier. La plateforme ingère toutes les données, les normalise selon un schéma unique, élimine le bruit avant même qu’il ne devienne une alerte et fusionne des renseignements validés avec chaque événement dès son arrivée. Le contexte devient ainsi une propriété intrinsèque des données plutôt qu’une information recherchée ultérieurement. Découvrez à quoi cela pourrait ressembler dans votre SOC : demandez une démonstration.

FAQ

Qu’est-ce que la fidélité des données dans un SOC agentique ?
Il s’agit de données correctes, contextualisées et traçables, évaluées selon quatre propriétés : l’exhaustivité, la cohérence, l’enrichissement et la traçabilité. La qualité des décisions d’un agent est limitée par le maillon le plus faible parmi ces quatre propriétés.

Pourquoi un SOC agentique a-t-il besoin de données à haute fidélité ?
Un agent autonome agit sur la base des informations qui lui sont fournies. Si les données sont incomplètes, incohérentes ou mal étiquetées, l’agent agira sur cette base — et à grande vitesse. La fidélité des données est donc une condition préalable à la confiance dans les actions de l’agent, et non une simple optimisation supplémentaire.

Quelles sont les quatre dimensions de la fidélité des données ?
L’exhaustivité (aucune donnée n’expire avant d’être nécessaire), la cohérence (toutes les sources utilisent un schéma commun), l’enrichissement (le contexte est associé à l’événement dès son arrivée) et la traçabilité (l’origine peut être retracée afin qu’une action puisse être justifiée et annulée).

Peut-on ajouter des capacités agentiques sans remplacer son SIEM ?
Oui. Une couche d’unification peut être placée sous le SIEM existant afin de normaliser et d’enrichir les données dès leur ingestion. Il est ainsi possible d’ajouter des capacités agentiques sans avoir à remplacer entièrement l’infrastructure existante.

‍