L’Agentic SOAR est une technologie d’orchestration, d’automatisation et de réponse de sécurité qui utilise l’IA pour évaluer les menaces de manière autonome, prendre des décisions éclairées et initier des réponses en temps réel sans intervention humaine.
Table des matières
Le SOAR traditionnel a été conçu pour réduire les charges de travail des centres d'opérations de sécurité (SOC). La solution s'intègre avec le SIEM (Security Information and Event Management), avec la sécurité des endpoints et avec d'autres outils de sécurité, en utilisant l'automatisation pour initier des réponses basées sur des playbooks prédéfinis. Bien que l'automatisation du SOAR ait augmenté son efficacité, elle a également créé des défis pour les équipes de sécurité, parmi lesquels :
- Volumes d'alerte élevés, faux positifs et exigences de tri qui font perdre du temps aux analystes
- Gestion fastidieuse du playbook
- Incapacité à réagir dynamiquement aux attaques émergentes
L’Agentic SOAR va bien au-delà du SOAR traditionnel. Il permet aux organisations de passer de playbooks statiques à un système dynamique et autonome qui prend des décisions intelligentes basées sur une compréhension des éléments de contexte. Il enquête sur les menaces, les trie et choisit la réponse de confinement appropriée, le tout sans intervention humaine.
Comment l'Agentic SOAR transforme-t-il les opérations de sécurité
Comme mentionné, l'une des limites de la SOAR traditionnelle est qu'elle fonctionne sur des playbooks statiques qui nécessitent des mises à jour manuelles pour répondre aux menaces nouvelles ou émergentes. Cela réduit son efficacité dans des scénarios complexes qui nécessitent un raisonnement ou une prise de décision. Même lorsqu'ils utilisent le SOAR traditionnel, les analystes doivent intervenir, en particulier lorsqu'il s'agit d'enquêtes, de tri ou de certains cas d’usage.
L’Agentic SOAR utilise une enquête basée sur le raisonnement pour analyser et trier les menaces, prendre des décisions et s'adapter sans intervention humaine. Les alertes s’adressent d’abord aux agents d’IA plutôt qu’aux analystes humains. Les agents utilisent de grands modèles linguistiques (LLM), un contexte historique et comportemental, des données externes telles que des flux de veille sur les menaces et une série de tests pour catégoriser chaqeu alerte selon sa gravité. Ils produisent ensuite un rapport lisible et détaillé de leurs conclusions et de leur raisonnement. À ce stade seulement, un analyste doit s'impliquer pour examiner les résultats. Et dans certains cas, l’Agentic SOAR peut entreprendre des actions de remédiation sans aucune intervention manuelle.
Principales fonctionnalités de l’Agentic SOAR
Ce qui distingue l’Agentic SOAR, c'est son autonomie et son raisonnement sophistiqué. Ses caractéristiques sont les suivantes :
- Apprentissage et raisonnement : le système est conçu pour apprendre en continu de chaque événement, ce qui lui confère une mémoire contextuelle. Il utilise l’apprentissage automatique et un LLM pour construire sa logique et expliquer son processus de prise de décision.
- Tri autonome : l'IA analyse et hiérarchise les menaces en appliquant une compréhension contextuelle, en menant des enquêtes dynamiques et en synthétisant des données provenant de plusieurs sources pour tirer des conclusions et mettre en œuvre ou recommander des actions.
- Réponse aux menaces en temps réel : l’Agentic SOAR crée et modifie dynamiquement les protocoles de réponse en temps réel en fonction des données qu'il découvre.
- Intégration : l’Agentic SOAR s'intègre aux solutions de sécurité existantes de l'entreprise, en interagissant de manière transparente avec des outils tels que la détection et la réponse des endpoints (EDR), le SIEM et les plateformes cloud.
- Plusieurs agents : chaque agent d’IA est formé à une étape particulière d’investigation, de tri ou de réponse, allant de la collecte de renseignements et de l’évaluation des risques au partage et à la collaboration.
- Interface conviviale : l'utilisation du traitement du langage naturel permet aux analystes d'inviter facilement les agents et de comprendre le raisonnement de l'agent.
Avantages de l’Agentic SOAR
Bien que le SOAR traditionnel ait été une grande avancée pour le SOC, il a ses contraintes. En comparaison, les avantages de SOAR agentique sont les suivants :
- Temps de réponse rapides : améliorations significatives du délai moyen de détection et du délai moyen de réponse.
- Réduction des risques : une plus grande précision pour identifier et classer correctement les menaces, et une détection plus élevée des menaces potentielles qui pourraient autrement être manquées.
- Productivité accrue : optimisation des opérations et des ressources humaines, le temps des analystes étant détourné de la gestion des alertes vers des considérations plus stratégiques.
- Évolutivité : capacité à répondre aux attaques émergentes et à gérer une surface d'attaque croissante sans avoir besoin de nouvelles ressources.
- Apprentissage continu : acquisition continue de connaissances, création d'une base de connaissances spécifique à l'organisation et au secteur.
Meilleures pratiques pour la mise en œuvre de l’Agentic SOAR
Comme avec toute nouvelle technologie, la mise en œuvre de l’Agentic SOAR présente des obstacles. L’IA contrôlant les décisions, les actions, la gouvernance, la supervision et la fiabilité, elle peut présenter des défis uniques. La sécurité et la confidentialité sont également des préoccupations, car l’IA doit avoir accès à de grandes quantités de données sensibles. Il peut également y avoir des problèmes d'intégration de l’Agentic SOAR avec les systèmes existants.
En gardant ces défis à l’esprit, voici quelques bonnes pratiques pour mettre en œuvre l’Agentic SOAR :
- Évaluation : déterminez les besoins actuels et la maturité actuelle en matière de SOAR. Passez en revue les approches en fonction des besoins de l’organisation et des résultats éprouvés des solutions. Envisagez un projet pilote.
- Gouvernance : créez une supervision claire pour les décisions autonomes. Décrire les rôles, les responsabilités et les directives éthiques.
- Human-in-the-loop : assurez-vous que les analystes continuent à être impliqués, en matière d’examen et de surveillance.
- Sécurité et conformité : instaurez un chiffrement robuste, des contrôles d’accès et des évaluations régulières des vulnérabilités.
- Tests et validation : définissez des indicateurs de réussite pour évaluer l'efficacité. Effectuer des tests et des examens réguliers et approfondis.
Préparez-vous pour l’avenir avec l’Agentic SOAR
Les cybercriminels exploitant l’IA pour créer des attaques plus sophistiquées, les organisations doivent adopter la puissance de la technologie agentique dans le SOC. L’Agentic SOAR transformera les opérations de sécurité en augmentant la précision de la détection des menaces, en accélérant le confinement des menaces et en réduisant la charge pour les êtres humains. Cela permettra aux analystes de se concentrer sur des activités stratégiques telles que la traque des menaces, l’analyse des tendances de risques et le développement de compétences transversales plus larges.
Cependant, les équipes de sécurité ne doivent pas avoir à choisir entre des solutions agents ou humaines. Les organisations les plus prospères seront celles qui adoptent une approche hybride, utilisant l’IA pour enrichir la gestion des événements tout en gardant un humain dans la boucle pour examiner et prendre les décisions finales.
Où puis-je obtenir de l’aide avec l’Agentic SOAR ?
Il est essentiel d'utiliser la bonne technologie. La solution Trend Vision One™ Agentic SOAR permet à votre équipe d'aller au-delà des playbooks statiques et de devenir un SOC entièrement basé sur l'IA qui enquête, trie et assure des réponses en temps réel. En combinant des investigations basées sur l’IA, l’automatisation des SOC de bout en bout, un écosystème connecté et la création de playbooks en langage naturel, vous pouvez réduire les charges de travail manuelles et permettre à votre équipe de sécurité de se concentrer sur les priorités stratégiques sans se noyer dans des alertes.
Jayce Chang
Vice President of Product Management
Jayce Chang est vice-présidente de la gestion des produits, avec une orientation stratégique sur les opérations de sécurité, XDR et Agentic SIEM/SOAR.
Foire aux questions (FAQ)
Que signifie « agentic» ?
Agentic vient du mot « agence », ce qui signifie le pouvoir d’agir. Agentic SOAR signifie donc une solution SOAR qui peut agir indépendamment.
Qu'est-ce qu'un comportement agentique ?
Le comportement agentique décrit la capacité des systèmes d’intelligence artificielle à prendre des décisions, à agir et à s’adapter aux changements environnementaux sans intervention humaine.
Qu'entendez-vous par SOAR ?
SOAR signifie orchestration, automatisation et réponse de la sécurité. Il s'agit d'une solution de cybersécurité qui intègre des outils de sécurité et automatise les tâches, ce qui rend les opérations de sécurité plus efficaces.
Que signifie SOAR ?
L'acronyme SOAR signifie orchestration de la sécurité, automatisation et réponse.
Quels sont les exemples de comportement agentique ?
Parmi les exemples de comportement agentique, on peut citer un assistant numérique qui planifie des alarmes sans invite de l'utilisateur, une voiture autonome qui choisit un itinéraire de conduite ou un système IT qui réoriente le trafic.
Quel est un exemple d'apprentissage agentique ?
Un exemple d'apprentissage agentique est un assistant virtuel qui remarque les actions, réunions et emplacements répétés de l'utilisateur et définit automatiquement des alertes pour eux.
Quels sont les trois principaux cadres agentiques ?
Il existe de nombreux cadres agentiques. Les trois auxquelles il est le plus souvent fait référence sont Microsoft AutoGen, CrewAI et LangGraph.
Quelle est la signification d’un workflow agentique ?
Un workflow agentique est le processus utilisé par un agent d’IA pour recueillir des informations de manière autonome, choisir entre des options et lancer une tâche sans intervention humaine.
Quel est un exemple de workflow agentique ?
Un exemple de wokflow agentique dans la cybersécurité serait de demander à un agent d’IA d’inspecter de manière autonome une alerte de sécurité, de mettre en corrélation les données de différentes sources, puis de choisir et d’initier une action de confinement.
Quelle est la différence entre un workflow et l’agentique ?
Un workflow est une série de tâches prédéterminée. Un système agentique est composé d’une IA autonome qui peut choisir les actions les mieux adaptées au contexte.
Articles associés
Top 10 2025 des risques et des réductions pour les LLM et les applications d’IA de génération
Gestion des risques émergents pour la sécurité publique
Jusqu'où les normes internationales peuvent-elles nous emmener ?
Comment rédiger une politique de cybersécurité IA générative
Attaques malveillantes améliorées par l’IA parmi les principaux risques
Menace croissante des identités factices