Aller au contenu
DMC DEFENSE

Qu'est-ce que le SOAR ?

Security Orchestration, Automation and Response : la couche qui exécute votre procédure de réponse à la place de vos analystes, à la seconde où l'alerte tombe.

5 min de lecture

Playbook de compte compromisTotal 118 s
  1. Déclenchement
    T+0 s → T+2 s · L'alerte entre dans le playbook
  2. Enrichissement
    T+2 s → T+11 s · Le contexte est rassemblé
  3. Qualification
    T+11 s → T+17 s · La portée est mesurée
  4. Confinement
    T+17 s → T+48 s · Le poste est coupé du réseau
  5. Notification
    T+48 s → T+52 s · Les bonnes personnes sont prévenues
  6. Documentation
    T+52 s → T+118 s · Le dossier s'écrit tout seul
Incident traitéRéservé à vos analystesT+118 s
Manuel
120 minutes

Durées d'un scénario type, à titre d'illustration. Exemple de playbook Microsoft, pas un engagement de DMC DEFENSE.

Sommaire

Deux heures par alerte, et le compte n'y est pas

Une alerte n'est pas un événement, c'est une procédure. Vérifier qu'il ne s'agit pas d'un faux positif, retrouver à qui appartient le poste, relire ce que le compte a fait dans les heures précédentes, décider s'il faut couper, couper, prévenir le responsable, rédiger le compte rendu.

Chacun de ces gestes est simple, et aucun n'est discutable. Mis bout à bout, ils occupent environ deux heures, et ils sont refaits à l'identique à chaque incident du même type.

Le problème n'est donc pas la difficulté du travail : c'est son volume. Aucun recrutement raisonnable ne comble un écart de cet ordre, parce que ce n'est pas une question d'effort mais d'arithmétique.

L'arithmétique d'une journée

  • 38

    alertes qualifiées à traiter par jour

  • 120minutes

    de procédure manuelle par alerte

  • 76heures

    de travail à absorber chaque jour

76 heures de travail à absorber chaque jour

24 heures d'analyste disponibles, à trois personnes

L'écart ne se rattrape pas en travaillant plus vite. Il se rattrape en cessant de refaire à la main ce qui est déjà écrit.

Exemple chiffré, à titre d'illustration.

Ce qui se passe pendant ces cent dix-huit secondes

Un playbook, c'est cette même procédure, écrite une fois puis exécutée par la machine. Voici la séquence réelle d'un playbook de compte compromis, étape par étape, avec le temps que chacune prend.

  1. T+0 sDéclenchement

    L'alerte entre dans le playbook

    Sentinel remonte l'incident et la procédure démarre, sans attendre qu'un analyste ouvre sa console.

    15 minutes · Manuel

    2 secondes · Playbook

  2. T+2 sEnrichissement

    Le contexte est rassemblé

    Propriétaire du poste, réputation de l'adresse, historique des connexions du compte, incidents passés : tout est agrégé au dossier.

    25 minutes · Manuel

    9 secondes · Playbook

  3. T+11 sQualification

    La portée est mesurée

    Le playbook vérifie si d'autres comptes ou d'autres postes présentent le même signe, puis calcule un niveau de criticité.

    20 minutes · Manuel

    6 secondes · Playbook

  4. T+17 sConfinement

    Le poste est coupé du réseau

    Isolation de la machine, révocation des sessions actives, mot de passe forcé à la prochaine ouverture.

    30 minutes · Manuel

    31 secondes · Playbook

  5. T+48 sNotification

    Les bonnes personnes sont prévenues

    Le collaborateur, son responsable et l'astreinte reçoivent le même message, avec la liste de ce qui a déjà été fait.

    10 minutes · Manuel

    4 secondes · Playbook

  6. T+52 sDocumentation

    Le dossier s'écrit tout seul

    Chaque action est horodatée dans l'incident : qui, quoi, quand, avec quel résultat. Rien à ressaisir.

    20 minutes · Manuel

    66 secondes · Playbook

  7. T+118 sRéservé à vos analystes

    Incident traité

    Le poste est isolé, les sessions révoquées, le dossier rempli. Un analyste l'ouvre ensuite pour décider de la suite, sur une matière déjà complète.

Total

120 minutes · Manuel

118 secondes · Playbook

Les deux barres sont à la même échelle : la barre grise mesure le geste fait à la main, le segment bleu le même geste exécuté par le playbook. Les segments les plus courts sont affichés à une largeur minimale pour rester visibles. Durées d'un scénario type, à titre d'illustration. Exemple de playbook Microsoft, pas un engagement de DMC DEFENSE.

Ce qui part à la machine, ce qui reste à vous

Le SOAR n'a pas vocation à décider à votre place. Il prend les gestes dont la réponse est connue d'avance, et rend à vos analystes le temps de traiter ceux qui ne le sont pas.

Exécuté par le playbook

  • Rassembler le contexte d'une alerte
  • Comparer une adresse ou un fichier aux bases de menaces
  • Isoler un poste et révoquer les sessions ouvertes
  • Ouvrir, mettre à jour et clôturer le dossier
  • Prévenir les bonnes personnes au bon moment
  • Écrire la trace horodatée de chaque action

Réservé à vos analystes

  • Décider si un incident sort du cadre prévu
  • Arbitrer une coupure qui bloquerait une activité critique
  • Enquêter sur ce qu'aucune règle n'avait anticipé
  • Écrire et réviser les playbooks eux-mêmes

Quatre contraintes levées

Ces quatre effets ne se suivent pas, ils tombent ensemble dès que la procédure est écrite. Chacun lève une contrainte différente du travail de réponse.

  • Le délai

    La réponse ne dépend plus de votre disponibilité

    Le confinement démarre à la seconde où l'alerte tombe, y compris la nuit et le week-end, sans attendre qu'un analyste soit devant son écran.

  • L'écart entre deux traitements

    Le même geste, quelle que soit la nuit

    La procédure ne dépend plus de qui est d'astreinte ni de l'heure qu'il est. Elle est écrite, relue et versionnée comme du code.

  • Le volume

    La charge cesse de suivre les effectifs

    Le nombre d'alertes traitées n'est plus borné par le nombre d'analystes, mais par le nombre de procédures écrites.

  • La preuve

    La trace est écrite par défaut

    Chaque action laisse une ligne horodatée, présentable à un auditeur NIS2 ou ISO 27001 sans reconstitution après coup.

Un playbook n'est pas un script

Automatiser deux ou trois actions avec un script est à la portée de n'importe quelle équipe. Ce qui distingue un playbook, c'est ce qu'il fait quand la situation ne se déroule pas comme prévu.

Un playbook n'est pas un script
SituationUn scriptUn playbook SOAR
Quand une API ne répond pasIl s'arrête, souvent sans que personne l'apprenne.Il réessaie, bascule sur une autre voie, et signale l'étape en échec dans le dossier.
Quand la décision engage l'activitéIl exécute quand même, ou pas du tout.Il suspend l'exécution, demande une validation nommée, puis reprend là où il s'était arrêté.
Quand l'auditeur demande qui a fait quoiIl faut relire des journaux d'exécution, si on les a gardés.Chaque étape est horodatée dans le dossier, avec son déclencheur et son résultat.
Quand la menace changeIl faut retrouver le script et le modifier à la main.La procédure est versionnée, testée, puis redéployée sur tous les incidents du même type.

À lire aussi

Vos playbooks, écrits et tenus par nos experts

Nous concevons vos procédures de réponse dans Microsoft Sentinel, nous les éprouvons sur vos incidents réels, et nous les faisons évoluer avec vos menaces.

Demander un audit gratuitDécouvrir l'expertise Microsoft

Découvrir le SOC 24/7