SOAR.

Le SOAR (Security Orchestration, Automation and Response) désigne les technologies qui protègent les systèmes informatiques contre les menaces, en améliorant l'efficacité et la productivité du SOC.

L'acronyme est attribué à Gartner, qui l'a utilisé pour décrire des technologies rassemblant des informations de sécurité provenant de divers outils, et automatisant certaines tâches dans la gestion des menaces.

Le SIEM assure la surveillance globale de l'infrastructure : il collecte, normalise et corrèle les journaux pour générer des alertes. Le SOAR prend le relais et automatise la réponse à ces alertes.

Les deux se complètent, ils ne se remplacent pas. Sans SOAR, un SIEM produit des alertes que personne n'a le temps de traiter toutes.

Une procédure automatisée de réponse, qui fournit des instructions basées sur des pratiques et des procédures éprouvées pour un type d'incident donné.

Les playbooks guident les analystes vers la bonne décision et garantissent la cohérence et la conformité du traitement, quel que soit l'analyste qui traite l'incident.

Dans la majorité des cas, les entreprises ne disposent pas de suffisamment d'experts en sécurité ni de ressources pour se passer d'un SOAR. De nombreuses alertes ne peuvent pas être traitées à temps, et beaucoup passent entre les mailles du filet.

Une entreprise est composée de nombreux services qui accèdent aux données selon des procédures variées, via des ERP ou des serveurs de fichiers dans l'infrastructure ou dans le cloud. Le SOAR apporte des playbooks dédiés aux spécificités de chaque métier, pour une remédiation adéquate.

Non. Le SOAR investigue automatiquement les données d'alerte et recommande une réponse, mais laisse aux analystes le soin d'approuver la recommandation ou non.

Un SOAR complète les compétences des professionnels de la sécurité et leur permet de se concentrer sur des failles plus importantes, plutôt que sur le traitement manuel des alertes courantes.

Une vue consolidée des menaces, générée par le SOAR à partir des incidents et des données collectées, dont celles de votre SIEM. Elle est mise à disposition de votre SOC pour orienter ses décisions.

Grâce à cette gestion des données, vos analystes disposent d'un aperçu complet et cohérent des menaces auxquelles ils sont confrontés, et priorisent leurs actions en conséquence.

Un environnement d'analyse isolé, dans lequel un fichier suspect peut être exécuté et observé sans exposer le reste de votre système d'information.

Le SOAR intègre l'analyse des logiciels malveillants dans les incidents après leur isolation dans une sandbox, ce qui enrichit la threat-intelligence sans risque pour votre infrastructure de production.

Un choix fondé sur sa solide réputation et son classement élevé dans les analyses du Gartner. La plateforme est basée sur l'apprentissage automatique, avec des capacités améliorées de détection des menaces et de réponse aux incidents.

Elle peut être installée sur site en tant que service MSSP ou selon un modèle Security as a Service, et s'intègre nativement avec le SIEM QRadar que nous déployons également.

En fonction de vos problématiques, de vos services et de votre budget. La majorité des solutions proposent des playbooks fondés sur des pratiques éprouvées, mais leur richesse et leur adaptation à votre secteur varient.

Vous pouvez vous faire guider par des comparatifs indépendants comme ceux du Gartner. Nos experts cyber ont déjà fait ce travail d'évaluation en optant pour IBM QRadar, et configurent la solution selon votre activité.