L’Agentic SOC Workforce : défendre à la vitesse de la machine à l’ère de l’IA

L’heure est venue

Une phrase me revient sans cesse à l’esprit : l’heure est venue.

Sous cette formulation dramatique se cache une nouvelle réalité pour les équipes de sécurité. Le rythme des opérations a changé. Avec l’émergence de l’IA frontière, les attaquants agissent plus rapidement, génèrent plus de bruit, testent davantage de pistes et s’adaptent au fur et à mesure. Les vulnérabilités, le phishing, les risques liés à la chaîne d’approvisionnement et les menaces internes représentaient déjà des problèmes considérables. Aujourd’hui, ces vecteurs sont accélérés, automatisés et dissimulés dans un volume de signaux qui dépasse les capacités manuelles de la plupart des équipes.

Pour les responsables de la sécurité, la question n’est donc plus de savoir s’il faut utiliser l’IA dans le SOC. Il s’agit plutôt de comprendre comment l’utiliser pour gagner en vélocité sans perdre le contrôle.

Et c’est là que le SOC agentique entre en scène.

Pourquoi le SOC doit changer

La plupart des SOC ont été conçus pour des tâches à vitesse humaine : examiner l’alerte, consulter des outils, recueillir le contexte, prendre une décision, documenter l’action et passer à la suivante. Ce modèle a toujours son intérêt, mais il montre ses limites lorsque les adversaires agissent à la vitesse de la machine.

Cette asymétrie est à la racine du problème. Les pirates peuvent utiliser l’IA pour multiplier les tentatives et les variantes afin d’accroître la pression. Les défenseurs doivent encore démontrer ce qui s’est passé, déterminer les priorités et réagir en toute sécurité. Si, à chaque étape, une personne doit établir les liens à la main, le SOC prend du retard.

La solution n’est pas de confier les clés à une IA autonome en espérant que tout ira bien. Elle consiste plutôt à établir un modèle où l’autonomie est déléguée avec soin, encadrée par des politiques, fondée sur des preuves et gouvernée par des personnes.

C’est là que réside le véritable changement : passer d’un SOC qui fait reposer toutes les tâches répétitives sur l’humain à un SOC où l’IA réalise tout le travail que lui permettent les politiques.

Le SOC agentique commence par la confiance

L’objectif du SOC agentique n’est pas de retirer les intervenants humains des opérations de sécurité. Il s’agit d’offrir aux analystes, aux ingénieurs, aux intervenants et aux responsables une meilleure façon de mettre en œuvre leur expertise à grande échelle.

Ce point est crucial, car la confiance détermine les limites de l’IA. Dans certains domaines du SOC, l’IA peut, en toute sécurité, prendre en charge des tâches intensives telles que le triage, la collecte de preuves et la synthèse, puis recommander les prochaines étapes. D’autres, comme l’ingénierie de détection, l’automatisation des interventions ou le confinement exigent un jugement plus aiguisé. L’IA peut accélérer le travail, mais les humains doivent encore définir l’intention, approuver les actions et contrôler les résultats.

Cette approche peut se résumer très simplement : l’autonomie déléguée gère les tâches répétitives ; l’autonomie limitée assume les tâches qui exigent du discernement.

Défendre à la vitesse de la machine

Au plus haut niveau, le SOC agentique permet aux équipes de sécurité de défendre l’entreprise à la vitesse de la machine sans renoncer à la gouvernance humaine. Cette approche repose sur trois objectifs connexes :

• Défense autonome : déjouer les menaces pilotées par l’IA grâce à des agents fiables et à une gouvernance humaine.
• Arrêter les attaques à la source : combiner des défenses distribuées à une visibilité couvrant toute l’entreprise.
• Atténuer les expositions critiques : identifier, hiérarchiser et corriger en permanence les risques critiques pour l’entreprise.

Ces trois impératifs ne sont pas indépendants. Ils se complètent. Le SOC a besoin d’autonomie pour agir plus rapidement. Il a besoin de données et de contrôles proches de la source pour voir et agir à l’échelle de l’entreprise. Et il lui faut le contexte de l’exposition pour que les équipes puissent réduire les risques avant qu’une faiblesse ne devienne un incident.

Rencontrez vos coéquipiers de l’Agentic SOC Workforce

L’Agentic SOC Workforce facilite la compréhension et l’adoption du SOC agentique. Au lieu de présenter l’IA comme une longue liste de fonctionnalités indépendantes, Splunk enrichit les capacités existantes et introduit des compétences agentiques au cœur des pratiques habituelles des équipes SOC : ingénierie de détection et de sécurité, threat hunting, investigation et réponse, gouvernance et politique.

L’ingénierie de détection et de sécurité aide les équipes à consolider rapidement la couverture. Elle comprend des compétences liées à la création de détections, à l’automatisation, aux connecteurs, à la détection de graphes de menaces, aux workflows agentiques et à l’optimisation, afin de minimiser les efforts nécessaires pour passer de l’idée à une couverture validée.

Le threat hunting assiste les équipes dans l’identification et la neutralisation des menaces émergentes. La recherche proactive et la rétro-ingénierie des logiciels malveillants aident les analystes à interroger leurs données, à tester des hypothèses et à investiguer les activités suspectes aux premiers temps d’une attaque.

Le domaine investigation et réponse accélère le confinement et la résolution des menaces. Grâce aux compétences de triage, d’investigation et d’intervention, les équipes passent de l’alerte à l’action avec davantage de contexte, de cohérence et de contrôle.

Le domaine gouvernance et politique est là pour préserver la fiabilité de cette « équipe ». Procédures opérationnelles standards (SOP), contexte d’exposition, preuves partagées, approbations, auditabilité, orchestration… Tous ces facteurs se conjuguent pour que l’autonomie reste explicable et en phase avec le fonctionnement du SOC.

Ces agents combinent leurs différentes compétences en actions coordonnées. L’IA assume les tâches répétitives et volumineuses tandis que les humains exercent leur jugement et se concentrent sur la stratégie et les résultats.

1. Défense autonome

La défense autonome commence par les tâches les plus intensives du SOC : le triage et l’investigation. Ces étapes font perdre du temps aux équipes, à cause des faux positifs, de la dispersion du contexte et du processus répétitif de collecte de preuves. Mais c’est aussi dans ces domaines que des capacités agentiques spécialisées peuvent faire la différence.

Dans Splunk Enterprise Security, les capacités agentiques ne sont pas déconnectées : elles s’exécutent au sein même de l’expérience du SOC.

L’objectif est simple : aider les analystes à cibler plus rapidement les menaces réelles. L’IA peut hiérarchiser les problèmes, les expliquer, les résumer, puis recommander et préparer une réponse encadrée, mais les analystes prennent toujours les décisions clés.

Le SOC passe du déluge d’alertes aux résultats : la couverture s’élargit, il perd moins de temps en tâches manuelles, les investigations sont plus rapides et le MTTR recule.

2. Arrêter les attaques à la source

Les données sont au cœur du deuxième volet de cette approche. Le volume des données de sécurité modernes explose et il n’est pas possible (ni nécessaire, d’ailleurs) de centraliser tous les signaux pour les exploiter.

C’est là que la Cisco Data Fabric entre en scène. Le SOC du futur doit rapprocher Splunk des données, détecter les anomalies au plus près de la source et répondre en s’appuyant sur des contrôles connectés. Il s’agit donc de préserver la puissance du moteur de détection et d’investigation de Splunk tout en offrant aux équipes davantage de souplesse quant au stockage et à l’utilisation des données.

La réponse doit également évoluer. Lorsque les opérations de sécurité se connectent aux contrôles Cisco et au reste de l’écosystème, le SOC a tout le contexte en main pour passer de l’analyse à l’application des règles sans perdre de temps.

C’est en grande partie pour cela que le SOC agentique ne peut pas se réduire à une couche d’IA. Il lui faut un socle de données ouvert, des outils unifiés et des mécanismes d’application coordonnés. Sans cela, l’IA ne fait que raisonner sur un contexte lacunaire.

3. Atténuer les expositions critiques

L’exposition forme le troisième volet de l’histoire. Lorsque l’adversaire agit plus vite, la défense doit apprendre à limiter efficacement ses chemins d’accès potentiels.

La gestion de l’exposition doit devenir continue, contextuelle et opérationnelle. Le SOC doit pouvoir localiser le risque et son périmètre, savoir s’il fait l’objet d’une attaque et connaître les mesures d’atténuation qui sont à sa portée.

C’est là que le SOC agentique mobilise des fonctionnalités comme Exposure Analytics, qui relie les actifs, l’identité, le cloud et le contexte des risques pour permettre aux équipes de traiter en priorité les menaces les plus urgentes.

Les équipes ont ainsi les moyens concrets de passer d’une défense réactive à une réduction proactive des risques : elles identifient l’exposition, la hiérarchisent en fonction du contexte, la corrigent ou l’atténuent, puis vérifient que le risque a effectivement changé.

Pourquoi Splunk ?

Au cœur de cette approche, il y a bien plus que de l’IA : pour que le SOC agentique fonctionne, l’IA a besoin de bases solides.

Splunk réunit tous les éléments indispensables au SOC : données de sécurité haute fidélité, détection, investigation, réponse, threat intelligence, automatisation, contexte d’exposition et gouvernance. Avec Cisco, ce socle s’élargit en intégrant la data fabric, les contrôles de sécurité, la mise en réseau, l’identité et la défense par IA.

Cette combinaison est essentielle, car s’il y a bien une chose dont les équipes de sécurité n’ont pas besoin, c’est d’un assistant opaque de plus à côté du SOC. Au contraire, il leur faut une IA ancrée dans leurs données, connectée à leurs workflows, qui connaisse leurs politiques et rende des comptes aux personnes concernées.

Autrement dit : pour se défendre face aux IA frontière, il faut une IA frontière, mais cela ne vaut que si le client dispose des données, des contrôles et du modèle de confiance nécessaires pour en faire un usage responsable.

Mise en œuvre dans l’environnement réel du SOC

Imaginez qu’une alerte de phishing prioritaire arrive au SOC. Selon l’ancien modèle, un analyste examine l’alerte, utilise plusieurs outils, vérifie la threat intelligence, recherche des activités connexes et détermine la marche à suivre. Chaque changement de contexte prend du temps.

Dans le SOC agentique, le workflow est comprimé. L’IA peut trier l’alerte, recueillir des preuves, résumer la chaîne d’attaque, faire le lien avec la threat intelligence, vérifier le contexte d’exposition et recommander un parcours de réponse en phase avec des procédures approuvées.

C’est un savant dosage : le travail répétitif est accéléré, mais le contrôle se resserre lorsque le risque augmente et la transparence est de mise à chaque étape.

La voie de la maturité

Le SOC agentique est un parcours de maturité. Dans un premier temps, les équipes peuvent adopter l’investigation assistée par IA et l’automatisation déterministe, enrichir le contexte des entités ou améliorer l’analyse de l’exposition, puis évoluer vers l’autonomie déléguée en matière de triage, d’investigation et de réponse.

Il faut simplement garder en tête que l’autonomie ne va pas de soi. Les équipes progressent sur la voie de l’autonomie en perfectionnant différents aspects de leurs pratiques : preuves, garde-fous, approbations, pistes d’audit, politiques et confiance opérationnelle.

De cette façon, les humains et l’IA évoluent ensemble. L’IA assume de plus en plus de tâches avec le temps, mais les personnes restent responsables de la mission, des risques et des résultats.

En résumé

Le SOC agentique n’est pas un fantasme futuriste et ne se réduit pas à une simple fonctionnalité produit. C’est le modèle opérationnel d’avenir pour les équipes de sécurité qui doivent faire face à la vélocité des menaces pilotées par l’IA.

Il réunit le triage et l’investigation autonomes, l’accélération de la détection et l’automatisation des tâches, des réponses fiables, des données distribuées, des contrôles connectés et la réduction continue de l’exposition. Surtout, il laisse les humains aux commandes des décisions importantes.

Voilà comment nous assurons la défense à la vitesse de la machine : non pas en remplaçant le SOC, mais en lui donnant des moyens fiables d’évoluer.

Cet article est une traduction de cet article original en anglais.