Se défendre à la vitesse de la machine : Splunk optimise le SOC agentique

À retenir

1. Splunk introduit des agents IA spécialisés dans le SOC pour aider les analystes à créer des détections, à trier les alertes, à analyser les malwares et à automatiser la réponse à des vitesses sans précédent.
2. Grâce à de nouvelles fonctionnalités comme Automated Threat Analysis (analyse automatisée des menaces) et Entity Analytics (analyse des entités), les équipes de sécurité bénéficient d’une visibilité détaillée sur les menaces et les actifs, qui accélère les investigations tout en allégeant la part d’effort manuel.
3. L’intégration plus étroite d’AWS permet d’inclure les détections de sécurité cloud dans un workflow Splunk unifié qui aide les équipes à rapprocher des signaux épars et à passer rapidement de l’alerte à l’action, avec une vision plus claire et moins d’outils.

L’IA a transformé l’économie de la cyberdéfense. Les capacités qui accélèrent l’innovation dans les entreprises sont aussi celles qui permettent aux adversaires d’atteindre des degrés inédits de vitesse, d’ampleur et de précision. Leurs campagnes de phishing sont plus convaincantes, ils testent plus efficacement les parcours d’exploitation, sondent les identités continuellement et misent sur l’automatisation pour surpasser les capacités humaines.

Le SOC traditionnel n’a pas été pensé pour une telle cadence. Les analystes doivent encore passer toutes les alertes en revue, naviguer d’un outil à l’autre, enrichir les investigations à la main et signaler les problèmes majeurs dans un contexte où les volumes de données augmentent et où les surfaces d’attaque s’étendent. Armés de l’IA, les adversaires réduisent considérablement le temps dont disposent les équipes de défense pour détecter les incidents, investiguer et y répondre.

À l’occasion de Cisco Live cette semaine, Splunk fait progresser le SOC agentique.

Le SOC agentique n’a pas pour but de remplacer les analystes. Il vise à amplifier l’expertise humaine en lui adjoignant une IA spécialisée, en fournissant des informations détaillées sur le contexte de sécurité et en intégrant l’automatisation au cœur des workflows du SOC. L’objectif est de passer d’une approche pilotée par l’humain et assistée par l’IA à une pratique pilotée par l’agentique et gouvernée par l’humain, afin que les équipes puissent agir rapidement, avec cohérence et confiance.

Cette démarche est au cœur des annonces de Splunk Security à Cisco Live : des capacités de SOC agentique pour tout le processus TDIR (détection des menaces, investigation et réponse), Automated Threat Analysis dans Splunk Enterprise Security (ES) Premier, Entity Insights et Entity Analytics dans Exposure Analytics, et Splunk Enterprise Security pour AWS Security Hub Extended.

Des agents spécialisés pour le SOC

Pour repousser les menaces à la vitesse de la machine, les équipes de sécurité ont besoin d’une IA qui ne se contente pas de résumer l’information. Elles ont besoin d’agents spécialisés, capables d’éliminer les bottlenecks dans les tâches quotidiennes des analystes, des ingénieurs en détection et des ingénieurs en automatisation.

Splunk étend les capacités de sécurité agentique au SOC pour aider les équipes à créer des détections, à codifier les procédures, à hiérarchiser les alertes, à analyser les menaces et à amplifier la réponse. Avec le Detection Builder Agent, les ingénieurs en détection passent plus rapidement de l’hypothèse à la production et sont accompagnés dans toutes les étapes : création, tests, ajustement et ajout de tags. Le SOP Agent convertit les procédures opérationnelles standards en plans de réponse. Le Triage Agent évalue et explique les détections pour permettre aux analystes de se focaliser sur les priorités. Le Malware Threat Reversing Agent apporte un éclairage immédiat sur les scripts malveillants en expliquant le comportement, en extrayant des indicateurs et en mettant en évidence les techniques d’échappement en quelques secondes, alors qu’il faut normalement plusieurs heures. Le Guided Response Agent et l’Automation Builder Agent facilitent le passage de la procédure approuvée à l’exécution de la réponse à grande échelle.

Ensemble, toutes ces capacités éliminent des tâches répétitives et fluidifient les investigations pour donner aux analystes le temps d’exercer leur jugement, de faire des choix stratégiques et de réagir avec efficacité.

Automated Threat Analysis dans ES Premier

Les attaques modernes se déroulent rarement en une étape. Charges utiles de phishing, liens malveillants, scripts, redirections, téléchargements, comportements de commande et contrôle… toutes ces techniques peuvent être sollicitées dans une chaîne d’activité qu’il est parfois difficile de reconstituer à la main.

Automated Threat Analysis dans Splunk Enterprise Security Premier (disponible maintenant) permet d’exécuter et d’étudier cette chaîne au sein de l’expérience ES. Cette fonctionnalité décrit le déroulement de l’attaque et les indicateurs pertinents, et donne des pistes d’action pour réduire le risque. Pour les analystes, elle évite de multiplier les outils et les exécutions manuelles en environnement isolé ; elle offre une image plus complète des menaces et accélère la prise de décision. Pour les responsables du SOC, elle permet de mener des investigations cohérentes au sein de la plateforme utilisée par l’équipe.

Entity Insights et Entity Analytics dans Exposure Analytics

On ne peut pas protéger ce que l’on ne voit pas, pas plus qu’on ne peut traiter ce que l’on ne comprend pas.

Exposure Analytics aide les équipes de sécurité à découvrir en continu les actifs et les utilisateurs dans les données qui affluent déjà dans Splunk. Cette semaine, lors de Cisco Live, Splunk enrichit le volet Exposure Analytics d’Enterprise Security Essentials avec Entity Insights et Entity Analytics (bientôt disponible).

Ces nouvelles fonctionnalités donnent aux équipes une visibilité accrue sur les actifs et les utilisateurs découverts pour exposer les risques avant qu’ils ne s’aggravent. Lorsque l’adversaire accélère, les équipes de défense doivent savoir si une alerte concerne une identité sensible, un actif récemment découvert, une entité à risque ou un schéma comportemental suspect. Avec les fonctionnalités Entity Insights et Entity Analytics, les équipes ne font plus face à des alertes isolées : elles mènent leurs investigations dans le contexte des entités, ce qui permet de dégager plus rapidement des priorités fiables.

Splunk Enterprise Security pour AWS Security Hub Extended

Les équipes de sécurité n’ont pas besoin d’une console de plus. Elles veulent que les signaux les plus importants soient normalisés, corrélés et prêts à être exploités.

Splunk Enterprise Security pour AWS Security Hub Extended est le fruit de nos efforts, en collaboration avec AWS, pour rationaliser les opérations de sécurité cloud et accélérer la réponse. En tant que partenaire fondateur de l’initiative Security Hub Extended, Splunk facilite l’acquisition des détections AWS dans Enterprise Security sous la forme de détections normalisées haute fidélité, qui peuvent être corrélées à des données locales, hybrides et multicloud.

Les détections cloud ne disent pas tout. Un événement IAM suspect, une détection GuardDuty, une connexion réseau ou le comportement d’un workload ne prennent sens que lorsqu’on les relie au contexte des identités et des actifs en jeu, à la threat intelligence, à l’historique d’activité, aux détections et aux workflows de réponse. Avec Splunk Enterprise Security pour AWS Security Hub Extended, les équipes perdent moins de temps à interpréter les données et les alertes, et passent rapidement du signal à la décision.

L’avenir agentique du SOC

Splunk aide ses clients à adopter un nouveau modèle, pour donner des outils agentiques aux analystes, replacer les investigations dans le contexte des entités, automatiser l’analyse des menaces dans ES et intégrer les détections de sécurité AWS au sein d’un workflow unifié.

C’est la promesse du SOC agentique : le but n’est pas d’ajouter de l’IA ou de l’autonomie gratuitement, mais de mettre en place un modèle d’exploitation concret, régi par l’humain, pour défendre les systèmes à la vitesse de la machine. Pendant Cisco Live, Splunk démontre que nous ne nous contentons pas de participer à l’avenir agentique du SOC. Nous contribuons à le bâtir.