L’avenir du SOC : renforcé par l’IA, guidé par l’humain

Les modèles SOC traditionnels sont confrontés depuis plusieurs années à des défis persistants, parmi lesquels :

• Fatigue liée au volume élevé d’alertes et au nombre important de faux positifs. À force de traiter un grand nombre d’alertes qui s’avèrent être des faux positifs, les analystes ont de plus en plus de mal à distinguer les signaux pertinents du bruit.
• Difficulté à recruter et à fidéliser les analystes SOC. Ce métier requiert des compétences techniques pointues, une attention constante, une forte capacité d’apprentissage et la disponibilité nécessaire pour participer aux rotations d’astreinte.
• Sophistication, rapidité et volume croissants des attaques. Les attaquants n’ont plus besoin de consacrer plusieurs jours à rechercher des vulnérabilités et à les exploiter. Ils sont désormais capables d’automatiser à grande échelle les activités de reconnaissance et les tentatives d’exploitation.
• Difficulté à respecter les SLA (Service Level Agreements) en raison du volume d’alertes et des pics d’activité. Lorsque de nombreuses alertes s’accumulent sur une courte période, il devient difficile de les traiter toutes dans les délais définis par les SLA.

Par conséquent, même les environnements les plus matures peinent à distinguer les signaux pertinents du bruit. Les équipes de détection n’arrivent plus à suivre la croissance exponentielle des renseignements sur les menaces et des sources de télémétrie, tandis que les analystes consacrent encore une part importante de leur temps au triage des alertes. C’est précisément dans ce contexte que l’IA révèle tout son potentiel : non pas comme un substitut à l’expertise humaine, mais comme un puissant accélérateur de celle-ci. 

La valeur ajoutée de l’IA dans les opérations SOC ne réside pas dans sa capacité à “penser comme un analyste”, mais dans sa capacité à accroître l’efficacité des analystes grâce à l’automatisation, à la reconnaissance de schémas et à l’enrichissement contextuel. Dans ce contexte, l’IA excelle dans l’exécution de tâches répétitives et procédurales telles que : 

• Triage des alertes et investigations initiales. Les agents de triage atteignent déjà un niveau de qualité comparable à celui des analystes humains, mais en une fraction du temps.
• Enrichissement contextuel grâce au renseignement sur les menaces (threat intelligence). Lorsqu’un analyste reçoit une alerte, l’IA peut collecter, corréler et structurer les informations contextuelles pertinentes afin de simplifier et d’accélérer le processus d’investigation.
• Agrégation des alertes, corrélation des événements et détection des anomalies à travers différentes sources. Regrouper des alertes provenant de sources distinctes mais liées à un même événement, puis corréler les événements faisant partie d’un même incident, peut s’avérer particulièrement chronophage. Par ailleurs, les anomalies se dissimulent facilement dans de vastes volumes de données apparemment normales. L’IA peut exécuter ces tâches rapidement, efficacement et de manière cohérente, permettant ainsi aux analystes de se concentrer sur des activités à plus forte valeur ajoutée.
• Gestion du cycle de vie des tickets, y compris les communications internes et clients. L’IA peut aider à déterminer quand ouvrir un ticket, à qui l’assigner et à quel moment communiquer. Elle peut également assurer le respect d’un plan de communication prédéfini, généralement intégré au plan de réponse aux incidents.

Cependant, ces workflows doivent rester transparents, contrôlables et auditables afin d’éviter l’introduction de nouveaux risques ou toute dégradation de la qualité de service. L’efficacité et la fiabilité des tâches réalisées par l’IA dépendent directement de la qualité et de l’exhaustivité des données sur lesquelles elle a été entraînée. Lorsque des acteurs malveillants exploitent de nouvelles TTP (Tactics, Techniques and Procedures), des vulnérabilités inconnues ou des failles de type “zero-day”, l’expertise humaine et la capacité d’analyse des analystes SOC demeurent déterminantes. Elles font la différence entre des SOC surautomatisés et des SOC modernes capables de trouver le juste équilibre entre intelligence artificielle et intervention humaine. 

Comme toujours, le jeu du chat et de la souris entre attaquants et défenseurs s'étend au domaine de l'IA. Les attaquants ne se contentent pas d'utiliser l'IA pour augmenter l'efficacité et la complexité de leurs opérations offensives, mais cherchent également activement des moyens de miner l'IA en tant que mécanisme défensif. Cela inclut la génération de schémas d'apparence inoffensive ou la manipulation des données d'entraînement pour échapper aux systèmes de détection basés sur l'IA.  

Conclusion 

Dans un SOC enrichi par l’IA, les rôles et responsabilités des analystes ne disparaîtront pas. Au contraire, ils deviendront encore plus essentiels en tant que premiers superviseurs des systèmes d’IA. En automatisant les tâches répétitives et en validant les conclusions générées par l’IA, les analystes pourront consacrer davantage de temps aux investigations approfondies, à l’amélioration des capacités de détection et aux activités proactives de threat hunting. L’IA transformera sans aucun doute les pratiques des SOC, mais elle ne remplacera pas l’expertise humaine. Au contraire, elle ne fera qu’en renforcer l’importance. 

Dans l’éternelle bataille entre attaquants et cyberdéfenseurs, la combinaison intelligente de l’efficacité des machines et de l’expertise humaine deviendra un facteur clé pour protéger notre société numérique.