10 cas d'utilisation de SOAR avec des exemples de flux de travail concrets
Les cas d'utilisation génériques de SOAR sont rarement adaptés à la pratique ; l'automatisation optimale dépend entièrement de votre environnement, du volume d'alertes et de la structure de votre SOC. Les cas d'utilisation ci-dessous sont conçus pour des scénarios spécifiques et proposent une description détaillée du flux de travail.
Les flux de travail ci-dessous reflètent le modèle SOAR traditionnel ; les plateformes d’agents exécutent bon nombre de ces mêmes cas sans étapes prédéfinies.
1. Détection et réponse au phishing
Problème : Les analystes rencontrent des difficultés pour traiter manuellement les alertes de phishing, principalement en raison du nombre élevé de faux positifs et de la nature répétitive des tâches de tri. Les attaques de phishing générées par l’IA ont augmenté de 703 % entre 2024 et 2025, rendant le tri automatisé indispensable plutôt qu’un simple gain de productivité pour la plupart des SOC. 1
Comment SOAR aide :
- Phase de triage : SOAR reçoit les alertes de phishing et les trie automatiquement en fonction de leur gravité, de leur source et de leur niveau de risque.
- Extraction et validation des indicateurs : Les indicateurs clés (URL, adresses IP, hachages de fichiers) sont extraits du fichier d'hameçonnage.
- Activité malveillante ou non : en cas de détection d’activité malveillante, le système déclenche une action : blocage de l’expéditeur, isolation des points de terminaison ou suppression du fichier malveillant. Si aucun indicateur clair n’est trouvé, le système effectue une analyse plus approfondie de l’alerte afin d’éliminer les faux positifs.
- Analyse des faux positifs : le fichier malveillant s’exécute dans un environnement isolé (sandbox) afin d’analyser son comportement. Le domaine de l’expéditeur est comparé à des domaines de confiance.
Vidéo : Démonstration en situation réelle : démonstration d’un guide de phishing
Source : Palo Alto Networks 2
Exemple concret : l’équipe de cybersécurité de Zensar utilise SOAR pour le tri des attaques de phishing et la réponse aux incidents, grâce à des playbooks sans code, plus de 200 intégrations et des renseignements sur les menaces liées aux e-mails. La solution SOAR Charlotte Agentic de CrowdStrike gère désormais les investigations de phishing en temps réel, sans playbooks prédéfinis, et revendique un taux de réussite de 98 % sur les alertes analysées. 3
Les outils SOAR s'appuient sur des données précises concernant les terminaux et un contrôle opérationnel de ces derniers. Découvrez comment les logiciels de gestion des terminaux renforcent la réponse automatisée en matière de sécurité.
2. Détection et réponse aux points de terminaison (EDR)
Problème : Bien que les outils EDR aident à détecter les activités suspectes des terminaux, ils génèrent souvent un volume élevé d’alertes, dont beaucoup peuvent être de faux positifs.
Comment SOAR aide :
Ingestion des données des points de terminaison : SOAR extrait des données des outils EDR (antivirus, agents EDR) pour surveiller l’activité en temps réel.
Vérification SIEM : vérifie si les fichiers ont déjà été identifiés dans le SIEM. Notification aux analystes : en cas de détection d’une menace potentielle, SOAR alerte les analystes en précisant le contexte et le niveau de gravité.
Réponse automatisée et nettoyage du point de terminaison : si un faux positif est confirmé, SOAR nettoie le point de terminaison et supprime automatiquement les fichiers suspects.
3. Détection des connexions utilisateur suspectes à partir de l'emplacement des adresses IP
Problème : Les connexions suspectes sont difficiles à détecter à grande échelle car le comportement des utilisateurs est variable, les organisations doivent suivre plusieurs environnements cloud et la surveillance manuelle est lente.
Comment SOAR aide :
- Ingestion des anomalies comportementales : SOAR collecte les données de connexion provenant des SIEM ou des systèmes d’authentification afin d’identifier les activités inhabituelles.
- Enrichir les informations utilisateur : SOAR récupère l’historique de connexion, le rôle et les autorisations pour évaluer la légitimité du comportement.
- Enrichir les renseignements sur les adresses IP : SOAR croise les adresses IP avec des bases de données de renseignements sur les menaces afin d’identifier les sources malveillantes connues.
- Détermination du niveau de menace : en fonction du comportement de l’utilisateur et des données IP, SOAR détermine si la connexion est susceptible d’être malveillante.
Vidéo : Analyse d’adresses IP avec SOAR
Source : Palo Alto Networks 4
Réponse automatique :
— Aucune menace : SOAR clôture automatiquement l'incident.
— Menace détectée : SOAR bloque l’adresse IP malveillante et verrouille le compte.
4. Réponse aux menaces zero-day
Problème : les attaques zero-day exploitent des failles de sécurité inconnues avant même qu’un correctif ne soit disponible. Les antivirus ne les détectent pas et elles contournent ainsi les défenses traditionnelles. C’est également là que les playbooks statiques atteignent leurs limites : aucune règle prédéfinie ne peut anticiper une exploitation inconnue.
Comment SOAR aide :
Collectez les indicateurs de compromission et les fichiers : extrayez les hachages de fichiers, les URL malveillantes et les adresses IP de l’alerte.
Extraire et vérifier les indicateurs :
- Rechercher les hachages malveillants dans les journaux des points de terminaison : analyser les journaux EDR pour trouver des preuves d’exécution ou de téléchargement des hachages identifiés.
- Interrogez les journaux du pare-feu pour détecter les hôtes compromis : recherchez le trafic en provenance ou à destination d’adresses IP malveillantes connues ou les mouvements latéraux suspects.
- Lien avec les incidents précédents : croiser les données existantes pour identifier les tactiques, techniques et procédures (TTP) similaires lors d’événements passés.
- Block points de terminaison infectés : Déployez des règles de blocage sur les pare-feu, les passerelles Web et les filtres de messagerie.
- Clôture du plan d'action : Renvoyer les règles mises à jour ou les IOC à la plateforme EDR.
L'IA agentique comble directement la faille zero-day. Au lieu de comparer des indicateurs à des règles prédéfinies, elle raisonne à partir de comportements inédits, ce qui la rend mieux adaptée aux types de menaces jamais rencontrés auparavant dans l'environnement. 5
5. Gestion des vulnérabilités
Problème : Les tests de vulnérabilité manuels sont chronophages, produisent des faux positifs et manquent souvent de visibilité sur les actifs non gérés.
- Collecte de données difficile liée aux vulnérabilités
- Faux positifs concernant les vulnérabilités.
- Manque de visibilité du réseau (par exemple, actifs non gérés)
Comment SOAR facilite la gestion des vulnérabilités :
- Collecte des données de vulnérabilité : SOAR extrait les données de vulnérabilité à partir d’outils externes et de bases de données CVE.
- Enrichir : SOAR ajoute des détails sur les points de terminaison affectés, la criticité des actifs et les unités commerciales affectées.
- Ajouter le contexte de la vulnérabilité : SOAR ajoute l’historique d’exploitation et le contexte des menaces actives connues aux données d’incident.
- Calcul des risques : SOAR combine la gravité CVE avec le contexte système pour calculer le risque global de chaque vulnérabilité.
Remédiation :
— Examen par un analyste des éléments à haut risque
— Correction automatisée des anomalies connues à faible risque
6. Automatisation de la création de nouveaux comptes
Problème : La gestion manuelle des comptes utilisateurs est sujette aux erreurs. Les erreurs d’attribution des accès entraînent un sur-provisionnement (violation du principe du moindre privilège) ou un sous-provisionnement (empêchant le nouvel employé de travailler).
Comment SOAR aide :
- Obtenir les détails du ticket : Récupère la demande de provisionnement depuis la plateforme ITSM.
- Créer un utilisateur dans le service d'annuaire : se connecte à Active Directory ou à un service équivalent.
- Ajouter l'utilisateur aux outils requis selon son rôle : attribue l'accès à la messagerie, aux plateformes RH et aux autres outils spécifiques à son rôle. Envoyer un e-mail d'accueil : envoie les identifiants de connexion et les instructions de configuration.
- Déploiement du logiciel requis sur le terminal : Lance le déploiement du logiciel via les outils de gestion des terminaux.
- Informer les parties prenantes : Alerte les RH, l’informatique et les responsables lorsque l’intégration est terminée.
7. Gestion du cycle de vie des incidents
Problème : La continuité est rompue tout au long du cycle de vie des incidents car les produits de sécurité sont cloisonnés, les processus ne sont pas standardisés et les transferts entre équipes ralentissent le temps moyen de réponse.
Comment SOAR aide :
- Récupération des alertes à partir des sources de données : SOAR extrait en continu les alertes des SIEM, des pare-feu et d’autres sources.
- Procédure de déclenchement : Dès réception d’une alerte, SOAR déclenche la procédure appropriée pour ce type d’incident.
- Attribuer les incidents aux analystes : SOAR achemine les incidents enrichis avec un contexte associé.
- Extraction et vérification des IOC à l'aide de renseignements sur les menaces : les hachages de fichiers, les adresses IP et les domaines sont vérifiés automatiquement.
- Vérification des activités malveillantes : SOAR détermine si l’activité est malveillante et prend des mesures en bloquant l’adresse IP ou en isolant le fichier.
Mise à jour sur l'intégration des modèles de langage : Un fournisseur de services de sécurité gérés (MSSP) a constaté une augmentation de 60 % de la résolution automatisée des incidents mineurs après l'intégration de modèles de langage complexes dans ses flux de travail SOAR. Les analystes ont interrogé la plateforme en langage naturel pour obtenir des résumés des menaces et ont ajusté les procédures en temps réel, sans programmation. 6
8. Automatisation des demandes de modification de la politique de pare-feu
Problème : La gestion manuelle des demandes de modification de pare-feu est lente, incohérente et difficile à auditer. Les équipes traitent un grand nombre de demandes chaque semaine, ce qui engendre des chevauchements de règles et une visibilité limitée sur les approbations.
Comment SOAR contribue à automatiser les demandes de modification des politiques de pare-feu :
SOAR simplifie le processus de modification des pare-feu en automatisant les approbations, les validations et les déploiements de politiques grâce à des playbooks intégrés.
- Demande de modification de la politique de pare-feu : initiée depuis une plateforme ITSM, par exemple ServiceNow
- Guide de déclenchement SOAR
- Les rôles et les adresses des points de terminaison existent-ils ?
- OUI : Ajouter l’adresse IP au groupe de points de terminaison existant
- SINON : Appeler le playbook « nouvelle politique » : SOAR exécute un playbook distinct pour créer une règle personnalisée.
- Appliquez la configuration à l'aide du système de gestion du pare-feu.
- Fermez le ticket ITSM.
9. Suivi de l'expiration des certificats SSL
Problème : Les certificats expirés déclenchent des alertes de sécurité dans les navigateurs, diminuent la confiance des visiteurs et peuvent entraîner une perte de trafic. Le suivi manuel des certificats dans les grands environnements est peu fiable.
Comment SOAR aide :
- Vérification de l'état des certificats : SOAR surveille les certificats SSL sur tous les domaines et signale ceux qui arrivent à expiration.
- Alerte et remontée d'information : SOAR notifie l'équipe responsable suffisamment à l'avance pour qu'elle puisse agir.
- Automatisez le renouvellement lorsque cela est possible : pour les plateformes disposant d’un accès API, SOAR peut déclencher directement le processus de renouvellement.
- Journalisation et clôture : SOAR enregistre l’action effectuée et clôture le ticket.
10. Gestion des menaces Intel
Problème : Les données de renseignement sur les menaces proviennent de multiples sources et sont présentées dans des formats différents. Leur saisie manuelle, leur déduplication et leur recoupement avec les incidents actifs sont fastidieux et peu cohérents.
Comment SOAR aide :
- Ingestion des flux de renseignements sur les menaces : SOAR extrait automatiquement les indicateurs (adresses IP, domaines, hachages de fichiers, CVE) de sources multiples.
- Déduplication et normalisation : SOAR supprime les doublons et convertit les données dans un format cohérent.
- Corrélation avec les incidents actifs : SOAR vérifie les renseignements entrants par rapport aux dossiers ouverts et aux alertes en direct.
- Enrichir les incidents : les indicateurs pertinents sont automatiquement ajoutés aux tickets ouverts et aux files d’attente des analystes.
- Diffusion aux outils de blocage : les IOC à haute fiabilité sont transmis aux pare-feu, aux EDR et aux filtres de messagerie.
FAQ
La technologie SOAR (Security Orchestration, Automation, and Response) permet de coordonner, d'exécuter et d'automatiser les tâches entre différentes personnes et différents outils.
Orchestration :
Manuels de procédures, flux de travail
Plan d'action organisé de manière logique
Contrôle et activation de la pile de produits de sécurité depuis un emplacement central.
Automatisation de la sécurité :
Scripts automatisés
Intégrations de produits extensibles
Exécution automatique des tâches du playbook.
Réponse :
Gestion de cas
Collaboration en matière d'analyse et de reporting
Décloisonnement des systèmes : SOAR renforce la collaboration des équipes et permet aux analystes de sécurité d'automatiser les actions sur l'ensemble des outils de leur pile de sécurité.
Centralisation : Fournir aux équipes de sécurité une console centralisée pour gérer et coordonner tous les domaines de sécurité de l'entreprise.
Amélioration de la prise de décision au sein du SOC : les tableaux de bord SOAR peuvent aider les équipes des opérations de sécurité à prendre de meilleures décisions en leur fournissant une visibilité sur les menaces.
Gérer plus de notifications en moins de temps : les SOAR facilitent la gestion des alertes en centralisant les données de sécurité, en enrichissant les événements et en automatisant les réponses. Ainsi, les SOC peuvent traiter un plus grand nombre d’alertes.
SIEM : Les outils SIEM collectent et agrègent les données provenant des outils de sécurité internes, centralisant les journaux et signalant les anomalies .
SOAR : Les systèmes SOAR ont émergé pour enrichir les SIEM en y ajoutant des fonctionnalités d’orchestration, d’automatisation et de réponse aux incidents qui font souvent défaut aux SIEM standards. Ils visent à automatiser les tâches répétitives, à améliorer la gestion des incidents et à coordonner les outils de sécurité.
XDR (détection et réponse étendues) : une solution plus récente et plus performante pour la gestion de bout en bout des événements de sécurité. Elle est principalement utilisée pour résoudre les problèmes sur les terminaux internes. Lors de la préparation d'une réponse automatique, XDR utilise les données capturées par le SIEM.
Les grandes organisations utilisent souvent ces trois outils , mais les fournisseurs combinent de plus en plus leurs fonctionnalités.
Certains SIEM incluent désormais des fonctionnalités de réponse.
Les XDR intègrent l'enregistrement de données de type SIEM.
Des fournisseurs tels que Microsoft Sentinel et ManageEngine Log360 offrent des capacités SIEM et SOAR.
Liens de référence
Soyez le premier à commenter
Votre adresse courriel ne sera pas publiée. Tous les champs sont obligatoires.