Débloquer la valeur d'investissement par l'automatisation stratégique de la sécurité

L'automatisation de la sécurité a longtemps été un sujet de débat — quoi automatiser, quand et comment. Malgré des revers occasionnels, le consensus reste que l'automatisation est la voie à suivre. La réalité d'aujourd'hui confirme que l'automatisation n'est plus optionnelle ; elle est essentielle.

Alors que de nombreuses organisations avaient déjà mis en œuvre une automatisation de base pour les tâches critiques de sécurité et de réponse aux incidents (IR), les événements de 2020 ont servi de catalyseur, selon Noor Boulos de ThreatQuotient. Le récent rapport SANS souligne comment la pandémie mondiale a accéléré l'adoption de l'automatisation, incitant les entreprises à réévaluer leurs priorités et feuilles de route futures. L'enquête couvrait des entreprises de toutes tailles en Amérique du Nord, Europe, Asie-Pacifique et Afrique.

Principaux enseignements :

• Près d'un tiers des organisations ont signalé que la pandémie COVID-19 a accéléré leurs plans d'automatisation.

• Plus de 80 % ont maintenant au moins une automatisation partielle des processus de sécurité et IR de base — contre 47 % en 2020.

• L'automatisation de la réponse aux incidents a le plus progressé, l'automatisation extensive passant de 10,5 % en 2020 à 28,3 % en 2021.

• Les opérations de sécurité et le traitement des alertes restent la priorité, avec 35,5 % atteignant une automatisation extensive.

• Pour l'avenir, 85 % prévoient d'étendre l'automatisation des processus clés de sécurité et IR dans les 12 prochains mois.

Ces résultats soulignent l'importance de synchroniser l'automatisation dans le cycle de vie de la sécurité pour maximiser la valeur business. Chez ThreatQuotient, nous insistons que les données sont la pierre angulaire d'une automatisation efficace de la détection et de la réponse. Examinons deux cas d'usage principaux mis en évidence dans le rapport : le triage des alertes et la réponse aux incidents.

Triage des alertes :

Les analystes de sécurité font face à un déluge d'alertes générées par des règles SIEM bruyantes et des configurations de défense par défaut. Pour gérer volume et vélocité, les analysent alimentent souvent des données de menace externes et des flux de renseignement directement dans le SIEM. Cependant, deux défis persistent :

Premièrement, le volume pur de données de menace externes submerge le SIEM, produisant de nombreuses alertes non contextuelles nécessitant une recherche intensive des analystes. Deuxièmement, les outils actuels manquent de support décisionnel robuste pour fournir contexte et pertinence avant d'intégrer le renseignement sur les menaces dans le SIEM. La priorisation est donc critique pour concentrer les analystes sur les alertes actionnables.

Avec la plateforme ThreatQ, vous pouvez éliminer les alertes inutiles en n'alimentant le SIEM qu'avec du renseignement sur les menaces pertinent. La plateforme applique automatiquement contexte, pertinence et priorisation aux données de menace avant qu'elles n'atteignent le SIEM, améliorant à la fois l'efficacité et l'efficacité.

Des scores de renseignement sur les menaces personnalisés — adaptés à votre environnement — permettent une priorisation précise. En curant un sous-ensemble ciblé de données de menace, le SIEM produit moins de faux positifs et s'échelonne plus gracieusement.

Réponse aux incidents :

Les solutions traditionnelles d'Orchestration, d'Automatisation et de Réponse de Sécurité (SOAR) se concentrent sur l'automatisation des processus. Cependant, lorsqu'appliquées à la détection et la réponse, les playbooks peuvent devenir ingérables car la logique de décision est codée en dur et doit être mise à jour dans chaque playbook. Cette complexité se multiplie à mesure que les playbooks grandissent, et l'automatisation de données bruyantes peut amplifier le bruit.

ThreatQ TDR Orchestrator adopte une approche SOAR simplifiée, pilotée par les données. Ici, les données elles-mêmes déclenchent les playbooks, et les insights recueillis des actions automatisées réinjectent l'analytique pour améliorer les réponses futures. En intégrant l'intelligence dans la plateforme plutôt que dans les playbooks individuels, la configuration et la maintenance deviennent bien plus simples, menant à des résultats d'automatisation plus efficaces et efficients. Les utilisateurs peuvent pré-curater et prioriser les données, automatiser les actions pertinentes et rationaliser les procédures de réponse.

L'auteur est Noor Boulos de ThreatQuotient