Transformer un back-end de stockage… pour finalement se rendre compte qu’il est beaucoup moins mis en difficulté par une flotte d’agents que par une flotte d’humains. C’est arrivé à Sekoia dans le cadre de ses expérimentations sur Elevate, son module de SOC agentique, passé en disponibilité générale fin septembre. L’entreprise en a rendu compte lors des Assises de la sécurité.

Elle était accompagnée de son premier testeur : SPIE. Le groupe européen, fournisseur de services multitechniques dans l’énergie et les communications*, est client de Sekoia depuis février 2024. Il a expérimenté ce « SOC agentique » à partir de juillet 2026.

Lire aussi : Les Assises 2026 : pour NIS 2, petits mots, grands travaux Sa sécurité opérationnelle s’organise ainsi : Un MSSP pour le triage de niveau 1 en 24/7 Automatisation du traitement via SOAR aussi bien côté MSSP qu’en interne Niveaux 2 et 3 gérés en interne (une dizaine de personnes dans le département SecOps groupe + équipes SecOps des filiales) Sur son périmètre global, SPIE reçoit environ 43 000 alertes par mois. Certaines – typiquement, celles qui font trop de bruit – ne sont pas gérées par le MSSP. Plus précise, l’IA « gaspille » moins de ressources Sur la zone France, Sekoia a « entre 12 et 15 Po de données » à disposition de Roy, l’agent d’Elevate.

En prévision de la charge que ce dernier générerait, l’entreprise a « complètement transformé » son back-end de stockage, d’après son Georges Bossert. CTPO (Chief Technology and Product Officer). La pression n'a pas été celle attendue.

« Les agents sont beaucoup plus performants que les humains d'un point de vue technologique », pour reprendre les mots de Georges Bossert. Leurs recherches sont « extrêmement précises », sur les timelines nécessaires, avec les bons filtres. « Avec les agents, on a des temps de recherche beaucoup plus courts malgré le volume beaucoup plus élevé. » Le même impact devrait être constaté sur les technologies tierces.

C'est justement le « gros sujet » actuel de Sekoia : donner à Roy l'accès à son catalogue d'intégrations. SPIE a dû faire sans. Dimitri Farcy, head of SecOps, donne un exemple : les recherches d'IOC étaient limitées à la CTI de Sekoia.

Dans un autre registre, il souligne l'absence de traitement en masse via les cases - une fonctionnalité que Sekoia affirme toutefois avoir sur sa roadmap. 96 % de verdicts inchangés... mais beaucoup de « vrais positifs » qui n'en étaient pas Si c'était à refaire, SPIE fournirait davantage de contexte dès le départ (instructions personnalisées pour décrire l'environnement), ciblerait plus tôt les alertes à score élevé et connecterait le module CAASM Reveal à davantage de sources. Lire aussi : Gamaredon : comment le FSB a réinventé son arsenal d'espionnage Le groupe se dit néanmoins satisfait des résultats.

Il avance deux indicateurs en particulier : 96 % des verdicts inchangés par les analystes**, et des équipes SOC « entre 2 et 5 fois plus rapides ». Le retour d'expérience présenté aux Assises de la sécurité couvre un peu plus de 35 000 alertes. Son volet principal en englobe environ 10 000, traitées en septembre.

Sur la base des 80 règles de détection que SPIE avait fournies, l'intégralité des prédictions de faux positifs se sont révélées justes. Elevate s'est avéré moins bon sur les vrais positifs : des 411 prédits, seuls 2 en étaient. À ce sujet, Dimitri Farcy met un bémol.

Il évoque la présence de « faux positifs bénins », en conséquence desquels on entreprend tout de même des actions. « Typiquement, un bot qui va nous scanner », en conséquence de quoi on bloque une adresse IP. « Sur les 409 [faux positifs], c'est très souvent le cas », assure l'intéressé.

Et de rappeler que SPIE avait choisi de ne pas fournir de contexte à Roy, ayant décidé de s'en servir pour améliorer ses règles de détection. Preuve en serait que les verdicts erronés ont culminé en début de mois, après quoi la prise en compte du filtrage sur les règles de détection a « grandement amélioré la véracité ». Recentrer le niveau 1 sur la couverture À date, Elevate fournit un verdict, mais ne réalise pas lui-même d'actions.

« Le but, c'est qu'on puisse le configurer demain pour le faire, explique Maxime Hugon, solutions architect chez Sekoia. Pour ça, j'ai construit, à la demande de Dimitri, un playbook qui permet, en fonction du verdict et du niveau de confiance associé à une investigation, de faire de l'auto-close d'une alerte ou de réaliser des actions de containment ». Dans ce contexte, Dimitri Farcy admet que « le niveau 1 est voué en grande partie à disparaître pour se concentrer sur la partie couverture. » « Cela fait partie de l'accompagnement qu'on se doit d'apporter à nos collaborateurs, renchérit Sébastien Louis, RSSI groupe de SPIE.

L'objectif n'est pas de déstaffer, mais de faire monter le niveau de valeur ajoutée des tâches confiées aux personnes. L'augmentation de la couverture et [la] boucle vertueuse d'amélioration continue, c'est là-dessus qu'on va se positionner. » Cette « boucle vertueuse » reposera notamment sur les runbooks « agentiques » qu'Elevate génère automatiquement pour chaque règle. Les analystes peuvent les éditer pour ajouter des requêtes qui affineront le verdict.

Par rapport aux runbooks classiques qui définissent les étapes et leur ordre, ceux d'Elevate : Décrivent les questions importantes Définissent les hypothèses à considérer Indiquent signaux et éléments de contexte Orientent vers les sources et les outils utiles Déterminent ce qu'il faut avoir établi pour pouvoir conclure Dans ce schéma, « l'analyste a un rôle de maintien d'une méthodologie d'investigation », résume Dimitri Farcy. Georges Bossert lui fait écho : « Cet effort d'explication redonne un intérêt à travailler sur la méthodologie d'investigation. » SPIE prévoit des « discussions avec [son] MSSP » sur le partage de la valeur « On a développé l'infrastructure à base de nos propres GPU [et] de modèles choisis et constamment réévalués disponibles sur le marché avec des benchmarks », commente le CTPO de Sekoia. Quant à savoir de quels modèles il s'agit, on repassera.

L'entreprise préfère mettre en avant tout ce qu'il y a autour. Y compris ce qui est encore sur la feuille de route. Par exemple : Agents améliorant les règles de détection, les parseurs, les runbooks, la définition des cases, etc. Mode conversationnel à l'issue de la boucle agentique dans l'optique de guider Roy dans la remédiation Gestion des tâches (créer, suspendre, reprendre et suivre des tâches d'investigation lorsqu'une réponse dépend d'une action, d'une donnée ou d'un événement futur) Association d'agents et de playbooks déterministes Du côté de SPIE, on prévoit « des discussions avec [le MSSP] pour prendre la juste mesure des gains [...] et voir comment on arrive à se partager cette valeur additionnelle », détaille Sébastien Louis.

Lire aussi : Alstom : dix ans de migration vers le Zero Trust Avant d'annoncer la GA d'Elevate, Sekoia l'a déployé chez 1000 clients. Il annonce un temps moyen d'investigation de 88 secondes, pour 90 % de verdicts non modifiés. « On n'est pas aussi bons que chez SPIE, où il y a eu tout un travail de choix des règles et ainsi de suite, justifie Georges Bossert.

Là, ç'a été beaucoup plus 'je clique sur le bouton, j'active sans configuration' »... * SPIE a lui-même la casquette de MSP à travers sa filiale de services informatiques SPIE ICS. ** 11 analystes ont été sollicités. Sekoia a présenté des résultats plus détaillés pour une quinzaine de règles, sur un sous-ensemble d'environ 5000 alertes. La précision pondérée atteint 94,4 %.

SPIE a validé 100 % des verdicts dans trois cas : désactivation de service, énumération des partages réseau et modification d'un groupe AD à privilèges. Photo : © DR