Préparer le contexte d’un assistant SOC sans perdre le sens des événements
Fiabilisez le contexte fourni à une IA SOC : temps, identités, résultats, doublons et valeurs manquantes, tout en conservant les preuves originales.
Périmètre des intégrations : Seculogik utilise une architecture indépendante des sources pour ingérer les alertes et événements de sécurité via son propre modèle de données. Wazuh et OpenSearch sont les premières intégrations. Les autres sources citées correspondent à des connecteurs prévus ; leur disponibilité doit être confirmée pour chaque évaluation.
Avant de demander à une IA d’expliquer un incident, il faut vérifier que les événements fournis parlent de la même chose. Un compte, un horodatage ou un statut peuvent avoir des significations différentes selon les produits.
Une synthèse cohérente en apparence peut masquer ces écarts.
OCSF propose un schéma commun pour faciliter l’ingestion et la normalisation des données de cybersécurité.
Ce type de cadre peut aider à organiser le contexte transmis à un assistant, à condition de conserver les particularités utiles des sources. Source : Open Cybersecurity Schema Framework.
La première vérification concerne le temps. Distinguez l’heure de l’événement de celle de sa collecte et rendez explicite le fuseau utilisé. Une arrivée tardive dans le SIEM ne signifie pas que l’action s’est produite après les événements déjà reçus.
Les chronologies doivent tenir compte de cette différence.
La deuxième concerne les identités. Un nom affiché, une adresse électronique et un identifiant technique peuvent désigner le même compte, mais ce rapprochement doit être fondé sur un référentiel approprié.
Conservez l’origine de la résolution et signalez les scénarios ambigus, notamment pour les comptes renommés ou partagés.
La troisième concerne le résultat. Selon la source, « succès » peut décrire une demande acceptée, une authentification obtenue ou une opération entièrement terminée. La normalisation doit documenter cette sémantique.
Sinon, le modèle risque de raconter une action achevée alors que le journal ne prouve qu’une étape intermédiaire.
Traitez aussi explicitement les valeurs manquantes. Un champ absent ne doit pas devenir une valeur négative ou une chaîne vide interprétée comme significative. Une indication d’inconnu permet à l’assistant de demander l’enrichissement nécessaire plutôt que de combler le manque.
Les doublons méritent leur propre règle. Une même activité peut être collectée par plusieurs chemins. Les regrouper évite d’exagérer le volume, mais une déduplication trop agressive peut faire disparaître des observations distinctes.
Conservez les références permettant de revenir aux événements sources.
Pour tester le pipeline, préparez un petit dossier contenant volontairement un décalage horaire, une identité ambiguë et un résultat partiel. Comparez ensuite la chronologie produite avec l’interprétation attendue par les analystes. Les erreurs deviennent des tests de non-régression.
Vous envisagez une IA de synthèse ou d’investigation ? Un échange avec Seculogik peut commencer par la qualité du contexte réellement disponible.
Corriger les ambiguïtés de données fournit souvent un meilleur point de départ que multiplier les consignes adressées au modèle.