Une synthèse IA du SOC doit permettre de retrouver chaque preuve
Reliez les conclusions IA aux événements sources, aux transformations et à leur date pour produire des synthèses SOC vérifiables.
Périmètre des intégrations : Seculogik utilise une architecture indépendante des sources pour ingérer les alertes et événements de sécurité via son propre modèle de données. Wazuh et OpenSearch sont les premières intégrations. Les autres sources citées correspondent à des connecteurs prévus ; leur disponibilité doit être confirmée pour chaque évaluation.
Une synthèse fluide peut faire gagner du temps à la relève d’un SOC. Elle devient plus difficile à utiliser lorsqu’aucun lecteur ne peut retrouver l’événement qui justifie une affirmation importante.
La provenance des informations doit donc accompagner la synthèse jusqu’au dossier d’incident.
Le W3C a développé la famille PROV pour représenter et échanger des informations de provenance.
Sans imposer ce modèle à chaque SOC, son approche rappelle une distinction utile : une donnée, sa transformation et l’acteur associé ne constituent pas un seul et même objet. Source : W3C, PROV Model Primer.
Dans une enquête, « le compte a exécuté cette action » peut résulter de plusieurs rapprochements : un événement d’authentification, une résolution d’identité et un journal applicatif.
La synthèse devrait rendre ces dépendances consultables, plutôt que présenter leur assemblage comme une observation directe unique.
Nous recommandons de conserver, pour chaque constat important, un identifiant de source, son horodatage, le moment de sa collecte et la transformation utilisée.
La présence d’un lien est utile seulement si les analystes habilités peuvent effectivement ouvrir la preuve ou accéder à une copie conservée selon les règles du dossier.
Il faut aussi distinguer les niveaux de certitude. Un événement observé, une information d’inventaire et une hypothèse de corrélation n’ont pas le même statut.
Des libellés simples permettent au lecteur de comprendre rapidement ce qui peut soutenir une décision et ce qui nécessite une vérification supplémentaire.
La fraîcheur compte autant que l’origine. Une adresse réseau associée hier à un équipement peut avoir changé de propriétaire. Une référence de renseignement peut avoir été révisée. Présentez les dates pertinentes et signalez les écarts temporels qui fragilisent le rapprochement.
Pensez également aux désaccords. Si deux sources attribuent une activité à des comptes différents, demander au modèle de produire une réponse unique peut masquer le problème. Le dossier devrait conserver la contradiction et proposer la vérification nécessaire pour la résoudre.
Un exercice pratique consiste à donner une synthèse à un analyste qui n’a pas suivi l’incident. Demandez-lui de retrouver les preuves de trois conclusions déterminantes et d’identifier les hypothèses restantes.
Les obstacles rencontrés indiquent exactement ce que le format doit améliorer.
Cette traçabilité facilite la relève, la revue qualité et le retour d’expérience.
Pour échanger avec Seculogik, partez d’un rapport anonymisé et de ses sources : l’objectif sera de définir un format de preuve utilisable au quotidien, compatible avec vos outils et vos contraintes d’accès.