On demande aux équipes chargées de la sécurité d'agir plus rapidement que jamais. Les attaquants ont recours à l'automatisation, les infrastructures évoluent de minute en minute, et le nombre d'alertes, de failles de sécurité et de pistes d'enquête ne cesse d'augmenter. Mais trop de processus opérationnels du SOC dépendent encore du temps limité dont disposent les experts. Un analyste senior rédige la requête, traduit l'hypothèse, passe d'un outil à l'autre, valide le résultat, puis transmet ses conclusions afin que des mesures soient prises.
L'embarcation fonctionne. Cela prend simplement du temps, et il n'y a jamais assez d'experts pour répondre à tous les besoins.
Agentic SecOps transforme le modèle opérationnel. Grâce à Tanium Atlas, les équipes de sécurité peuvent diriger les opérations en langage naturel, analyser les données en temps réel des terminaux et garantir le contrôle humain par le biais de procédures de validation et de gouvernance. Au lieu de demander aux analystes de reconstituer manuellement chaque étape, Atlas aide les équipes à passer de la question aux preuves, puis à l'action, en s'appuyant sur les données réelles disponibles à l'instant présent sur l'ensemble du parc de terminaux.
Pourquoi Agentic SecOps, et pourquoi maintenant ?
Le marché de la sécurité est rapidement passé des copilotes aux agents. Presque tous les grands éditeurs de solutions de sécurité racontent une version de la même histoire. L'IA peut aider les analystes à détecter, trier et réagir plus rapidement.
Mais l'efficacité de la sécurité opérationnelle dépend entièrement de la qualité des données et des techniques d'intervention sur lesquelles elle repose.
La plupart des solutions AI-SOC effectuent des analyses à partir de données qui ont déjà été collectées, normalisées et stockées ailleurs. Cela peut s'avérer utile pour une analyse historique, mais cela crée un fossé lorsque la question est d'ordre opérationnel et urgente. Est-ce que cela fonctionne en ce moment ? Où ? Sur combien de terminaux ? Pouvons-nous vérifier cela avant d'agir ?
C'est là que Tanium se distingue. Tanium Atlas s'appuie sur des données de référence en temps réel issues des terminaux, une visibilité en temps réel sur l'ensemble du parc informatique, et associe cette base de données aux workflows SecOps, à l'expertise de HuntIQ et à des renseignements sur les menaces de haute fidélité. Il en résulte une expérience SecOps proactive, conçue non seulement pour expliquer ce qui s'est passé, mais aussi pour aider les équipes à identifier, valider et réagir face à ce qui se passe actuellement.
Recherche de menaces guidée par des agents dans Atlas
La première initiative majeure d'Agentic SecOps est la recherche de menaces guidée par un agent dans Atlas.
La recherche de menaces est l'une des activités les plus importantes qu'un SOC puisse mener, mais c'est aussi l'une des plus difficiles à mettre en œuvre à grande échelle. Un chasseur doit formuler une hypothèse, la traduire en requêtes appropriées, effectuer des itérations sur l'ensemble du parc, interpréter les résultats, mettre en correspondance les conclusions avec les comportements connus des adversaires, puis décider de ce qui doit constituer une couverture de détection durable. Ce travail nécessite généralement une expertise de haut niveau, ce qui explique pourquoi de nombreuses équipes mènent des recherches moins souvent qu'elles ne le devraient.
Grâce à la recherche de menaces guidée par des agents, une équipe de sécurité peut formuler une hypothèse de recherche en langage clair. Atlas est capable d'analyser les données en temps réel des terminaux, de coordonner les fonctionnalités de recherche de Tanium, telles que Threat Navigator, et d'aider l'équipe à mener à bien ses recherches sans que chaque analyste soit obligé de rédiger manuellement les requêtes sous-jacentes.
L'objectif n'est pas d'exclure l'humain de ce processus. C'est pour mettre en valeur l'humain. Les analystes gardent le contrôle, examinent le raisonnement et les éléments de preuve, et recourent à des autorisations pour régir les actions sensibles ou destructrices. Cependant, le travail répétitif de traduction et d'orchestration peut être accéléré, ce qui permet aux équipes d'effectuer davantage de recherches, d'impliquer davantage d'analystes et de transformer les résultats validés en une couverture de détection plus efficace.
Pour les clients qui utilisent déjà HuntIQ, cette fonctionnalité s'avère particulièrement performante. La recherche de menaces guidée par des agents est conçue pour compléter les compétences des experts, et non pour les remplacer. Elle permet aux chasseurs de menaces expérimentés de travailler plus efficacement et aide les équipes des clients à tirer parti de modèles de recherche reproductibles et guidés.
La précision en temps réel des données sur les terminaux est ce qui fait la différence
Le modèle « Agentic SecOps » repose sur un principe simple. Un agent ne peut pas prendre de bonnes décisions opérationnelles s'il se fonde sur un contexte obsolète ou incomplet.
L'avantage de Tanium réside dans le fait qu'Atlas analyse l'état en temps réel des terminaux. Lorsqu'un chasseur demande si un comportement suspect est détecté au sein de la flotte, Atlas peut répondre en se basant sur ce qui est en cours d'exécution à ce moment-là, et non pas uniquement sur les données collectées il y a plusieurs heures.
C'est important, car de nombreuses questions relatives aux opérations de sécurité (SecOps) portent sur la situation actuelle.
- Ce processus est-il toujours en cours d'exécution ?
- Quels terminaux disposent actuellement de ce mécanisme de persistance ?
- Où se trouve ce fichier binaire suspect au sein du parc immobilier ?
- Ces indicateurs sont-ils présents sur les actifs critiques ?
- Pouvons-nous valider ces informations avant de les intégrer dans une logique de détection ?
Les données historiques ont toujours leur importance. Les solutions SIEM et les lacs de données restent des éléments importants du SOC. En revanche, en ce qui concerne les opérations agentiques, les données de référence en temps réel provenant des terminaux offrent aux défenseurs un avantage d'un autre ordre. Ils peuvent vérifier ce qui est vrai aujourd'hui et agir tant que cela a encore de l'importance.
Des renseignements de haute fidélité, moteur du SOC agentique
Les opérations de sécurité axées sur l'agent (SecOps) ont également besoin de meilleurs points de départ. Si l'on demande à un agent de rechercher des indicateurs peu fiables ou bruités, les résultats en tiendront compte. Des informations de haute qualité sur les menaces constituent le moteur qui permet aux flux de travail autonomes de donner la priorité à ce qui compte vraiment.
C'est pourquoi Tanium intègre Google Threat Intelligence (GTI) dans le flux de travail en temps réel des terminaux. La valeur stratégique ne réside pas simplement dans l'accès à un flux supplémentaire. Il s'agit d'une mise en œuvre concrète, alliant l'intelligence de niveau Google à la capacité de Tanium à déterminer si un indicateur, un comportement ou un signal de menace est présent dans l'environnement en production du client.
Lors de la conférence Black Hat, cette histoire commence avec les campagnes de recherche proposées par HuntIQ et s'appuyant sur Google Threat Intelligence, désormais accessibles à nos clients. Tanium étudie actuellement les moyens d'intégrer progressivement GTI davantage dans les workflows SecOps et Atlas, afin que les analystes puissent partir de points d'ancrage plus solides, réduire le tri des faux positifs et fournir aux workflows basés sur les agents des signaux plus fiables sur lesquels s'appuyer pour leur analyse.
En d'autres termes, les renseignements sur les menaces vous indiquent ce qui est dangereux. Tanium vous indique s'il est présent dans votre environnement à l'heure actuelle et aide votre équipe à déterminer la marche à suivre.
Une autonomie contrôlée, et non une automatisation aveugle
Les équipes de sécurité ont raison de faire preuve de prudence vis-à-vis des agents IA. Un SOC ne peut pas se permettre de recourir à une automatisation de type « boîte noire » qui intervient sans contexte, sans éléments probants ni contrôle.
L'approche de Tanium en matière de « SecOps agentique » est encadrée et axée sur l'humain. Atlas est conçu pour présenter son raisonnement, fonder son travail sur des données en temps réel et recourir à des validations, afin que les équipes puissent déterminer, au fil du temps, où elles se situent sur un continuum allant d'une assistance guidée à une plus grande autonomie.
C'est un élément important pour instaurer la confiance. Une équipe peut commencer par mettre en place des processus à faible risque et vérifiables. Posez une question, lancez une recherche, examinez les éléments de preuve, validez le résultat. À mesure que la confiance s'installe, l'équipe peut déléguer davantage tout en veillant à ce que les actions importantes restent soumises à un contrôle humain.
L'objectif d'Agentic SecOps n'est pas de « remplacer l'analyste ». Il s'agit de « donner de la marge de manœuvre à l'analyste ». Permettez aux chasseurs expérimentés de consacrer moins de temps à traduire leurs intentions en outils et davantage de temps à prendre des décisions. Confiez aux analystes moins expérimentés la gestion des flux de travail qui nécessitaient auparavant des connaissances spécialisées en matière de requêtes. Permettez aux responsables du SOC d'améliorer la couverture et les capacités sans que chaque processus doive passer obligatoirement par ce même petit groupe d'experts.
Ce que cela implique pour les équipes chargées des opérations de sécurité
Agentic SecOps réunit les trois éléments indispensables aux responsables de la sécurité.
- Données de référence en temps réel sur les terminaux : Atlas est capable d'analyser ce qui se passe réellement sur les terminaux à l'instant même, ce qui aide les équipes à valider leurs conclusions par rapport à la situation actuelle.
- Chasse aux menaces guidée par des experts et workflows de sécurité des opérations (SecOps) : La « chasse aux menaces guidée par un agent » aide les équipes à formuler des hypothèses en langage naturel, à mener des opérations de chasse reproductibles, à replacer leurs découvertes dans le contexte du modèle MITRE ATT&CK et à passer d'une enquête ponctuelle à une couverture durable.
- Informations sur les menaces de haute fiabilité : Les méthodes de Google Threat Intelligence et de HuntIQ offrent aux analystes et aux agents des points de départ plus solides, ce qui contribue à réduire le bruit et à renforcer la confiance lors des opérations de recherche et de triage.
Ensemble, ces fonctionnalités aident les équipes de sécurité à passer d'une gestion réactive des alertes à une défense proactive et continue. Elles permettent à un plus grand nombre de membres de l'équipe de participer à des processus de travail avancés. Et elles offrent aux dirigeants une approche concrète pour adopter l'IA agentique sans renoncer au contrôle.
La prochaine étape pour les SecOps
La mise en œuvre d'une stratégie « Agentic SecOps » ne se résume pas à un simple lancement ponctuel. Il s'agit d'une orientation stratégique de la plateforme.
Atlas est d'ores et déjà disponible pour l'ensemble des clients du cloud commercial, apportant à Tanium des opérations en langage naturel, des agents en arrière-plan et l'exécution contrôlée des workflows. La solution Agentic SecOps s'appuie sur ces bases en proposant des flux de travail spécifiques à la sécurité. Elle intègre la recherche de menaces guidée par des agents, la validation des données en temps réel, les informations basées sur la technologie GTI, l'expertise HuntIQ, ainsi qu'une feuille de route qui se poursuit jusqu'aux conférences Black Hat et Converge.
Le futur SOC ne se résumera pas à un simple tableau de bord ou à un simple lac de données. Cela dépendra de la rapidité avec laquelle les défenseurs seront capables de passer d'un signal à la compréhension, puis à l'action, en faisant preuve de confiance, en respectant les règles et en s'appuyant sur les données réelles du terrain.
C'est là que réside l'opportunité pour Agentic SecOps. Transformez les informations en temps réel sur les terminaux fournies par Tanium en opérations de sécurité guidées et de niveau expert, capables de s'adapter à la vitesse à laquelle évoluent les menaces.
