Le SOAL que vous n'avez pas choisi

Le SOAL que vous n'avez pas choisi

Repensez à la manière dont votre plateforme SOAR (Security Orchestration Automation and Response) s'est intégrée à votre infrastructure. Était-ce un choix délibéré, le fruit d'une évaluation approfondie de vos besoins spécifiques ? Ou a-t-elle simplement été incluse dans un achat plus important ?

Pour de nombreuses équipes de sécurité, la réponse honnête est la deuxième. Le SOAR n'a pas été choisi ; il s'est imposé de lui-même.

Cette distinction est plus importante qu'il n'y paraît. L'automatisation de la sécurité influence le travail quotidien de vos analystes. Elle détermine votre réactivité, votre capacité d'adaptation et l'efficacité de la communication entre vos outils. Une plateforme aussi cruciale mérite d'être choisie pour ses qualités intrinsèques. Pourtant, pour de nombreuses équipes, ce ne fut jamais le cas.

Comment SOAR se retrouve intégré dans un pack

Le scénario est classique. Un fournisseur propose une plateforme plus large : SIEM, veille sur les menaces, protection des terminaux, et éventuellement une couche de services gérés. Le SOAR est également inclus, intégré à la plateforme. L’équipe d’approvisionnement y voit un contrat plus clair et moins de fournisseurs à gérer. Sur le papier, l’offre est intéressante. Le contrat est donc validé. Le SOAR est inclus.

Personne ne s'est penché sur la question de savoir si ce moteur d'automatisation était le plus adapté à l'environnement. Personne ne l'a comparé aux alternatives. La décision portait sur l'ensemble de la solution, et SOAR n'était qu'un élément parmi d'autres.

Il ne s'agit pas d'une critique de la qualité technique de ces outils. Palo Alto XSOAR, Splunk SOAR et FortiSOAR sont tous des produits performants conçus par des équipes compétentes. Cependant, force est de constater que, malgré leur excellence à leur époque, ces plateformes SOAR n'ont pas bénéficié d'innovations depuis des années et ne sont plus adaptées aux menaces actuelles.

Les 4 principaux compromis que personne n'a lus à voix haute

Chaque solution globale implique des compromis que vous n'avez jamais explicitement acceptés. Ils ne figurent pas dans la présentation commerciale. Ils apparaissent plus tard, dans le quotidien des opérations. C'est une adaptation imposée par la nature. Lorsque SOAR fait partie d'un projet plus vaste, il est optimisé pour les besoins du fournisseur, et non pour vos processus spécifiques. Vous vous adaptez à l'outil au lieu que l'outil s'adapte à vous. Avec le temps, votre équipe construit des processus autour de ses limites et finit par les considérer comme normales.

1. Le biais de l'écosystème SOAR. 

Une solution SOAR intégrée est conçue pour renforcer votre lien avec la plateforme principale. Elle s'intègre parfaitement à l'écosystème du fournisseur, mais devient nettement plus rigide ailleurs. Les intégrations mises en avant par le fournisseur sont généralement celles qui favorisent la vente de ses propres produits. Or, aucune infrastructure de sécurité digne de ce nom ne repose sur un seul fournisseur. La plupart des environnements s'appuient sur une douzaine de sources, et une solution SOAR qui privilégie l'une d'entre elles considère les autres comme une simple option.

2. L'ancien système SOAR a réduit votre flexibilité. 

Des modifications qui devraient prendre un après-midi peuvent nécessiter l'intervention d'un spécialiste. Les mises à jour sont effectuées selon le calendrier du fournisseur, pas le vôtre. L'automatisation que vous souhaitez le plus développer est parfois celle que la plateforme rend la plus difficile. Rien de dramatique à cela. C'est simplement une perte de temps et d'énergie pour votre équipe.

3. Dépendance vis-à-vis du fournisseur avec SOAR intégré 

Voici un point rarement abordé lors de la signature d'un contrat : chaque processus développé au sein d'un écosystème fermé complique la transition. Chaque intégration, chaque flux de travail, chaque dépendance augmente le coût de tout changement d'avis. L'adoption de cette solution est aisée, et cette facilité d'adoption constitue la stratégie. La véritable question n'est pas la facilité de démarrage, mais le sentiment d'être piégé dans trois ans.

4. Une solution SOAR pratique aujourd'hui peut devenir une contrainte plus tard.

Le regroupement des commandes résout un problème d'approvisionnement. Il simplifie la gestion des fournisseurs et clarifie le contrat. Ce sont des avantages réels et non négligeables.

Mais la facilité d'approvisionnement et la réalité opérationnelle sont deux choses différentes. Une décision qui simplifie un renouvellement en salle de réunion peut compliquer la tâche au sein du SOC. Ce sont vos analystes qui constatent l'écart entre ce qui a été acheté et ce dont ils ont réellement besoin.

Voilà comment une automatisation “ suffisante ” bride insidieusement le potentiel d'une équipe. L'outil fourni n'est pas défaillant. Il fonctionne suffisamment bien pour que personne ne le remette en question. Pendant ce temps, votre équipe bricole des solutions de contournement, accepte les contraintes comme une fatalité et oublie peu à peu ce qu'une plateforme conçue spécifiquement pour elles pourrait réellement accomplir.

Considérations objectives pour une réévaluation de SOAR

Quelques questions peuvent vous aider à y parvenir :

• Votre solution SOAR automatise-t-elle correctement l'ensemble de votre pile technologique, ou seulement les outils d'un seul fournisseur ?
• Combien de temps faut-il pour mettre en place ou modifier un flux de travail efficace, et qui doit s'en charger ?
• Si vous vouliez partir, quelle part de ce que vous avez construit devriez-vous reconstruire à partir de zéro ?
• Cette plateforme trouverait-elle sa place dans votre environnement si elle devait faire ses preuves par elle-même ?

Une meilleure voie à suivre

C'est ici que Turbine de couloir de nage entre en jeu, et c'est pourquoi nous envisageons le problème différemment.

Turbine est conçu pour être indépendant des fournisseurs. Il n'a pas été créé pour privilégier un écosystème particulier ni pour vous inciter à acheter davantage de produits d'un seul fournisseur. Son objectif est d'orchestrer votre environnement tel qu'il existe réellement : hétérogène, évolutif et composé d'outils provenant de sources diverses. Votre automatisation s'adapte à votre infrastructure, et non à la feuille de route d'un fournisseur.

Cette ouverture est essentielle. Lorsque votre approche d'automatisation n'est pas liée à une seule plateforme, vous conservez un large éventail d'options, vous vous adaptez rapidement et vous pouvez orchestrer l'ensemble de vos opérations, et pas seulement les éléments approuvés.

Et si vous craignez que la migration implique de tout reconstruire, c'est une préoccupation légitime, et nous y avons remédié. Swimlane peut migrer jusqu'à 901 000 flux de travail existants depuis votre plateforme actuelle. La partie la plus complexe est gérée en amont, vous évitant ainsi de tout recommencer si vous changez d'avis.

Vous avez choisi votre SIEM. Vous avez choisi vos outils de sécurité des terminaux. Vous devriez également pouvoir choisir comment votre environnement est orchestré, selon ses avantages, pour votre environnement et selon vos conditions.

Posez-vous donc la question en toute honnêteté. Ensuite, décidez ce que votre équipe mérite vraiment.