Victrix témoigne de l'expérience d'un mois de remplacement de SOAR par Swimlane

Nous avons remplacé notre SOAR en un mois. Voici le récit sincère des raisons de ce choix et de la suite des événements.

Je tiens à être franc avec vous : ce que je vais décrire n'a pas commencé comme une histoire à succès.

Tout a commencé par une victoire. Celle de VictrixSEvOC, le SoC géré Je suis candidat au Québec et j'ai remporté un important appel d'offres. Quarante-cinq nouveaux clients du secteur parapublic, d'un seul coup. Des centaines de milliers de nouveaux terminaux à protéger. C'était exactement le type de croissance que nous avions recherché.

Se posait alors la question à laquelle personne n'avait pleinement répondu : comment pouvons-nous réellement tous les servir ?

Nous ne pouvions pas embaucher vingt nouveaux analystes. Ce n'était pas prévu. Notre objectif était d'automatiser notre croissance grâce à une solution SOAR. C'est ce que nous avons fait. Contraintes : nous avions besoin d'une infrastructure de données canadienne. Nous avons investi dans une telle infrastructure et l'avons mise en place. Nous nous sommes fixé comme objectif d'automatiser au moins 201 000 millions de tickets entrants dès la première année.

À la fin de cette année-là, j'ai dû annoncer une nouvelle difficile à ma direction : nous n'avions pas atteint notre objectif. Non pas par manque d'efforts de l'équipe, mais parce que la plateforme ne nous convenait pas.

Je ne dis pas cela pour embarrasser qui que ce soit. Chaque fournisseur rencontre des difficultés de croissance. Mais lorsque vos analystes contournent activement votre solution SOAR car elle est trop instable pour être fiable, il ne s'agit pas d'un problème produit que vous pouvez ignorer. C'est un signal d'alarme.

Nous avons donc recommencé à chercher.

Les 3 exigences sur lesquelles nous ne pouvions transiger

Au moment de décider de changer, nous savions exactement ce dont nous avions besoin. 

#1 : IA prête pour la production  

Intégrée à la plateforme. Pas une promesse de feuille de route. Pas un simple ajout à la solution SOAR. L'IA est intégrée aux playbooks, effectuant les investigations et corrélations qui accaparaient nos analystes. Notre ancien fournisseur nous l'avait promis. Nous ne l'avons jamais vue en production.

#2 : Résidence des données au Canada

Ce n'est pas une option pour nous. Les données de nos clients restent au Canada. Cette exigence a éliminé de nombreuses possibilités et, honnêtement, c'est la raison pour laquelle nous n'avons pas choisi Swimlane au départ. Swimlane était pourtant notre premier choix un an auparavant. Mais ils n'avaient pas de client canadien à l'époque, alors nous nous sommes tournés vers une autre solution.

#3 : Un partenaire qui comprend et soutient les MSSP

Un fournisseur de services de sécurité gérés est différent d'une entreprise exploitant un seul SOC interne. Nous gérons des dizaines d'environnements clients, des dizaines d'ensembles d'outils différents, et nous avons besoin d'une plateforme adaptée à cette complexité. L'ancienne équipe de support ne l'a jamais vraiment compris.

L'appel qui a tout changé

Environ six mois après avoir commencé nos recherches, Swimlane nous a contactés. Ils avaient trouvé un locataire canadien. Étions-nous toujours intéressés ?

Je n'ai pas hésité. Je savais ce que j'avais à faire. Je devais convaincre ma direction qu'il fallait abandonner complètement le système SOAR sur lequel nous avions passé un an à construire, tout migrer et le faire rapidement. La discussion n'a pas été facile. Mais j'y croyais et j'ai défendu ma position.

Puis vint la partie à laquelle je n'étais absolument pas préparée.

Pourquoi cette fois-ci était différente 

L'équipe Swimlane a travaillé en parallèle avec nous tout au long du projet. Pendant qu'ils reconstruisaient nos intégrations et nos flux de travail de leur côté, mon équipe se formait. Nous avons élaboré ensemble des procédures. Swimlane les examinait et nous encourageait à continuer. C'était une approche de travail véritablement différente. Pas un fournisseur qui nous fournit de la documentation et nous souhaite bonne chance, mais un véritable partenariat.

“ S’il faut travailler jours, nuits et week-ends pour réussir cette transition ”, m’a dit mon équipe, “ on le fera. ” Et ils étaient sincères. L’enthousiasme autour de cette migration était sans précédent. Les gens étaient prêts à changer.

Ce que nous avons immédiatement remarqué

La première chose qui m'a frappé, c'est l'adoption. Tous les analystes qui contournaient notre système SOAR et travaillaient manuellement utilisaient désormais Turbine. Absolument tous. Dès le premier jour. Cela m'a appris une chose importante : lorsqu'un outil est vraiment performant, il n'est pas nécessaire de forcer les gens à l'utiliser.

Le deuxième point concernait les intégrations. Avec notre solution SOAR précédente, chaque outil, dans chaque environnement client, nécessitait une intégration distincte. Avec Turbine, nous créons un seul playbook et un seul connecteur pour chaque catégorie EDR. Ce playbook unique s'exécute contre Microsoft Defender, CrowdStrike ou SentinelOne. Même logique, connecteur différent. Nous avons également développé une application d'entreprise Azure qui centralise la gestion des autorisations pour l'ensemble de notre clientèle. Cette solution est d'une simplicité inédite.

Le troisième point concernait l'IA. Et c'est sur ce point que je souhaite m'attarder un instant, car il est important.

L'IA qui fait réellement ce qu'elle promet

Nous avons commencé à intégrer l'IA de Swimlane à nos procédures. L'IA mène l'enquête : elle met en corrélation les signaux, analyse l'alerte et explique sa conclusion à l'analyste en termes simples. L'analyste prend connaissance du rapport, décide et clôture le dossier. Ce qui nécessitait auparavant une heure de travail manuel minutieux ne prend plus que quelques minutes.

Je recense tous les cas où l'IA formule une recommandation. Je souhaite savoir à quelle fréquence l'analyste est d'accord avec cette recommandation.

Jusqu'à présent : 100 % du temps.

Pour chacune des recommandations formulées par Turbine en production, l'analyste est parvenu indépendamment à la même conclusion. 

Je ne suis pas encore prêt à affirmer que l'IA prendra entièrement le contrôle. Nous sommes toujours dans la phase où chaque décision est validée par un humain. C'est la meilleure approche pour le moment. Mais dès qu'un type de dossier aura un historique suffisamment long, nous laisserons l'IA le clôturer sans l'approbation d'un analyste. Cette transition est inévitable. Les données le confirment.

Où nous allons

D'ici six mois, je prévois de faire évoluer l'ensemble de nos analystes (50%) vers des missions plus stratégiques et stimulantes, en leur confiant des responsabilités de niveau 2 et 3 : projets de sécurité, chasse aux menaces, etc. Un travail qui requiert une véritable expertise humaine, et non une simple vérification des résultats déjà obtenus par les logiciels.

Nous prévoyons également d'étendre notre utilisation de Turbine. La gestion des vulnérabilités est prévue dans notre feuille de route. Le système de reporting évolue. Le système de gestion des tickets pourrait à terme être entièrement migré vers Swimlane. Chez Victrix, nous développons une plateforme de cybersécurité plus globale, et Turbine en est un élément central. 

Un conseil si vous êtes dans la même situation que nous.

Si vous êtes un fournisseur de services de sécurité gérés (MSSP) et que vos analystes contournent une plateforme SOAR au lieu de l'utiliser, prenez ce problème au sérieux. Il ne s'agit pas d'un problème de formation, mais d'un problème de plateforme.

Si vous évaluez des solutions de remplacement, voici mon conseil : choisissez un cas d’usage précis. Quelque chose qui coûte du temps réel à vos analystes chaque jour. L’analyse des tentatives d’hameçonnage par e-mail. L’enrichissement des alertes. Quelque chose de concret. Demandez une preuve de concept uniquement pour ce cas précis. Observez comment Turbine le gère dans quelques semaines.

Les mathématiques trancheront pour vous.