História de um mês de substituição do SOAR pela Swimlane, da Victrix.

Substituímos nosso SOAR em um mês. Aqui está a história sincera de por que fizemos isso e o que aconteceu depois.

Quero ser sincero com você: o que vou descrever a seguir não começou como uma história de sucesso.

Tudo começou com uma vitória. A de Victrix.SEvOC, o SOC gerenciado Concorri a uma vaga em Quebec e ganhei uma importante licitação. Quarenta e cinco novos clientes no setor parapúblico, todos de uma vez. Centenas de milhares de novos endpoints para proteger. Era exatamente o tipo de crescimento que havíamos buscado.

Então surgiu a pergunta que ninguém tinha respondido completamente: como podemos, de fato, atender a todos eles?

Não podíamos contratar vinte novos analistas. Esse nunca foi o plano. O plano era automatizar nosso caminho para a escalabilidade com uma estratégia SOAR. E foi isso que fizemos. Opções limitadas: precisávamos de residência de dados canadense. Investimos em uma. Implementamos a certificação. Estabelecemos a meta de automatizar pelo menos 201.000.000 dos nossos chamados recebidos no primeiro ano.

No final daquele ano, tive que dizer algo desconfortável à minha liderança: não tínhamos atingido a meta. Não porque a equipe não tivesse se esforçado, mas porque a plataforma não funcionou para nós.

Não digo isso para constranger ninguém. Todo fornecedor passa por dificuldades iniciais. Mas quando seus analistas estão ativamente evitando seu SOAR porque ele está cheio de bugs e não é confiável, isso não é um problema de produto que você pode simplesmente ignorar. É um sinal de alerta.

Então começamos a procurar novamente.

Os 3 requisitos em que não podíamos abrir mão

Quando decidimos mudar, já sabíamos exatamente do que precisávamos. 

#1: IA pronta para produção  

Integrado à plataforma. Não prometido em um roadmap. Não uma ferramenta complementar ao SOAR. IA incorporada aos playbooks, realizando a investigação e a correlação que estavam consumindo nossos analistas. Nosso fornecedor anterior havia prometido isso. Nunca vimos em produção.

#2: Residência de dados canadense

Isso não é opcional para nós. Os dados dos nossos clientes permanecem no Canadá. Essa exigência eliminou muitas opções e, honestamente, foi o motivo pelo qual não escolhemos a Swimlane da primeira vez. A Swimlane era, na verdade, nossa primeira opção um ano antes. Mas eles não tinham um cliente canadense na época, então optamos por outra empresa.

#3: Um parceiro que entende e apoia os MSSPs

Um provedor de segurança gerenciada não é o mesmo que uma empresa que opera um único SOC interno. Temos dezenas de ambientes de clientes, dezenas de conjuntos de ferramentas diferentes e precisamos de uma plataforma construída para essa complexidade. A equipe de suporte anterior nunca entendeu isso completamente.

A ligação que mudou tudo

Cerca de seis meses depois de começarmos a procurar, a Swimlane entrou em contato. Eles tinham conseguido um inquilino canadense. Ainda tínhamos interesse?

Não hesitei. Eu sabia o que tinha que fazer. Precisava convencer a minha liderança de que deveríamos descartar completamente o SOAR que tínhamos acabado de construir ao longo de um ano, migrar tudo e fazer isso rapidamente. Não foi uma conversa fácil. Mas eu acreditava nisso e defendi o meu ponto de vista.

Então veio a parte para a qual eu realmente não estava preparado.

Por que desta vez foi diferente? 

A equipe da Swimlane trabalhou em paralelo conosco o tempo todo. Enquanto eles reconstruíam nossas integrações e fluxos de trabalho, minha equipe estava em treinamento. Criamos alguns manuais juntos. A Swimlane os revisava e dizia: "Entendido, continue". Foi uma forma de trabalho genuinamente diferente. Não era um fornecedor nos entregando documentação e desejando boa sorte. Era uma verdadeira parceria.

“Se tivermos que trabalhar dia, noite e fins de semana para fazer essa transição”, minha equipe me disse, “nós faremos”. E eles estavam falando sério. Havia uma energia em torno dessa migração que eu nunca tinha visto com a plataforma anterior. As pessoas queriam migrar.

O que notamos imediatamente

A primeira coisa que notei foi a adoção. Todos os analistas que antes ignoravam nosso SOAR e trabalhavam manualmente agora estavam usando o Turbine. Todos eles. Desde o primeiro dia. Isso por si só me disse algo importante: quando uma ferramenta é realmente boa, você não precisa forçar as pessoas a usá-la.

O segundo ponto foram as integrações. Com nosso SOAR anterior, cada ferramenta em cada ambiente de cliente exigia seu próprio trabalho de integração separado. Com o Turbine, criamos um único playbook e um único conector para uma categoria de EDR. Esse playbook único funciona com o Microsoft Defender, CrowdStrike ou SentinelOne. A lógica é a mesma, apenas o conector é diferente. Também criamos um aplicativo corporativo do Azure que centraliza todo o gerenciamento de permissões em nossa base de clientes. A combinação é perfeita de uma forma que eu nunca tinha visto antes.

A terceira coisa era a IA. E é sobre essa parte que quero falar um pouco, porque é importante.

A IA que realmente faz o que promete.

Começamos a incorporar a IA da Swimlane em nossos fluxos de trabalho. A IA executa a investigação. Ela correlaciona sinais, analisa o alerta e explica sua conclusão ao analista em linguagem simples. O analista lê o relatório, toma a decisão e encerra o caso. O que antes levava uma hora de trabalho manual minucioso agora leva minutos.

Acompanho todos os casos em que a IA faz uma recomendação. Quero saber com que frequência o analista concorda com ela.

Até agora: cem por cento das vezes.

Para cada recomendação feita pela Turbine em relação à produção, o analista chegou à mesma conclusão de forma independente. 

Não estou pronto para dizer que a IA assumirá o controle total. Ainda estamos na fase em que os humanos confirmam todas as decisões. Essa é a decisão correta por enquanto. Mas, assim que um tipo de caso tiver um histórico suficientemente longo, permitiremos que a IA o resolva sem a necessidade de aprovação de um analista. Essa transição está chegando. Os dados comprovam isso.

Para onde vamos

Dentro de seis meses, planejo realocar 501 analistas do Nível 1, transferindo-os completamente para funções mais estratégicas e interessantes. Atribuirei a eles responsabilidades de Nível 2 e Nível 3. Projetos de segurança. Busca ativa de ameaças. Trabalho que realmente exige raciocínio humano, e não apenas a capacidade de confirmar informações já detectadas por software.

Também estamos planejando expandir o uso do Turbine. O gerenciamento de vulnerabilidades está em nosso planejamento. O sistema de relatórios está mudando. O sistema de tickets poderá eventualmente migrar completamente para o Swimlane. Estamos construindo uma plataforma cibernética mais abrangente na Victrix, e o Turbine está no centro dela. 

Um conselho se você estiver na mesma situação que nós estávamos.

Se você é um MSSP que utiliza um SOAR e seus analistas estão contornando-o em vez de utilizá-lo de forma integrada, leve isso a sério. Não se trata de um problema de treinamento, mas sim de um problema de plataforma.

E se você estiver avaliando alternativas, aqui está o que eu diria: escolha um caso de uso. Algo que custe tempo real dos seus analistas todos os dias. Análise de phishing em e-mails. Enriquecimento de alertas. Algo concreto. Peça uma prova de conceito apenas para essa funcionalidade. Veja o que a Turbine faz com ela em algumas semanas.

A matemática decidirá por você.