Analyste sécurité (SOC)

Parcourir des centaines d'alertes par vacation et décider lesquelles — deux, en général — méritent un examen.

Trancher : réveiller des gens, sortir un système du réseau, dire à l'entreprise qu'elle a un problème — sur une information incomplète et avant d'en être sûr.

Transformer ce que vous avez appris d'un incident en une règle qui attrape le suivant sans noyer la file.

Partir d'une hypothèse plutôt que d'une alerte — supposer que quelque chose est déjà à l'intérieur et aller le chercher.

Une évaluation de type renseignement, avec un langage de probabilité calibré, non une mesure — « quasi certain » et « très probable » sont des termes définis sur l'échelle propre du NCSC, que le rapport publie à côté des jugements. Sa pertinence pour ce métier est indirecte mais précise : davantage d'attaques et une ingénierie sociale plus efficace signifient une file d'alertes plus grande et plus bruyante, soit la tâche la plus exposée de cette page ; la prévision et l'automatisation pointent donc le même endroit depuis des directions opposées. L'évaluation juge aussi que le renfort à court terme vient de l'évolution de techniques existantes plutôt que de techniques nouvelles, et que les usages sophistiqués restent réservés aux acteurs disposant de données d'entraînement de qualité, d'expertise et de ressources — deux points qui vont contre les lectures les plus spectaculaires.

Une personne nommée, ayant une position reconnue, a publiquement prédit quelque chose, à une date, dans une déclaration attribuable. On l'enregistre pour que qui a dit quoi, et quand, reste vérifiable — et cela ne déplace jamais l'appréciation d'une tâche, car une prévision n'est pas une observation. Sa valeur arrive plus tard : l'enregistrement se trouve sur la même page que les preuves concernant ce métier, donc qui lit la prévision lit à côté le relevé de ce qui s'est passé ensuite. C'est là que les comptes se font ; ce site ne publie aucun verdict sur la réalisation d'une prévision.

Une étude sectorielle commandée, non la mesure de quoi que ce soit qui ait eu lieu, raison pour laquelle cela figure dans une étape qui ne change rien. Lisez le mécanisme attentivement, car ce n'est pas celui que la plupart des lecteurs supposeront : l'outil nommé est SOAR — orchestration, automatisation et réponse en sécurité — c'est-à-dire de l'automatisation de flux de travail, non un modèle de langue. Le rapport est daté d'octobre 2022 et son analyse sous-jacente de décembre 2020 : il a donc été écrit avant que l'IA générative n'atteigne le public ; « IA et analytique » y apparaît comme un intitulé de tendance couvrant l'apprentissage automatique pour la priorisation des alertes, non les modèles conversationnels. Ce qu'il affirme précisément est que SOAR prendra en charge la surveillance et le reporting cyber manuels et pourrait remplacer des tâches centrales comme la gestion des systèmes et des opérations de sécurité, réduisant ainsi la main-d'oeuvre requise pour ces tâches, les titulaires gardant l'analyse des journaux et des rapports. Cela ne couvre que la main-d'oeuvre infocommunication de Singapour, cela agrège des entretiens avec des parties prenantes plutôt que de mesurer l'emploi, et le rapport dit lui-même que ses constats ont été pris à un instant donné et doivent être remis en contexte par qui les lit plus tard.

Une personne nommée, ayant une position reconnue, a publiquement prédit quelque chose, à une date, dans une déclaration attribuable. On l'enregistre pour que qui a dit quoi, et quand, reste vérifiable — et cela ne déplace jamais l'appréciation d'une tâche, car une prévision n'est pas une observation. Sa valeur arrive plus tard : l'enregistrement se trouve sur la même page que les preuves concernant ce métier, donc qui lit la prévision lit à côté le relevé de ce qui s'est passé ensuite. C'est là que les comptes se font ; ce site ne publie aucun verdict sur la réalisation d'une prévision.

Le premier barreau de ce domaine est la file d'alertes, et c'est le barreau vers lequel le mécanisme d'automatisation le plus net est pointé. C'est un vrai problème pour la profession et pas seulement pour vous : le jugement que possèdent les analystes chevronnés s'est construit en usant cette file, et personne n'a conçu de remplacement. Allez tôt au travail d'incident, et considérez qu'une équipe qui vous laisse assister à un incident réel vaut plus qu'une augmentation.

Deux chiffres décident de l'avenir de votre équipe et les deux sont à vous de produire : le taux de vrais positifs de votre file, et combien de détections vous avez retirées le trimestre dernier. Une équipe incapable de répondre au second verra son budget d'outillage dépensé à générer davantage de ce qu'elle ne sait déjà pas lire.

Rester et se renforcer

Remontez la file, ne la longez pas

Les gens qui survivent à l'automatisation du tri sont ceux qui règlent ce qui génère les alertes, non ceux qui les lisent plus vite.

Refaçonner le poste

Soyez la personne qui connaît ce parc

Tout outil a besoin d'une référence de ce qui est normal, et aucun fournisseur ne peut la produire pour votre entreprise. Ce savoir est l'entrée que rien n'achète, et c'est ce qui fait tourner la chasse.

Le tri bouge réellement, et pour une raison qui mérite d'être comprise : c'est la même tâche qu'un agent devant des images de caméras, et les humains y échouent de la même manière — la vigilance prolongée s'effondre en une vingtaine de minutes tandis qu'un logiciel ne s'ennuie pas. Ce qui ne bouge pas est la déclaration d'un incident, parce que cette décision se prend avec de l'autorité plutôt qu'avec de la certitude et que le coût des deux erreurs est sévère. Le vrai risque pour la profession n'est pas le remplacement, c'est qu'automatiser le tri retire le barreau sur lequel le jugement des analystes se construisait.

Pas de date. Le signal est le taux de vrais positifs de votre propre file et la part de votre vacation qui va à des alertes qu'un système pourrait corréler sans vous. Les deux sont mesurables cette semaine. Le signal organisationnel à surveiller est différent et plus prédictif : si votre employeur parle d'un service géré, parce que l'externalisation déplace ce travail sans en automatiser la moindre partie, et elle arrive beaucoup plus vite que n'importe quel outil.

Écrire la règle est la moitié bon marché et les modèles le font bien, parce qu'une règle est du code dont la sortie est testable. Décider quoi détecter est l'autre moitié, et elle dépend de savoir à quoi ressemble la normale dans votre parc précis — un savoir détenu par des personnes et écrit à peu près nulle part. La mise en garde est que des règles bon marché aggravent le problème des faux positifs, parce que la contrainte n'a jamais été l'écriture : une équipe qui produit dix fois plus de détections doit être dix fois plus disciplinée pour en retirer, et presque personne ne dote cela de moyens.

Protégée de l'automatisation, oui — la chasse se définit par l'absence de déclencheur, ce qui retire l'entrée dont tout outil de détection a besoin. Mais c'est la première activité coupée quand la file est bruyante, parce qu'elle ne produit ni ticket ni indicateur. C'est le schéma qu'il vaut la peine d'intégrer : une tâche peut être entièrement humaine et disparaître quand même de la semaine d'une équipe sans que personne n'ait décidé de la retirer, et dans ce métier c'est la manière habituelle dont cela se passe.