Suivre
Chaque jour, votre SOC est submergé par des alertes isolées — une connexion suspecte ici, un processus étrange là, une connexion sortante inhabituelle ailleurs. Individuellement, chacune ressemble à du bruit. Ensemble, elles pourraient être les premiers signes d’une campagne coordonnée déjà en cours dans votre environnement. Le problème n’est pas un manque de données — c’est un manque de connexion.
Les chaînes d’attaque changent cette équation. Au lieu de demander à vos analystes de rassembler manuellement des dizaines de signaux peu fiables, les chaînes d’attaque le font pour eux automatiquement — en corrélant les résultats des analyses historiques dans votre SIEM, EDR/XDR et Data Lake (Prime Hunt), ou les flux d’événements en temps réel à mesure qu’ils sont générés, avant même que ces données n’atteignent votre SIEM (Prime Detect). Dans tous les cas, cela ne corrèle pas contre un ensemble de règles statiques et génériques — cela corrèle contre les Menaces Actives : des menaces réelles et nouvellement identifiées au moment où elles sont publiées pour détecter les chaînes d’attaque potentielles avant qu’elles ne deviennent des incidents confirmés. Cela signifie que votre logique de détection est toujours aussi actuelle que le paysage des menaces lui-même.
Où le trouver : Les chaînes d’attaque existent sous forme d’onglet dans les deux Prime Hunt and Prime Detect. Si vous travaillez avec des données historiques, allez à Prime Hunt → Chaînes d’attaque. Si vous voulez une corrélation en temps réel avant que les données n’atteignent votre SIEM, allez à Prime Detect → Chaînes d’attaque.
Toujours à l’affût des nouveautés
Une fois que vous êtes dans les chaînes d’attaque, l’onglet Menaces surveillées montre chaque Menace Active corrélée dans votre environnement. Les chaînes d’attaque restent actuelles sans aucun effort de votre part. Au moment où une nouvelle menace est identifiée à l’état sauvage, elle fait déjà partie de ce contre quoi votre environnement est vérifié — pas d’attente pour une mise à jour des règles, pas de cycle de recherche manuel. Vous continuez de décider ce qui compte le plus pour votre organisation, en concentrant la corrélation sur les menaces les plus pertinentes pour votre secteur ou votre profil de risque.
Activez ou désactivez des menaces individuellement, ou appliquez des actions en masse pour en gérer plusieurs à la fois — directement depuis la liste des Menaces surveillées — afin que votre périmètre de corrélation reflète toujours ce qui compte réellement pour votre organisation.
Et si la couverture de détection d’une menace ne fonctionne pas réellement — qu’elle n’ait pas encore été analysée ou qu’une règle ne soit pas correctement connectée — vous le verrez immédiatement, au lieu de le découvrir après coup. Voici à quoi cela ressemble :
Une coche verte signifie que la couverture de détection d’une menace est entièrement en place. Une étiquette de problème signale un écart — cliquez dessus pour voir exactement ce qui manque.
L’image que vous donnent les chaînes d’attaque
Une fois qu’une chaîne se forme, ce n’est pas juste un tas d’événements corrélés — c’est une histoire prête à l’enquête, au niveau du programme et au cas par cas.
D’un coup d’œil, votre vue d’ensemble des chaînes d’attaque vous donne un aperçu en temps réel de votre exposition globale : combien de chaînes ont été construites, combien de menaces actives sont actuellement surveillées, combien d’hôtes sont impliqués, et combien de votre couverture de détection est réellement activée. C’est le genre de résumé qui transforme « sommes-nous ciblés ? » en un chiffre que vous pouvez vérifier en quelques secondes.
Cliquez sur n’importe quelle chaîne individuelle depuis l’onglet Chaînes d’attaque , et votre équipe obtient :
- Un résumé généré par l’IA de l’activité détectée, pour que les analystes aient un contexte immédiat
- Un chronologie visuelle des techniques adverses, montrant exactement comment l’attaque a progressé étape par étape — avec des techniques déjà confirmées par les règles de détection, plus l’activité capturée grâce à la correspondance de modèles flous (Prime Hunt)
- Attribution des acteurs de menace et des techniques, mappées à des cadres industriels standards, de sorte que la portée et la construction de contexte commencent immédiatement au lieu de partir de zéro
- Une correspondance claire, montrant à quel point l’activité s’aligne avec un motif d’attaque connu — pour que votre équipe sache exactement comment la prendre au sérieux
- Contexte complet sur les actifs et l’environnement — quel hôte, quelle partie de votre infrastructure, et lesquelles de vos sources de données l’ont détectée — pour qu’il n’y ait pas de devinette sur l’endroit où regarder ensuite
- Un chemin direct vers vos outils existants, permettant aux analystes de passer directement aux événements sous-jacents sans perdre de temps ni de contexte
- Une piste d’investigation intégrée, suivant le statut de la Chaîne d’attaque depuis la première détection jusqu’à la résolution complète, et rien ne passe entre les mailles du filet
Le bruit de faible confiance est filtré par l’IA, de sorte que ce qui atteint votre équipe par défaut est ce qui mérite réellement leur attention — avec l’option de creuser dans tout le reste quand ils le souhaitent.
Tout réunir : configurer la corrélation des chaînes d’attaque
Avec l’intelligence des menaces et l’image qu’elle produit à l’esprit, voici comment vous dites exactement aux chaînes d’attaque comment la corréler :
- Définissez le seuil de formation de la chaîne — le pourcentage minimum de la séquence de techniques d’une menace qui doit correspondre avant que les chaînes d’attaque soient formées
- Définissez la fenêtre de corrélation — à quel point dans le temps les événements doivent se produire pour être corrélés
- Définissez la fenêtre de rétrospective — jusqu’où le moteur recherche lorsqu’il chasse des événements liés (Prime Hunt uniquement)
- Choisissez vos sources de données — incluez ou excluez les sources SIEM, EDR/XDR et Data Lake (Prime Hunt) ou les sujets (Prime Detect) alimentant la corrélation, et inscrivez éventuellement automatiquement de nouvelles sources lorsqu’elles sont ajoutées
- Passez en revue les paramètres de partage de données — les données de nom d’hôte doivent être transmises et stockées pour que la corrélation fonctionne, ce qui peut nécessiter un consentement explicite (Prime Hunt)
-
Enregistrez et cliquez sur Exécuter — la surveillance des Chaînes d’attaque est active à partir de ce moment-là, vérifiant en continu votre environnement par rapport aux nouvelles menaces dès qu’elles apparaissent
