Sophos : temps d’enquête réduit de 96 % avec OpenAI Daybreak
Avec OpenAI Daybreak, Sophos allie intelligence de pointe et expertise en cybersécurité pour enquêter plus vite sur les menaces et protéger ses clients à grande échelle.
89 secondes
temps de réponse moyen pour les cas traités à l’aide d’agents IA
96 %
de réduction du temps d’enquête grâce aux modèles OpenAI
52 %
des cas MDR résolus de bout en bout par l’IA
L’IA de pointe transforme la cybersécurité dans les deux camps(ouverture dans une nouvelle fenêtre). Les modèles avancés peuvent aider les défenseurs à repérer et à analyser les menaces plus rapidement. Mais ces capacités s’étendent aussi aux modèles à poids ouverts, offrant aux attaquants de nouveaux moyens de découvrir des vulnérabilités et d’accélérer leur exploitation.
Sophos(ouverture dans une nouvelle fenêtre) fait partie des entreprises qui leur barrent la route, en protégeant plus de 625 000 organisations dans de nombreux secteurs et régions. « Nous observons une très grande diversité d’attaques », explique John Peterson, directeur technique de l’entreprise. « En quatre décennies d’activité dans la cybersécurité, nous avons acquis une vaste expertise pour les combattre. »
Grâce à OpenAI Daybreak, Sophos associe les modèles OpenAI à ses propres renseignements sur les menaces, à ses procédures de réponse et à son expertise en sécurité. L’objectif n’est pas simplement de fournir un outil de plus aux analystes. Il s’agit d’accroître l’impact de l’expertise de Sophos auprès de chacun des clients que l’entreprise protège.
« Sophos apporte l’expertise métier et le savoir-faire nécessaires pour combattre les attaques à grande échelle. Des programmes comme Daybreak et des entreprises comme OpenAI apportent une intelligence de pointe qui nous permet de déployer cette expertise métier à grande échelle, au service de tous nos clients. »
Au centre de cette démarche se trouve Sophos Fusion, le système de cyberdéfense de Sophos conçu autour de l’IA, qui inclut Sophos Managed Detection and Response (MDR). Il réunit les données de capteurs issues de plus de 500 intégrations tierces et des produits de Sophos. Ensemble, ces capteurs génèrent chaque jour des milliers de milliards d’événements, que Sophos synthétise en environ 1 000 à 2 000 cas à examiner par ses neuf centres des opérations de sécurité.
Les agents développés dans le cadre de Daybreak ont transformé le traitement de ces cas. Un agent d’investigation rassemble, pour chaque cas, le contexte du client, les détections, les indicateurs de compromission (IoC) et les renseignements pertinents sur les menaces. Un modèle de planification crée ensuite une boucle de planification, d’exécution et de révision : il élabore un plan d’enquête, en réalise les étapes et produit une synthèse accompagnée de recommandations de réponse à examiner par les analystes. D’autres agents peuvent exécuter certaines étapes de la réponse.
Avant Daybreak, l’enquête et la réponse à un cas reposaient principalement sur l’expertise humaine. Le processus existant de Sophos prenait en moyenne environ 38 minutes, une performance qui, selon Peterson, dépassait celle de 96 % des centres professionnels des opérations de sécurité.
« Aujourd’hui, grâce aux agents que nous avons pu développer dans le cadre du programme Daybreak, le temps de réponse moyen pour les cas traités à l’aide de ces agents est tombé à environ 89 secondes. Le traitement d’environ la moitié de nos cas est désormais automatisé par des agents que nous avons développés à l’aide des modèles Daybreak. »
Sophos permet aux clients de garder le contrôle de son service MDR grâce à trois modes de fonctionnement :
Notification : Sophos mène l’enquête et recommande une réponse, mais c’est le client qui agit.
Collaboration : Sophos et le client travaillent ensemble avant toute intervention.
Autorisation : Sophos peut intervenir directement au nom du client.
Les mêmes limites s’appliquent, que le travail soit effectué par une personne ou par un agent. Sophos utilise l’automatisation pour agir rapidement et mieux employer le temps des analystes, mais les actions potentiellement destructrices nécessitent toujours un niveau de supervision humaine adapté.
« Tout ce que nous ne souhaitons pas confier à un agent est soumis au jugement humain », confirme Peterson.
Le temps de réponse moyen pour les cas traités à l’aide d’agents est passé d’environ 38 minutes à 89 secondes.
Sophos peut désormais résoudre 52 % des cas MDR de bout en bout grâce à l’IA, dans les limites définies par ses analystes.
Les clients bénéficient d’enquêtes plus rapides et plus homogènes.
Sophos peut accroître sa puissance de calcul plutôt que de devoir augmenter d’autant ses effectifs en cybersécurité, difficiles à recruter.
Les analystes peuvent se recentrer sur les menaces, les exceptions et les décisions pour lesquelles leur expertise compte le plus.
Selon Peterson, Sophos continuera d’élargir les capacités de ses agents. « Les capacités de réponse vont continuer à se perfectionner, et nous allons élargir l’éventail des cas d’usage pris en charge par les agents que nous avons développés. »
« Avec des programmes comme Daybreak, nous avons l’occasion de garder une longueur d’avance sur les attaquants. »
Son conseil aux autres responsables de la sécurité est simple : « S’il y a une chose que les responsables de la sécurité devraient faire dès demain, c’est vraiment se recentrer sur les fondamentaux de la sécurité de leur organisation », explique-t-il. « Cela inclut bien sûr l’application des correctifs. Mais les correctifs ne pourront jamais couvrir que les vulnérabilités connues de l’éditeur. »
La solution consiste à maintenir « une approche de sécurité multicouche » intégrant la protection des terminaux, l’authentification multifacteur (MFA), la segmentation du réseau et des opérations de sécurité solides. « Les vulnérabilités sont découvertes à un rythme alarmant et exploitées à une échelle sans précédent. Je pense donc qu’il est plus important que jamais de bien maîtriser les fondamentaux. »
