SOAR

01 — DéfinitionQu'est-ce que le SOAR ?

Le SOAR (Security Orchestration, Automation and Response) est une catégorie de plateformes qui visent à industrialiser les opérations de sécurité d'un SOC en combinant trois capacités :

• Orchestration : connecter et coordonner tous les outils de sécurité via API.
• Automation : exécuter automatiquement des séquences d'actions sans intervention humaine.
• Response : structurer et accélérer la gestion des incidents.

Le terme a été formalisé par Gartner en 2017 en fusionnant trois catégories qui existaient séparément : SOA (Security Operations Automation), SIRP (Security Incident Response Platform) et TIP (Threat Intelligence Platform).

Le problème que le SOAR résout est bien documenté :

• Les SOC modernes reçoivent des milliers à millions d'alertes par jour.
• Les analystes sont submergés et 30 à 50% des alertes critiques ne sont pas traitées (études Ponemon).
• Les tâches d'enrichissement et de vérification consomment 60-80% du temps analyste.
• Le MTTR (Mean Time To Respond) reste souvent supérieur à plusieurs heures.
• Le turn-over des analystes SOC est élevé (burn-out, ennui sur les tâches répétitives).

Le SOAR codifie les procédures de réponse sous forme de playbooks exécutables, automatise les enrichissements, et libère les analystes humains pour les tâches qui demandent vraiment du jugement.

L'objectif du SOAR n'est pas de remplacer l'humain mais de transformer l'analyste SOC : moins de temps sur les vérifications répétitives, plus de temps sur la chasse aux menaces et l'investigation.

02 — PiliersOrchestration, Automation, Response

Orchestration — connecter les outils

Un SOC moderne utilise typiquement 15 à 40 outils de sécurité différents : SIEM, EDR, XDR, pare-feu, passerelles email, proxy web, IAM, CASB, outils cloud, threat intelligence, ITSM. Chacun fonctionne en silo.

L'orchestration consiste à connecter ces outils via leurs API pour qu'ils puissent partager des informations, déclencher des actions cross-outils et fonctionner dans un workflow global. Les plateformes SOAR modernes proposent plusieurs centaines d'intégrations prêtes à l'emploi (Splunk SOAR : 600+, Palo Alto Cortex XSOAR : 900+).

Automation — exécuter sans humain

L'automation exécute automatiquement des séquences d'actions pour chaque type d'alerte :

• Enrichissement : récupérer le contexte (utilisateur, machine, historique).
• Vérification : interroger VirusTotal, threat intel, Have I Been Pwned.
• Classification : déterminer la criticité.
• Containment : isoler, bloquer, révoquer.
• Notification : alerter via les bons canaux.
• Documentation : créer des tickets, mettre à jour les systèmes.

Des points de validation humaine peuvent être insérés : le playbook s'arrête, demande à un analyste d'approuver une action sensible (isoler un serveur de production, désactiver un compte à privilèges), puis reprend.

Response — gérer les incidents

La dimension Response apporte :

• Case management : suivi centralisé avec timeline, artefacts, actions.
• Collaboration : plusieurs analystes sur un même incident.
• Documentation automatique : chaque action tracée, horodatée.
• Escalade structurée : workflow de remontée selon la criticité.
• Reporting : MTTR, MTTD, volumes, indicateurs de performance.
• Post-mortem : retours d'expérience pour améliorer les playbooks.

Cette dimension transforme la gestion d'incidents d'un processus tribal en un processus industriel, reproductible, mesurable.

03 — DistinctionSOAR vs SIEM vs XDR

Trois rôles distincts

• SIEM : collecte les logs, corrèle, détecte. La mémoire et les yeux du SOC — « qu'est-ce qui se passe ? »
• SOAR : orchestre et automatise la réponse. Le bras qui agit — « que faire ? »
• XDR : détection et réponse intégrées nativement sur plusieurs vecteurs (endpoint, réseau, cloud, identité).

Convergence en 2026

Historiquement distincts, ces outils convergent désormais :

• Microsoft Sentinel : SIEM + SOAR natifs dans une seule offre.
• Splunk Enterprise + Splunk SOAR : offre unifiée chez Cisco.
• Palo Alto Cortex : XDR + XSIAM + XSOAR.
• Google Chronicle : SIEM cloud + SOAR Siemplify + Mandiant.
• IBM QRadar : SIEM + SOAR (ex-Resilient).

Les clients achètent de plus en plus des plateformes intégrées plutôt que des outils séparés. Les acteurs indépendants du SOAR survivent sur des niches (SOAR best-of-breed, open source, verticalités sectorielles).

04 — PlaybooksCas d'usage concrets

Playbook — Signalement de phishing utilisateur

Parmi les plus déployés. Un utilisateur signale un email suspect via un bouton intégré à Outlook ou Gmail. Le SOAR :

1. Récupère l'email complet.
2. Extrait les IOC : adresse expéditeur, domaines, URL, hash des pièces jointes.
3. Vérifie chaque IOC contre VirusTotal, URLhaus, threat intelligence.
4. Analyse les pièces jointes en sandbox.
5. Si malveillant : recherche dans la passerelle email tous les destinataires concernés, supprime l'email, bloque l'URL au proxy, vérifie les clics.
6. Si clic détecté : isole le poste via l'EDR, force réinitialisation des identifiants.
7. Notifie l'utilisateur, crée un ticket ServiceNow.

Durée totale : moins d'une minute. Manuellement : 30 min à 2h.

Playbook — Alerte EDR

L'EDR détecte un processus suspect. Le SOAR récupère le contexte, enrichit les hash, vérifie la propagation, classe l'alerte. Pour un vrai positif : isolement automatique du poste, capture mémoire, notification. Pour un faux positif : suppression avec commentaire. Pour un suspect : ticket avec contexte pré-collecté pour analyste.

Playbook — Compromission de compte cloud

Azure AD signale une connexion à risque. Le SOAR récupère l'historique, interroge les logs Microsoft 365 pour détecter des actions post-connexion (transfert de règles, téléchargement massif). Si suspect : révocation des sessions, MFA forcée, blocage temporaire, alerte utilisateur via canal alternatif, escalade au SOC.

Playbook — Brute force ou credential stuffing

Le WAF détecte un pic de tentatives de connexion échouées. Le SOAR analyse le pattern, distingue les deux types d'attaque, bloque les IP suspectes, force réinitialisation préventive pour les comptes ciblés, active un CAPTCHA renforcé temporairement.

Playbook — Nouvelle CVE critique activement exploitée

Publication d'une CVE via CISA KEV ou CERT-FR. Le SOAR ingère le bulletin, interroge la CMDB pour identifier les systèmes concernés, priorise selon l'exposition Internet, crée les tickets de patch, déploie des règles de détection temporaires, génère un rapport d'exposition pour la direction, suit la progression et réalerte si non patché sous 48h.

Autres cas fréquents

• Onboarding/offboarding utilisateur avec vérifications de sécurité automatisées.
• Gestion des incidents DLP (exfiltration de données détectée).
• Réponse à une tentative de ransomware détectée.
• Audits périodiques automatisés (revues d'accès, contrôles de configuration).
• Gestion des alertes threat intelligence (nouveaux IOC à bloquer).

05 — MarchéPaysage des solutions

Leaders du marché

• Splunk SOAR (ex-Phantom, chez Cisco depuis 2024) : référence historique, 600+ intégrations.
• Palo Alto Cortex XSOAR (ex-Demisto) : challenger principal, UI moderne.
• Microsoft Sentinel : SIEM + SOAR intégrés, tarification à la consommation.
• Google Chronicle SOAR (ex-Siemplify) : intégré à Chronicle SIEM.
• IBM QRadar SOAR (ex-Resilient) : fort sur les grands comptes.

Challengers et spécialistes

• Swimlane Turbine : plateforme moderne low-code.
• Torq : acteur en forte croissance, hyperautomation.
• Tines : approche « stories » accessible.
• Rapid7 InsightConnect, ServiceNow Security Operations, D3 Security.

XDR avec capacités SOAR intégrées

• CrowdStrike Falcon Fusion : orchestration et playbooks dans Falcon.
• SentinelOne Singularity : hyperautomation intégrée.
• Microsoft Defender XDR : automation native Microsoft.
• Trellix XDR : capacités héritées de FireEye/McAfee.

Open source

• TheHive + Cortex : plateforme française (StrangeBee), très populaire dans les SOC techniques.
• Shuffle : SOAR open source en forte croissance.
• n8n : outil d'automatisation généraliste adaptable à des cas sécurité.

Acteurs français et européens

• Sekoia : XDR + SOAR intégrés, orchestration native.
• StrangeBee : éditeur de TheHive Enterprise.
• Orange Cyberdefense, Atos/Eviden, Thales : intégrateurs avec capacités SOAR dans leurs offres managées.

Critères de sélection

• Périmètre d'intégration avec votre stack existant.
• Facilité de création des playbooks (visuel vs code).
• Bibliothèque de playbooks prêts à l'emploi.
• Scalabilité et performance.
• Modèle tarifaire (nœud, action, utilisateur).
• Capacités IA et co-pilote.
• Support multi-tenant pour les MSSP.

06 — DéploiementDémarche pragmatique

07 — IAL'impact de l'IA générative sur le SOAR

Une transformation en cours

Depuis 2023-2024, l'IA générative transforme profondément les opérations SOC et le SOAR. Les grands éditeurs ont tous intégré des capacités LLM : Microsoft Security Copilot dans Sentinel, Google Sec-PaLM dans Chronicle, Palo Alto Cortex Copilot, CrowdStrike Charlotte AI, SentinelOne Purple AI.

Cas d'usage émergents

• Génération de playbooks en langage naturel : l'analyste décrit le workflow souhaité, l'IA produit un premier jet de playbook à valider.
• Résumé automatique d'incidents : à partir des logs, alertes et actions, l'IA produit une synthèse claire pour le reporting ou l'escalade.
• Assistance à l'investigation : l'analyste pose des questions en langage naturel (« cette IP a-t-elle interagi avec d'autres utilisateurs ? ») et obtient les requêtes SIEM adaptées.
• Traduction automatique : conversion entre langages de requête (KQL, SPL, Sigma) sans réécriture manuelle.
• Triage intelligent : l'IA propose une classification d'alerte avec justification, accélérant la décision analyste.
• Rédaction de rapports post-incident : génération de rapports structurés à partir du dossier d'incident.

Limites et prudence

• Hallucinations : les LLM peuvent produire des informations erronées avec aplomb. Toujours valider les sorties.
• Confidentialité : envoyer des logs sensibles à un LLM externe pose des questions RGPD. Privilégier les offres on-premise ou cloud souverain.
• Biais : les modèles peuvent reproduire des biais de leur entraînement, y compris sur des cas de sécurité.
• Dépendance : les compétences des analystes doivent être maintenues, pas remplacées par l'IA.

Perspective 2026-2028

La tendance est clairement à des agents IA autonomes capables de conduire des investigations complexes de bout en bout, avec supervision humaine. Le rôle d'analyste SOC évolue vers celui de superviseur d'agents qui valide les décisions les plus critiques, paramètre les politiques, et se concentre sur les cas que l'IA ne sait pas traiter. Cette évolution soulève des enjeux importants de formation des équipes et de gouvernance de l'IA.

08 — FAQQuestions fréquentes

Le SOAR est-il adapté à une PME ?

Rarement pertinent en direct pour une PME. Les coûts de licences et d'intégration restent significatifs, et les volumes d'alertes ne justifient pas toujours l'investissement. Pour une PME, les meilleures options sont : un MDR managé qui intègre le SOAR côté prestataire, ou des solutions simples type Microsoft Sentinel avec quelques playbooks basiques. Les ETI à partir de 500-1 000 collaborateurs commencent à voir un ROI clair.

Combien coûte un SOAR ?

Très variable selon le modèle. Les solutions commerciales classiques : 50 k€ à 500 k€/an de licences pour une ETI. Microsoft Sentinel facture à la consommation (GB ingérés + actions SOAR) : souvent plus accessible au démarrage. Les acteurs cloud modernes (Torq, Tines) démarrent à quelques milliers d'euros par mois. Ajouter les coûts d'intégration et de développement de playbooks : souvent équivalents aux licences la première année. Open source (TheHive, Shuffle) : gratuit en licence mais ressources internes nécessaires.

Combien de playbooks déployer ?

Pas de règle absolue. Pragmatiquement, 10 à 30 playbooks bien conçus couvrent 80% des cas fréquents d'un SOC. Des acteurs matures avec des équipes dédiées atteignent 100 à 200 playbooks. L'erreur classique est d'empiler les playbooks sans gouvernance : dette technique, incohérences, playbooks obsolètes. Mieux vaut quelques playbooks vraiment maintenus que des dizaines abandonnés.

Qui crée les playbooks ?

Typiquement des analystes SOC de niveau 2-3 avec des compétences techniques (scripting, API) ou des ingénieurs dédiés au SOAR. Les plateformes modernes proposent du low-code visuel accessible aux analystes non-développeurs. Les playbooks complexes restent généralement l'affaire d'ingénieurs avec des compétences d'automatisation et d'intégration. L'émergence de l'IA générative commence à abaisser cette barrière en 2025-2026.

Le SOAR remplace-t-il un MDR ?

Non, ce sont des approches différentes. Le SOAR est un outil pour industrialiser votre SOC interne. Le MDR est un service managé où un prestataire exploite le SOC à votre place. Les deux peuvent cohabiter : un MDR peut utiliser un SOAR en interne pour industrialiser son service, un client peut avoir un SOC interne avec SOAR plus un MDR pour couverture 24/7. Le choix dépend de votre maturité, de vos ressources et de votre stratégie de sourcing.