Zscaler a lancé Agentic SOC, une nouvelle solution pour les centres d’opérations de sécurité (SOC) qui exploite des agents basés sur l’intelligence artificielle pour analyser les alertes, enquêter sur les incidents et déclencher des réponses automatiques. La plateforme associe la télémétrie de sécurité de Zscaler à des modèles d’OpenAI et d’Anthropic, des contrôles Zero Trust et des données provenant d’outils tiers. La société affirme que ce système est désormais disponible dans le monde entier.
Les points clés de Zscaler Agentic SOC en 30 secondes
- Zscaler emploie des agents spécialisés pour la classification, l’investigation, le verdict et la réponse aux incidents.
- La plateforme tire parti de la télémétrie générée par environ 750 milliards de transactions Zero Trust quotidiennes, selon l’entreprise.
- Elle peut isoler les utilisateurs compromis, bloquer les communications de commandement et contrôle (C2) et limiter les mouvements latéraux.
- Zscaler collabore avec des modèles d’OpenAI et d’Anthropic ainsi qu’avec sa propre intelligence en matière de menace.
- Le système accepte des informations et déclenche des actions issues d’outils de sécurité tiers.
Ce concept répond à un enjeu connu dans les SOC : accumuler davantage d’outils de détection ne garantit pas une capacité accrue à enquêter sur les alertes qu’ils génèrent.
Agentic SOC est conçu autour de d’agents capables d’assumer des tâches spécifiques du processus SecOps, allant de la classification initiale à l’investigation des causes profondes et à l’activation des mesures de réponse.
La distinction est importante. Un assistant peut recommander de bloquer une connexion malveillante. Un système agentifié peut, lorsqu’il est autorisé et configuré en conséquence, utiliser les outils disponibles pour exécuter une action dans le flux de réponse.
Cela renforce également la nécessité de contrôles, de traçabilité et de supervision renforcée.
De l’investigation d’une alerte à l’action sur l’infrastructure
Zscaler répartit le travail entre agents spécialisés dans différents domaines.
Au lieu de s’appuyer sur un seul modèle pour traiter l’ensemble de l’incident, la plateforme peut attribuer des fonctions distinctes à différents agents : classification d’alertes, investigation, établissement d’un verdict, activation des procédures de réponse.
Voici le schéma général :
| Étape de l’incident | Rôle d’Agentic SOC |
|---|---|
| Réception des signaux | Collecte télémétrique interne et externe |
| Corrélation | Relie identité, réseau, endpoint, cloud et autres signaux |
| Tri | Priorise les incidents potentiels |
| Investigation | Reconstruit les chaînes d’événements et recherche la cause racine |
| Verdict | Évalue l’activité détectée |
| Réponse | Active des actions de confinement si nécessaire |
| Threat hunting | Réalise des recherches proactives en continu |
| Supervision | Combine agents, analystes et experts humains |
L’un des éléments centraux est ce que l’on nomme le Data-rich Context Graph, chargé de relier la télémétrie Zero Trust en temps réel avec des informations provenant d’autres systèmes.
L’objectif est de reconstituer un incident comme une chaîne d’événements plutôt que comme une collection d’alertes indépendantes.
Une connexion suspecte, une activité vers un domaine malveillant ou l’utilisation d’un outil d’administration à distance peuvent sembler séparés si l’on considère uniquement des produits différents. La corrélation avec des utilisateurs, appareils, applications et connexions est justement ce qui consomme le plus de temps lors d’une investigation.
Zscaler dispose ici d’un avantage, grâce à sa position dans le réseau. La société affirme traiter environ 750 milliards de transactions Zero Trust chaque jour. Ce chiffre, fourni par Zscaler, ne signifie pas que toutes ces opérations sont des incidents ni que ces données sont accessibles à chaque agent.
Il illustre cependant le concept : utiliser la télémétrie déjà présente dans l’infrastructure Zscaler comme contexte pour l’analyse d’activités potentiellement malveillantes.
OpenAI et Anthropic en soutien au SOC
Zscaler confirme également qu’il collabore avec OpenAI et Anthropic pour intégrer des modèles avancés dans Agentic SOC.
Le système n’est pas présenté comme un modèle unique propriétaire capable d’effectuer tout l’analyse, mais comme une architecture combinant modèles externes, renseignement sur les menaces, télémétrie Zero Trust et agents spécialisés.
Selon Zscaler, cette approche permet d’améliorer la profondeur de raisonnement, la précision et l’explicabilité, en évitant de dépendre d’un seul modèle. La société précise que cette configuration doit être évaluée dans des déploiements réels, et ne garantit pas que l’utilisation de plusieurs modèles élimine erreurs ou faux positifs.
L’intégration de modèles tiers soulève également des questions opérationnelles importantes pour toute organisation de sécurité :
- Il faut connaître les données que chaque modèle reçoit, leur traitement, leur conservation
- Les actions que l’agent peut exécuter
- Les mécanismes pour contrôler, réviser ou interrompre une décision automatique
Ces aspects sont cruciaux, surtout lorsque l’IA ne se limite plus à résumer simplement l’information.
Agentic SOC peut utiliser les contrôles intégrés de Zscaler pour réaliser des actions de confinement, telles que l’isolement d’utilisateurs compromis, le blocage des communications C2 ou la limitation des mouvements latéraux.
La plateforme peut aussi déclencher des actions auprès d’outils tiers.
Ce cycle complet entre détection et réponse représente une différence majeure par rapport à un chatbot relié à un SIEM, mais introduit également de nouveaux risques.
Une réponse incorrecte sous la forme d’un simple texte peut faire perdre du temps à un analyste. Une décision erronée, comme bloquer un compte ou interrompre un service légitime, peut avoir des conséquences importantes.
C’est pourquoi l’automatisation d’un SOC doit s’accompagner de politiques strictes, notamment concernant :
- Le degré d’autonomie autorisé pour chaque type d’action
- Les mécanismes de validation ou d’interruption des décisions automatiques
- Les permissions minimales nécessaires, la traçabilité et la séparation des rôles.
Le SOC agentifié ne remplace pas l’analyste
Même si Zscaler évoque des réponses « à la vitesse de la machine », la structure intègre également des spécialistes humains.
La société associe ses agents à des experts de Zscaler et Red Canary pour mener des investigations et des threatening hunts.
Ce modèle hybride reflète probablement mieux la manière dont l’intégration des agents s’opère réellement en cybersécurité, plutôt qu’une substitution totale du SOC.
Les tâches répétitives, à forte contextualisation, sont des candidates évidentes à l’automatisation : enrichissement d’IP, reconstitution de l’activité utilisateur, consultation de plusieurs systèmes, corrélation d’indicateurs, préparation de chronologies ou exécution de processus autorisés.
D’autres décisions, cependant, doivent rester sous contrôle humain.
| Task | Potentiel d’automatisation | Risque opérationnel |
|---|---|---|
| Enrichir des indicateurs | Haut | Faible |
| Résumer un incident | Haut | Faible |
| Corréler des alertes | Haut | Moyen |
| Chercher une activité reliée | Haut | Moyen |
| Attribuer une priorité | Moyen/haut | Moyen |
| Bloquer un domaine malveillant | Haut avec politiques | Moyen |
| Isole un endpoint | Conditionné | Élevé |
| Bloquer un utilisateur | Conditionné | Élevé |
| Interrompre un service | Supervision recommandée | Très élevé |
Ce tableau ne constitue pas une classification officielle de Zscaler, mais une approche pratique pour visualiser l’impact potentiel de différentes automatisations dans un SOC.
Le point essentiel n’est pas seulement ce que l’agent peut faire, mais ce qui lui est permis de faire sans intervention humaine.
Ce critère deviendra particulièrement critique à mesure que les plateformes de sécurité intégreront davantage d’agents capables d’exécuter des actions. Les organisations devront traiter ces permissions comme des identités de service : avec un minimum de privilèges, un journal d’actions, une séparation claire des fonctions et des mécanismes d’approbation rigoureux.
Le contexte devient la matière première du SOC
Agentic SOC connecte également deux domaines traditionnellement séparés : la détection et la réponse.
Zscaler propose d’utiliser des informations sur les vulnérabilités, la surface d’attaque et la configuration, en complément des signaux détectés lors d’un incident.
Ce traitement permet d’ajuster la priorité d’une alerte en fonction du contexte.
Une vulnérabilité critique ne requiert pas nécessairement la même attention dans un serveur isolé que dans un système exposé à Internet avec une activité suspecte récente. De même, une activité anormale a une signification différente si le dispositif concerné possède des vulnérabilités exploitables connues.
L’objectif de la plateforme est d’utiliser toutes ces données pour construire une image plus complète avant de décider de ce qui doit être investigué en priorité.
Zscaler indique aussi que ses agents s’appuient sur plus de dix ans d’expérience dans les opérations SOC, la détection et réponse managée (MDR) et la recherche de menaces, renforcée par une intelligence issue de milliers d’environnements clients. Il s’agit d’une description faite par le fabricant, non d’une mesure indépendante de l’efficacité du système.
ThreatLabz, l’équipe d’investigation de Zscaler, évoque quant à elle une augmentation de techniques d’évasion, telles que l’hébergement d’attaques sur des services légitimes, l’abus d’outils administratifs authentiques et l’utilisation du navigateur comme vecteur d’attaque.
Dans ces scénarios, une simple détection par signature peut s’avérer insuffisante. Relier l’identité, le comportement, le dispositif et les communications peut apporter une valeur ajoutée.
L’arrivée d’agents dans le SOC ne remet pas en cause les principes fondamentaux de la sécurité : segmentation, principe du moindre privilège, contrôle des identités, protection contre l’exfiltration, gestion des vulnérabilités et Zero Trust restent essentiels pour limiter la progression des attaquants.
L’IA peut accélérer la recherche et exécuter certains processus, mais un agent rapide ne compense pas à lui seul une infrastructure à droits excessifs ou une segmentation laxiste permettant de circuler librement entre systèmes.
Agentic SOC de Zscaler arrive à un moment où une partie de l’industrie de la cybersécurité cherche à faire de l’IA générative un outil plus opérationnel, au-delà du simple rôle d’assistant. La prochaine étape ne résidera probablement pas uniquement dans la détection accrue, mais dans la capacité à rassembler davantage de contexte, à automatiser plus de décisions, et à définir jusqu’où ses agents peuvent agir sans accroître les risques opérationnels.
source : zscaler