SOAR.

Gartner a forgé le terme Security Orchestration, Automation and Response (SOAR) en 2017 pour désigner une classe convergente d'outils fusionnant l'orchestration et l'automatisation de la sécurité, les plateformes de réponse aux incidents (SIRP) et les plateformes de renseignement sur les menaces (TIP). SOAR se place aux côtés du SIEM et de l'EDR/XDR pour opérationnaliser la réponse : il utilise des connecteurs et des API REST pour interroger le renseignement sur les menaces, l'IAM, les terminaux, le réseau et les systèmes de tickets, puis exécute des playbooks codifiés qui trient les alertes, enrichissent les indicateurs, confinent les hôtes, désactivent les comptes et documentent le cas.

La valeur est mesurable. En automatisant les étapes répétables — détonation en bac à sable, recherches de réputation, isolation d'hôtes — SOAR réduit le temps moyen de réponse (MTTR) et impose un processus cohérent, tandis que des portes d'approbation humaine protègent les actions à haut risque comme le verrouillage de compte ou les changements de pare-feu. Un bon playbook est idempotent et journalise chaque étape à des fins d'audit. Parmi les plateformes courantes : Splunk SOAR (ex-Phantom), Palo Alto Cortex XSOAR (ex-Demisto), les règles d'automatisation de Microsoft Sentinel, Swimlane et Tines. Depuis ~2024, Gartner a fondu le SOAR autonome dans des catégories SecOps et d'« hyperautomatisation » plus larges, mais le modèle piloté par playbooks reste l'ossature des programmes de détection et de réponse évolutifs.

flowchart TD
  A[Alerte du SIEM ou de l'EDR] --> B[SOAR ingère et dédoublonne]
  B --> C[Le playbook enrichit : TI, WHOIS, bac à sable]
  C --> D{Malveillant ?}
  D -->|Non| E[Clôturer en faux positif]
  D -->|Oui| F{Action à haut risque ?}
  F -->|Non| G[Confinement auto : isoler l'hôte, bloquer l'IOC]
  F -->|Oui| H[Porte d'approbation de l'analyste]
  H --> G
  G --> I[Journaliser le cas et mettre à jour le ticket]