Elastic N.V. a présenté AlertZero, la couche agentique intégrée à Elastic Security, composée d’une équipe d’agents spécialisés qui apprennent le fonctionnement existant d’une équipe de sécurité et s’y adaptent. Ces agents prennent en charge le triage des alertes, les investigations, la chasse aux menaces, l’ajustement des règles de détection et l’analyse forensique, afin que chaque alerte fasse l’objet d’une réponse étayée par des éléments probants. Les analystes peuvent ainsi tendre vers un équivalent de la boîte de réception zéro : une courte file d’actions recommandées plutôt que des milliers d’alertes brutes.
Les analystes conservent le contrôle total des actions automatisées et de celles qui nécessitent un jugement humain : ils choisissent la quantité de travail à déléguer à AlertZero et le moment où ils doivent prendre les décisions. Disponible en aperçu technique, AlertZero fonctionne avec n’importe quel modèle, quel que soit le mode de déploiement, afin que les équipes puissent adopter l’intelligence artificielle (IA) selon leurs propres modalités. La solution corrèle et analyse en continu les activités, tout en aidant les équipes à réduire les faux positifs qui encombrent la file d’alertes, avec la flexibilité nécessaire pour s’adapter à l’évolution des menaces. AlertZero organise ce travail autour de « Watches » : des groupes nommés et spécialisés d’agents, dotés de responsabilités définies, qui s’exécutent selon des déclencheurs et des calendriers.
Chaque Watch se concentre sur un domaine spécifique des opérations de sécurité et verse ses conclusions dans un dossier d’investigation partagé. TriageWatch réduit la file d’alertes grâce à l’enrichissement des données, détermine si elles sont réelles ou fausses, clôt les alertes parasites en indiquant un motif et fait remonter les alertes avérées. Hunt Watch prend en charge le travail préparatoire en menant en continu des opérations de chasse aux menaces, guidées par ce qui s’y exécute et par les travaux de recherche sur les menaces. DetectionWatch tire des enseignements des autres Watches : il propose des ajustements pour les règles trop génératrices de bruit ainsi que de nouvelles règles pour combler les lacunes.
La solution ne modifiera aucune règle sans approbation. ForensicsWatch apporte une expertise spécialisée en criminalistique numérique, en analyse de logiciels malveillants et en identification des vecteurs d’exploitation lorsque le travail nécessite des compétences dont un centre d’opérations de sécurité (SOC) classique ne dispose pas nécessairement en interne. AlertZero est conçu pour offrir cette flexibilité.
La solution s’appuie sur l’ensemble de la fondation de données d’Elastic, notamment les données structurées et non structurées, les journaux et les métriques, et fonctionne avec le modèle choisi par l’organisation, dans Elastic Cloud, dans des déploiements autogérés ou dans des environnements isolés. Les clients peuvent étendre AlertZero à l’aide des mêmes compétences d’Agent Builder et des mêmes Elastic Workflows qu’Elastic a utilisés pour le développer, en ajoutant des flux de travail propres à leur environnement sans quitter la plateforme. AlertZero sera disponible pour les clients d’Elastic Security en aperçu technique dans Elastic Cloud, les environnements autogérés et les environnements isolés.
La solution s’appuie sur les fonctionnalités existantes d’Elastic Security, notamment Attack Discovery, ES|QL, Agent Builder et Elastic Workflows.
