Meta Orchestrateur

Le problème qu'il traite

Une organisation bien équipée possède un EDR, un SIEM, une protection de l'identité, un filtre de messagerie et une passerelle réseau. Chacun est excellent dans son périmètre, et chacun est aveugle à ce que voient les autres. L'analyste passe alors sa journée à faire le lien à la main : ouvrir cinq consoles, recopier une adresse IP de l'une dans l'autre, et décider avec ce qu'il a eu le temps de rassembler. C'est ce travail de liaison — pas la détection — qui consomme le temps et qui laisse passer les incidents.

Les deux mécanismes

• Inter-enrichissement

  Une alerte qui naît dans un outil est automatiquement complétée par ce que savent tous les autres : le contexte d'identité du compte concerné, le verdict de renseignement sur les adresses vues, l'historique réseau de la machine, les messages reçus dans la fenêtre. L'analyste reçoit un incident déjà qualifié, pas une ligne à instruire.

• Inter-remédiation

  La réponse n'est plus confinée à l'outil qui a détecté. Une compromission avérée déclenche en une fois l'isolation du poste, la révocation des sessions dans l'annuaire, le blocage du marqueur sur la passerelle et la mise en quarantaine des messages liés. Une décision, une chaîne entière.

• Une mémoire commune

  Ce qui a été tranché sur un incident reste disponible pour les suivants, quel que soit l'outil d'où ils viennent. Les mêmes faux positifs ne sont pas requalifiés tous les quinze jours.

• Un point de traçabilité unique

  Chaque enrichissement et chaque action porte son origine et son horodatage. Le jour de l'audit, on produit une chronologie, pas cinq exports à recouper.

Pourquoi « meta »

Ce n'est pas un outil de sécurité de plus dans la pile, c'est la couche qui siège au-dessus d'elle. Il ne détecte rien lui-même et ne remplace aucun produit : il fait travailler ensemble ceux que vous avez déjà, y compris ceux que vous garderez après avoir changé d'éditeur. C'est aussi ce qui rend la pile remplaçable brique par brique, au lieu de vous enfermer chez un fournisseur unique.

Ce que cela change pour un RSSI

La question n'est plus « ai-je les bons outils » mais « combien de temps entre le signal et l'action ». Un SOC dont les outils ne se parlent pas mesure ce délai en heures, parce qu'il dépend de la disponibilité d'un humain pour faire la liaison. Avec l'inter-enrichissement et l'inter-remédiation, il se mesure en minutes, et il ne dépend plus de qui est de permanence.