Lexique · Sécurité des données
SOAR
Un SOAR (Security Orchestration, Automation and Response) est une plateforme qui automatise la réponse à une activité anormale en appliquant des scénarios prédéfinis, ou playbooks : enrichir une alerte, isoler un poste, désactiver un compte. Il complète les équipes de réponse sans les remplacer.
En pratique pour une organisation
Un SOAR relie les outils de sécurité d’une organisation et exécute des actions prédéfinies lorsqu’une anomalie est détectée. Le guide commun de la CISA et de l’agence australienne ASD’s ACSC, publié en mai 2025, présente le SIEM et le SOAR comme deux plateformes complémentaires, et son volet pour les praticiens décrit l’automatisation d’actions prédéfinies pour les anomalies détectées. Le NIST cite lui aussi les SIEM et les SOAR parmi les outils qui surveillent en continu les journaux d’événements, mettent en relation des données issues de plusieurs sources et aident à estimer l’impact et l’étendue d’un événement indésirable (SP 800-61 Rev. 3, avril 2025).
Les frontières entre catégories s’estompent : selon les agences australienne et américaine, certains SOAR collectent et analysent eux-mêmes les journaux, d’autres s’appuient sur un SIEM existant, et certains intègrent leur propre SIEM. Elles insistent sur deux limites : la mise en œuvre d’un SIEM ou d’un SOAR entraîne des coûts importants (licences, recrutement de spécialistes, intégration), et ces outils ne s’installent pas puis s’oublient, leur exploitation étant un travail continu qui demande un personnel très qualifié.
Exemple
Exemple générique : un SIEM signale la connexion d’un compte administrateur depuis un pays inhabituel. Le playbook du SOAR enrichit l’alerte avec des informations externes (réputation de l’adresse, historique du compte), puis désactive le compte et ouvre un dossier pour l’analyste, qui confirme l’incident ou rétablit l’accès.
À ne pas confondre avec
- Le SIEM : il collecte, normalise et met en corrélation les journaux pour lever des alertes, alors que le SOAR se concentre sur le déclenchement d’actions de réponse ; les deux se combinent souvent.
- L’EDR et le XDR : ils détectent et répondent sur les postes ou sur plusieurs couches du système d’information, sans orchestrer pour autant l’ensemble des outils de l’organisation.
- Le SOC : le SOAR est un outil au service de cette équipe, qui conserve la décision sur les incidents.
