Qu'est-ce qu'un Learning SOC ?
Un Learning SOC est un centre d'opérations de sécurité où chaque décision ratifiée par un analyste est capturée au fil de l'eau et se capitalise en mémoire gouvernée et auditable (doctrine, détections, playbooks), de sorte que chaque incident rend le suivant moins coûteux à traiter.
Terme introduit dans le whitepaper The Learning SOC · Eno Pezaku, WarlogChaque SOC paie deux fois la même analyse
Mardi, un analyste passe trois heures à investiguer une exécution de PowerShell encodé, clôture le ticket et passe à la suite. Jeudi, une alerte de la même famille remonte, un collègue la prend et repart de zéro. L'analyse de mardi dort dans un ticket clos que personne ne rouvrira.
C'est l'amnésie systémique : les triages, les investigations et les passations s'évaporent à la clôture, et quand un analyste part, son expertise part avec lui. En face, l'adversaire réutilise ses outils et s'améliore à chaque campagne. Le Learning SOC est le modèle opératoire construit pour fermer cet écart : il traite chaque décision comme un actif et capitalise le retour d'expérience.
Ce qu'un Learning SOC n'est pas
Pas un SOC autonome. Les agents autonomes retraitent chaque alerte de zéro, sans mémoire du passage précédent, et agissent sur des hypothèses présentées comme des certitudes. Un Learning SOC conserve les décisions ratifiées sous forme de doctrine et considère l'autonomie comme quelque chose qui se mérite : une boucle n'agit seule qu'après avoir fait ses preuves sous ratification humaine, capacité par capacité.
Pas un SOAR. Un SOAR déroule des règles statiques, sans mémoire du jugement. Un Learning SOC capture le motif des décisions et le réinjecte dans la chaîne sous forme de détections, de playbooks, de règles de suppression et de doctrine.
Pas une base de connaissance. Une archive de preuves est une mémoire qu'on peut lire. Un Learning SOC est une mémoire qui agit : les décisions passées alimentent le triage, la cartographie de couverture et la réponse, au lieu d'attendre dans un wiki que personne ne met à jour. Seule la seconde se capitalise.
Comment fonctionne un Learning SOC
Suivez une alerte. Le triage s'appuie sur la façon dont votre équipe a qualifié les alertes similaires, et la correction de l'analyste est elle-même apprise. L'alerte est rattachée à une technique MITRE ATT&CK, ce qui expose immédiatement l'état réel de la couverture. L'investigation est capturée pendant qu'elle se déroule, dans le notebook, pas via un formulaire post-incident que personne ne remplit. Une alerte bénigne récurrente devient une proposition de règle de suppression. Une escalade embarque un dossier de passation complet plutôt qu'un « voir ticket ». Et à la résolution, la technique non couverte devient une détection, le chemin de confinement devient un playbook, et le jugement qui se répète devient une doctrine.
Chacune de ces sorties est propose-only : la machine propose, un humain signataire valide. Et chacune reste traçable, pour que vous puissiez toujours retrouver d'où vient ce que le SOC tient pour acquis.
Le jugement est capturé pendant que l'analyste travaille, sans documentation à remplir après coup.
Rien ne se déploie sans validation. L'IA propose, seuls des humains signataires valident.
Chaque capacité remonte à l'incident, à l'analyste et à la date qui l'ont produite.
Les règles proches fusionnent en méta-règles sans perte de couverture. La mémoire reste dense, pas obèse.
Le Learning SOC en questions
Un Learning SOC, est-ce la même chose qu'un SOC autonome ?
Non. Les agents autonomes retraitent chaque alerte de zéro et agissent sur des hypothèses présentées comme des certitudes. Un Learning SOC conserve les décisions ratifiées sous forme de doctrine et mérite son autonomie boucle par boucle, derrière une validation humaine explicite.
Le Learning SOC est-il un produit ?
C'est un modèle opératoire. Warlog OS en est l'implémentation de référence, et le contrat sous-jacent, warlog-spec, est open source sous Apache 2.0 : le modèle peut donc être implémenté indépendamment. pip install warlog-spec.
Qui a inventé le terme ?
Le terme a été introduit par Eno Pezaku dans le whitepaper Warlog The Learning SOC, qui définit ce modèle d'opérations de sécurité fondé sur la mémoire et gouverné par la doctrine.
Un Learning SOC remplace-t-il les analystes ?
Non. Il capture et capitalise leur expertise. Aucune action destructrice ne s'exécute sans signature humaine explicite, et tout l'intérêt du système est là : l'expertise des analystes devient un actif dont toute l'équipe hérite.
Construisez le vôtre, ou testez le nôtre
La thèse complète est dans le whitepaper. L'implémentation de référence se déploie dans votre SI. Voyez-la traiter une attaque complète en 30 minutes de démo : [email protected].