Qu'automatiseriez-vous en premier dans un SOC, et que refuseriez-vous d'automatiser ?

Automatisez l'enrichissement avant les décisions. Le premier playbook à plus forte valeur rassemble le contexte sur chaque alerte (propriétaire et criticité de l'actif, détails de l'utilisateur, recherches de réputation, alertes liées, tickets de changement ouverts) pour que les analystes démarrent avec un tableau complet. Automatisez le confinement réversible, comme forcer une réauthentification ou bloquer un hachage. Gardez une approbation humaine pour les actions destructrices ou à large rayon d'impact, comme désactiver des comptes ou isoler des serveurs de production.

Le premier playbook, c'est toujours l'enrichissement, parce qu'il est sûr, qu'il s'applique à tous les types d'alerte, et qu'il supprime les dix minutes d'ouverture d'onglets qui dominent le triage. Propriétaire et criticité de l'actif, service et responsable de l'utilisateur, réputation de chaque observable, alertes liées sur les mêmes entités la semaine passée, et tout ticket de changement ouvert, le tout attaché au dossier avant qu'un humain ne le lise. Ensuite j'automatise les réponses réversibles : forcer la réauthentification, révoquer les sessions, bloquer un hachage dans l'outil de poste, rediriger un domaine vers un puits. Ce que je n'automatiserai pas entièrement, c'est tout ce qui a un large rayon d'impact ou un retour arrière difficile. Désactiver automatiquement des comptes sur une règle qui peut faire des faux positifs, c'est comme ça qu'on met un service entier à l'arrêt un lundi à neuf heures. Ceux-là passent par une approbation en un clic avec les preuves attachées. Et je surveille les automatisations elles-mêmes, parce que les playbooks pourrissent en silence quand une version d'API change, donc je veux un battement de coeur et une alerte d'échec plutôt que de découvrir en plein incident que l'enrichissement ne marche plus depuis un mois.