Toutes les études de cas / Étude de cas 11 / 12
Ravelto Telecom
Agent de tri des alertes de sécurité
Un analyste IA qui trie les alertes pour que l’équipe sécurité se concentre sur les vraies menaces
En clair
À chaque alerte, l’agent rassemble le contexte (réputation des adresses, comportement de l’utilisateur, journaux du pare-feu), classe la menace selon MITRE ATT&CK et rédige un rapport d’incident que l’analyste n’a plus qu’à valider.
- Client
- Ravelto Telecom
- Secteur
- Télécommunications
- Taille
- 3 000 collaborateurs, SOC interne de 8 analystes
- 1 240 → 37alertes par jour à traiter par un humain
- −75 %de temps d’investigation par alerte
- 100 %des décisions validées par un analyste
Le contexte
Le centre de sécurité de Ravelto Telecom reçoit plus de mille alertes par jour. Huit analystes ne peuvent pas toutes les investiguer : la fatigue s’installe, et une vraie attaque peut passer inaperçue au milieu des faux positifs.
Le défi
- 01
La plupart des alertes sont des faux positifs, mais chacune demande 15 à 30 minutes de vérification.
- 02
Le contexte est éparpillé entre le SIEM, l’annuaire, le pare-feu et les sources de réputation.
- 03
Une IA ne doit jamais bloquer un compte ou un serveur sans validation humaine.
- 04
Chaque décision doit être tracée et justifiable.
Notre approche
Un agent à états (LangGraph) se déclenche sur chaque alerte du SIEM. Il interroge les sources de contexte via des outils dédiés : réputation IP, historique de connexion dans l’annuaire, journaux Elasticsearch du pare-feu. Il rapproche la menace d’une technique MITRE ATT&CK, évalue la gravité et rédige un rapport avec chronologie et actions recommandées. L’analyste approuve, modifie ou rejette ; les faux positifs sont fermés avec leur justification.
La solution, étape par étape
- 01
Des milliers d’alertes
1 240 alertes ce jour-là : la plupart sans gravité, quelques-unes critiques.
- 02
Le contexte rassemblé
Réputation de l’adresse, habitudes de l’utilisateur, journaux du pare-feu : en quelques secondes.
- 03
Classée et évaluée
La menace est rattachée à une technique MITRE ATT&CK et sa gravité estimée.
- 04
Un rapport prêt
Résumé, chronologie et actions recommandées, rédigés pour l’analyste.
- 05
L’analyste décide
Un clic pour approuver le plan ; rien n’est bloqué sans validation humaine.
Résultats
- −97 %d’alertes à traiter manuellement
- 4 mind’investigation moyenne au lieu de 20
- 0action de blocage sans validation
- 100 %des alertes documentées
Ce que nous livrons
- Agent de tri à états (LangGraph) connecté au SIEM
- Outils de contexte : réputation IP, annuaire, journaux pare-feu
- Classification MITRE ATT&CK et score de gravité
- Rapports d’incident et file de validation pour les analystes
- Tableau de bord du SOC et journal d’audit
Technologies
- LangGraph
- Python
- Elasticsearch
- MITRE ATT&CK
- Wazuh
- React
Délai
8 à 12 semaines
Équipe
1 ingénieur IA, 1 ingénieur sécurité
Cas illustratifs : clients et chiffres fictifs, représentatifs des solutions que nous livrons.