- Qu'est-ce qu'une IA SOC Agent?
- Capacités clés et IA SOC Les agents le font
- Pourquoi l'IA SOC Les agents sont essentiels aux opérations de sécurité
- Comment l'IA SOC Les agents changent la tradition SOC Modèle
- Critères d'évaluation de l'IA SOC Fournisseurs d'agents
- Meilleures pratiques pour le déploiement d'agents d'IA dans SOC Environnements
AI SOC Agents : Transformer les opérations de sécurité
Une IA SOC L'agent représente un changement fondamental dans la manière dont les centres d'opérations de sécurité détectent, analysent et répondent aux menaces. Cet article explore ce que l'IA SOC Les agents, c'est comment ils remodèlent les structures traditionnelles SOC les flux de travail, les principales fonctionnalités qu'ils offrent et les meilleures pratiques pour le déploiement de l'orchestration d'agents d'IA dans SOC Des environnements permettant d'optimiser l'efficacité des analystes et de réduire les temps de réponse.
- Principaux plats à emporter:
-
Qu'est-ce qui distingue une IA ? SOC Agent issu des manuels SOAR traditionnels ?
Contrairement aux scénarios déterministes qui suivent des chemins fixes, une IA SOC L'agent utilise le raisonnement contextuel et l'apprentissage automatique pour adapter son approche d'enquête en fonction des preuves qu'il rencontre en temps réel. -
Dans quelle mesure l'orchestration d'agents IA peut-elle réduire le bruit des alertes dans les opérations de sécurité ?
Déploiements d'IA bien optimisés SOC La technologie des agents peut réduire le bruit des faux positifs de 80 % ou plus en recoupant les alertes avec les renseignements sur les menaces, la criticité des actifs et les données de référence comportementales. -
Comment une IA fonctionne-t-elle ? SOC L'agent accélère-t-il les délais d'enquête ?
En interrogeant SIEM journaux, télémétrie EDR, flux de renseignements sur les menaces et fournisseurs d'identité simultanément, un agent d'IA pour SOC Les investigations réduisent le temps d'investigation par alerte de 30 à 60 minutes à environ 2 à 5 minutes. -
Quel est le point de départ recommandé pour l'entraînement d'un agent d'IA ? SOC environnements?
Le triage des alertes de phishing est un premier cas d'utilisation idéal en raison de son volume élevé, de ses données bien structurées et de ses critères clairs de vrai/faux positif, permettant aux équipes de gagner en confiance avant d'élargir la portée. -
Comment doit SOC Les équipes gèrent les journaux incomplets lorsqu'elles utilisent une IA SOC Agent?
AI SOC Les bonnes pratiques des agents pour les journaux incomplets incluent le signalement des sources de données indisponibles, l'ajustement des scores de confiance en conséquence et le déclenchement automatique des scénarios de collecte de données supplémentaires. -
Quels indicateurs clés les équipes doivent-elles suivre après le déploiement d'une IA ? SOC Agent?
Les indicateurs clés comprennent le taux d'exactitude du triage, la réduction du MTTR, les gains de temps des analystes, la qualité de l'escalade et le taux de faux négatifs — examinés chaque semaine lors du déploiement initial et chaque mois en régime permanent. -
Comment une IA fonctionne-t-elle ? SOC Épuisement professionnel des analystes d'impact des agents et développement d'équipe ?
En absorbant les tâches de triage répétitives, la protection par agent IA libère les analystes pour qu'ils se concentrent sur la recherche de menaces, l'ingénierie de détection et la réponse aux incidents complexes, réduisant ainsi l'épuisement professionnel et accélérant l'intégration des nouveaux analystes grâce à des rapports d'enquête détaillés.
Comment l'IA et l'apprentissage automatique améliorent la cybersécurité des entreprises
Relier tous les points dans un paysage de menaces complexe
Découvrez la sécurité basée sur l'IA en action !
Découvrez l'IA de pointe de Stellar Cyber pour une détection et une réponse instantanées aux menaces. Planifiez votre démo dès aujourd'hui !
Qu'est-ce qu'une IA SOC Agent?
Définition de l'IA SOC Agent
Une IA SOC Un agent est un système logiciel autonome ou semi-autonome conçu pour fonctionner au sein d'un centre d'opérations de sécurité, en effectuant des tâches qui nécessitaient traditionnellement des analystes humains. Contrairement aux simples scripts d'automatisation ou aux outils statiques basés sur des règles, un agent d'IA pour SOC Les enquêtes utilisent des modèles d'apprentissage automatique, le traitement du langage naturel et le raisonnement contextuel pour interpréter les alertes, corréler les données provenant de différentes sources et recommander ou exécuter des actions de réponse. La distinction entre une IA SOC L'utilisation d'agents et de playbooks SOAR conventionnels est significative : alors que les playbooks suivent des chemins prédéterminés, les agents d'IA peuvent adapter leur approche en fonction des preuves qu'ils rencontrent au cours d'une enquête.
Composantes essentielles d'une IA SOC Agent
- Moteur de raisonnement : Un modèle de langage étendu ou un modèle d'apprentissage automatique spécialisé qui interprète les événements de sécurité, comprend le contexte et formule des étapes d'investigation sans nécessiter de programmation explicite pour chaque scénario.
- Couche d'intégration des outils : Connecteurs à SIEM plateformes, outils EDR, flux de renseignements sur les menaces, fournisseurs d'identité et systèmes de surveillance réseau qui permettent à l'agent d'interroger et d'agir sur l'ensemble de la pile de sécurité.
- Gestion de la mémoire et du contexte : La capacité de conserver l'état d'avancement de l'enquête, de se rappeler les conclusions antérieures d'une affaire et de consulter les données historiques des incidents pour éclairer les décisions actuelles.
- Cadre d'action : Un ensemble contrôlé de capacités de réponse, allant de l'enrichissement des indicateurs de compromission à l'isolation des points de terminaison, que l'agent peut exécuter de manière autonome ou avec l'approbation d'un analyste.
Comment l'IA SOC Les agents diffèrent de l'automatisation traditionnelle
Traditionnel
SOC L'automatisation repose sur une logique déterministe : si la condition A est remplie, exécuter l'action B. Cette approche fonctionne pour les tâches répétitives et bien comprises, mais échoue lorsque les investigations nécessitent du jugement, un raisonnement à plusieurs étapes ou le traitement de données ambiguës. Un agent d'IA SOC Ce système, en revanche, peut évaluer des informations incomplètes, formuler des hypothèses et mener plusieurs pistes d'investigation simultanément. Il fonctionne davantage comme un analyste débutant disposant d'un large éventail d'outils que comme un processus de travail prédéfini.
Le rôle de la surveillance humaine
Malgré leur autonomie, l'IA SOC Les agents ne sont pas destinés à remplacer entièrement les analystes humains. La plupart des déploiements fonctionnent selon un modèle où l'humain est intégré ou intégré à la boucle, l'agent prenant en charge le tri initial, la collecte de preuves et l'analyse préliminaire, tout en transmettant les décisions complexes ou à fort impact aux analystes seniors. Ce modèle de collaboration garantit que la formation des agents d'IA pour SOC Les environnements reflètent les politiques organisationnelles et la tolérance au risque tout en générant des gains d'efficacité significatifs.
Capacités clés et IA SOC Les agents le font
Tri et priorisation automatisés des alertes
L'impact le plus immédiat d'une IA SOC L'atout principal de cet agent réside dans sa capacité à traiter la file d'attente des alertes à grande échelle. Un agent typique SOC Le système reçoit quotidiennement des milliers d'alertes, et les analystes consacrent un temps considérable aux faux positifs. Les agents d'IA évaluent chaque alerte en la comparant aux renseignements sur les menaces, à la criticité des ressources, aux comportements de référence des utilisateurs et aux schémas d'incidents historiques. Ils attribuent des scores de risque et ne présentent que les alertes nécessitant une intervention humaine, réduisant ainsi le bruit de 80 % ou plus dans les déploiements optimisés.
Enquête et corrélation multi-sources
Lorsqu'une alerte nécessite une enquête, l'IA SOC L'agent peut interroger de manière autonome plusieurs sources de données afin de dresser un tableau complet :
- Extraire les données de télémétrie des points de terminaison des plateformes EDR pour examiner les arborescences de processus et les hachages de fichiers.
- Question SIEM journaux d'activité réseau, d'événements d'authentification et de requêtes DNS associés.
- Consultez les flux de renseignements sur les menaces pour identifier les indicateurs connus associés au comportement observé.
- Examinez les journaux du fournisseur d'identité pour déterminer si le compte utilisateur concerné présente des signes de compromission.
- Mettez en corrélation les résultats obtenus à partir de ces sources afin de déterminer si l'activité représente un véritable positif, une erreur de configuration ou un comportement bénin.
Gestion des données incomplètes ou dégradées
L'un des aspects les plus difficiles de SOC Ce travail implique de gérer les lacunes en matière de télémétrie. IA SOC Les bonnes pratiques concernant les agents en cas de journaux incomplets consistent notamment à les former à signaler explicitement les lacunes de données, à estimer les niveaux de confiance en fonction des preuves disponibles et à suggérer des étapes de collecte de données supplémentaires. Plutôt que d'interrompre une enquête lorsqu'une source de journal est indisponible, un agent bien conçu constatera la lacune, ajustera son score de confiance et explorera d'autres pistes. Cette transparence quant à l'incertitude est essentielle pour maintenir la confiance des analystes.
Réponse et confinement automatisés
Au-delà de l'investigation, les agents d'IA peuvent exécuter des actions de confinement en fonction de niveaux d'autorisation prédéfinis :
|
Action de réponse |
Niveau d'autorisation typique |
Exemple |
|
Enrichissement et marquage des IOC |
Entièrement autonome |
Ajouter un hachage à une liste de surveillance |
|
Révocation de la session utilisateur |
Semi-autonome (autonome avec autorisation) |
Forcer la réauthentification d'un compte compromis |
|
Isolation des points de terminaison |
Approuvé par les analystes |
Mise en quarantaine d'un poste de travail présentant un mouvement latéral |
|
Modification des règles du pare-feu |
Approuvé par les analystes |
Blocage du trafic sortant vers un domaine C2 |
|
Escalade complète de l'incident |
Piloté par l'humain |
Mobilisation de l'équipe d'intervention en cas d'incident pour une brèche active |
Création de rapports et capitalisation des connaissances
AI SOC Les agents génèrent des rapports d'enquête structurés qui documentent chaque étape, chaque source de données consultée et le raisonnement sous-jacent à chaque conclusion. Cette fonctionnalité remplit une double fonction : elle fournit une piste d'audit pour la conformité aux exigences et crée une base de connaissances que les analystes et l'agent lui-même peuvent consulter lors d'enquêtes ultérieures. Au fil du temps, ce savoir institutionnel accumulé améliore les performances humaines et celles de l'IA au sein de l'organisation. SOC.
Pourquoi l'IA SOC Les agents sont essentiels aux opérations de sécurité
Le problème de la pénurie d'analystes
Les centres d'opérations de sécurité du monde entier sont confrontés à une pénurie de personnel persistante. Le déficit de main-d'œuvre en cybersécurité continue de se creuser, et SOC Le taux d'épuisement professionnel des analystes reste élevé en raison du traitement répétitif des alertes et de la pression constante. IA SOC Les agents répondent directement à cette contrainte en prenant en charge les tâches répétitives et peu complexes qui occupent la majeure partie du temps des analystes. Cela permet aux membres de l'équipe en place de se concentrer sur la recherche de menaces, l'amélioration des processus et la gestion des incidents complexes, domaines où l'expertise humaine est irremplaçable.
La vitesse comme indicateur de sécurité
Le temps moyen de détection (MTTD) et le temps moyen de réponse (MTTR) sont des indicateurs de performance essentiels pour tout système. SOCUne IA SOC Un agent peut réduire les délais d'enquête de plusieurs heures à quelques minutes en exécutant les étapes d'enquête en parallèle plutôt que séquentiellement. Voyez la différence :
- Enquête manuelle : Un analyste reçoit une alerte, ouvre le SIEMLe système interroge les journaux, bascule vers la console EDR, vérifie les renseignements sur les menaces et documente les résultats. Ce processus prend en moyenne de 30 à 60 minutes par alerte.
- Enquête assistée par l'IA : L'agent effectue simultanément toutes ces étapes en quelques secondes, présentant à l'analyste un résumé complet de l'enquête et les actions recommandées. Durée totale : 2 à 5 minutes, examen par l'analyste inclus.
Cohérence et couverture
Les analystes humains présentent des niveaux de compétence, d'attention et de fatigue variables. Une alerte examinée à 3 h du matin par un analyste de niveau 1 fatigué peut ne pas bénéficier de la même attention qu'une alerte examinée à 10 h du matin par un membre senior de l'équipe. IA SOC Les agents appliquent la même rigueur d'enquête à chaque alerte, quels que soient l'heure, le volume ou la complexité. Cette constance est particulièrement précieuse pour les organisations fonctionnant 24 h/24 et 7 j/7. SOCs, où le recrutement d'analystes expérimentés pour l'équipe de nuit est à la fois difficile et coûteux.
Comment SOC Les équipes bénéficient de la protection des agents IA
Les avantages vont bien au-delà des indicateurs d'efficacité. SOC Les équipes qui déploient des agents d'IA font état d'améliorations mesurables sur plusieurs plans :
- Réduction du burn-out : Les analystes consacrent moins de temps aux tâches de triage répétitives et plus de temps à un travail de sécurité significatif.
- Précision de détection améliorée : Les agents d'IA identifient des corrélations subtiles entre différentes sources de données que les analystes humains pourraient manquer en raison de la fatigue liée aux alertes.
- Intégration plus rapide : Les nouveaux analystes peuvent tirer des enseignements des rapports d'enquête de l'agent, ce qui accélère leur développement.
- Meilleure couverture des quarts de travail : Les agents IA conservent leur pleine capacité d'enquête en dehors des heures de travail, les week-ends et les jours fériés.
Comment l'IA SOC Les agents changent la tradition SOC Modèle
Repenser la structure hiérarchisée des analystes
Le traditionnel SOC Elle fonctionne selon un modèle à plusieurs niveaux : les analystes de niveau 1 effectuent le tri initial, les analystes de niveau 2 mènent des investigations plus approfondies et les analystes de niveau 3 gèrent les menaces avancées et la réponse aux incidents. SOC Les agents rationalisent cette structure en prenant en charge la plupart des responsabilités de niveau 1 et une part importante du travail de niveau 2. Cela ne supprime pas les rôles, mais les transforme. Les anciens analystes de niveau 1 peuvent se concentrer sur la validation des résultats de l'IA et le développement de la logique de détection, tandis que les analystes de niveau 2 s'orientent vers la recherche proactive des menaces et l'émulation d'adversaires.
Des opérations réactives aux opérations proactives
Lorsqu'un agent d'IA gère la file d'attente des alertes réactives, les analystes humains gagnent du temps pour des activités de sécurité proactives. Ce changement modifie la donne. SOCposture de fonctionnement fondamentale de :
- Chasse aux menaces : Les analystes élaborent et testent des hypothèses sur l'activité adverse que les détections existantes pourraient ne pas couvrir.
- Ingénierie de détection : Les équipes investissent du temps dans la rédaction, le test et le perfectionnement des règles de détection plutôt que de simplement recevoir les alertes qu'elles génèrent.
- Équipe violette : Les analystes collaborent avec les équipes de sécurité offensive pour valider les défenses et identifier les failles.
- Optimisation du processus: Les équipes analysent les schémas d'enquête et les perfectionnent. SOC des procédures fondées sur des données plutôt que sur des hypothèses.
Orchestration des agents IA dans SOC Workflows sans code
Orchestration d'agents IA dans SOC Les environnements d'IA impliquent la coordination de plusieurs agents ou capacités d'IA à différentes étapes du flux de travail des opérations de sécurité. Plutôt que de déployer un agent monolithique unique, il est préférable d'opter pour des solutions matures. SOC Les implémentations peuvent utiliser des agents spécialisés pour différentes fonctions : l’un dédié à l’analyse des menaces par courriel, un autre à l’investigation des terminaux et un troisième à la détection des anomalies du trafic réseau. Une couche d’orchestration coordonne ces agents, achemine les informations entre eux et veille à ce que leurs résultats combinés constituent un récit d’enquête cohérent.
Intégration avec l'infrastructure de sécurité existante
AI SOC Les agents n'obligent pas les organisations à remplacer leur infrastructure de sécurité existante. Les agents efficaces s'intègrent aux outils déjà en place :
- SIEM plates-formes (Splunk, Microsoft Sentinel, Google Chronicle) servent de sources de données principales.
- Solutions EDR (CrowdStrike, SentinelOne, Microsoft Defender) offrent des capacités de télémétrie et de réponse aux points de terminaison.
- Plateformes SOAR peuvent coexister avec des agents d'IA, gérant l'exécution structurée des scénarios tandis que les agents gèrent les investigations adaptatives.
- Systèmes de billetterie (ServiceNow, Jira) reçoivent des rapports d'incidents structurés générés par l'agent. Cette approche privilégiant l'intégration minimise les perturbations et permet SOC Les équipes pourront ainsi tirer profit des agents d'IA sans refonte complète de leur infrastructure.
Critères d'évaluation de l'IA SOC Fournisseurs d'agents
Transparence et explicabilité
Lors de l'évaluation de l'IA SOC Pour les sociétés d'experts, la transparence est un facteur de différenciation essentiel. Un expert qui rend un verdict sans en exposer les motifs représente un handicap, et non un atout. Privilégiez les prestataires qui fournissent un suivi complet des investigations, détaillant chaque requête effectuée, chaque donnée analysée et le raisonnement logique reliant les preuves aux conclusions. Les analystes doivent pouvoir auditer et remettre en question le travail de l'expert, notamment lors d'incidents à forts enjeux.
Profondeur d'intégration
La valeur d'une IA SOC La performance d'un agent est directement proportionnelle à l'étendue et à la profondeur de ses intégrations. Évaluez les fournisseurs selon les critères suivants :
- Nombre d'outils pris en charge : L'agent se connecte-t-il à votre compte spécifique ? SIEM, EDR, fournisseur d'identité et plateformes cloud ?
- Qualité de l'intégration : Permet-il d'effectuer des requêtes en lecture seule, ou peut-il également exécuter des actions de réponse via ces outils ?
- Prise en charge de l'intégration personnalisée : Est-il possible de connecter l'agent à des systèmes internes ou propriétaires via des API ?
- Résidence des données et confidentialité : Comment l'agent gère-t-il les données de sécurité sensibles, et où sont-elles traitées ?
Précision et gestion des faux positifs
Interrogez l'IA potentielle SOC Demandez aux fournisseurs d'agents des indicateurs concrets sur la précision de leur triage, leurs taux de réduction des faux positifs et la qualité de leurs investigations. Sollicitez une période de validation de concept durant laquelle l'agent fonctionnera en parallèle de votre système existant. SOC Un flux de travail vous permet de comparer ses conclusions à celles de vos analystes. Des fournisseurs comme Stellar, qui se concentrent spécifiquement sur SOC L'automatisation et les investigations pilotées par l'IA proposent souvent des programmes d'évaluation structurés qui permettent aux équipes de sécurité de mesurer l'impact avant de s'engager.
Quelles sont les meilleures IA SOC Fournisseurs d'agents ?
L'IA SOC Le marché des agents comprend à la fois des fournisseurs de sécurité établis et des startups spécialisées. Lorsqu'on évalue les meilleures solutions d'IA SOC Les fournisseurs d'agents doivent tenir compte des critères d'évaluation suivants :
|
Critère d'évaluation |
Pourquoi ça compte |
Questions a poser |
|
Profondeur de l'enquête |
Le triage superficiel n'apporte qu'une valeur limitée |
Combien d'étapes d'enquête l'agent effectue-t-il par alerte ? |
|
Commandes d'autonomie |
Les besoins en matière d'indépendance de l'IA varient selon les organisations. |
Est-il possible de configurer les actions qui nécessitent une approbation humaine ? |
|
Boucles de rétroaction |
La précision des agents devrait s'améliorer avec le temps. |
Comment l'agent tire-t-il des enseignements des corrections des analystes ? |
|
Modèle de déploiement |
Les exigences en matière de cloud, d'infrastructure sur site ou de solutions hybrides varient. |
Où s'exécute le modèle d'IA et où les données sont-elles traitées ? |
|
Structure tarifaire |
La prévisibilité des coûts est essentielle pour SOC budgets |
La tarification est-elle basée sur le volume d'alertes, les points de terminaison ou les analystes ? |
Antécédents et profil de sécurité du fournisseur
Toute IA SOC Le fournisseur d'agents devient un élément essentiel de votre infrastructure de sécurité. Évaluez ses pratiques de sécurité avec la même rigueur que vous appliqueriez à tout autre fournisseur sensible : SOC 2. Conformité de type II, fréquence des tests d'intrusion, politiques de divulgation des vulnérabilités et historique de réponse aux incidents. Un prestataire incapable de sécuriser ses propres opérations ne devrait pas être chargé de renforcer les vôtres.
Meilleures pratiques pour le déploiement d'agents d'IA dans SOC Environnements
Antécédents et profil de sécurité du fournisseur
Formation réussie d'agents d'IA pour SOC Les environnements commencent par un périmètre clairement défini. Plutôt que de déployer une IA SOC L'agent doit intervenir simultanément sur tous les types d'alertes, en commençant par une catégorie spécifique où il peut démontrer une valeur mesurable :
- Tri des alertes d'hameçonnage : Un volume important de données bien structurées et des critères clairs de vrai/faux positif en font un point de départ idéal.
- Alertes de détection des points de terminaison : Les alertes EDR accompagnées de données télémétriques détaillées fournissent à l'agent des données substantielles sur lesquelles travailler.
- Alertes basées sur l'identité : Les voyages impossibles, les schémas de connexion anormaux et les tentatives de contournement de l'authentification multifacteur se prêtent bien à l'investigation par l'IA. L'élargissement progressif du périmètre permet SOC L'équipe doit renforcer la confiance dans les capacités de l'agent et affiner sa configuration avant un déploiement plus large.
Établir des politiques d'escalade claires
Définir des critères explicites déterminant quand l'agent d'IA doit faire appel à un analyste humain plutôt que de poursuivre son exécution de manière autonome. Ces politiques doivent prendre en compte les éléments suivants :
- Seuils de confiance : Si le niveau de confiance de l'agent dans sa conclusion tombe en dessous d'un pourcentage défini, intensifier les mesures.
- Criticité des actifs : Les alertes concernant des actifs de grande valeur ou des comptes de dirigeants doivent toujours faire l'objet d'un examen humain.
- Gravité de la réponse : Les mesures de confinement ayant un impact significatif sur l'activité (isolation de segments de réseau, désactivation de comptes) doivent nécessiter une approbation.
- Détection de nouveautés : Lorsque l'agent détecte des schémas d'attaque ou des indicateurs qu'il n'a pas analysés auparavant, il doit signaler le cas pour un examen humain.
Aborder l'IA SOC Meilleures pratiques pour les agents en cas de journaux incomplets
Les données de journalisation incomplètes ou manquantes sont une réalité dans tous les cas. SOC Dans cet environnement, un déploiement efficace exige des stratégies explicites pour gérer ces lacunes. Configurez l'agent d'IA afin qu'il indique clairement les sources de données indisponibles lors d'une investigation et l'impact de cette absence sur son niveau de confiance. Créez des scénarios de collecte de données supplémentaires que l'agent peut déclencher en cas de dégradation des sources de journaux principales. Auditez régulièrement les pipelines d'ingestion des journaux afin de minimiser les lacunes avant qu'elles n'affectent la qualité de l'investigation. Ces pratiques garantissent la fiabilité des résultats de l'agent, même en cas d'informations incomplètes.
Mesurer et itérer
Suivre des indicateurs spécifiques pour évaluer l'IA SOC performance de l'agent au fil du temps :
- Taux de précision du triage : Pourcentage d'alertes où la classification de l'agent correspond à la décision finale de l'analyste.
- Réduction du MTTR : Diminution du temps moyen de réponse par rapport à la situation de référence avant déploiement.
- Gain de temps pour les analystes : Heures récupérées par semaine grâce au triage et à l'investigation automatisés.
- Qualité de l'escalade : Pourcentage de cas ayant nécessité une intervention humaine.
- Taux de faux négatifs : Indicateur essentiel pour s'assurer que l'agent ne néglige pas les menaces réelles.
Favoriser la collaboration entre analystes et agents
L'IA la plus performante SOC Le déploiement d'agents considère l'agent comme un membre à part entière de l'équipe, et non comme un simple outil de remplacement. Il est important d'encourager les analystes à examiner les rapports d'enquête de l'agent, à commenter ses conclusions et à suggérer des améliorations à ses procédures d'investigation. Cette boucle de rétroaction est essentielle à l'amélioration continue. Des organisations comme Stellar privilégient ce modèle collaboratif, en concevant leurs agents d'IA pour qu'ils renforcent les capacités des analystes plutôt que de fonctionner comme des boîtes noires. Lorsque les analystes font confiance à l'agent et comprennent son raisonnement, l'adoption s'accélère et l'ensemble du processus s'intègre plus facilement à l'équipe. SOC fonctionne avec un niveau d'efficacité supérieur.