SOAR

Security Orchestration, Automation and Response : orchestration, automatisation et réponse de sécurité

Un SOAR est une plateforme qui relie les outils de sécurité d’une organisation et exécute, dès qu’une alerte arrive, une suite d’actions décrite à l’avance : compléter l’alerte, isoler un poste, bloquer une adresse, ouvrir un dossier d’incident.

Le scénario écrit à l’avance

Le cœur d’un SOAR, c’est le scénario de réponse, ou playbook : une suite d’étapes déclenchée par un type d’alerte. Pour un courriel signalé comme suspect, par exemple, interroger la réputation de l’expéditeur et des liens, retrouver les autres destinataires, retirer le message de leurs boîtes, puis réinitialiser le mot de passe de quiconque a cliqué. Ce qu’un analyste ferait en vingt minutes, la plateforme l’enchaîne en quelques secondes, à toute heure.

Trois familles d’outils réunies

Le cabinet Gartner a popularisé le terme vers 2017 pour désigner la convergence de trois catégories jusque-là séparées : les plateformes de gestion des incidents, celles d’orchestration et d’automatisation, et celles de renseignement sur les menaces. Un SOAR ne détecte rien par lui-même : il reçoit les alertes d’un SIEM, d’un EDR ou de la messagerie, et agit à travers les outils auxquels on l’a raccordé.

Une erreur aussi va plus vite

Un scénario mal pensé bloque un client légitime ou isole le serveur de facturation avec la même rapidité qu’il neutralise une attaque. Les gestes réversibles et sans conséquence, comme enrichir une alerte ou ouvrir un ticket, s’automatisent volontiers ; ceux qui coupent un service gagnent à attendre la validation d’une personne, en un clic.

Dans une PME

Peu de petites structures achètent un SOAR pour elles-mêmes : il faut des outils raccordés, des scénarios écrits et quelqu’un pour les tenir à jour. Ses fonctions arrivent plus souvent intégrées à une plateforme XDR, ou mises en œuvre par le prestataire d’un service MDR.

Mise à jour : 26 octobre 2026