.webp)
EDF, un groupe mondial à sécuriser
L'équipe SOC de la direction « Transformation et Efficacité Opérationnelle » d'EDF (groupe) est chargée de prévenir, détecter et répondre aux incidents de sécurité susceptibles d'affecter les employés et les infrastructures du Groupe.
Le périmètre d'activités de cette équipe s'étend principalement à l'Europe, ainsi qu'aux États-Unis et à la Chine. Cette équipe surveille et sécurise environ 200 000 actifs.
Quel était le besoin ?
L'équipe SOC recherchait un flux d'informations souverain et de confiance pour détecter les cybermenaces susceptibles de cibler le Groupe EDF.
Ces informations devaient être suffisamment contextualisées et pertinentes pour permettre à l'équipe de les intégrer directement dans les outils SIEM et de sécurité sans traitement préalable.
Le choix de Sekoia CTI
Un POC a été mené sur une période de 12 mois en collaboration avec les équipes EDF, Threat Quotient et Sekoia. Ce POC, exigeant en termes d'intégration, a atteint avec succès l'objectif initial. Cette intégration a permis d'apporter une large couverture de détection des menaces courantes (Phishing, Ransomware, Malware) susceptibles de cibler le groupe EDF.
Grâce à un flux de haute qualité et un taux de faux positifs quasi nul, l'automatisation a été un critère déterminant dans le choix de la solution et la faisabilité de ce projet.
Malgré plusieurs POC menés en parallèle, Sekoia a été choisie pour la forte expertise, la réactivité et la disponibilité de ses équipes.
CTI de qualité avec un ROI indéniable
L'implémentation du flux CTI Sekoia a permis :
- Un ROI mesurable : La qualité et la pertinence des informations ont permis d'éviter de solliciter les analystes de l'équipe SOC.
- Du temps a été gagné et les équipes n'ont pas eu besoin de recruter pour contextualiser les données.
- Enrichissement de l'information conduisant à une augmentation de 10 % de la détection des menaces + du volume des menaces.
- Détections pertinentes qui ont permis d'éviter des attaques.
- Une diminution du volume de faux positifs passant à moins de 10 pour plus d'un million d'indicateurs.
Le processus de preuve de concept
Phase 1 : Préparation
Une réunion de lancement a été organisée pour permettre la transmission aux équipes d'EDF.
Phase 2 : Évaluation du renseignement
- Test des IoC
- Test des sources
- Test des traqueurs
- Test des profils de malwares et d'acteurs de menaces
- Test des rapports FLINT (Flash Intelligence Report)
Phase 3 : Bilan du POC
Lors d'une réunion de débriefing, les équipes d'EDF ont décidé de généraliser ce POC.
Durée : 12 mois
