EDF, un groupe mondial à sécuriser

L'équipe SOC de la direction « Transformation et Efficacité Opérationnelle » d'EDF (groupe) est chargée de prévenir, détecter et répondre aux incidents de sécurité susceptibles d'affecter les employés et les infrastructures du Groupe.

Le périmètre d'activités de cette équipe s'étend principalement à l'Europe, ainsi qu'aux États-Unis et à la Chine. Cette équipe surveille et sécurise environ 200 000 actifs.

‍

Quel était le besoin ?

L'équipe SOC recherchait un flux d'informations souverain et de confiance pour détecter les cybermenaces susceptibles de cibler le Groupe EDF.

Ces informations devaient être suffisamment contextualisées et pertinentes pour permettre à l'équipe de les intégrer directement dans les outils SIEM et de sécurité sans traitement préalable.

‍

Le choix de Sekoia CTI

Un POC a été mené sur une période de 12 mois en collaboration avec les équipes EDF, Threat Quotient et Sekoia. Ce POC, exigeant en termes d'intégration, a atteint avec succès l'objectif initial. Cette intégration a permis d'apporter une large couverture de détection des menaces courantes (Phishing, Ransomware, Malware) susceptibles de cibler le groupe EDF.

Grâce à un flux de haute qualité et un taux de faux positifs quasi nul, l'automatisation a été un critère déterminant dans le choix de la solution et la faisabilité de ce projet.

Malgré plusieurs POC menés en parallèle, Sekoia a été choisie pour la forte expertise, la réactivité et la disponibilité de ses équipes.

‍

CTI de qualité avec un ROI indéniable

L'implémentation du flux CTI Sekoia a permis :

• Un ROI mesurable : La qualité et la pertinence des informations ont permis d'éviter de solliciter les analystes de l'équipe SOC.
• Du temps a été gagné et les équipes n'ont pas eu besoin de recruter pour contextualiser les données.
• Enrichissement de l'information conduisant à une augmentation de 10 % de la détection des menaces + du volume des menaces.
• Détections pertinentes qui ont permis d'éviter des attaques.
• Une diminution du volume de faux positifs passant à moins de 10 pour plus d'un million d'indicateurs.

‍

Le processus de preuve de concept

Phase 1 : Préparation

Une réunion de lancement a été organisée pour permettre la transmission aux équipes d'EDF.

Phase 2 : Évaluation du renseignement

• Test des IoC
• Test des sources
• Test des traqueurs
• Test des profils de malwares et d'acteurs de menaces
• Test des rapports FLINT (Flash Intelligence Report)

Phase 3 : Bilan du POC

Lors d'une réunion de débriefing, les équipes d'EDF ont décidé de généraliser ce POC.

Durée : 12 mois

‍