Globalement, c'est un super produit. La procédure d'intégration des sources est très claire, la gestion des alertes quotidienne est simple et efficace et le format ouvert des règles permet de savoir exactement pourquoi des règles ont sonné et comment effectuer la levée de doute. Je n'ai pas du tout utilisé la section des Playbooks, donc je ne peux pas attester de leur intérêt.

L'aspect communautaire de SEKOIA.IO, autant dans les règles de détection souvent issues de règles open-source écrites directement au format SIGMA (un format largement reconnu), la possibilité de créer ses propres formats de parsing, la documentation open-source, etc... permet d'utiliser l'intelligence collective pour améliorer la puissance de ce SIEM. L'intégration des sources de logs est limpide et utilise en grande partie des standards connus comme Rsyslog. La plate-forme est belle est réactive et l'intégration entre l'Operations Center et l'Intelligence Center est fluide et permet de réaliser très facilement une levée de doute sur les alertes. Possibilité de filtrer sur les alertes pour limiter le nombre de faux positifs : c'est très agréable.

Le User Center manque d'un RBAC plus granulaire et d’une notion d’héritage des rôles. Le plus gros défaut de la solution est l’impossibilité d’ingérer sa propre CTI dans le produit. La documentation est assez inégale en termes de qualité.

La visibilité sur les règles de détection ainsi que le contexte autour des différentes alertes. Ces deux points permettent de gagner un temps précieux pour déterminer si une alerte est un vrai ou un faux positif. En plus, pour les plus curieux, il est assez aisé de de renseigner sur le contexte cyber actuel ce qui ne fait de mal à personne.

Il existe 2 formats concernant les règles de détection il serait bien d'unifier toutes les règles pour ne garder qu'uniquement le format SIGMA. Il peut être compliqué de rechercher une alerte et de les manipuler comme on le désire à cause de certaines contraintes techniques.

Pertinence Maintien & mise à jour Suivi support

C'est parfois limité sans prendre Sekoia XDR