Un SIEM bruyant fatigue les analystes, augmente le risque de miss, et finit par décrédibiliser la détection. Réduire les faux positifs est donc une mission de sécurité — pas un confort opérationnel.
Le vrai problème n’est pas « trop d’alertes »
Le problème est le mauvais ratio signal / bruit. Couper des règles au hasard peut faire taire le SIEM… et aveugler le SOC. L’objectif est d’améliorer la précision tout en préservant la couverture des scénarios à fort impact.
Méthode de tuning en 5 étapes
1. Mesurer avant de couper
Pour chaque règle bruyante, collectez 2 à 4 semaines de données :
- volume d’alertes
- taux de vrai positif confirmé
- temps moyen de triage
- actifs / users les plus générateurs
Sans métriques, le tuning devient politique.
2. Classer les causes de bruit
Les faux positifs viennent souvent de :
- baselines métier non prises en compte
- comptes de service / scans légitimes
- champs mal normalisés
- seuils trop bas
- détections trop génériques
Chaque cause appelle un traitement différent.
3. Affiner plutôt que désactiver
Privilégiez :
- exclusions ciblées et documentées
- seuils adaptatifs / fenêtres temporelles
- corrélation multi-événements (au lieu d’un événement isolé)
- enrichissement (asset criticality, identity context)
La désactivation totale reste l’exception, avec validation RSSI.
4. Relier détection et hunting
Quand une règle est trop imprécise pour de l’alerting temps réel, transformez-la en hunt périodique. Vous gardez la couverture sans polluer la file SOC.
5. Boucler avec l’IR
Chaque incident réel doit mettre à jour les détections associées. Chaque faux positif récurrent doit avoir un owner et une date de revue.
Gouvernance minimale
Tenez un registre des règles :
- owner
- scénario MITRE couvert
- exceptions actives
- KPI de qualité
- dernière revue
Sans ce registre, le SIEM dérive en quelques mois.
Conclusion
Réduire les faux positifs, c’est augmenter la confiance dans l’alerte. Un SOC qui croit ses détections réagit plus vite, investigue mieux et fatigue moins. Le tuning n’est pas un projet one-shot : c’est une discipline continue au service de la détection utile.
Retour au blog