ThreatSync XDR

Questions fréquentes

FAQ — ThreatSync XDR au Maroc

Quelle différence entre ThreatSync XDR et un SIEM classique ?

Un SIEM (Splunk, QRadar) ingère des logs bruts et nécessite la rédaction manuelle de règles de corrélation par des analystes expérimentés. ThreatSync XDR est préconfiguré avec les règles de corrélation WatchGuard, intègre nativement Firebox, EPDR et AuthPoint, et déclenche des réponses automatiques. C'est une solution prête à l'emploi pour les PME et ETI marocaines sans SOC dédié.

ThreatSync nécessite-t-il d'avoir tous les produits WatchGuard ?

Non, ThreatSync apporte de la valeur dès qu'au moins deux sources WatchGuard sont déployées (par exemple Firebox + EPDR). Plus vous ajoutez de sources (MFA AuthPoint, DNSWatchGO, AP Wi-Fi), plus la corrélation devient riche et les détections précises.

Comment ThreatSync isole-t-il automatiquement un endpoint infecté ?

Lorsque ThreatSync détecte un comportement malveillant sur un endpoint protégé par EPDR (par exemple un ransomware en exécution), il envoie une commande d'isolation à l'agent EPDR qui coupe immédiatement toutes les communications réseau du poste sauf vers la console WatchGuard. Cela empêche la propagation latérale en quelques secondes.

Est-ce compatible avec mon SIEM existant comme Splunk ou Sentinel ?

Oui, ThreatSync expose une API REST et un flux syslog qui permettent de remonter les incidents qualifiés vers un SIEM externe comme Splunk, Microsoft Sentinel ou QRadar. Cette intégration apporte le meilleur des deux mondes : la corrélation automatisée WatchGuard et la conservation longue durée dans votre SIEM stratégique.

Quel est le bénéfice de la vue MITRE ATT&CK dans ThreatSync ?

Le framework MITRE ATT&CK catalogue les tactiques et techniques des attaquants. ThreatSync cartographie chaque incident sur cette matrice, ce qui permet aux analystes de comprendre quelle phase de l'attaque est en cours (reconnaissance, exécution, exfiltration) et d'anticiper les prochaines étapes pour bloquer la chaîne complète.