Anatomie d'une riposte : décider en moins de 200 ms

Entre l'instant où un attaquant agit et celui où il est stoppé, chaque milliseconde compte. La plupart des outils s'arrêtent à l'alerte et attendent qu'un humain arrive, souvent trop tard. BALLA va jusqu'au bout : détecter, comprendre, décider, agir, en une seule chaîne continue, sous les 200 ms.

Tout commence par un flux. L'agent endpoint normalise chaque événement au format UCEF, le signe, puis le pousse sur un bus découplé. Ce découplage n'est pas un détail d'architecture : il permet d'absorber des dizaines de milliers d'événements par seconde sans jamais perdre l'ordre des faits sur une même machine.

Vient l'étape la plus délicate : distinguer le normal de l'anormal sans connaître la menace à l'avance. Plutôt qu'un modèle unique, BALLA empile des capacités complémentaires, anomalie statistique, profil contextuel, séquence d'actions, filtrage supervisé, dont l'objectif commun est de réduire simultanément les menaces manquées et les fausses alertes.

Une anomalie n'est pas encore une décision. Elle est qualifiée par le renseignement sur les menaces, vulnérabilité, famille de malware, technique MITRE ATT&CK, réputation, puis pesée par la couche de décision, sous garde-fous stricts. Et chaque choix reste explicable : on sait quels facteurs ont pesé, et pourquoi.

Enfin, agir. La réponse devient une action signée cryptographiquement, vérifiée par l'agent avant exécution, réversible, et inscrite dans un journal infalsifiable. Les décisions les plus lourdes gardent l'humain dans la boucle. C'est cette exigence, vitesse ET traçabilité ET contrôle, qui sépare un simple script automatisé d'une véritable cybersécurité autonome.