Intezer

Qu'est-ce qu'Intezer ?

Intezer agit comme un analyste de sécurité virtuel de niveau 1. Il ingère des milliers d'alertes quotidiennes provenant des systèmes de détection des terminaux et résout automatiquement les faux positifs.

Développée par Intezer Ltd., cette plateforme SOC autonome cible les équipes de sécurité d'entreprise noyées sous la fatigue des alertes. Elle utilise la décomposition du code génétique pour analyser les malwares au niveau de l'assembleur. Cette approche permet d'identifier la réutilisation de code à travers les familles de menaces connues.

Fonctionnalités clés et fonctionnement d'Intezer

Analyse du code génétique

• Moteur de similarité de code : Compare les fichiers téléchargés à des milliards d'extraits de code connus. Limite : Nécessite une connexion Internet pour interroger la base de données Intezer.
• Scanner de mémoire : Détecte les malwares sans fichier dans les processus en cours d'exécution. Limite : Ne prend en charge que les terminaux Windows pour l'extraction de la mémoire en direct.

Tri automatisé des alertes

• Intégration EDR : Se connecte directement à CrowdStrike et SentinelOne. Limite : Les limites de débit d'API côté EDR peuvent ralentir le traitement des alertes en masse.
• Automatisation du phishing : Extrait et analyse les pièces jointes d'O365. Limite : Impossible de traiter les fichiers zip chiffrés sans le mot de passe fourni dans le corps de l'e-mail.

Renseignement sur les menaces et reporting

• Cartographie MITRE ATT&CK : Associe les comportements à des techniques spécifiques du framework. Limite : Ne cartographie que les comportements observés pendant la fenêtre d'exécution de la sandbox.
• Décompression automatisée : Supprime les couches d'obfuscation des échantillons compressés. Limite : Les compresseurs hautement personnalisés ou inédits nécessitent toujours une rétro-ingénierie manuelle.

Avantages et inconvénients d'Intezer

Avantages

• Automatise le tri de plus de 90% des alertes de sécurité entrantes.
• Identifie l'origine des malwares même lorsque le hachage du fichier est totalement unique.
• Se connecte directement aux principaux EDR pour une remédiation des menaces en un clic.
• Distingue avec précision les outils d'administration légitimes des portes dérobées malveillantes.

Inconvénients

• La tarification est totalement opaque et cible les budgets des grandes entreprises.
• Les rapports d'analyse exigent une grande expertise technique pour être pleinement interprétés.
• Les logiciels propriétaires internes déclenchent souvent des faux positifs en raison d'un manque d'historique de code public.

À qui s'adresse Intezer ?

• Équipes SOC d'entreprise : Les analystes traitant des milliers d'alertes CrowdStrike ou SentinelOne quotidiennes économisent des heures de tri manuel.
• Répondants aux incidents : Les professionnels enquêtant sur des violations complexes utilisent l'analyse génétique pour attribuer les malwares à des acteurs de la menace spécifiques.
• Petites entreprises : Les équipes sans ingénieurs de sécurité dédiés trouveront la plateforme trop chère et les rapports trop techniques.

Tarifs et forfaits d'Intezer

Intezer cache ses tarifs derrière un mur commercial. L'entreprise ne propose aucun niveau de tarification public et aucun essai gratuit pour le produit d'entreprise.

Le forfait Starter comprend une surveillance 24/7 et un tri automatisé pour une seule source d'alerte. Cela signifie généralement la connexion de votre EDR ou de votre boîte de réception de phishing.

Le forfait Complete ajoute la prise en charge des SIEM, des charges de travail cloud et des alertes d'identité. Il comprend également des flux de réponse personnalisés et l'assistance d'experts des analystes d'Intezer.

Le forfait Enterprise cible les MSSP et les très grandes organisations nécessitant des intégrations sur mesure.

Vous devez contacter le service commercial pour obtenir des chiffres réels.

Comment Intezer se compare aux alternatives

À l'instar d'Any.Run, Intezer offre des capacités d'analyse approfondie des malwares. Mais Any.Run se concentre fortement sur le sandboxing interactif où les analystes cliquent manuellement tout au long de l'exécution. Intezer privilégie la décomposition automatisée du code génétique pour identifier les familles de menaces sans interaction manuelle. Any.Run propose un forfait annuel transparent à 2,999 $, tandis qu'Intezer nécessite des devis personnalisés.

Contrairement à Joe Sandbox, cet outil s'intègre directement dans le pipeline d'alertes SOC pour automatiser le tri. Joe Sandbox excelle dans la génération de rapports d'exécution massifs et détaillés pour des fichiers individuels. Intezer se concentre sur la résolution automatique des alertes EDR et la clôture des faux positifs. Les deux plateformes ciblent les budgets d'entreprise, mais Intezer agit davantage comme un analyste automatisé que comme une sandbox autonome.

Le verdict : Idéal pour les SOC d'entreprise débordés

Intezer apporte une valeur considérable aux grands centres d'opérations de sécurité. Si votre équipe passe des heures à clôturer des faux positifs dans SentinelOne, cette plateforme est rentabilisée. L'analyse du code génétique détecte les menaces qui échappent à la détection standard basée sur les signatures.

Cependant, la courbe d'apprentissage abrupte crée des frictions.

Lors de la configuration initiale, le système a signalé plusieurs de nos applications internes personnalisées comme suspectes (un problème courant avec le code propriétaire). Vous passerez le premier mois à ajuster le système. Si vous dirigez une petite équipe ou si vous avez besoin d'une tarification transparente, tournez-vous plutôt vers Any.Run.