Six couches, et une septième qui garde les six autres.
Des fondations ouvertes et éprouvées à la base — Zeek, Suricata, Wazuh, Sigma, YARA. Notre valeur se concentre dans les quatre couches au-dessus : connaissance, raisonnement, agents et conformité. Cette page est écrite pour la personne qui va réellement l’évaluer.
- 1
Captation et ingestion
fondations ouvertesTransforme le monde brut en un flux unique d’événements — trafic réseau, postes, journaux cloud, identité. Le normalisateur est le point unique où chaque source prend la même forme.
Zeek · Suricata · Wazuh · connecteurs Go · Kafka - 2
Détection
fondations ouvertesDes règles en tant que code et des modèles comportementaux, avec un chemin dédié de neutralisation précoce du rançongiciel et une analyse utilisateur respectueuse de la vie privée.
Sigma · YARA · UEBA · scoring ML - 3
Connaissance et données
valeur CYRKILLes signaux épars deviennent du contexte. Un graphe de connaissances cyber répond à la question qui compte : existe-t-il un chemin de ce poste compromis vers quelque chose de critique ?
Neo4j / Memgraph · moteur à quatre mémoires · fusion TI - 4
Raisonnement et cognition
valeur CYRKILAssemble les signaux en un récit causal, déduit l’intention de l’attaquant et son stade actuel, et prédit le mouvement suivant.
modèle d’incident · inférence de stade - 5
Réponse agentique
valeur CYRKILDes agents coopérants qui décident et exécutent le confinement sous un contrat explicite, avec validation humaine sur toute action destructrice.
contrat d’agent · SOAR · 3 modes - 6
Conformité
valeur CYRKILTransforme l’incident en artefact réglementaire — NIS2 24 h et 72 h, RGPD, DORA — sous forme de projet qu’un humain nommé dépose.
modèle de règles YAML · coffre de preuves - ×
Autodéfense de la plateforme
transversalUne plateforme de sécurité est une cible de grande valeur. Cette couche sécurise AEGIS lui-même — isolation des tenants validée en continu, actions d’agent dangereuses sous garde, et chaque décision journalisée de façon inaltérable.
mTLS · clés par tenant · détections signées · audit inaltérable
Un schéma d’événement, imposé une fois
Chaque source — réseau, poste, cloud, identité — est normalisée en OCSF en un point d’application unique, portant tenant_id et compliance_tags. Tout ce qui est au-dessus dépend du fait que ce soit la seule porte d’entrée.
Trois modes de réponse
Observation, validation humaine, automatique — choisis par type d’action, pas par plateforme. Les actions destructrices restent sous garde quel que soit le mode : c’est une décision de gouvernance, pas de configuration.
Explicable avant d’être brillant
La détection comportementale part de modèles qu’un analyste peut interroger. Au regard du règlement IA, une décision de sécurité que vous ne pouvez pas expliquer est un risque — l’explicabilité est donc une contrainte de conception, pas une fonctionnalité.
