Architecture et Fonctionnement de Nucleon XDR

1. Chaîne fonctionnelle complète

La plateforme Nucleon XDR couvre l’ensemble du cycle de détection et de réponse à incident, depuis la collecte des données jusqu’aux actions de remédiation automatisées.

La chaîne fonctionnelle s’articule comme suit :

Collecte → Ingestion → Normalisation / Indexation / Balisage → Corrélation & Détection → Alertes → Stockage → Recherche & Statistiques → Réponse

1.1 Collecte des données

La collecte s’effectue via :

• Agents déployés sur endpoints et serveurs

• Flux réseau (Syslog, ports dédiés, équipements de sécurité)

• Intégrations API avec solutions tierces (cloud, IAM, messagerie, firewalls, etc.)

Cette approche multi-sources garantit une visibilité étendue et transversale du système d’information.

1.2 Ingestion interne

Les événements collectés sont transmis à l’API interne de la plateforme, qui assure :

• La réception sécurisée des données

• La validation des formats

• La gestion de la file d’attente et du buffering

• La distribution vers les moteurs de traitement

1.3 Normalisation, indexation et balisage

Les logs hétérogènes sont convertis dans un modèle de données unifié.
Cette phase permet :

• Une lecture homogène des événements

• Une indexation optimisée pour les recherches rapides

• Un balisage (tagging) facilitant la qualification par règles

1.4 Corrélation et détection

Le moteur de corrélation applique :

• Des règles déterministes

• Des scénarios multi-étapes

• Des mécanismes comportementaux

Il identifie des chaînes d’attaque complexes et génère des alertes contextualisées.

1.5 Génération d’alertes

Les alertes sont enrichies (criticité, entités impactées, IoC, mapping MITRE) et regroupées en incidents structurés.

1.6 Stockage et rétention

Les données sont stockées selon une politique configurable :

• Hot storage : données récentes, accessibles rapidement

• Cold storage : archivage longue durée

1.7 Recherche et statistiques

La plateforme propose :

• Requêtes avancées

• Tableaux de bord personnalisables

• Statistiques temps réel

• Indicateurs SOC (MTTD, MTTR, volumétrie, tendances)

1.8 Actions de réponse

Les actions peuvent être :

• Natives (isolement endpoint, blocage IP, désactivation compte)

• Déclenchées via API tierces (SOAR, firewall, IAM, etc.)

2.1 Modes de déploiement

La plateforme Nucleon XDR est conçue pour s’adapter aux différentes contraintes d’infrastructure et de gouvernance des organisations. Elle est déployable selon plusieurs modèles :

1) 100 % On-Premise

Déploiement intégral au sein de l’infrastructure interne de l’organisation.
L’ensemble des composants applicatifs et techniques est installé localement, garantissant une souveraineté complète des données et une maîtrise totale des flux.

2) Environnement privé isolé (Air-Gapped)

Déploiement dans un environnement totalement isolé d’Internet ou de tout réseau externe.
Ce mode est particulièrement adapté aux environnements sensibles (secteurs régulés, infrastructures critiques, défense, industrie stratégique) nécessitant un cloisonnement strict et un contrôle maximal des communications

.

3) Architecture privée interne segmentée

Déploiement sur une infrastructure interne avec segmentation réseau (VLAN, zones de sécurité, DMZ).
Les composants peuvent être répartis selon des zones de confiance distinctes (collecte, traitement, stockage, accès console), 

4) Déploiement Cloud

Nucleon XDR peut également être déployé dans un environnement Cloud, :

Dans ce modèle, les données restent hébergées dans un environnement isolé propre au client, avec des mécanismes de chiffrement et de segmentation réseau garantissant la confidentialité et l’intégrité.