Les fans de « RoboCop », ce film d’action de science-fiction mettant en scène un robot policier conçu pour allier à la perfection le jugement humain et l’automatisation mécanique, ne se rendent peut-être pas compte qu’il y a une bonne raison de le revoir : ce classique culte recèle en effet des enseignements surprenants sur la cybersécurité d’aujourd’hui.
Sérieusement, si vous ne l’avez pas vu depuis longtemps – voire jamais –, RoboCop mérite d’être visionné en streaming, car les enjeux qu’il aborde sont remarquablement similaires à ceux auxquels sont confrontés les responsables des entreprises et de la sécurité lorsqu’ils réfléchissent à la meilleure façon de tirer parti de l’IA pour améliorer la cybersécurité en général, en particulier dans le domaine de l’orchestration, de l’automatisation et de la réponse en matière de sécurité (SOAR), où les progrès de l’IA semblent capables d’apporter des améliorations rapides.
Petit rappel historique : il y a quarante ans, Orion Pictures a acquis les droits du scénario de « RoboCop », , mais il a fallu deux ans pour trouver un réalisateur et mener le projet à bien. Paul Verhoeven a refusé le projet à deux reprises avant d'accepter de réaliser ce qui est aujourd'hui considéré comme son chef-d'œuvre cinématographique. Ce mélange de satire de la culture d'entreprise, d'humour noir et de violence extrême suit les aventures de Murphy, un inspecteur de police qui a failli être tué par des voyous, puis réanimé par des scientifiques qui l'ont transformé en un hybride mi-homme, mi-machine, doté d'un étui à arme intégré dans sa cuisse en titane. Hé, qu'est-ce qui pourrait bien mal tourner, n'est-ce pas ?
Les conséquences imprévues de sa programmation (et cette touche d'humanité hantée qui persiste au cœur de tout ce métal) font dérailler la situation, laissant les responsables scientifiques et les dirigeants de l'entreprise du cyborg perplexes.
Et c'est à peu près là où se trouvent aujourd'hui les professionnels de la cybersécurité.
Face à la multiplication sans précédent des cyberattaques visant les organisations, de nombreuses grandes entreprises ont investi dans leurs capacités SOAR afin de les intégrer à leurs outils de sécurité existants et d'automatiser les tâches de sécurité courantes. Qu'il s'agisse de lancer automatiquement des enquêtes suite à des alertes de sécurité et des mesures de réponse aux menaces, d'isoler les machines infectées ou d'orchestrer des workflows de sécurité complexes, également appelés « playbooks », l'objectif est resté le même : réduire le temps nécessaire à la détection et à la réponse aux incidents de sécurité.
Les entreprises investissent également dans ces plateformes SOAR dans l'espoir de remédier à la fatigue liée aux alertes , à la surcharge de travail du personnel et , ainsi qu'au surmenage de celui-ci. Scott Crawford, directeur de recherche du pôle « sécurité de l'information » chez S&P Global Market Intelligence, indique qu'environ la moitié des entreprises utilisatrices qu'il a conseillées sont tellement submergées par les alertes de sécurité qu'elles ne parviennent pas à y répondre toutes dans un délai raisonnable. According to the B2B market research firm MarketsandMarkets, that’s one reason why the worldwide market for SOAR tools hit about $1,1 billion in 2022 and will reach nearly $2,3 billion by 2027.
De nombreuses entreprises ont jugé décevante la mise en œuvre de leurs plateformes et processus SOAR. Les raisons sont nombreuses, et elles laissent sans doute présager les défis auxquels les entreprises seront confrontées lorsqu'elles intégreront l'IA dans leurs systèmes SOAR.
Pourquoi les playbooks évoluent (ou non) avec SOAR
L'intégration des systèmes SOAR aux outils et processus de sécurité existants est complexe et nécessite une personnalisation réalisée par des experts ; de nombreuses organisations rencontrent des difficultés en matière de mise en correspondance, de qualité et de cohérence des données provenant de sources disparates, ce qui nuit à l'efficacité des systèmes SOAR.
«De nombreux cas d’utilisation viennent à l’esprit lorsque l’on applique la technologie des grands modèles de langage (LLM) à la sécurité – les plus évidents étant le renseignement et l’analyse des menaces. »Scott Crawford, directeur de recherche du pôle « Sécurité de l'information » chez S&P Global Market Intelligence
Il en résulte que bon nombre de ces « guides d’intervention », ainsi que les « flux » et « sous-flux » qui les composent – c’est-à-dire des feuilles de route ou des workflows prédéfinis, automatisés ou semi-automatisés, qui guident les intervenants dans la mise en œuvre d’une réponse appropriée à des types d’incidents spécifiques, qu’il s’agisse d’ , de ransomware ou d’indicateurs de compromission détectés sur les systèmes internes – ne vont pas au-delà de tâches de sécurité relativement simples, telles que la réalisation de clichés d’investigation ou la mise hors ligne des systèmes.
« Bien qu'utiles, ces systèmes n'ont pas entièrement tenu leurs promesses », déclare Michael Farnum, RSSI consultant au sein de la société de services technologiques Trace3. « L'automatisation mise en place concerne uniquement les tâches les plus simples, ce qui explique pourquoi elle n'a pas entraîné le gain de productivité que beaucoup espéraient. »
D'autres, en revanche, restent optimistes quant au fait que l'IA apportera une valeur ajoutée, en particulier pour les tâches de sécurité plus complexes.
[À lire également : Le guide complet sur la cybersécurité et l'IA – avantages, risques et bénéfices]
Jason Rader, responsable mondial de la sécurité des systèmes d'information (CISO) chez Insight Technology Solutions, a été l'un des premiers à adopter les fonctionnalités d'IA générative intégrées aux outils utilisés par son équipe chargée des opérations de sécurité. « Nous sommes ravis de disposer de fonctionnalités d'IA dans plusieurs produits différents », a déclaré M. Rader.
Si cela a permis de rationaliser certaines tâches, d’autres domaines de l’IA – en particulier l’intégration de l’IA générative – se sont avérés utiles à l’équipe chargée des opérations de sécurité pour des tâches chronophages mais essentielles, telles que la rédaction de scripts Python ou de requêtes SQL, ainsi que la rédaction de rapports. En revanche, certaines des fonctionnalités d'IA générative intégrées aux plateformes d'orchestration et aux plateformes connexes qu'il a pu observer se sont révélées « loin d'être optimales », a ajouté M. Rader, notamment en ce qui concerne l'analyse et les scénarios plus complexes comportant des processus nécessitant plusieurs étapes. « Nous ne nous attendions pas à ce que cette [IA] soit déjà parfaitement adaptée à son objectif », a ajouté M. Rader.
Les équipes de sécurité nourrissent désormais l'espoir que les grands modèles linguistiques (LLM) d' , , puissent contribuer à améliorer les technologies SOAR et aider les équipes de sécurité à réagir aux menaces à la fois plus rapidement et de manière plus intelligente. Le défi consiste à trouver le juste équilibre entre la maturité des programmes, l’ , le jugement humain et la prise de décision par l’IA ainsi que l’automatisation.
Transformer les opérations SOAR : les modèles de langage avancés concrétisent le potentiel de l'IA
Les progrès réalisés dans le domaine des modèles de langage à grande échelle (LLM) promettent de transformer les opérations SOAR des entreprises en offrant un triage automatisé des incidents, la détection des menaces, la réponse aux incidents, la sécurité l'analyse de données, des interfaces en langage naturel, des guides d'intervention adaptatifs et des capacités prédictives. L'objectif est que, à terme, les capacités d'IA intégrées à ces outils (ou aux grands modèles de langage personnalisés développés en interne par les entreprises) puissent aider les équipes de sécurité à mieux analyser l'ensemble des données d' , des renseignements sur les menaces, des alertes de sécurité et des données d'événements générées par les réseaux et les applications, à identifier rapidement les menaces les plus importantes pour leur secteur d'activité et leur organisation, et à y répondre automatiquement lorsque cela est possible.
«Ce n’est pas encore possible, mais à l’avenir, les playbooks seront créés par des systèmes d’IA, voire générés ou tout au moins adaptés en temps réel. »Michael Farnum, responsable de la sécurité des systèmes d'information (RSSI) consultant, Trace3
Les experts en sécurité identifient quatre façons dont les modèles de langage de grande envergure (LLM) commencent déjà à transformer les plateformes SOAR :
Analyse des données de sécurité. Ces systèmes sont capables de détecter des menaces potentielles en analysant les informations relatives aux menaces ainsi que les données d'événements issues des systèmes de l'entreprise. « De nombreux cas d'utilisation viennent à l'esprit lorsqu'on applique la technologie des grands modèles de langage (LLM) au domaine de la sécurité – le plus évident étant le renseignement et l'analyse des menaces », explique M. Crawford.
Effectuez automatiquement le triage des alertes de sécurité. Cette analyse des données peut également servir à hiérarchiser la réponse aux incidents en fonction de l’ , de l’importance stratégique des données et des systèmes menacés, ainsi que de la configuration et de l’état des systèmes de sécurité protégeant ces actifs. Ces systèmes peuvent proposer aux analystes des guides d'intervention adaptés. « À l'heure actuelle, l'IA facilite la mise en œuvre des scénarios les plus courants, mais ceux-ci deviendront sans doute plus sophistiqués avec le temps et permettront de gérer des tâches plus complexes », explique M. Farnum.
Cela exigera à la fois de l'innovation (ce mot à la mode qui guide aujourd'hui toutes les décisions commerciales et les meilleures pratiques, et qui plaît donc aux dirigeants d'entreprise) et des tests (qui prennent du temps, coûtent cher et manquent d'attrait – c'est-à-dire tout ce que les responsables de la sécurité des systèmes d'information ont du mal à faire accepter aux PDG et au conseil d'administration).
« Les playbooks sont des combinaisons des scripts et des intégrations que vous utilisez depuis un certain temps déjà, et tout playbook développé par l’IA doit être testé avant d’être activé dans l’environnement », explique M. Rader.
Création et optimisation de playbooks. L'IA est capable d'analyser les données historiques relatives aux incidents, d'identifier instantanément les schémas récurrents (ce qui a fonctionné et ce qui n'a pas fonctionné) et de guider les analystes en sécurité afin qu'ils élaborent les guides d'intervention les plus efficaces, en se concentrant uniquement sur les étapes nécessaires à la réalisation de la tâche. « Ce n’est pas encore possible, mais à l’avenir, les scénarios seront élaborés par des systèmes d’IA, voire créés ou, à tout le moins, adaptés en temps réel », explique M. Farnum.
Orchestration prédictive automatisée. En s'appuyant sur ce même éventail de données pour analyser les renseignements sur les menaces et les informations relatives à l'environnement informatique, l'IA peut enquêter sur l'incident en temps réel, développer ou sélectionner les meilleurs outils d'intervention, et même réaffecter intelligemment les ressources en fonction de l'évolution du paysage des menaces. « Certaines de ces entreprises affirment pouvoir désormais effectuer, dans une certaine mesure, des tâches élémentaires, dans l'espoir que cette technologie gagne en maturité au fil du temps. » Quelle sera son efficacité dans ce contexte ? « Le jury n'a pas encore rendu son verdict », a déclaré Crawford.
Ramper, marcher, courir… automatiser
Bien que ces fonctionnalités liées à l'IA et au SOAR soient à la portée des entreprises, sans un travail préalable sur la gouvernance des données et les processus de sécurité, celles-ci risquent de se heurter aujourd'hui, lors de la mise en œuvre du SOAR, aux mêmes difficultés que celles rencontrées lors du déploiement des générations précédentes d'outils SOAR : complexité et mauvaise qualité des données.
«Vous ne pouvez pas passer outre l’étape de maturité pour passer directement aux étapes de l’IA et de l’automatisation. »Jason Rader, responsable mondial de la sécurité des systèmes d'information (RSSI), Insight Technology Solutions
Avant d'adopter l'automatisation basée sur l'IA dans le domaine de la cybersécurité, les organisations doivent évaluer de manière rigoureuse leur niveau de maturité en matière de sécurité. L'automatisation de ces processus ne sera pas optimale si les méthodes SOAR actuelles ne le sont pas. L'automatisation risque d'amplifier les faiblesses existantes, voire de créer de nouveaux angles morts. Les programmes de sécurité aboutis s'appuient sur des processus clairement définis, des données de grande qualité et des équipes expérimentées, capables de former et de superviser correctement les systèmes d'intelligence artificielle.
« Votre programme de sécurité doit avoir atteint un certain niveau de maturité avant de pouvoir tirer pleinement parti de l’IA et de l’automatisation, car il est impossible d’automatiser quelque chose qui n’a pas encore été défini au sein de votre organisation », explique M. Rader. « Et vous ne pouvez pas passer outre l'étape de maturité pour passer directement aux étapes de l'IA et de l'automatisation. » Une fois votre programme optimisé, vous pourrez aller plus loin dans l'automatisation. »
Comment se préparer au mieux à l'avenir de l'IA et de l'intégration SOAR
Malgré les tensions mondiales, l'incertitude économique et la recrudescence des cybermenaces, le secteur de la sécurité traverse une période passionnante, alors que l'intelligence artificielle et l'automatisation commencent à prendre leur essor et à alléger la charge de travail des analystes de différentes manières. Toutefois, les experts ne pensent pas que l'on verra apparaître des SOC ou des opérations de sécurité entièrement automatisés à court terme, ni même à moyen terme. « Personne ne souhaite se retrouver confronté à une attaque par déni de service généralisée et auto-infligée parce qu'une IA a pris une mauvaise décision », déclare M. Crawford.
Afin de se préparer aux niveaux d'intégration de l'IA et de SOAR que les experts prévoient à terme, M. Rader conseille aux organisations de s'atteler à perfectionner leurs processus existants et à améliorer leurs sources de données ainsi que leur gouvernance. Il recommande également d'investir dès maintenant dans une plateforme SOAR et de permettre à l'équipe de sécurité de se familiariser avec celle-ci.
« À mesure que de nouvelles fonctionnalités d'IA et d'automatisation verront le jour, ils seront en mesure de les intégrer, car ils comprendront le fonctionnement de la plateforme et seront prêts à intégrer l'IA », explique-t-il.
Il est également essentiel de veiller à ce que l'équipe de sécurité reste impliquée dans l'utilisation de la plateforme et dans l'orientation générale des opérations de sécurité. « Les gens continueront à travailler avec l'IA pendant un certain temps encore, car nous n'en sommes pas encore au stade de RoboCop », déclare M. Rader.
