Alors que de plus en plus d'entreprises investissent dans l'automatisation numérique pour gérer tous les aspects de leurs activités, du service client au traitement des réclamations pour fraude, les responsables informatiques sont confrontés à des questions délicates : les algorithmes finiront-ils par priver leurs équipes de leur emploi, ou les orienteront-ils vers d'autres fonctions ?
Il existe toutefois un groupe au sein du secteur informatique qui accueille l'automatisation à bras ouverts : les équipes de cybersécurité, qui souffrent d'un manque criant de personnel et d'une charge de travail excessive. Depuis plus d'une décennie, l'offre d'analystes en sécurité est largement inférieure à la demande. D'ici 2021, plus de 3,5 millions d'emplois dans le domaine de la cybersécurité resteront vacants, selon Cybersecurity Ventures.
Dans le même temps, le nombre de menaces auxquelles ces équipes sont confrontées augmente de manière exponentielle. Selon une étude menée par Bitdefender, les attaques par ransomware en 2020 ont été multipliées par sept par rapport à leur niveau de 2019 . Par ailleurs, une enquête Ponemon a révélé que 60 % des membres du personnel des centres d'opérations de sécurité (SOC) déclarent envisager de quitter leur emploi, voire de changer de carrière.
Pour les professionnels de la sécurité prêts à tenir bon encore un peu, de l'aide est en route. Un nombre croissant d'outils d'automatisation de la sécurité (s'ouvre dans un nouvel onglet) , conçus pour prendre en charge des tâches répétitives de bas niveau, peuvent éliminer une grande partie de la monotonie inhérente à la plupart des métiers de la cybersécurité, ainsi qu'un nombre croissant de fonctions de niveau supérieur.
« L'épuisement professionnel au sein des équipes SOC n'est pas seulement un slogan, c'est une réalité », déclare Neal Dennis, spécialiste en renseignements sur les menaces chez Cyware, une entreprise de cybersécurité basée à New York. « La mise en œuvre de l'automatisation permettrait de résoudre la grande majorité des problèmes rencontrés par les analystes du SOC. »
L'automatisation apporte bien plus qu'un simple soulagement aux équipes chargées de la cybersécurité. Cela permet de réduire les coûts liés à la cybercriminalité et d'accélérer les délais de résolution. Une étude intitulée « juillet 2020 » ( ) , réalisée par IBM et Ponemon, a révélé que les outils d'automatisation constituent un facteur clé dans la réduction du coût des violations de données. Le déploiement de logiciels automatisant le processus d'identification et d'atténuation des menaces permet aux organisations d'économiser en moyenne près de 3,6 millions de dollars par violation (contre un coût total moyen par violation d'un peu plus de 6 millions de dollars) et de réduire les délais de résolution d'environ 25 % (passant d'une moyenne de 308 jours à 234).
Sans surprise, le nombre d'organisations mettant en œuvre une forme ou une autre d'automatisation de la sécurité est passé de 49 % à 59 % depuis 2018. La question principale qui se pose alors est évidente : pourquoi les organisations ne sont-elles pas plus nombreuses à le faire ?
Le facteur non humain
L'une des raisons est que de nombreuses équipes chargées de la réponse aux incidents de sécurité ne disposent pas des compétences nécessaires pour tirer pleinement parti de l'automatisation, explique Richard Stiennon, analyste en chef chez IT-Harvest.
« L’automatisation de la réinitialisation des mots de passe est simple », explique M. Stiennon. « Cependant, la recherche active de menaces et le blocage automatique des connexions réseau constituent un cas d'utilisation plus sophistiqué. » « Peu d'entreprises sont en mesure de le faire. »
Au cours des dernières années, les SOC faisaient appel à des opérateurs humains pour réagir aux alertes, analyser les menaces et rédiger ou programmer des règles en conséquence. Aujourd'hui, les machines et les algorithmes prennent en charge de nombreuses tâches de sécurité indispensables mais répétitives, telles que la gestion des droits d'accès, l'analyse des journaux ou la réponse aux menaces de faible gravité.
L'augmentation soudaine du nombre de personnes travaillant à distance au début de la pandémie a accéléré la nécessité d'automatiser un aspect particulier du travail de toute équipe de sécurité : la gestion des accès. Selon Manav Mital, PDG de la société de sécurité des données dans le cloud Cyral, les systèmes manuels de gestion des titres de transport, qui valident et autorisent l'accès des employés, n'ont pas pu répondre à la demande, ce qui a ralenti le processus et entraîné des erreurs.
« Chez Cyral, nous misons beaucoup sur l’automatisation de la sécurité », déclare M. Mital. « Notre principe de fonctionnement fondamental est le suivant : “la sécurité en tant que code” ».
En remplaçant la mise en service manuelle par des scripts et des fichiers de configuration gérés par des machines, les responsables du SOC peuvent réduire au minimum les erreurs humaines et s'assurer que seules les personnes habilitées ont accès aux ressources appropriées, ajoute Mital.
«L'automatisation de la réinitialisation des mots de passe est simple. » Cependant, la recherche active de menaces et le blocage automatique des connexions réseau constituent un cas d'utilisation plus sophistiqué. »Richard Stiennon, analyste en chef chargé de la recherche chez IT-Harvest
Les outils d'automatisation améliorent également la gestion des incidents en regroupant les informations sur les menaces provenant de plusieurs sources, explique Joe Partlow, directeur technique d' ReliaQuest, une plateforme SaaS qui offre une visibilité sur l'ensemble de la pile de sécurité. Ils peuvent même fournir des réponses prédéfinies face à des menaces de faible gravité, telles que le blocage d'adresses IP suspectes ou la réinitialisation automatique des mots de passe.
« Nous ne pourrons jamais tout automatiser », déclare M. Partlow. « Mais si nous parvenons à réduire le temps que les analystes passent à se connecter à différents outils et à répondre à des alertes superflues ou sans grande incidence, ils pourront consacrer davantage de temps à l'analyse proprement dite des événements importants. »
Il est temps de prendre votre envol
Les organisations qui souhaitent tirer pleinement parti des avantages de l'automatisation commencent à recourir à un ensemble plus large d'outils, appelés plateformes SOAR (Security Orchestration, Automation, and Response). « Cela permet aux SOC d’intégrer des ressources qui, autrement, ne pourraient pas fonctionner ensemble, telles que des pare-feu ou des outils de détection et de réponse aux incidents au niveau des terminaux (EDR) proposés par des fournisseurs concurrents », explique M. Dennis, de Cyware.
Grâce à SOAR, les analystes du centre des opérations peuvent créer un ticket à partir d'une alerte de sécurité, l'enrichir avec des informations provenant d'autres sources de renseignements, le soumettre à un moteur d'analyse des risques afin d'obtenir un score de menace, puis soit classer la menace comme un faux positif, soit la transmettre à un analyste humain pour un examen plus approfondi.
« Ce qui pourrait prendre 10 ou 15 minutes à un analyste SOC de niveau 1 pourrait ne prendre que quelques secondes à une plateforme d’orchestration », ajoute Dennis. « Cela permet aux analystes de se consacrer à de véritables recherches sur des incidents plus graves. »
Le retour sur investissement peut être considérable. Des agences fédérales telles que le Département de la Sécurité intérieure et l'armée américaine utilisent les plateformes SOAR comme un multiplicateur de forces, permettant ainsi aux centres d'opérations de sécurité (SOC) en sous-effectif de réduire considérablement le temps nécessaire à l'analyse des menaces. Selon une étude de cas intitulée « » ( ), réalisée par Swimlane, un fournisseur de solutions SOAR, un organisme public qui traitait manuellement plus de 10 000 alertes de sécurité par jour a réduit de plus de 75 % le temps nécessaire à l'analyse et à la résolution des menaces, tout en conservant ses effectifs et en renforçant le moral de son personnel.
Mais il existe bien sûr des limites quant aux types de tâches de sécurité qu’une organisation peut automatiser. À mesure que les menaces gagnent en sophistication et en ampleur, les équipes de sécurité s'appuieront toujours sur le jugement humain pour prendre des décisions difficiles.
« Vous ne souhaitez pas isoler l’ordinateur du PDG du réseau simplement parce que vous avez détecté un faux positif », explique M. Partlow, de ReliaQuest. « Il faut vérifier plusieurs sources fiables avant de faire une chose pareille. » « Dès que vous commencerez à mettre des machines hors service, cela mettra rapidement fin à votre projet d’automatisation. »
« Zero-day », après-demain
Pour les responsables informatiques qui ne parviennent toujours pas à compléter pleinement leurs équipes avec des talents externes ou des collaborateurs reconvertis, les flux de travail automatisés peuvent constituer une protection essentielle face à la certitude que les risques ne cesseront de s’aggraver.
Alors que des dizaines de millions de nouveaux appareils seront connectés à Internet au cours des prochaines années, élargissant considérablement la surface d’attaque de chaque organisation, le besoin de réponses automatisées va croître de manière spectaculaire, souligne Kenneth Mendelson, directeur général senior d’ , chez Guidepost Solutions, un cabinet international de conseil en sécurité.
« Compte tenu de la présence croissante des appareils connectés (IoT) sur les réseaux, il sera essentiel d’automatiser l’identification de tous les appareils présents sur le réseau, ainsi que l’évaluation de leurs vulnérabilités et la correction de leurs failles », explique-t-il.
Les organisations chargées de la sécurité qui n'ont pas encore mis en place l'automatisation s'exposent à de nouveaux risques, notamment parce que les pirates informatiques utilisent eux-mêmes des outils d'automatisation. « Nous avons déjà observé des failles de sécurité qui se propagent automatiquement, comme le ver NotPetya », explique M. Stiennon, « ainsi que des attaques préprogrammées telles que Stuxnet , capables de fonctionner de manière autonome. »
La situation va encore bien empirer. Il ajoute que les futures attaques par ransomware utiliseront probablement une forme d'intelligence artificielle pour analyser le réseau, extraire les identifiants des terminaux et récupérer des données. « Les attaques se dérouleront en quelques minutes, voire, un jour, en quelques secondes », ajoute-t-il. « La seule façon d'y remédier, c'est l'automatisation. »
