Ce phénomène est communément appelé, dans les milieux de la cybersécurité, « fatigue liée aux alertes » (") : il s’agit d’une surcharge mentale due à un déluge d’alertes d’anomalies générées par les outils de détection. Ce phénomène peut être la raison pour laquelle des menaces graves passent inaperçues, les équipes de sécurité se concentrant sur les faux positifs ou ignorant tout simplement ce « bruit de fond ».
Mais ces derniers temps, les professionnels de la sécurité espèrent qu’il existera bientôt un remède pour lutter contre la fatigue liée aux alertes : GenAI. Grâce à sa capacité à apporter un contexte précieux, elle permet de filtrer le bruit pour identifier et hiérarchiser les menaces les plus urgentes, puis de proposer des stratégies d’atténuation potentielles – et (éventuellement) bien plus encore, si la technologie évolue comme le prévoient certains experts .
La surveillance des anomalies (terme utilisé dans le domaine de la cybersécurité pour désigner tout événement inhabituel ou inattendu au sein d'un système, tel qu'une application ou un réseau) est une tâche complexe et épuisante, explique Scott Crawford, responsable de la recherche en sécurité de l'information chez 451 Research. Ce taux d'alerte élevé s'explique par la complexité des systèmes modernes, la difficulté à recueillir l'ensemble du contexte pertinent de l'environnement, la nature de l'attaque, ainsi que par le fait que les outils de sécurité d' doivent être configurés pour surveiller afin de détecter correctement les anomalies.
« Historiquement, les moteurs de détection d'anomalies fonctionnent bien sur des ensembles de données très spécifiques et pour lesquels une base de référence est bien établie », explique Wim Remes, responsable des opérations au sein de la société de services de sécurité Spotit. Selon Remes, une détection d'anomalies efficace doit apporter une réponse à deux questions précises : observe-t-on un phénomène anormal par rapport à l'environnement, et à quoi cette anomalie est-elle le plus probablement liée ?
C'est la capacité à répondre à cette deuxième question qui distingue la détection d'anomalies traditionnelle, dont la portée est limitée, des itérations de nouvelle génération basées sur l'IA.
Si le système de détection des anomalies ne peut répondre qu'à la première question, il sert avant tout de moteur de détection très approximatif, présentant un taux élevé de faux positifs. « Si la détection des anomalies basée sur l'IA est appelée à perdurer, je pense qu'elle devrait évoluer pour permettre l'analyse d'ensembles de données plus vastes avec une plus grande précision », déclare M. Remes.
L'avenir de la détection des anomalies grâce à l'IA
La détection d'anomalies peut indiquer qu'il y a un problème, comme la présence d'un logiciel malveillant de type « » ou d'attaquants actifs.
«Si la détection d’anomalies basée sur l’IA est appelée à perdurer, je pense qu’elle devrait évoluer pour permettre l’analyse d’ensembles de données plus vastes avec une plus grande précision. »Wim Remes, directeur des opérations chez Spotit
Historiquement, les systèmes de détection d'intrusion et les logiciels anti-malware ont eu recours à des signatures pour détecter les logiciels malveillants et les failles d'exploitation en cours d'exécution. Au fil du temps, des fonctionnalités d'apprentissage automatique (ML) et d'analyse comportementale ont été ajoutées à « » afin de détecter des artefacts qui n'ont pas encore été identifiés. Et il semble désormais que l'IA générative (GenAI) soit en passe d'améliorer les capacités existantes en matière d'IA et d'apprentissage automatique. Grâce à ses capacités avancées de reconnaissance de formes et de génération de données, l’IA générative (GenAI) est susceptible de permettre la création de modèles environnementaux et comportementaux de plus en plus précis, capables d’identifier les écarts subtils par rapport au comportement normal, de simuler des scénarios d’attaque potentiels et de s’adapter en temps réel à des menaces en constante évolution .
« Le débat actuel est alimenté par les avancées réalisées dans l'utilisation de l'IA générative », explique David Gruber, analyste principal en cybersécurité au sein du cabinet d'études de marché Enterprise Strategy Group. « Les modèles traditionnels d'apprentissage automatique utilisés jusqu'à présent ont parfaitement réussi à assembler des signaux qui correspondent à des schémas potentiels de comportements suspects », explique M. Gruber. « L’IA générative contribue à ajouter cette nouvelle couche aux modèles de détection traditionnels utilisés pour l’apprentissage automatique et l’IA, mais elle aide également l’analyste à automatiser et à mettre en corrélation bon nombre des tâches qu’il devait auparavant effectuer en partie manuellement et pour lesquelles il devait s’appuyer sur ses propres connaissances », ajoute-t-il.
Cependant, l'IA va au-delà de l'apprentissage automatique traditionnel dans le domaine de la détection des menaces liées à l' .
Comment l'IA apporte une dimension de raisonnement à la détection des anomalies
Lorsque le système est correctement paramétré, l'apprentissage automatique traditionnel permet de détecter efficacement les anomalies au sein des modèles de données. Les systèmes d'IA générative promettent d'apporter une « capacité de raisonnement » quant au contexte des résultats obtenus et de formuler des suggestions en fonction de variables complexes.
«[L’IA] aide l’analyste à automatiser et à mettre en corrélation bon nombre des tâches qu’il devait auparavant effectuer de manière plus ou moins manuelle, en s’appuyant sur sa propre base de connaissances. »David Gruber, analyste principal en cybersécurité, Enterprise Strategy Group
Cela signifie que, pour les professionnels de la sécurité, l'IA identifie d'abord une menace, évalue ensuite l'impact que cette menace spécifique pourrait avoir sur l'environnement, puis propose une série de stratégies d'atténuation possibles.
M. Gruber explique que ces applications de GenAI contribuent à faire évoluer la manière dont les professionnels de la sécurité envisagent l'utilisation de l'IA dans le cadre des opérations de sécurité. Il ne s'agit pas seulement de détecter les anomalies, mais aussi de les comprendre pleinement dans leur contexte, au sein de l'environnement où elles se produisent. « Détectons-nous quelque chose de suspect au regard de l'infrastructure, du profil de risque défini, de l'historique des menaces auxquelles l'organisation a été confrontée ou du contexte économique actuel ? » demande Gruber. L'IA générative peut orienter les analystes dans la bonne direction.
Les systèmes GenAI multi-agents semblent prometteurs
Si les systèmes multi-agents (qui utilisent plusieurs composants pour analyser l'environnement plutôt qu'une seule entité centralisée) ne sont pas une nouveauté dans le domaine de la cybersécurité, l'IA générative promet de révolutionner la manière dont les agents de sécurité chargés de tâches diverses peuvent collaborer. De nombreux agents autonomes fonctionnant de concert seront en mesure d'évaluer l'ensemble du contexte de l'environnement d'une organisation, les menaces détectées et les meilleures façons d'y répondre.
Grâce à des agents chargés de surveiller le trafic réseau, à d'autres agents chargés de surveiller les journaux système, les comportements des utilisateurs, les erreurs de configuration du système et les vulnérabilités, ainsi qu'à un autre agent chargé de détecter les menaces actives, le système GenAI pourrait acquérir une compréhension nuancée d'une situation potentiellement risquée. Cela constituerait également un soulagement considérable pour les équipes chargées du renseignement sur les menaces, qui croulent aujourd’hui sous la pression de devoir évaluer et répondre à chaque menace aléatoire.
Nous espérons que cela permettra d'évaluer la situation de manière plus approfondie et contribuera à hiérarchiser les alertes qui nécessitent une attention immédiate.
La compréhension contextuelle plus large de GenAI
Les systèmes d'IA générative promettent de comprendre non seulement le contexte de l'environnement technologique interne, mais également des événements plus généraux, tels que la situation géopolitique, les menaces spécifiques à certaines entreprises, ainsi que la nature des acteurs malveillants ciblant certains secteurs d'activité.
«L’IA générative peut se charger d’une grande partie du travail préparatoire pour… afficher davantage d’informations contextuelles à l’écran. »Gruber
Grâce à sa capacité à mettre en évidence les relations entre les conditions externes et internes, plutôt que de se contenter de déclencher une alerte lorsqu'une menace est identifiée dans un schéma, il est possible de procéder à une analyse des menaces bien plus sophistiquée.
« L’IA générative peut se charger d’une grande partie du travail préparatoire pour obtenir ce contexte à la place des analystes, ce qui leur permet d’afficher davantage d’informations contextuelles à l’écran et de les mettre en relation de manière à ce qu’ils puissent plus facilement parvenir à ces moments de révélation décisifs concernant ce qui se passe et l’impact potentiel », explique M. Gruber.
La collaboration entre l'homme et l'IA – et la prudence qui s'impose
À terme, selon les experts, les systèmes GenAI d’ pourraient collaborer avec des analystes humains en s’adaptant aux points forts et aux préférences de chaque membre de l’équipe. Par exemple, grâce aux retours des analystes, aux évaluations de compétences et à l'analyse des habitudes de travail, l'IA identifiera les points forts, les points faibles et les préjugés potentiels de certains membres de l'équipe et travaillera avec eux en tenant compte de leur niveau de compétence et de prise de conscience. En cas de menaces, le système peut proposer de faire intervenir certains analystes en fonction de leurs compétences.
Le potentiel de cette technologie suscite beaucoup d'enthousiasme, mais elle n'en est encore qu'à ses débuts, et tout le monde n'est pas convaincu qu'elle puisse réellement tenir ses promesses. « Malheureusement, je n'ai pas constaté de résultats très concluants avec les systèmes d'information sur l'environnement [détection d'anomalies] basés sur l'IA générative. » « Elles ne fonctionnent correctement que dans des environnements à fournisseur unique », explique M. Remes. Il ajoute que très peu d'organisations, notamment les plus grandes, ont choisi d'adopter une stratégie de sécurité monolithique. « Je ne pense pas non plus que ce soit une stratégie très judicieuse, je ne m'attends donc pas à ce que beaucoup franchissent le pas », déclare M. Remes.
Même si une telle prudence a ses mérites, cette technologie est indéniablement prometteuse et ne fera que s'améliorer à l'avenir. Compte tenu du nombre d'heures qu'un analyste en sécurité passe généralement à traiter les faux positifs, tout futur système promettant de réduire considérablement cette charge de travail sera certainement accueilli favorablement par la plupart d'entre vous.
