L'IA offre aux équipes de sécurité un véritable multiplicateur de puissance : analyse plus rapide, reconnaissance de modèles à grande échelle, détection automatisée. Cela a également permis aux personnes qui tentaient de s'introduire dans les locaux de disposer des mêmes moyens. Et cela a engendré un troisième problème qui a tendance à passer inaperçu : les employés de toutes les organisations se connectent désormais régulièrement à des systèmes d'IA externes, partagent les données que ces systèmes conservent et traitent, et la plupart des programmes de sécurité ne sont pas en mesure de détecter ces activités.
Cette convergence a considérablement alourdi le coût des lacunes en matière de visibilité. Mais avant d’aborder les nouveautés, il convient d’examiner pourquoi le problème fondamental — savoir ce que contient votre parc informatique, comment il fonctionne et si cela est normal — reste sans solution pour tant d’organisations.
Une discussion informelle que j'ai animée récemment en est un bon exemple. J'ai demandé à un responsable expérimenté de la sécurité ce que signifiait la « visibilité » pour son organisation, et sa réponse comportait deux volets : ce que cela signifiait à leurs débuts, et ce que cela signifie aujourd'hui. Ces deux choses semblaient presque n'avoir aucun rapport entre elles.
De la gestion des stocks à l'analyse des données
Pour la plupart des organisations, le point de départ a été l'inventaire des actifs : quels appareils sont connectés au réseau, qui les utilise et quels logiciels y sont installés. Cela reste fondamental — et pourtant, ce problème n'est toujours pas résolu dans bien trop d'organisations. Et même pour ceux qui progressent, le défi ne cesse d'évoluer pour devenir de plus en plus difficile.
Mon interlocuteur, lors de notre entretien au coin du feu, m’a expliqué comment son équipe utilise désormais la télémétrie des terminaux en temps réel pour surveiller les appareils pendant les cycles de mise à jour logicielle — non seulement pour vérifier qu’une mise à jour a bien été effectuée, mais aussi pour comparer les données comportementales en temps réel, déterminer ce qui constitue un comportement « normal » à ce moment-là, et exploiter ces informations pour prédire comment des déploiements similaires se dérouleront dans d’autres régions et avec d’autres configurations. Ce n'est pas faire l'inventaire. Il s'agit d'une intelligence opérationnelle issue d'une visibilité d'un niveau de précision qui n'était tout simplement pas jugé nécessaire il y a encore quelques années. Le point d'extrémité — là où un utilisateur interagit avec vos systèmes, où les données sont créées et consultées, où les outils d'IA sont exécutés — constitue l'élément le plus crucial de ce problème.
Le domaine qui a dépassé les limites de la carte
La raison pour laquelle la visibilité fondamentale reste difficile à atteindre est en partie d'ordre structurel. Dans les grandes entreprises, les actifs numériques ne se développent pas de manière ordonnée. Elles se développent de manière organique, façonnées par les cycles budgétaires, les besoins des projets et les crises qui condensent des années de changement en quelques mois.
J'ai travaillé quelque temps au ministère de la Défense qui, au début des années 2000s, exploitait ce qui était, selon certains critères, le plus grand réseau informatique au monde. Même à l'époque, nous ne procédions à des analyses du réseau que toutes les six semaines — non pas par choix, mais parce que des analyses plus fréquentes auraient surchargé l'infrastructure. Une image de votre infrastructure datant de six semaines, dans un environnement où les menaces peuvent se concrétiser en quelques heures, ne constitue pas une capacité de visibilité. Il s'agit d'un document historique. Et cela, sans compter le caporal d'une base isolée qui avait branché une console de jeux sur un port réseau, ni les téléviseurs connectés des salles de réunion qui restaient connectés au Wi-Fi interne plusieurs semaines après le départ de leur dernier utilisateur.
Une image de votre infrastructure datant de six semaines, dans un environnement où les menaces peuvent se concrétiser en quelques heures, ne constitue pas une capacité de visibilité. Il s'agit d'un document historique.
La COVID-19 a aggravé cette situation dans tous les secteurs. Des entreprises qui n'avaient jamais encouragé le télétravail sont passées à un mode de travail entièrement décentralisé pratiquement du jour au lendemain. Les appareils se sont multipliés au-delà des périmètres de visibilité définis, et dans de nombreuses organisations, le parc informatique n'a jamais été entièrement recensé depuis lors.
Et tous ces défis existaient déjà bien avant que l'IA n'entre en jeu.
Le problème de visibilité de l'IA comporte trois aspects
Le premier défi lié à l'IA concerne les menaces. L'IA permet aux pirates de découvrir des vulnérabilités qui ne figurent dans aucune base de données existante — non pas en recherchant des correspondances avec des modèles connus, mais en analysant directement le code et les systèmes. Le délai entre l'identification d'une faille et son exploitation à des fins malveillantes était déjà d'une brièveté inquiétante. L'IA réduit encore davantage cette marge, et ce à un rythme qui dépasse la plupart des cycles de correctifs et d'intervention.
La deuxième question est d'ordre comportemental. Les employés se connectent à des modèles linguistiques externes de grande envergure — dont certains sont autorisés, mais la plupart ne le sont pas — et, ce faisant, risquent de transmettre des informations confidentielles à des systèmes échappant à tout cadre de gouvernance ou de protection des données. Il ne s'agit pas d'un risque futur. Ce phénomène se produit actuellement, à grande échelle, au sein d'organisations dotées de programmes de sécurité bien établis, et, dans la plupart des cas, il se déroule sans que l'on en ait une visibilité significative.
Le troisième est d'ordre interne. Les fonctionnalités d'intelligence artificielle sont désormais intégrées aux outils de sécurité et de visibilité eux-mêmes. Cela soulève une série de questions que les organisations commencent tout juste à se poser : quel modèle est utilisé, quel est son degré de précision et que fait-il des informations qu’il traite ? Le fait d'appliquer des normes de visibilité rigoureuses à votre patrimoine sans les étendre aux outils qui le régissent constitue un angle mort qu'il convient d'examiner.
L'écart entre les parcelles et le troisième chemin
Le délai moyen entre l'identification d'une vulnérabilité et la mise à disposition d'un correctif dépasse toujours les 90 jours. L'exploitation active commence souvent en l'espace de quelques jours. Dans le cas d'une catégorie de plus en plus répandue de vulnérabilités « zero-day », l'attaque survient avant même qu'un correctif ne soit disponible.
Cette lacune a traditionnellement laissé aux organisations deux options : accepter le risque et poursuivre leurs activités, ou mettre hors service le système concerné et accepter la perturbation opérationnelle. Aucune des deux solutions n'est satisfaisante. Pour les systèmes critiques, aucune de ces deux solutions n'est envisageable.
Il existe une troisième solution, mais celle-ci dépend de la qualité de la visibilité. Si vous comprenez en temps réel comment une vulnérabilité spécifique est exploitée — à savoir comment se présente l'attaque au niveau du terminal —, vous pouvez mettre en place des détections ciblées basées sur ce modèle de comportement avant même qu'un correctif ne soit disponible. Vous pouvez alors poursuivre vos activités, car vous savez à quoi ressemble l'exploitation lorsqu'elle est en cours, et vous pouvez automatiser les réactions dès la tentative, plutôt qu'après coup.
Les organisations qui y parviennent efficacement s'appuient sur des informations actualisées relatives aux menaces pour mettre en place des détections personnalisées au niveau des terminaux, ce qui permet de limiter l'ampleur des répercussions et d'assurer la continuité des opérations pendant la période de mise à jour. Il s'agit là d'une véritable capacité — mais elle nécessite une visibilité en temps réel, et non pas des instantanés hebdomadaires ou des cycles d'analyse s'étalant sur plusieurs semaines.
Cette capacité dépend également d’un élément qui passe souvent inaperçu : la certitude que vos outils de visibilité font réellement ce qu’ils indiquent. De nombreuses organisations partent du principe que ce point est couvert, car un système EDR a été déployé, le taux de couverture s'élève à 100 % ou s'en approche ; le tableau de bord affiche une couleur verte. Cependant, il arrive parfois que les agents EDR soient désactivés lors du dépannage et qu'ils ne soient pas réactivés. Ou bien ils deviennent obsolètes sur les machines qui n'ont pas fait l'objet d'une gestion active. Lors d'une récente démonstration de faisabilité menée au sein d'une grande entreprise, nous avons constaté que certains appareils fonctionnaient sans que leur agent EDR standard ne soit actif, alors que la plateforme EDR indiquait un déploiement complet.
L'écart entre ce qu'un outil indique et la réalité sur le terrain constitue une catégorie à part entière de défaillance en matière de visibilité, et sans doute la plus dangereuse : l'angle mort dont vous ignorez l'existence. Une identification continue et indépendante — qui consiste non seulement à vérifier l’existence des actifs, mais aussi à s’assurer que les mesures de protection qui s’y rapportent sont bien en place, à jour et opérationnelles — ne constitue pas un simple complément à un dispositif de visibilité. C'est un élément essentiel de celui-ci.
Opérer à l'intérieur de l'écart
Le délai de 90 jours entre deux mises à jour de correctifs existe dans toutes les organisations, et l'intelligence artificielle a rendu la gestion de ce délai plus critique et plus complexe. Ce qui distingue les organisations qui parviennent à maîtriser les incidents de celles qui font l'objet d'études de cas, c'est le fait que leur visibilité soit en temps réel, complète et suffisamment fiable pour leur permettre d'agir au moment opportun.
Les organisations qui gèrent efficacement cet aspect ont cessé de considérer la visibilité comme un problème qu’elles ont résolu et ont commencé à la considérer comme une discipline qui doit s’adapter à un parc informatique en constante évolution et à un environnement de menaces qui utilise désormais activement les mêmes outils qu’elles. La question que vous devez vous poser est la suivante : disposez-vous d'une solution adaptée à l'environnement de menaces dans lequel vous vous trouvez réellement ?
