Bien sûr, au cours des deux dernières années, les cybercriminels ont semblé avoir une longueur d’avance dans la course à l’IA, déployant des modèles linguistiques et des chatbots de grande envergure dans une vague de phishing et d’autres cyberattaques, mais cette piste peut être faussée, selon des experts, car ces groupes se heurtent de plus en plus à des outils de cybersécurité compatibles avec l’IA qui peuvent détecter et contrecarrer ces menaces.
Grâce à sa rapidité et à ses compétences pour repérer les modèles sur des cadavres de données, l’IA excelle particulièrement dans les systèmes de détection et d’analyse des fraudes pour détecter les faiblesses. Cela devrait venir en aide à ceux qui ont suivi les exploitations alimentées par l’IA des cybergangs.
Voici quelques utilisations récentes de l’IA par les escrocs :
- La semaine dernière, lors de la conférence sur la cybersécurité de Munich, des responsables ukrainiens ont averti que les pirates russes utilisent des modèles de machine learning pour passer au crible des masses de contenu glissées à partir de boîtes aux lettres infiltrées, puis utilisent l’IA pour élaborer des campagnes de phishing plus crédibles et personnalisées.
- Le mois dernier, Google a annoncé avoir identifié 57 groupes de menaces ayant des liens avec la Russie, la Chine, l’Iran et la Corée du Nord à l’aide de son chatbot Gemini pour effectuer une reconnaissance sur des experts de la défense, dépanner le code et trouver de nouvelles façons de s’enfoncer profondément dans des réseaux ciblés, en utilisant des techniques telles que l’évasion de détection et l’ exfiltration de données.
- Les cybergangs ont également créé leurs propres grands modèles linguistiques tels que WormGPT, FraudGPT et GhostGPT pour créer des vagues de nouveaux logiciels malveillants et d’escroqueries par hameçonnage.
Voici comment certaines organisations se battent :
- Mastercard a utilisé l’IA pour analyser les données de paiement de neuf banques partenaires afin d’économiser plus de 35 milliards USD en paiements frauduleux sur trois ans.
- Amazon, qui voit jusqu’à 750 millions de cyberattaques chaque jour, rassemble toutes les données sur ces incidents dans une base de données. Il utilise ensuite le machine learning pour parcourir toutes les données liées à ces incidents et identifier celles qui devraient le plus l’inquiéter. Il exécute même des analyses prédictives alimentées par l’IA sur ces données pour prédire quelles menaces deviendront plus importantes à l’avenir.
- La Cybersecurity and Infrastructure Security Agency (CISA) utilise l’IA pour détecter et analyser automatiquement les menaces potentielles sur les réseaux du gouvernement américain, signaler les activités inhabituelles et identifier les modèles dans de vastes quantités de données.
- Europol utilise également l’IA pour les tâches répétitives, ce qui donne aux analystes humains plus de temps pour d’autres travaux et empêche leur surexposition à des documents « géniaux ».
À mesure que le domaine évolue avec les compétences supplémentaires de l’IA générative, il est également prometteur d’articuler ses résultats en résultats facilement compréhensibles. Cela pourrait signifier condenser un éventail déroutant de mesures en un simple résumé textuel qui aurait plus de sens pour les analystes de sécurité occupés. Il pourrait également converser avec ces analystes, en répondant aux questions en langage naturel sur ses résultats de manière fluide et intuitive.
Ces nouvelles capacités offrent à toutes sortes d’organisations une baisse de performance dans la lutte contre les intrus numériques, déclare Mary Carmichael, membre du groupe de travail sur les tendances émergentes de l’ISACA et présidente du chapitre de l’ISACA à Vancouver. « L’apprentissage automatique traditionnel [un type d’IA] a été très réussi dans plusieurs domaines de la cybersécurité, offrant des améliorations par rapport aux systèmes plus anciens basés sur des règles. »
Nous décrivons ci-dessous les cas d’utilisation clés où l’IA et l’apprentissage automatique sont les plus prometteurs.
Détection : pourquoi les réseaux neuronaux y excellent
La détection est un domaine où l’apprentissage automatique a bien fonctionné, remarque Carmichael. Certains modèles identifient les logiciels malveillants en analysant les modèles dans les données, tandis que d’autres se concentrent sur leur utilisation pour surveiller le comportement du réseau par rapport à une référence d’activité normale. Lorsque le comportement s’écarte suffisamment de la norme, un indicateur est soulevé.
« L’apprentissage automatique traditionnel a été très réussi dans plusieurs domaines de la cybersécurité, offrant des améliorations par rapport aux systèmes plus anciens basés sur des règles. »Mary Carmichael, membre du groupe de travail sur les tendances émergentes de l’ISACA
Ce comportement peut être un ordinateur téléchargeant trop de fichiers à partir d’une adresse IP inconnue à une heure inhabituelle de la journée. Un autre déclencheur pourrait être un e-mail arrivant pour une personne de l’entreprise ayant accès à des comptes financiers, mais avec des caractéristiques suspectes qu’un administrateur humain pourrait manquer, telles qu’une formulation étrange et un expéditeur inconnu.
Ce type de surveillance et d’analyse statistique nécessite de récurer de grandes quantités de données provenant de diverses sources et souvent en temps réel. C’est quelque chose qu’un humain pourrait faire, mais vous en auriez besoin de milliers, en examinant sans relâche plusieurs événements connexes dans votre infrastructure informatique. Ce n’est pas réaliste.
Les réseaux neuronaux qui sous-tendent l’apprentissage automatique y excellent, explique Carmichael.
Alors que les logiciels traditionnels traitent les étapes individuelles dans l’ordre, les réseaux de neurones transmettent des charges entières de données complexes entre plusieurs couches de neurones. Ils commencent à utiliser des données existantes que les opérateurs ont étiquetées comme, par exemple, légitimes ou malveillantes. Le réseau s’entraîne à lire ces données étiquetées pour créer une image de ce qui est légitime et de ce qui ne l’est pas.
Le réseau neuronal formé utilise ensuite ces connaissances pour évaluer de nouvelles données, dans un processus appelé « inférence ». C’est la base d’une variété de tâches d’apprentissage automatique, de la mise en correspondance de la vision informatique à la détection d’une activité malveillante sur un réseau, en passant par le tri des spams à partir d’e-mails légitimes ou la reconnaissance d’une transaction financière frauduleuse.
Modélisation des menaces : comment le machine learning devient spécifique à un secteur
L’apprentissage automatique aide non seulement à détecter les menaces, mais comprend également les menaces particulières auxquelles une organisation est confrontée, explique James Stanger, évangéliste en chef de la technologie chez CompTIA. Une banque exécutant de nombreux systèmes administratifs, par exemple, sera confrontée à des types d’attaques spécifiques de groupes particuliers qui ciblent ce secteur. Ces groupes utiliseront des techniques adaptées pour exploiter les faiblesses de l’infrastructure d’une banque et différentes des types d’attaques que d’autres groupes déploieraient contre une société pétrolière et gazière.
« L’utilisation de l’IA pour] la collecte et l’analyse des journaux entraîne un temps de réponse plus rapide. »Curtis W. Dukes, vice-président exécutif et directeur général, meilleures pratiques de sécurité, Center for Internet Security
Tout comme votre formation à la sécurité des employés doit être spécifique au secteur et à l’entreprise, votre modélisation des menaces doit également être effectuée. Il n’y a pas de place ici pour une taille unique.
La modélisation des menaces est le processus consistant à établir un cadre de menaces contre une organisation, qui peut être utilisé pour analyser les risques et hiérarchiser les investissements en cybersécurité. Ce processus, qui implique l’analyse de grandes quantités de données de recherche de menaces et d’autres données provenant de différentes sources, est essentiel à tout programme de cybersécurité. C’est également lent et coûteux.
« Au cours des deux dernières décennies, nous avons pu créer des modèles d’attaque et de menace pertinents et précis, mais le processus de construction de ces modèles a principalement été un processus manuel », déclare Stanger. La capacité de l’IA à mâcher beaucoup de données et à identifier des modèles en fait un atout précieux. « S’il est fait correctement, ce sera un développement très apprécié », ajoute-t-il.
L’automatisation, c’est plus que la vitesse
L’Institute for Security and Technology (IST), un groupe de réflexion pour associer technologie et politique afin de relever les défis émergents en matière de sécurité, a récemment identifié le potentiel de l’IA pour améliorer les opérations de cybersécurité dans un rapport d’octobre dernier. L’automatisation de tâches simples telles que l’analyse du trafic réseau et la classification des fichiers peut aider à libérer du temps pour les administrateurs de sécurité, a-t-il déclaré.
« Les récents bonds en avant dans la technologie d’IA offrent le potentiel de modifier considérablement l’équilibre infraction-défense en tirant parti de l’avantage du terrain d’origine. »Les implications de l’intelligence artificielle dans la cybersécurité : changer l’équilibre entre les infractions et la défense, Institute for Security and Technology ( 2024 octobre)
« L’utilisation de l’IA pour] la collecte et l’analyse des journaux entraîne un temps de réponse plus rapide », déclare Curtis W. Dukes, vice-président exécutif et directeur général des meilleures pratiques de sécurité, au Centre de sécurité Internet. En tant que directeur de l’assurance de l’information à l’Agence nationale de sécurité, il a passé des années à gérer des systèmes sensibles et comprend l’importance d’obtenir des informations rapides grâce à la télémétrie du système.
En plus de gagner du temps, l’outillage d’IA peut améliorer une compréhension plus fidèle d’un environnement réseau. « Les récents bonds en avant dans la technologie d’IA offrent le potentiel de modifier considérablement l’équilibre infraction-défense en tirant parti de l’avantage du terrain d’origine », déclare le rapport de l’IST.
[Lire également : Orchestration et automatisation faciles à créer à grande échelle]
En automatisant les inventaires et les audits réseau, ainsi que d’autres tâches clés telles que la gestion des correctifs ou la racine de l’ informatique fantôme, les défenseurs acquerront une compréhension de leur réseau de l’intérieur bien plus grande que n’importe quel pirate informatique peut saisir de l’extérieur. Ce type de connaissances et de compréhension ne fera qu’améliorer les décisions futures à mesure que les menaces et la technologie des menaces évoluent.
Gestion des vulnérabilités : l’une des nombreuses façons dont l’IA générative change la donne
L’essor de GenAI promet encore plus d’améliorations. Cette technologie, qui se caractérise par les modèles de base qui alimentent les chatbots tels que ChatGPT et Claude, dépend de modèles de langage volumineux (LLM). Ils sont basés sur des réseaux neuronaux, mais utilisent de nouveaux algorithmes conçus pour traiter de grandes quantités de texte. Ils sont mieux à même d’analyser le contenu créatif, y compris le texte ainsi que l’audio, la vidéo et même le code source du programme. Ils peuvent ensuite produire un nouveau contenu en fonction de ces informations.
[Lire également : Qu’est-ce que la gestion des vulnérabilités des appareils ?]
Les LLM ont de profondes implications pour la cybersécurité, en particulier en termes de gestion des vulnérabilités. Le rapport IST souligne le potentiel de trouver certains des bugs que les cybercriminels exploitent dans les programmes informatiques. Lors de la conférence août 2024 DEFCON sur la cybersécurité à Las Vegas, les demi-finalistes du Cyber Challenge de l’IA de la DARPA ont prouvé son potentiel : ils ont utilisé des LLM pour trouver 22 vulnérabilités dans le code source, en corrigeant automatiquement 15 d’entre elles. Séparément, l’équipe de sécurité Project Zero de Google a utilisé l’IA pour améliorer la « fuzzing », un processus qui inonde un système cible d’intrants pour trouver celui qui le compromet. Il a trouvé un jour zéro en utilisant cette méthode dans ce qu’il a déclaré être une première mondiale.
Réussites SOC : les assistants d’IA gagnent du temps, éliminent le bruit et vous le disent directement
Ces systèmes peuvent également aider à économiser du personnel de niveau un dans le centre des opérations de sécurité (SOC) en créant des workflows plus sophistiqués, déclare Dominik Penner, ingénieur principal en sécurité chez Mand Consulting, une société de conseil en cybersécurité basée à Toronto.
« La plupart des organisations intéressées par le déploiement de l’IA au sein d’un SOC l’utiliseront pour le triage. »Jennifer Tang, associée pour la cybersécurité et les technologies émergentes chez IST
« La journalisation et la surveillance ne sont pas si mauvaises, mais une fois que vous devez commencer à les lier aux attaques, vous avez besoin d’un peu plus d’analyse », dit-il. « Il y a tellement de bruit. Le tri et la recherche d’informations et d’intrants exploitables finissent par en être la partie la plus difficile. »
L’apprentissage automatique excelle dans le filtrage des données, leur classification et l’identification des anomalies. Les LLM fournissent ensuite un moyen plus sophistiqué pour les analystes SOC d’interroger ces données, déclare Jennifer Tang, associée pour la cybersécurité et les technologies émergentes chez IST et coauteure du rapport. »Je pense que la plupart des organisations intéressées par le déploiement de l’IA au sein d’un SOC l’utiliseront pour le tri », déclare-t-elle. « [Les LLM peuvent] fournir aux organisations des évaluations de ce que les alertes signifient et de ce qu’il faut faire, en utilisant le langage naturel. »
Ce type de conversation directe est particulièrement important dans une situation urgente comme une cyberattaque, lorsque la communication est essentielle et que les actions dans plusieurs services (de l’informatique aux réseaux sociaux) par divers employés disposant d’un large éventail d’expertises en sécurité doivent être coordonnées rapidement.
Ces capacités conduisent à la création d’assistants IA adaptés aux opérations de cybersécurité. Carmichael souligne sa capacité à aller au-delà du triage et à recommander des actions de remédiation pour les opérateurs SOC.
Vérification de la réalité : pourquoi il est toujours important de tenir les humains au courant
L’étape logique suivante le long de cette route est quelque chose qu’IST a souligné dans son rapport : des agents autonomes qui non seulement recommandent des mesures correctives pour les cyber-incidents, mais les exécutent également automatiquement.
« L’IA soutient les analystes moins expérimentés en fournissant des conseils et des recommandations, ce qui aide à améliorer les compétences de la main-d’œuvre et les performances globales de l’équipe. »Mary Carmichael de l’ISACA
Pensez à un navigateur sur le siège passager qui passe au-dessus et prend le volant, mais au lieu de prendre le prochain virage à gauche, il peut mettre en quarantaine un segment sur le réseau, rétrograder les permissions d’accès d’un employé dans le répertoire d’entreprise ou mettre à jour une règle de pare-feu pour bloquer un ensemble particulier d’adresses IP.
Cela peut être une étape trop importante pour les organisations qui testent toujours l’eau avec l’IA. « Ce qui nous a toujours freinés, c’est la peur de l’inconnu des organisations », déclare Dukes. « Ils ne veulent pas automatiser certains processus. »
Et ce n’est pas grave. L’automatisation (et devrait) varier d’une entreprise à l’autre. Malgré les craintes prédominantes, les observateurs du secteur pensent qu’il existe au moins cinq domaines clés dans les opérations de sécurité où les humains resteront l’actif central.
Tang envisage certains problèmes de gouvernance alors que les entreprises envisagent de donner plus de contrôle aux agents d’IA autonomes. « Je pense qu’il y aura un problème d’explicabilité, de conformité et de responsabilité », dit-elle. Un système automatisé qui prend une mesure doit expliquer son raisonnement, mais les systèmes d’IA sont notoirement mauvais pour expliquer comment ils ont pris une décision.
[Lire également : Racing va déployer GenAI ? La sécurité commence par une bonne gouvernance]
La plupart des organisations voudront un niveau de supervision humaine plutôt que de permettre à l’IA d’automatiser toutes les mesures de cybersécurité. Gartner recommande de déployer une IA qui permet à toute organisation d’ajuster le niveau d’automatisation en fonction de son appétence au risque.
Bien que Tang déclare que les membres du conseil d’administration de certaines entreprises appellent à un « SOC dans une boîte » utilisant des capacités de détection et d’automatisation de bout en bout, elle ne pense pas que le secteur soit encore là. De nombreuses organisations avec lesquelles elle s’est engagée à toujours garder un humain au courant, et même à mandater des mécanismes de rétroaction pour vérifier constamment les résultats de l’IA. Par conséquent, elle voit l’avenir, du moins pour le moment, en se concentrant sur la cybersécurité assistée par IA plutôt que sur l’exécution par IA.
Les assistants d’IA qui recommandent simplement plutôt que d’exécuter promettent toujours un retour sur investissement. « L’IA soutient les analystes moins expérimentés en fournissant des conseils et des recommandations, ce qui aide à améliorer les compétences de la main-d’œuvre et les performances globales de l’équipe », déclare Carmichael de l’ISACA. Grâce à une technologie aussi rapide et perturbatrice que l’IA, les entreprises peuvent vouloir prendre des mesures lentes et prudentes avant de se retrouver dans un sprint.
