Résumé
Les acteurs de la menace élargissent leur périmètre d'action et exploitent de nouveaux outils, ce qui rend indispensable pour les entreprises d'investir de manière stratégique dans le renseignement sur les menaces. Voici comment constituer des équipes solides, tirer parti de l'IA et obtenir l'adhésion du CISO et du conseil d'administration.
Animatrice : Melissa Bischoping, directrice de la recherche en sécurité des endpoints, Tanium
Invitée : Sherrod DeGrippo, directrice de la stratégie de renseignement sur les menaces, Microsoft
Notes de l'épisode
Pour en savoir plus sur le renseignement sur les menaces et la façon dont les équipes Intel l'optimisent à leur avantage, consultez Focal Point, le magazine en ligne primé de Tanium dédié à l'actualité cyber, ainsi que ces autres ressources incontournables.
- Appliquer les leçons du passé pour une détection des menaces d'identité pilotée par Intel | Tanium – Nicole Hoffman, chercheuse en sécurité chez Cisco Talos et auteure du livre, The Mighty Threat Intelligence Warrior, nous a offert un aperçu de sa présentation à la RSA Conference 2024 et a décrit son approche proactive des informations sur les cybermenaces et de la détection des menaces.
- Triomphe cyber : 6 Les compétences que les Jeux olympiques de Paris ont su maîtriser | Tanium – Les Jeux olympiques de Paris ont fait face à un niveau de cybermenaces sans précédent. Voici leur guide officieux, ainsi que les compétences (dont le renseignement sur les menaces) que toute entreprise peut master.
- Renseignement sur les menaces | Tanium – Découvrez les synthèses d'informations sur les cybermenaces de Tanium, avec les dernières actualités sur les cibles de Ransomware, les tendances des Malware, les rapports de phishing, les backdoors, les acteurs malveillants, et bien plus encore.
- Tanium Threat Response | Tanium – Cessez d'utiliser des outils fragmentés pour protéger votre environnement. Réduisez l'Impact des menaces grâce à la chasse automatisée, à la détection précoce, ainsi qu'à une investigation et une remédiation rapides, le tout depuis une plateforme unique.
Transcript
L'entretien suivant a été modifié pour plus de clarté.
"Si vous créez une équipe de renseignement sur les menaces... concentrez-vous sur les menaces qui touchent votre CISO. Fournissez à votre CISO un rapport sur les menaces qui ont tenté de le cibler…. Ils souhaitent voir et comprendre ce qu'est le renseignement sur les menaces dans un langage qui leur parle. Et ce langage, c'est le leur."Sherrod DeGrippo, directrice de la stratégie de renseignement sur les menaces, Microsoft
Bischoping: En matière de cybermenaces, les chiffres actuels ne sont pas encourageants, surtout si vous êtes un leader en entreprise ou un professionnel de la sécurité. Pour les cybercriminels, c'est une période faste. Les violations de données augmentent de plus d'un tiers d'une année sur l'autre, et les attaques par Ransomware sont en hausse de 84% dans tous les secteurs. En 2023 seulement, des acteurs malveillants ont volé ou exposé plus de 17 milliards de données personnelles l'année dernière.
Bonjour, je suis Melissa Bischoping, directrice de la recherche en sécurité des endpoints chez Tanium, et nous abordons aujourd'hui le sujet du renseignement sur les menaces – et plus précisément la façon dont vous allez constituer et diriger des équipes de renseignement sur les menaces plus performantes.
Pour en discuter avec moi, Sherrod DeGrippo, directrice de la stratégie de renseignement sur les menaces chez Microsoft – bien que son profil LinkedIn la décrive comme une « weird security voyeur ».
Sherrod observe les évolutions dans le monde de la cybersécurité depuis plus de deux décennies, ayant occupé des postes chez Proofpoint, Symantec, SecureWorks et la National Nuclear Security Administration. Elle apporte désormais cette perspective de « weird voyeur » chez Microsoft, un sujet que nous allons approfondir. Bienvenue dans ce podcast, Sherrod.
Sherrod DeGrippo: Melissa, merci de me recevoir. C'est un plaisir d'être avec vous.
Bischoping: Avant de commencer, je précise que nous nous connaissons depuis un moment. Nous nous sommes rencontrées, je crois, via Twitter, parce que j'adore votre chien, qui est vraiment le chien le plus cool de la planète. Et je suis votre carrière depuis de nombreuses années. Vous travaillez actuellement chez Microsoft, où vous animez également un podcast sur le renseignement sur les menaces. Pouvez-vous me parler un peu de ce que vous y faites ?
DeGrippo: Oui, je pense que nous réalisons exactement ce que vous venez de dire : les acteurs de la menace prennent de l'ampleur, leur portée s'élargit, ils exploitent de nouveaux outils et multiplient ce type d'actions. Je pense qu'il est essentiel d'avoir une bonne stratégie sur la façon dont vous allez utiliser le renseignement sur les menaces. C'est une grande partie de ce sur quoi je me concentre au quotidien. Nous disposons d'un volume considérable de renseignement sur les menaces. Comment en tirer davantage de valeur, le rendre plus exploitable et mieux l'utiliser pour protéger un plus grand nombre de personnes ?
Bischoping: C'est un travail d'une importance capitale, d'autant plus que les données ne cessent de croître, tout comme le volume d'informations à analyser – davantage de données ne rime pas toujours avec plus de valeur si elles ne sont pas bien exploitées.
Mais avant d'aborder la façon d'utiliser un bon renseignement sur les menaces et de constituer ces équipes, revenons aux fondamentaux sur ce que nous entendons par renseignement sur les menaces et sur le contexte historique du secteur. Qu'avez-vous à dire à ce sujet ?
DeGrippo: Oh là là, il y a tellement de choses à dire et c'est un sujet qui fait débat, alors allons-y avec quelques prises de position bien tranchées.
Il existe une citation sur le renseignement sur les menaces : Si ce n'est pas exploitable, c'est du divertissement sur les menaces.
Bischoping: J'adore.
DeGrippo: Je sais, c'est tellement vrai. Je pense que si vous évoluez dans ce domaine et que vous entendez cela, vous vous dites : pourvu que ce ne soit pas mon cas. C'est là que j'aime concentrer mes efforts : transformer ce que d'autres pourraient qualifier de simple divertissement lié aux menaces en véritable renseignement, car il est utilisé pour protéger les personnes. C'est d'ailleurs l'origine de mon accroche sur LinkedIn : "weird security voyeur." J'étais en communication avec le célèbre Nick Carr, l'un des chercheurs chez Microsoft, et nous discutions de la façon dont nous pourrions améliorer cette approche. Comment rendre le Renseignement sur les menaces plus exploitable ? Où pouvons-nous le déployer ? Et il dit : "We don't want to be weird security voyeurs; we want to actually do something with this."
Et je me suis dit : "Non, I am a weird security voyeur, car je ne suis pas seulement un acteur, je suis un passionné, et je le suis encore plus qu'à n'importe quel autre moment de ma carrière, grâce au rôle que j'occupe chez Microsoft. Je suis vraiment aux premières loges pour observer une grande partie de ce qui se passe. Et je pense que c'est là l'essentiel : nous devons le rendre exploitable, lui donner de l'importance, et faire passer le Renseignement sur les menaces du statut de "belle histoire" à celui d'outil générant des correspondances sur une signature, grâce à un Renseignement sur les menaces mis en place et rendu utile.
Bischoping: Je pense que c'est un concept fondamental. Car pour moi, le renseignement sur les menaces n'a de valeur que s'il renforce l'efficacité de mon équipe de sécurité dans son job. Personne n'a besoin d'un nouveau flux de Patch, personne n'a besoin d'un nouveau flux d'adresses IP ; ce dont on a besoin, c'est de comprendre la pertinence contextuelle et en quoi cela m'est utile. Comment cela réduit-il le bruit ? Je suis donc ravi que vous ayez dit cela.
Je voudrais maintenant prendre un peu de recul. Comment recommandez-vous d'aborder, ou comment voyez-vous les gens engager, des conversations de qualité avec les membres du conseil d'administration et les dirigeants, pour leur faire comprendre que le renseignement sur les menaces n'est pas qu'un simple mot à la mode et pourquoi leur organisation doit y investir de manière stratégique ?
DeGrippo: Je pense que ces conversations seront permanentes, mais il y a quelques points que j'apprécie particulièrement dans cette réflexion.
Avant tout, nous devons comprendre que le renseignement sur les menaces est une donnée qui, une fois traitée, devient quelque chose de subjectif. Il part donc d'un élément objectif, le traite à travers l'expérience, des systèmes techniques, un récit et, soyons honnêtes, une part de rédaction créative, pour aboutir bien souvent à un produit subjectif. Les IOC [indicateurs de compromission, c'est-à-dire les preuves d'une violation de données] en bas de page, je suis désolé de vous le dire, les IOC en bas de page ne constituent pas du renseignement. Le contexte de ces IOC, c'est cela le renseignement sur les menaces. Les IOC ne sont que des données. Je pense qu'il est important de le comprendre, et c'est un message qui peut trouver un écho favorable auprès de vos dirigeants, de votre CISO, de votre conseil d'administration – et même de votre CFO, car il dispose d'un pouvoir de décision considérable. N'excluez jamais un CFO d'une réunion – si vous parvenez à le convaincre, vous convaincrez tout le monde, car il a généralement le dernier mot.
Mais voici un exemple concret : imaginons que vous avez un système de sécurité chez vous. J'en ai un. Et supposons que chaque trimestre, ce système d'alarme m'envoie un rapport indiquant : « Nous avons empêché 27 personnes de s'introduire chez vous. » Je me dis, ah, d'accord. C'est vraiment bien. Parfait. Je n'ai rien remarqué. Ma vie n'a pas changé. Vous avez empêché ces personnes de s'introduire chez moi ? J'étais dans l'ignorance la plus totale et je continuais à vaquer à mes occupations.
Son concurrent vient me voir et me dit : « Je sais qu'ils ont empêché 27 personnes de s'introduire chez vous. » Et je lui réponds, oui, je reçois ce rapport chaque mois ou quelque chose du genre. Et le commercial me dit : « Je peux vous dire qui sont ces personnes. Je peux vous dire à quoi elles ressemblent, ce qu'elles portaient, quel véhicule elles conduisaient, la plaque d'immatriculation, la marque, le modèle et l'année du véhicule. Je peux vous dire où elles habitent. Je peux vous dire depuis combien de temps elles se livrent à ce type de tentatives criminelles. Et en réalité, non seulement je peux vous donner toutes les informations sur cette personne qui a tenté de s'introduire chez vous, mais je peux également vous indiquer les autres maisons de votre rue qu'elle a tenté de cambrioler."
Mon Dieu, vous avez toute mon attention. Apportons des changements. Je veux ça. Et c'est là toute la différence. C'est la différence entre une protection standard et une compréhension approfondie de la réalité, du monde, de ce qui se passe et donc de ce qui va se produire ensuite.
Bischoping: Je souhaite y revenir dans un instant, car vous avez soulevé un point qui me semble particulièrement nuancé et avec lequel de nombreuses organisations peinent à composer, notamment en ce qui concerne leur niveau de maturité et leur disposition à intégrer un appétit pour l'Intel en matière de menaces. Mais je veux y revenir dans un instant.
Supposons que vous vous présentez, que vous faites cette excellente présentation et que votre équipe dirigeante est entièrement convaincue. Ils affirment qu'il est nécessaire d'accroître les investissements. Nous devons constituer une équipe de renseignement sur les menaces. Nous devons investir dans des plateformes de renseignement sur les menaces. Nous devons investir dans des flux de renseignement sur les menaces. Voici un budget et des effectifs mis à votre disposition.
Par où commencer ? Quelle est cette base, si vous partez de zéro en matière de renseignement sur les menaces, à quoi cela ressemble-t-il ?
DeGrippo: Je pense, encore une fois, que nous vivons dans une réalité bien étrange. Beaucoup d'entre nous sont des voyeurs de la sécurité, et ce fait nous oblige parfois à revoir notre approche. Et si je devais donner un conseil, ce serait celui-ci :
Si vous créez une équipe de renseignement sur les menaces, vous lancez une pratique de renseignement sur les menaces, et c'est exactement ce que vous venez de décrire : concentrez-vous sur votre CISO. Concentrez-vous sur les menaces qui ciblent votre CISO. Remettez à votre CISO un rapport sur les menaces qui ont tenté de le cibler. Faites de l'OSINT [renseignement en sources ouvertes], et rédigez un rapport de Renseignement sur les menaces concernant votre RSSI. Je sais que certains pourraient se dire : « Oh mon Dieu, c'est formidable — »
Bischoping: Épicé ! [Elle rit]
DeGrippo: Ils le veulent, ils le veulent, et ils souhaitent voir et comprendre ce qu'est le Renseignement sur les menaces dans un langage qui leur parle. Et ce langage, c'est le leur. Ils peuvent ainsi se mettre dans la peau d'une cible.
Une fois qu'ils comprennent les menaces qui les visent à titre personnel et l'empreinte externe qu'ils peuvent avoir, vous pouvez commencer à leur proposer des choses comme : souhaitez-vous que nous préparions ce rapport pour l'équipe de direction ? Souhaitez-vous que nous le préparions pour les assistants de direction et les administrateurs ? Souhaitez-vous que nous commencions à le préparer pour les collaborateurs présents dans l'entreprise depuis moins de six mois ? Et votre RSSI commence à conceptualiser [comment] le renseignement sur les menaces peut l'aider. Le renseignement sur les menaces a du sens. En fin de compte, c'est quelque chose que tout le monde doit comprendre – que vous soyez débutant dans le secteur ou que vous souhaitiez simplement travailler dans le SOC [centre des opérations de sécurité] sans être dérangé, juste faire votre travail tranquillement – tout le monde doit comprendre que les RSSI rendent des comptes au conseil d'administration. Et si un RSSI ne bénéficie pas de la confiance et du soutien de son conseil d'administration, il n'ira pas très loin.
En définitive, il s'agit de permettre à votre RSSI de s'adresser à votre conseil d'administration de manière à obtenir des résultats, ce qui donne au RSSI un véritable levier d'action. C'est la bonne approche. Travaillez donc avec votre RSSI pour comprendre comment convaincre le conseil d'administration, comment l'amener à adhérer à votre démarche. Et ensuite, comment obtenir l'adhésion du conseil d'administration ?
Bischoping: Revenons sur certains aspects liés à la constitution d'équipes et aux profils que l'on rencontre dans ce domaine. Ce que j'apprécie dans le fait d'avoir autant d'amis dans la communauté du renseignement sur les menaces, c'est qu'ils viennent de milieux très variés. Je ne pense pas que beaucoup d'entre eux aient suivi le même parcours. Et je crois profondément que des équipes diversifiées, quelle que soit leur nature, produisent de meilleurs résultats. Mais je pense que cela est particulièrement vrai dans le domaine de la sécurité, et sans aucun doute au sein du renseignement sur les menaces.
Parlez-moi de cela. Je pense que vous êtes tout aussi passionné par ce sujet que moi, et j'aimerais connaître votre point de vue.
DeGrippo: Oh, j'ai tellement d'opinions sur la question. Je pense que ce que vous apportez avant tout en matière de sécurité et de renseignement sur les menaces, c'est votre opinion, votre point de vue et votre intuition. Car votre intuition est façonnée par l'ensemble de vos expériences, de vos compétences et de tout ce que vous avez pu observer. Et cela crée ce sentiment instinctif de « je ne sais pas pourquoi, mais quelque chose ne me semble pas juste. » « Ce schéma réseau doit être modifié. » « Ce code m'inquiète un peu. »
Et si vous parlez à des personnes vraiment brillantes et talentueuses qui travaillent dans le renseignement sur les menaces depuis longtemps, vous les entendrez dire ces choses… Et c'est ce sens que vous devez développer.
Bischoping: C'est une combinaison entre faire confiance à son instinct et affiner cette capacité à reconnaître ce qui « ne devrait vraiment pas être là ». Et je pense que l'une des compétences les plus difficiles à développer en tant que professionnel est la confiance en cet instinct — cette petite alerte dans votre esprit qui vous dit que quelque chose est déplacé — et le courage de le dire. Je me souviens qu'au début de ma carrière, j'avais toujours peur d'être la première ou la seule personne à dire : « Est-ce que quelqu'un d'autre trouve ça bizarre ? Ou est-ce que je me trompe ? Parce que moi, je trouve ça bizarre. » Apprendre à avoir la confiance nécessaire pour dire : « quelque chose me dérange, je pense que nous devons creuser davantage » a été une étape importante dans mon développement personnel. Et je pense que c'est quelque chose que tout le monde doit atteindre.
Et je pense que c'est l'un des sujets les plus fascinants. Avant d'occuper mes fonctions dans la tech et la sécurité, j'avais une formation en psychologie et je m'intéresse au comportement humain, à la façon dont il évolue et dont les schémas se développent dans notre cerveau au fil du temps. J'ai également pris un chemin plutôt sinueux pour arriver là où j'en suis aujourd'hui. J'ai travaillé dans la vente au détail, l'immobilier et l'aviation.
Ma question est donc la suivante : en dehors des parcours évidents liés au gouvernement, à l'armée ou aux forces de l'ordre, quels sont les parcours les plus insolites que vous avez rencontrés chez des professionnels ayant rejoint le domaine de la threat Intel ? Comment avez-vous vous-même effectué cette transition ? Quels exemples connaissez-vous ?
DeGrippo: Pour ma part, j'ai commencé par des études dans une école d'art ; je voulais devenir photographe. Et je rappelle toujours aux personnes qui me demandent si j'ai un diplôme en cybersécurité que j'ai commencé mes études à 1996 à une époque où ce type de diplôme n'existait pas vraiment. Et même les diplômes en informatique ne sont plus ce qu'ils étaient à l'époque. Ce n'était tout simplement pas quelque chose que l'on faisait vraiment.
J'ai donc fait des études d'art, de beaux-arts, et l'un de mes anciens collègues, Michael Raggi, qui est maintenant chez Mandiant, a travaillé sur de nombreux cas de faux artistiques, où il examinait des œuvres d'art pour déterminer si elles étaient authentiques ou non. Alors bien sûr, quand nous travaillions ensemble, je lui disais : oh mon Dieu, raconte-moi tout sur ça. C'est fascinant. Je connais beaucoup de personnes, j'ai un collègue aujourd'hui qui a commencé par travailler dans la sécurité de grandes surfaces, dans la prévention des vols, et qui est maintenant l'un des meilleurs ingénieurs en détection que j'aie jamais rencontrés, [et] qui rédige des signatures de détection réseau. Les forces de l'ordre, c'est bien sûr un vivier important. Mais les gens viennent de partout. En fin de compte, je pense que si vous avez le sens de la sécurité, nous pouvons trouver quelque chose pour vous. Vous voulez être nerveux et atypique avec nous, nous vous confierons des missions.
Bischoping: J'adore ces conversations où nous parlons des personnes et de la façon dont l'Intel est un art, et non une science, pour faire le lien avec votre parcours artistique.
Comment planifiez-vous et construisez-vous la stratégie d'équipe et définissez-vous des objectifs qui maintiennent une équipe de renseignement sur les menaces motivée, pour qu'elle ait le sentiment de progresser vers le succès, sans imposer une structure si rigide qu'elle empêche l'exploration de la créativité que le domaine du renseignement sur les menaces exige ?
DeGrippo: C'est vraiment difficile, et je pense que cela repose sur de bonnes relations.
La priorité absolue lors de la constitution de ces équipes est d'obtenir une variété d'expertises. Mais il ne s'agit pas uniquement de compétences et d'expertise ; il s'agit aussi des préférences et de ce que les gens aiment faire. Croyez-moi, si vous avez quelqu'un qui travaille sur quelque chose dans lequel il excelle et qu'il apprécie, vous allez gagner. Et si vous laissez ces personnes, par exemple, [aider à] intégrer quelqu'un dans l'équipe, [elles diront souvent], « Oui, j'ai interviewé cette candidate et elle ne maîtrise pas ceci, ceci, ceci et cela. » Et là, on se dit, mais VOUS, vous connaissez tout cela. Pourquoi recruterions-nous quelqu'un qui maîtrise exactement les mêmes choses que vous ? Cela n'a aucun sens. Il faut donc être très vigilant lors du recrutement, car les analystes en renseignement sur les menaces vont s'entretenir avec un candidat et se dire : « Oui, je l'ai interviewé pour qu'il soit exactement comme moi. »
Et c'est comme, non, non, non, non, non.
Nous cherchons la personne qui aime faire les choses que vous détestez et qui excelle dans les domaines que vous trouvez fastidieux. Il faut donc avoir de la diversité dans tout, dans chaque type de profil, en particulier en termes de préférences. Les personnes compétentes ne s'épanouissent pas lorsqu'elles travaillent sur des sujets qu'elles détestent. Et elles ne restent pas. Trouver cette correspondance idéale entre ce qu'une personne maîtrise et ce qu'elle apprécie, identifier trois, quatre ou cinq de ces éléments, puis réunir ces personnes au sein d'une équipe aux préférences complémentaires et contrastées, cela peut vraiment faire la différence.
Je pense aussi que comprendre ce qui intéresse les gens et ce qui les enthousiasme est d'une grande aide pour cerner leurs attentes. Car vous souhaitez que les gens apprécient leur rôle. Vous voulez que les gens aient le sentiment que le travail n'est pas…si contraignant. C'est du travail, certes, mais l'idéal est que ce ne soit pas une corvée épuisante. J'espère que c'est quelque chose qui vous intéresse et vous passionne.
C'est assez amusant, car nous avons des équipes au travail qui suivent différentes choses et sont responsables du suivi des acteurs de menace — et chacune a ses acteurs [de menace] préférés. Et si vous leur dites : « On va vous faire passer à… », ils répondent : « Non, je ne veux pas changer. J'aime ces acteurs. » Permettre aux gens de se concentrer sur ce qui les passionne est, à mes yeux, un véritable atout pour une organisation — avoir des collaborateurs qui travaillent sur ce qu'ils souhaitent faire.
Bischoping: C'est un vrai facteur d'efficacité, sans aucun doute. Et je le sais par expérience. Quand je suis pleinement concentré sur un projet, je lève la tête et je me dis : mais où est passé le temps ? J'ai produit une quantité de contenu sur le sujet. J'adore ça.
DeGrippo: Et certains de mes collègues, je sais qu'ils ont des informations croustillantes. Parfois, ils m'appellent ou m'envoient un message pour me demander si j'ai le temps de parler. Et je leur réponds que je n'ai pas le temps. Mais ensuite je me dis que cette personne me raconte toujours des choses incroyables, alors je vais trouver un moyen de lui accorder du temps. Parce que je sais que quand je les aurai au téléphone, ils vont me dire : « il y a ce nouvel acteur de menace qui fait quelque chose de nouveau, et il y a ce nouveau ciblage… » Et c'est pour ça que je vis. C'est comme si ce n'était pas du travail.
Bischoping: Oui, c'est passionnant.
DeGrippo: C'est ça, faire du Renseignement sur les menaces. Et c'est pourquoi le Renseignement sur les menaces est parfois difficile, car les résultats se font sentir sur le long terme. Par exemple, trois mois plus tard, je suis en train de faire quelque chose et je me souviens de cet acteur de menace dont ils m'avaient parlé, et maintenant il y en a un autre qui lui ressemble beaucoup, j'ai alors un schéma, une tendance – et je dois rédiger un rapport sur ce schéma, cette tendance, six mois, 12 mois, deux ans, 10 ans. Tout commence à se cristalliser dans votre esprit. Et je pense que c'est en partie lié à l'aspect créatif de la chose.
Bischoping: Oh, tout à fait. C'est aussi là que réside la valeur de développer un ensemble de compétences affinées, un instinct naturel, et de les cultiver tout au long de sa carrière. Car je pense que les analystes Intel vieillissent bien.
Plus vous passez de temps dans le secteur à travailler sur ces différents projets, à évoluer et à vous développer à partir de vos expériences passées en vous appuyant sur celles-ci, plus vous apprenez à détecter des signaux dans le bruit et à identifier des tendances que votre jeune moi n'aurait peut-être pas su relier, ce que je trouve vraiment fascinant. Et lorsque vous combinez cela avec l'apport de personnes aux perspectives nouvelles, qui n'ont pas nécessairement d'idées préconçues sur les endroits où chercher un point de connexion, il en émerge une orchestration d'idées qui est vraiment belle à observer. On peut simplement prendre du recul, observer les échanges entre les personnes et voir les carrières évoluer au fil du processus. Cela peut se produire en l'espace d'une demi-heure, autour d'une table de salle de réunion.
DeGrippo: Absolument. J'adore ça aussi. J'adore voir ce qui éveille la curiosité des gens.
Bischoping: Bien, passons maintenant de l'élément humain à l'élément IA, car c'est le sujet qui est sur toutes les lèvres, n'est-ce pas ?
DeGrippo: Oh, j'adore ça. C'est une véritable obsession pour moi. Je suis accro à l'IA. [Ils rient tous les deux.]
Bischoping: Pratiquement toutes les organisations dans le monde, et Microsoft en particulier, parlent d'IA en ce moment. Presque chaque employé dans le monde se pose l'une de ces deux questions : Comment puis-je utiliser l'IA de façon nouvelle et stimulante ? Ou encore, l'IA va-t-elle prendre mon job ?
Je pense que ces mêmes questions se posent pour nous dans le domaine de la sécurité et du Renseignement sur les menaces. Je pense qu'il y a une préoccupation compréhensible : un analyste en renseignement sur les menaces peut-il faire confiance à la recherche augmentée par l'IA ? Ou comment peut-il l'utiliser de manière sûre et fiable ? Et je pense qu'il y a aussi beaucoup d'espoir que cela nous aide à mieux appréhender des volumes de données plus importants. Quelles tendances observez-vous ? Quelles conversations avez-vous ? C'est un sujet important.
DeGrippo: Oui, je dirais qu'il y a environ un an, j'ai atteint un point d'inflexion où j'ai commencé à intégrer l'IA dans de nombreux domaines. Et mon responsable de l'époque, John Lambert, je l'ai approché en lui disant : « John » – c'était lors de mes débuts chez Microsoft il y a un an – je lui ai dit : « John, j'ai besoin de rapports hebdomadaires de renseignement sur les menaces. J'ai besoin d'un flux continu de renseignements rédigés et structurés, et quelle équipe peut s'en charger ? Qui peut se charger de les compiler ? » Et il a dit : « Vous pensez avec des idées du passé, votre façon de penser est dépassée. » Je me suis dit : « Oh non, mon nouveau patron pense que je suis dépassé. » Il a dit : « Tu dois trouver un moyen de faire ça avec l'IA. » Et là, j'étais sous le choc. À ce moment-là, j'ai compris quelque chose que tout le monde vivra.
Tout le monde passera par là. C'est la courbe de maturité dans l'utilisation de l'IA comme outil. À cette époque, j'étais bien en deçà de John sur cette courbe de maturité. J'espère avoir rattrapé une partie de mon retard. Tout se joue dans le déclenchement mental : à quelle vitesse puis-je mobiliser mes neurones pour laisser l'IA agir à ma place avant même d'essayer par moi-même ? C'est la compétence que chacun doit développer, et ceux qui maîtrisent ce réflexe de pensée auront plus de succès. Et vous pouvez appliquer ça à presque n'importe quel outil, n'est-ce pas ? Je suis sûr que lorsque les voitures sont apparues, les gens commençaient à marcher jusqu'au magasin et [puis pensaient], attendez, je peux y aller en voiture. Et puis les gens ont commencé à s'enthousiasmer. Ils se disaient, j'adore conduire. C'est tellement amusant.
Mais avant d'avoir cette normalité, c'était : « Mais qu'est-ce que je fais ? Mmm, je dois réfléchir à ça. » Stop ! Arrêtez de faire travailler votre cerveau humain et commencez à utiliser le cerveau en silicium de l'IA à votre disposition, même s'il n'est pas parfait. Prenez cette habitude maintenant, maintenant, maintenant, aujourd'hui.
Bischoping: J'adore.
DeGrippo: Utilisez votre cerveau humain pour être créatif, pour ressentir des émotions et, franchement, pour profiter des choses. Utilisez l'IA pour tout ce qu'elle peut faire à votre place et pensez à y recourir sans attendre. Ne perdez pas de temps à dresser votre liste de courses. De quoi ai-je besoin ? Ah, je veux préparer le dîner. Non, non. Allez sans tarder vers l'IA et dites-lui : « Je dois préparer une liste de courses pour le dîner ce soir. » Sans tarder.
Bischoping: Quelle est la version « liste de courses » de cette histoire pour la communauté Intel ?
DeGrippo: Je pense qu'il existe de nombreuses façons d'aborder la question. L'un de ceux dans lesquels je suis le plus impliqué au travail est Copilot for Security. Ce qui m'a impressionné, c'est qu'il fonctionne en langage naturel. Il ne faut jamais sous-estimer la facilité et le confort du langage naturel. Il vous suffit de saisir du texte ou, avec certaines applications, de parler pour indiquer ce que vous voulez, ce dont vous avez besoin. Poser des questions.
Copilot for Security est remarquable, car il peut accéder à l'ensemble des capacités de Renseignement sur les menaces de Microsoft que nous avons publiées ; grâce au langage naturel, vous pouvez lui demander : « Parle-moi de l'acteur de menace X, Y, Z. Parle-moi des TTP [tactiques, techniques et procédures] utilisés dans l'arsenal de cet acteur de menace. » Non seulement il peut vous fournir ces informations en tant que praticien, technologue ou responsable de la sécurité, mais qui avons-nous mentionné comme étant notre interlocuteur le plus important ? Le CISO ! Il peut vous synthétiser les informations au niveau de la direction, ce que je trouve tout simplement remarquable. Car encore une fois, il y a la courbe de maturité. Je peux presque vous garantir que les personnes qui écoutent ce podcast seront plus avancées dans leur parcours d'adoption de l'IA, en l'utilisant dans leur vie personnelle – elles seront plus avancées que leur CISO.
Cela signifie qu'une fois de plus, vous devez initier et sensibiliser votre CISO pour qu'il atteigne votre niveau. Ce qui implique de montrer à votre CISO : Vous pouvez utiliser Copilot for Security pour générer vos propres rapports et obtenir votre propre IR. Je n'ai plus besoin de préparer ces bilans hebdomadaires pour vous. Générez-les vous-même, et si vous avez des questions, venez nous voir et nous vous offrirons une analyse approfondie. Ou nous en produirons davantage, ou nous vous aiderons avec vos requêtes. C'est un autre point : Préparez-vous, tout le monde ; vous allez devoir commencer à aider votre CISO avec ses requêtes.
Et je pense que nous allons commencer à observer qui adopte l'IA sans délai et qui en est encore à tâtonner, « Oh, je pensais faire ça. Je vais essayer ça. »
Moi, je vais directement à l'IA. Tout dépend de l'outil utilisé, que ce soit Copilot, ChatGPT, Bing ou autre, et de l'usage, professionnel ou personnel. Je vous le dis : je ne ferai plus jamais mes achats de la même façon. J'utilise Bing AI pour tous mes achats désormais, car il propose des codes de réduction et des comparatifs pour chaque produit. C'est incroyable ! Je ne veux pas consacrer mon temps à des tâches de réflexion répétitives. Je ne veux pas m'y attarder. Je veux me consacrer à des travaux créatifs, stimulants et novateurs. Et je pense que nous pouvons tous convenir que les IA n'en sont pas encore là — et ne le seront peut-être jamais — au point d'être véritablement novatrices, créatives et dotées de cette sensibilité humaine. Mais je vous assure que si vous lui demandez d'effectuer une vérification rapide de données, de vous fournir des informations ou de vous expliquer un concept, elle excelle dans ce domaine.
Je pense également qu'il est indispensable de commencer à l'exploiter pour gagner en efficacité. Copilot for Security peut rédiger des requêtes, ce qui me laisse sans voix. Si vous avez besoin d'écrire des requêtes KQL [Kusto Query Language] ou de vérifier la syntaxe d'une requête en cours de rédaction ? Il vous suffit de la coller et de demander : « Est-ce que ça vous semble correct ? » Et la réponse est : « En fait, c'est plutôt inefficace. Vous avez demandé 365 jours alors qu'en demandant 30, le résultat reviendrait bien plus vite. »
Il peut optimiser vos requêtes. Il s'agit avant tout d'accélérer les processus, de les enrichir et de les améliorer. Et je pense que c'est la direction que prennent la plupart des implémentations d'IA réussies.
Bischoping: Parfait. Merci infiniment. Ce fut un véritable plaisir. J'adore toujours vous parler.
DeGrippo: Merci, Melissa.
Bischoping: Je me suis entretenue avec Sherrod DeGrippo, directrice de la stratégie de renseignement sur les menaces chez Microsoft.
Si vous souhaitez en savoir plus sur les équipes Intel sur les menaces, consultez Focal Point, le magazine d'actualité cyber en ligne de Tanium. Des articles pertinents sont également disponibles dans les notes de l'émission. Rendez-vous sur tanium.com/p pour les publications.
Pour découvrir d'autres conversations avec les grands leaders du monde des affaires et les experts en sécurité, abonnez-vous à Let's Converge sur votre application de podcast préférée. Vous pouvez également nous aider à faire passer le mot – attribuez-nous une note de cinq étoiles.
Merci de votre écoute, et nous avons hâte de partager de nouvelles perspectives cyber dans le prochain épisode de Let's Converge.
