Résumé
Les acteurs malveillants évoluent, élargissent leur champ d’application et tirent parti de nouveaux outils, il est donc essentiel que les entreprises investissent stratégiquement dans la veille sur les menaces. Voici comment créer des équipes solides, utiliser l’IA et obtenir l’adhésion du RSSI et du conseil d’administration.
Hôte : Melissa Bischoping, directrice de la recherche sur la sécurité des endpoints,
TaniumInvité : Sherrod DeGrippo, directrice de la stratégie de renseignement sur les menaces, Microsoft
Afficher les notes
Pour plus d’informations sur les informations sur les menaces et sur la manière dont les équipes de renseignements sur les menaces les optimisent à leur avantage, consultez Focal Point, le magazine d’informations en ligne primé de Tanium, et ces autres ressources incontournables.
- En appliquant les leçons précédentes pour la détection des menaces d’identité pilotée par Intel | Tanium – Nicole Hoffman, enquêteuse en sécurité auprès de Cisco Talos et auteure du livre, The Mighty Threat Intelligence Warrior, nous a offert un aperçu de sa présentation de la conférence RSA 2024 , et a décrit son approche proactive de la cyberveille et de la détection des menaces.
- Cyber-triomphe : 6 compétences que les Jeux olympiques de Paris ont bien adoptées | Tanium – Les Jeux olympiques de Paris ont été confrontés à un niveau sans précédent de cybermenaces. Voici leur guide non officiel et les compétences (y compris les renseignements sur les menaces) que toute entreprise peut maîtriser.
- Threat Intelligence | Tanium : découvrez les dernières informations de Tanium sur les cybermenaces, avec les dernières actualités sur les cibles de ransomware, les tendances des logiciels malveillants, les rapports d’hameçonnage, les portes dérobées, les acteurs malveillants, etc.
- Réponse aux menaces Tanium | Tanium – Arrêtez d’utiliser des outils fragmentés pour protéger votre environnement. Minimisez l’impact des menaces grâce à une recherche automatisée, une détection précoce et une enquête et une remédiation rapides, le tout à partir d’une seule plateforme.
Transcription
L’entretien suivant a été modifié pour plus de clarté.
« Si vous créez une équipe de renseignement sur les menaces, concentrez-vous sur les menaces qui touchent votre RSSI. Donnez à votre RSSI un rapport sur les menaces qui ont tenté de cibler ce RSSI.... Ils veulent voir et comprendre ce qu’est la Threat Intelligence dans une langue qui leur parle. Et ce langage est lui-même. »Sherrod DeGrippo, directeur de la stratégie de Threat Intelligence chez Microsoft
Bischoping : lorsqu’il s’agit de cybermenaces, les chiffres actuels ne semblent pas si bons, surtout si vous êtes un leader d’entreprise ou un praticien de la sécurité. Si vous êtes un cybercriminel, ce sont les périodes de boom. Les violations de données augmentent de plus d’une troisième année par rapport à l’année précédente, et les attaques par ransomware augmentent de 84 % dans tous les secteurs. Rien qu’en 2023 , les acteurs malveillants ont volé ou exposé plus de 17 milliards de records personnels l’année dernière.
Bonjour, je suis Melissa Bischoping, directrice de la recherche sur la sécurité des endpoints chez Tanium, et aujourd’hui, nous parlons de renseignements sur les menaces, et en particulier de la manière dont vous allez démarrer et diriger des équipes de renseignements sur les menaces plus solides.
Sherrod DeGrippo, directrice de la stratégie de renseignement sur les menaces chez Microsoft, se joint à moi pour discuter de ce sujet, bien que son profil LinkedIn la désigne comme une « voyagiste de sécurité bizarre ».
Sherrod observe des développements dans le monde de la cybersécurité depuis plus de deux décennies, travaillant à des postes chez Proofpoint, Symantec, SecureWorks et la National Nuclear Security Administration. Elle apporte maintenant cette étrange perspective de voyeur à Microsoft, que nous allons aborder ensuite. Bienvenue dans le podcast, Sherrod.
Sherrod DeGrippo : Melissa, merci de m’avoir reçue. C’est vraiment formidable d’être avec vous.
Bischoping : Donc, avant de commencer, vous et moi nous connaissons depuis un certain temps. Nous nous sommes rencontrés via Twitter parce que j’aime votre chien, qui est vraiment le chien le plus cool de la planète. Et je suis votre carrière depuis tant d’années. Vous travaillez actuellement chez Microsoft, où vous pouvez également organiser un podcast vraiment sympa sur les informations sur les menaces. Pouvez-vous m’en dire un peu plus sur ce que vous faites là-bas ?
DeGrippo : Oui, je pense que ce que nous réalisons, c’est juste ce que vous avez dit : les acteurs malveillants évoluent, leur champ d’application augmente, ils exploitent de nouveaux outils, ils font toutes ces choses. Et je pense que vous devez avoir une bonne stratégie sur la manière dont vous allez utiliser la Threat Intelligence. C’est une grande partie de ce sur quoi je me concentre chaque jour. Nous avons beaucoup de renseignements sur les menaces. Où pouvons-nous trouver plus de valeur, la rendre plus réalisable et l’exploiter mieux pour protéger plus de personnes ?
Bischoping : c’est un travail si important, surtout parce que les données ne font que s’agrandir, la quantité d’informations que vous devez analyser, par exemple, plus de données n’est pas nécessairement égale à plus de valeur si vous ne les utilisez pas bien.
Mais avant d’aborder la manière dont vous utilisez une bonne intelligence sur les menaces et dont vous construisez ces équipes, définissons ce que nous entendons par « informations sur les menaces » et le contexte historique du secteur. De quoi pouvez-vous parler ici ?
DeGrippo : Oh mon dieu, il y a tellement à dire là-bas et c’est vraiment controversé, alors allons-y pour beaucoup de prises chaudes.
Il y a une citation sur la Threat Intelligence : si elle n’est pas exploitable, il s’agit du divertissement des menaces.
Bischoping : j’adore ça.
DeGrippo : Je sais, c’est tellement vrai. Je pense que si vous êtes dans ce monde et que vous entendez ça, vous êtes comme, oh mon dieu, ça ne peut pas être moi. Et c’est en quelque sorte là où j’aime me concentrer, prendre ce que d’autres pourraient dire est simplement le divertissement des menaces et le transformer en véritable intelligence, parce qu’il est utilisé pour protéger les personnes. Et c’est en fait l’origine de mon slogan sur LinkedIn, qui est un « voyeur de sécurité bizarre ». Parce que j’ai été en communication avec l’incroyable/fameux Nick Carr, l’un des chercheurs de Microsoft, et nous parlions de la manière dont nous pourrions mieux faire cela. Comment pouvons-nous rendre les informations sur les menaces plus exploitables ? Où pouvons-nous le dire ? Et il répond : « Nous ne voulons pas être des voyagistes de sécurité bizarres ; nous voulons en fait faire quelque chose. »
Et je me suis dit : « Non, je suis un voyeur de sécurité bizarre, car je ne suis pas seulement un joueur, je suis un fan, et je suis encore plus fan que jamais dans ma carrière maintenant en raison du rôle que j’occupe chez Microsoft. Je suis vraiment en première ligne et j’observe beaucoup de ce qui se passe. Et je pense que c’est la clé : nous devons la rendre réalisable, nous devons la rendre importante, et nous devons prendre les renseignements sur les menaces d’un élément qui est « une histoire cool, bro » pour voir réellement les résultats d’une signature en raison des renseignements sur les menaces que nous avons mis en place et rendu utile.
Bischoping : je pense que c’est un concept si important. Parce que pour moi, les informations sur les menaces ne sont utiles que si elles rendent mon équipe de sécurité plus efficace dans son travail. Personne n’a besoin d’un autre flux de correctifs, personne n’a besoin d’un autre flux d’adresses IP ; ils doivent comprendre la pertinence contextuelle et en quoi cela m’est-il utile ? Comment cela réduit-il mon bruit ? J’adore que vous l’ayez dit.
Maintenant, je veux zoomer pendant une seconde. Comment recommandez-vous ou comment voyez-vous les gens avoir de très bonnes conversations avec les membres du conseil d’administration, avec les dirigeants, pour comprendre que les renseignements sur les menaces ne sont pas seulement un mot à la mode et comprendre pourquoi leur organisation doit investir stratégiquement ?
DeGrippo : Je pense que ces conversations seront éternelles, mais il y a quelques choses que j’aime vraiment en termes de regard.
Tout d’abord, nous devons comprendre que les renseignements sur les menaces sont des données après leur traitement en quelque chose de subjectif. Il faut donc quelque chose d’objectif, il le traite par l’expérience, les systèmes techniques, la narration et, franchement, l’écriture créative, et devient un produit subjectif à la fin, plusieurs fois. Les IOC [indicateurs de compromission, c’est-à-dire la preuve d’une violation de données] en bas, je déteste vous dire que les IOC en bas ne sont pas des renseignements. Le contexte de ces IOC, c’est -à -dire la Threat Intelligence. Les IOC ne sont que des données. Je pense donc qu’il est important de comprendre, et la chose qui, je pense, peut bien résonner auprès de vos dirigeants, de votre RSSI, de votre conseil d’administration, dites-le à votre directeur financier parce qu’ils ont également beaucoup de pouvoir décisionnel. Ne laissez jamais un directeur financier hors d’une pièce. Si vous pouvez le convaincre, vous le persuadez tout le monde, car il gagne généralement.
Mais ici, c’est : Supposons que vous ayez un système de sécurité chez vous. J’en ai un. Et disons que chaque trimestre, ce système d’alarme m’envoie un rapport et c’est comme : « Hé, nous avons empêché 27 personnes de pénétrer dans votre maison. » Je me dis, oh, OK. C’est vraiment cool. Super. Je n’ai fait aucune différence. Ma vie n’a pas changé. Vous avez empêché ces personnes de pénétrer dans ma maison ? J’ai été malheureusement inconsciente et j’ai poursuivi ma journée.
Leur concurrent vient me voir et me dit : « Hé, je sais qu’ils ont empêché 27 personnes de pénétrer dans votre maison. » Je me dis, oui, je reçois ce rapport tous les mois ou quoi que ce soit. Et le vendeur dit : « Je peux vous dire qui sont ces personnes. Je peux vous dire à quoi ils ressemblent, ce qu’ils portaient, la voiture qu’ils conduisaient, la plaque d’immatriculation de la voiture, le modèle de marque et l’année de la voiture. Je peux vous dire où ils vivent. Je peux vous dire depuis combien de temps ils font ce genre de tentatives de crime. Et en fait, non seulement je peux vous parler de cette personne qui a essayé de pénétrer dans votre maison, mais je peux également vous dire les autres maisons de votre rue dans lesquelles ils ont essayé de pénétrer. »
Oh mon dieu, tu as mon attention. Effectuons quelques modifications. Je veux ça. Et c’est vraiment la différence. C’est la différence entre une protection des marchandises et une compréhension approfondie de la réalité, du monde, de ce qui se passe et donc de ce qui va se passer ensuite.
Bischoping : je veux y revenir dans une seconde parce que vous avez fait un point là-bas qui, je pense, est vraiment nuancé et quelque chose avec lequel beaucoup d’organisations ont du mal à savoir où elles en sont dans leur maturité et ce à quoi elles sont prêtes en tant qu’appétence aux informations sur les menaces. Mais je veux y revenir dans une seconde.
Supposons que vous participiez, que vous fassiez ce bon argumentaire et que vous ayez votre équipe de direction intégrée. Ils disent que nous devons faire plus d’investissements. Nous devons créer une équipe d’informations sur les menaces. Nous devons investir dans des plateformes d’informations sur les menaces. Nous devons investir dans les flux d’informations sur les menaces. Ici, nous vous donnons un budget, nous vous donnons les effectifs.
Par où commencez-vous ? À quoi ressemble cette base, si vous êtes une nouvelle intelligence sur les menaces, à quoi cela ressemble-t-il ?
DeGrippo : Encore une fois, je pense que nous sommes dans une réalité si bizarre. Beaucoup d’entre nous sont des voyagistes de sécurité bizarres, et cela signifie que nous devons changer notre façon d’aborder les choses parfois. Et si je donne des conseils, c’est ceci :
Si vous démarrez une équipe de renseignement sur les menaces, vous démarrez une pratique de renseignement sur les menaces, et c’est comme vous venez de le décrire : concentrez-vous sur votre RSSI. Concentrez-vous sur les menaces qui touchent votre RSSI. Donnez à votre RSSI un rapport sur les menaces qui ont tenté de cibler ce RSSI. Allez faire un peu d’OSINT [informations open source], établissez un rapport qui est un rapport d’informations sur les menaces concernant votre RSSI. Et je sais que les gens peuvent dire : « Oh mon dieu, c’est génial... »
Bischoping : épicé ! [Elle rit]
DeGrippo : Ils le veulent, ils le veulent, et ils veulent voir et comprendre ce que les renseignements sur les menaces sont dans une langue qui résonne avec eux. Et ce langage est lui-même. Et donc ils peuvent littéralement se mettre dans ce siège cible.
Une fois que vous avez compris les menaces qui les ciblent personnellement et l’empreinte potentielle qu’elles ont à l’extérieur, vous pouvez commencer à dire des choses telles que, voulez-vous que nous rassemblions cela pour l’équipe de direction ? Voulez-vous que nous rassemblions cela pour les assistants exécutifs et les administrateurs ? Voulez-vous que nous commencions à rassembler cela pour les employés qui ne travaillent dans l’entreprise que depuis six mois ? Et votre RSSI commence à conceptualiser [comment] la Threat Intelligence peut m’aider. Les renseignements sur les menaces ont du sens. En fin de compte, c’est quelque chose que tout le monde, du début du secteur à, hé, je veux juste travailler dans le SOC [centre des opérations de sécurité] et être laissé seul, je veux juste faire mon bon travail et ne pas être gêné, tout le monde doit comprendre que les RSSI rendent compte au conseil d’administration. Et si un RSSI n’a pas la confiance, l’adhésion et le soutien de son conseil d’administration, il n’ira pas très loin.
Donc, en fin de compte, permettre à votre RSSI de parler à votre conseil d’administration d’une manière qui est réussie, ce qui fait que le RSSI a un effet de levier. C’est la façon de le faire. Alors, travaillez avec votre RSSI pour comprendre comment obtenir le conseil d’administration, comment puis-je vous faire participer ? Et ensuite, comment pouvons-nous intégrer le conseil d’administration ?
Bischoping : revenons à certains aspects du renforcement de l’esprit d’équipe et aux personnalités dans ce domaine. L’une des choses que j’aime dans le fait d’avoir tant d’amis dans la communauté des informations sur les menaces est qu’ils proviennent d’horizons sauvages et variés. Je ne pense pas que beaucoup d’entre eux aient eu le même chemin. Et je suis personnellement convaincu que des équipes diverses de toutes sortes produisent de meilleurs résultats. Mais je pense que cela est vrai, en particulier en matière de sécurité et certainement au sein des informations sur les menaces.
Parlez-moi de cela. Je pense que vous êtes tout aussi passionné par ce sujet que moi, alors j’aimerais connaître votre point de vue.
DeGrippo : Oh, j’ai tellement d’opinions. Je pense que la chose numéro un que vous apportez en matière de sécurité et de renseignements sur les menaces est votre opinion, votre point de vue et votre intuition. Parce que votre intuition est colorée par toutes vos expériences, toutes vos compétences, toutes les choses que vous avez vues. Et cela crée ce sentiment inné de « Je ne sais pas pourquoi, mais je ne pense pas que ce soit juste ». « Ce diagramme réseau doit être modifié. » « Ce code m’effraie. »
Et si vous parlez à des personnes vraiment intelligentes, vraiment talentueuses qui sont en veille sur les menaces depuis longtemps, vous les entendrez dire ces choses... Et c’est le sens que vous devez développer.
Bischoping : c’est une combinaison de confiance dans votre instinct, mais aussi d’affiner cette compétence de « qui ne devrait vraiment pas être là ». Et je pense que l’une des compétences les plus difficiles à développer en tant que professionnel est de faire confiance à ce que cette petite démangeaison dans votre cerveau vous dit en fait que cela est déplacé et de ne pas avoir peur de vous exprimer et de le dire. Je me souviens qu’au début de ma carrière, j’ai toujours eu très peur d’être la première ou la seule personne à dire : « Quelqu’un d’autre pense-t-il que c’est bizarre ? Ou suis-je simplement stupide ? Parce que je pense que c’est bizarre. » Et apprendre à avoir cette confiance à dire, cela me fait démanger le cerveau, je pense que nous devons creuser plus avant a été un grand point de croissance pour moi personnellement. Et je pense que tout le monde doit y parvenir.
Et je pense que c’est l’un des sujets les plus fascinants. Donc, avant d’assumer mes rôles dans la technologie et la sécurité, j’ai une expérience en psychologie et je m’intéresse vraiment à la manière dont le comportement humain s’adapte et dont les schémas se développent au fil du temps dans votre cerveau. Et j’ai également pris la route pittoresque où je suis maintenant. J’ai travaillé dans la vente au détail, dans l’immobilier, dans l’aviation.
Ma question pour vous est donc, en dehors des parcours de carrière évidents du gouvernement, de l’armée, des forces de l’ordre, quels sont les parcours les plus fous que vous avez rencontrés avec des professionnels qui sont entrés dans le domaine des informations sur les menaces ? Comment avez-vous même fait le saut ? De quels éléments avez-vous connaissance ?
DeGrippo : Alors pour moi, j’ai commencé à aller à l’école d’art à l’université ; je voulais être photographe. Et je rappelle toujours aux gens lorsqu’ils me demandent si j’ai un diplôme en cybersécurité que j’ai commencé à l’université en 1996 , alors que les diplômes en cybersécurité n’existaient pas vraiment. Et même les diplômes en informatique ne sont pas aujourd’hui ce qu’ils étaient à l’époque. Ce n’était tout simplement pas une chose que vous avez vraiment faite.
Je suis donc allé à l’école pour l’art, pour les beaux-arts et l’un de mes anciens collègues, Michael Raggi, qui est maintenant chez Mandiant, a fait beaucoup de faux dans l’art, où il regardait les œuvres d’art et déterminait si elles étaient authentiques ou non. Donc, bien sûr, lorsque nous avons travaillé ensemble, j’étais comme, oh mon dieu, parlez-moi de tout cela. C’est fascinant. Je connais beaucoup de gens, j’ai un collègue aujourd’hui qui a commencé à travailler sur la sécurité dans les grandes boutiques, dans la sécurité contre le vol et le vol à l’étalage, et qui est désormais l’un des meilleurs ingénieurs de détection que j’ai jamais rencontrés, [et] écrit des signatures de détection réseau. Évidemment, les forces de l’ordre sont importantes. Mais les gens viennent de partout. En fin de compte, je pense que si vous avez un sens de la sécurité, nous pouvons trouver quelque chose que vous pouvez faire. Vous voulez être nerveux et bizarre avec nous, nous vous donnerons des tâches.
Bischoping : j’adore ces conversations lorsque nous parlons des gens et de la manière dont les informations sont un art, et non une science, à relier à votre parcours artistique.
Comment planifiez-vous et élaborez-vous une stratégie d’équipe et définissez-vous des objectifs qui inspirent une équipe de renseignements sur les menaces, afin qu’elle ait l’impression de travailler vers le succès, sans la rendre si rigide qu’elle ne peut pas explorer la créativité que l’espace de renseignements sur les menaces exige ?
DeGrippo : C’est vraiment difficile, et je pense que cela nécessite de bonnes relations.
La première chose lorsque vous construisez ces équipes est d’obtenir une variété d’expertises. Mais il ne s’agit pas uniquement de compétences et d’expertise, mais de préférences et de ce sur quoi les gens aiment travailler. Croyez-moi, si quelqu’un travaille sur quelque chose pour lequel il est bon et qu’il aime ça, vous allez gagner. Et si vous laissez ces personnes, dites, [aide] ajoutez quelqu’un à l’équipe, [ils diront souvent], « Oui, j’ai interviewé ce candidat et elle ne le sait pas, cela, cela et cela. » Et c’est comme, eh bien, VOUS connaissez toutes ces choses. Pourquoi embaucherions-nous la personne qui connaît toutes les mêmes choses que vous ? Cela n’a pas de sens. Vous devez donc être vraiment prudent lorsque vous embauchez, car les analystes en renseignements sur les menaces parleront à un candidat et lui diront : « Oui, je les ai interrogés pour être exactement moi. »
Et c’est comme, non, non, non, non, non, non.
Nous essayons de trouver la personne qui aime faire les choses que vous détestez et qui est douée pour faire des choses que vous pensez sucer. Vous devez donc obtenir la diversité de tout, de tout type, en particulier les préférences. Les personnes intelligentes ne travaillent pas bien sur des choses qu’elles détestent. Et ils ne durent pas. Et donc trouver cette belle correspondance dorée de quelque chose que la personne est douée et qu’elle aime faire, trouver trois, quatre ou cinq de ces choses, mettre ces personnes dans une équipe qui ont des préférences complémentaires et contrastées, cela peut vraiment vous faire aller loin.
Et je pense également, comme, comprendre ce qui intéresse les gens et ce qui les enthousiasme, cela aide tellement à comprendre ces choses. Parce que vous voulez que les gens apprécient leur rôle. Vous voulez que les gens sentent que le travail n’est pas... autant de travail. Je veux dire, c’est un travail, mais j’espère que ce n’est pas comme une calomnie brutale. J’espère que c’est quelque chose qui vous intéresse et vous intéresse vraiment.
C’est vraiment drôle parce que nous avons ces équipes au travail qui suivent certaines choses différentes et elles sont responsables du suivi des attaquants, et elles ont toutes leurs acteurs [menaces] préférés qu’elles aiment. Et si vous leur dites, Hé, nous allons vous faire passer au : ils se disent : « Non, je ne veux pas changer. J’aime ces acteurs. » Garder les gens concentrés sur ce qu’ils aiment est, pour moi, un super pouvoir magique pour une organisation, d’avoir des gens qui travaillent sur ce sur quoi ils veulent travailler.
Bischoping : c’est un multiplicateur d’efficacité sûr. Et je sais que c’est vrai moi-même. Si je suis vraiment en train de me lancer dans un projet, je vais regarder vers le haut et je me dis, oh mon dieu, où est allé le temps ? Je viens de développer du contenu à ce sujet. J’adore ça.
DeGrippo : Et j’ai certains collègues qui, comme, savent qu’ils ont des choses juteuses. Donc, parfois, ils m’appelleront ou m’enverront un message et me diront : « Hé, tu as le temps de parler ? » Et je vais dire, je n’ai pas le temps de parler. Mais ensuite, je me dis que cette personne me dit toujours des choses vraiment folles et donc je vais trouver un moyen de prendre le temps de le faire. Parce que je sais que lorsque je les accompagne au téléphone, ils vont se dire, oui, donc il y a ce nouvel acteur de menace et ils font cette nouvelle chose et il y a ce nouveau ciblage... Et c’est ce pour quoi je vis. C’est comme si cela ne fonctionnait pas.
Bischoping : Oui, c’est amusant.
DeGrippo : Il s’agit de faire des renseignements sur les menaces. Et c’est pourquoi les renseignements sur les menaces sont parfois difficiles, car les bénéfices sont en cours de route. C’est comme, trois mois plus tard, je ferai quelque chose et je me souviens de cet acteur malveillant dont ils m’ont appelé et maintenant il y en a un autre qui est très similaire, et maintenant j’ai un modèle, et maintenant j’ai une tendance, et maintenant je dois établir un rapport sur ce modèle, cette tendance, six mois, 12 mois, deux ans, 10 ans. Il commence à se coalescencer dans votre cerveau. Et je pense que cela fait partie de l’aspect créatif de cela.
Bischoping : Oh, bien sûr. Et cela fait également partie de la valeur de développer cet ensemble de compétences affinées et cet instinct intestinal et de le suivre tout au long de votre carrière. Parce que je pense que les analystes d’informations, ils vieillissent bien.
Plus vous pouvez passer du temps dans l’industrie à travailler sur ces différents projets, à grandir et à vous développer à partir du travail que vous avez fait auparavant et à vous appuyer dessus, vous apprenez à rechercher des signaux dans le bruit et des modèles que votre jeune moi n’aurait peut-être pas mis en place, ce qui, je pense, est vraiment cool. Et lorsque vous équilibrez cela avec le fait d’amener des personnes avec des perspectives nouvelles qui n’ont pas nécessairement préconçues des notions d’endroit où elles devraient ou ne devraient pas chercher à trouver un point de connexion, vous obtenez cette orchestration d’idées qui commence à émerger et c’est vraiment beau à regarder. Vous pouvez simplement prendre du recul et regarder les gens avoir ces conversations, et voir les carrières évoluer dans le processus. Cela peut se produire littéralement sur une table de salle de conférence en une demi-heure.
DeGrippo : Absolument. J’adore ça aussi. J’adore voir ce qui intéresse les gens.
Bischoping : Alors, passons maintenant de l’élément humain à l’élément IA, parce que c’est le sujet de l’esprit de tout le monde, n’est-ce pas ?
DeGrippo : Oh mon dieu, j’adore ça. Je suis obsédé. Je suis une adepte de l’IA. [Ils rient tous les deux.]
Bischoping : Presque toutes les organisations du monde, et certainement Microsoft, parlent de l’IA en ce moment. Presque tous les employés du monde pensent à l’une des deux choses suivantes : comment puis-je utiliser l’IA de manière nouvelle et passionnante ? Ou, l’IA va-t-elle faire mon travail ?
Je pense que ces mêmes questions nous viennent à l’esprit en matière de sécurité et de renseignements sur les menaces. Je pense qu’il y a une préoccupation compréhensible : un analyste des informations sur les menaces peut-il faire confiance à des recherches optimisées par l’IA ? Ou comment peuvent-ils l’utiliser d’une manière qui sera sûre et soutenable ? Et je pense qu’il y a également beaucoup d’espoir que cela nous aidera à mieux comprendre les données plus importantes. Quelles tendances voyez-vous ? Quelles conversations avez-vous ? Il s’agit d’un sujet important.
DeGrippo : Oui, je suppose qu’il y a environ un an était un point d’inflexion pour moi où j’ai commencé à essayer d’intégrer l’IA dans tant de choses. Et mon patron à l’époque, John Lambert, je suis allé vers lui, j’ai dit, « John » – c’est à ce moment-là que j’ai commencé chez Microsoft il y a un an – je me suis dit : « John, j’ai besoin de rapports hebdomadaires de renseignement sur les menaces. J’ai besoin de ce flux constant d’informations écrites organisées et quelle équipe peut le faire ? Qui pouvons-nous mettre cela en place ? » Et il s’est dit : « Vous pensez par le passé, vous avez des pensées obsolètes. » Je me suis dit : « Oh non, mon nouveau patron dit que je suis obsolète. » Il a déclaré : « Vous devez trouver un moyen de le faire avec l’IA. » Et j’étais comme, oh mon dieu. Et à ce moment-là, j’ai compris cela, c’est ce que tout le monde traversera.
Tout le monde le passera en revue. C’est la courbe de maturité de vous-même en utilisant l’IA comme outil. J’étais beaucoup plus tôt dans la courbe de maturité que John à cette époque. J’espère avoir rattrapé un peu. Il s’agit du moment où votre esprit se déclenche : à quelle vitesse puis-je tirer mes neurones pour obtenir l’IA pour le faire pour moi avant d’essayer de le faire moi-même ? C’est la clé pour laquelle tout le monde doit s’entraîner, et les personnes qui sont plus rapides dans ce processus de réflexion seront plus performantes. Et vous pouvez l’appliquer à presque n’importe quel outil, n’est-ce pas ? Je suis sûr que lorsque les voitures sont sorties pour la première fois, les gens commençaient à marcher jusqu’au magasin et [puis pensent], attendent une minute, je peux y conduire. Et les gens ont commencé à se réjouir. C’est comme si j’adorais conduire. C’est tellement amusant.
Mais avant qu’ils n’aient cette normalité, c’était : « Eh bien, que dois-je faire ? Mmm, je dois y réfléchir. » Arrêtez-vous ! Arrêtez de travailler votre cerveau de viande et commencez à utiliser le cerveau en silicium de l’IA qui est à votre disposition, même si ce n’est pas parfait. Prenez cette habitude maintenant, maintenant, maintenant, aujourd’hui.
Bischoping : j’adore ça.
DeGrippo : Utilisez votre cerveau humain pour être créatif, avoir des sentiments, assez franchement, pour apprécier les choses. Utilisez l’IA pour tout ce qu’elle peut faire pour vous et pensez à l’utiliser immédiatement. Ne passez pas beaucoup de temps à assembler votre liste d’épicerie. De quoi ai-je besoin ? Oh, je veux dîner. Nuh euh. Allez immédiatement à l’IA et dites : « Je dois faire une liste d’épicerie pour le dîner ce soir. » Immédiatement.
Bischoping : quelle est la version de cette histoire pour la communauté des informations ?
DeGrippo : Je pense qu’il existe de nombreuses façons différentes de jouer. L’un des domaines dans lesquels je suis le plus impliqué au travail est Copilot for Security. Et ce qui m’a étonné, c’est qu’il s’agit d’un langage naturel. Les gens ne doivent jamais sous-estimer la facilité et le confort du langage naturel. Vous tapez simplement dans ou avec certaines applications, vous pouvez leur parler et vous leur dites simplement ce que vous voulez, en leur disant ce dont vous avez besoin. Poser des questions.
Copilot for Security est vraiment incroyable car il a la capacité d’accéder à toutes les capacités de Threat Intelligence de Microsoft que nous avons jamais publiées ; allez-y avec un langage naturel et vous pouvez dire : « Parlez-moi de l’acteur malveillant X, Y, Z. Parlez-moi des TTP [tactiques, techniques et procédures] utilisés dans cet arsenal particulier de l’acteur malveillant. » Non seulement cela peut-il vous dire qu’en tant que praticien, technologue, agent de sécurité, mais qui a dit plus tôt que c’était notre personne la plus importante ? Le RSSI ! Il peut résumer les choses à un niveau exécutif pour vous, ce qui, je pense, est incroyable. Parce que là encore, la courbe de maturité. Je peux presque vous garantir que les personnes qui écoutent ce podcast vont être plus loin dans leur parcours d’adoption de l’IA, l’utiliser personnellement dans leur vie personnelle, elles seront plus loin que leur RSSI.
Cela signifie que vous devez encore une fois initier et indoctriner votre RSSI pour arriver au point où vous êtes. Cela signifie montrer votre RSSI : vous pouvez utiliser Copilot pour la sécurité pour extraire vos propres rapports, pour obtenir vos propres informations. Je n’ai plus besoin de faire ces briefings hebdomadaires pour vous. Tirez-le vous-même, et si vous avez des questions, venez nous voir et nous vous donnerons un aperçu très approfondi. Ou nous en tirerons plus ou nous vous aiderons rapidement. C’est une autre chose : préparez-vous, tout le monde ; vous devrez commencer à aider votre RSSI avec des invites.
Et je pense que nous allons commencer à regarder qui emploie instantanément l’IA et qui est toujours en quelque sorte dans les coupes et commence : « Oh, j’envisageais de le faire. Je vais essayer ça. »
Je vais directement à l’IA. Je veux dire que cela dépend de quoi, qu’il s’agisse d’un Copilot, d’un ChatGPT ou d’un Bing, ou de tout ce que je fais, que ce soit au travail, à titre personnel ou autre. Lemme vous dit : Je n’achète plus normalement. J’utilise Bing AI pour tous mes achats à partir de maintenant, car il vous donne des codes de réduction et vous donne des comparaisons de chaque produit. C’est fou ! Je ne veux pas faire beaucoup de travail de réflexion manuelle. Je ne veux pas le faire. Je veux faire un travail créatif, intéressant et innovant. Et je pense que nous pouvons tous être d’accord sur le fait que les IA ne sont pas à ce moment-là et ne le sont peut-être jamais là où elles sont vraiment innovantes et créatives et ont cette impression humaine. Mais laissez-moi vous dire, si vous lui demandez de faire une vérification rapide des données ou de vous apporter une sorte d’informations ou de vous expliquer quelque chose, un concept, ils sont vraiment bons à cela.
Et je pense également que vous devez commencer à en tirer parti pour votre propre efficacité. Copilot for Security peut écrire des requêtes, ce qui n’est que des bonskers pour moi. Comme vous devez écrire des requêtes KQL [Kusto Query Language], vous devez les faire vérifier une sorte de syntaxe dans une sorte de requête que vous écrivez ? Vous le collez littéralement ici et vous vous dites : « Est-ce que cela vous semble bien ? » Et c’est comme, « Eh bien, en fait, c’est assez inefficace. Vous l’avez demandé pendant 365 jours alors que vous pouviez vraiment le demander pour 30 et cela reviendrait beaucoup plus rapidement. »
Il peut optimiser les requêtes pour vous. Il s’agit vraiment d’accélérer les choses, d’améliorer les choses. Et je pense que c’est la direction dans laquelle je vois beaucoup de mises en œuvre d’IA réussies.
Bischoping : Super. Eh bien, merci beaucoup. Cela a été un plaisir absolu. J’adore toujours vous parler.
DeGrippo : Merci, Melissa.
Bischoping : Je discute avec Sherrod DeGrippo, directeur de la stratégie de renseignement sur les menaces chez Microsoft.
Si vous souhaitez en savoir plus sur les équipes d’informations sur les menaces, consultez Focal Point, le magazine d’actualités cyber en ligne de Tanium. Nous avons des articles pertinents également liés dans les notes de spectacle. Il vous suffit de consulter tanium.com/p pour consulter les publications.
Pour entendre plus de conversations avec les principaux chefs d’entreprise et experts en sécurité d’aujourd’hui, assurez-vous de vous abonner à Let’s Converge sur votre application de podcast préférée. Et vous pouvez nous aider à faire passer le mot : donnez-nous une note cinq étoiles.
Merci d’avoir écouté, et nous sommes impatients de partager plus d’informations sur le prochain épisode de Let’s Converge.
