Comment l'IA transforme la détection des menaces en entreprise

Ce que l’IA change à la détection des menaces

L’essor de l’IA bouleverse en profondeur la détection et la réponse aux menaces en entreprise. Les outils et techniques traditionnels reposaient sur une réaction a posteriori, déclenchée par des règles à base de signatures. L’IA permet une détection et une réponse bien plus proactives, en examinant d’immenses flux de données pour révéler comportements et activités en temps réel. Elle apporte à la détection des menaces plusieurs atouts de poids :

• La corrélation des données. L’IA ingère et traite de très grands volumes de données issues des journaux système, des services, des terminaux et des applications, afin d’établir des relations de cause à effet très fines entre comportements, événements et risques.
• Des références de fonctionnement. À partir de ses flux de données et de journaux en temps réel, l’IA établit les schémas d’activité normaux des utilisateurs et du réseau. Cette référence objective permet de repérer des signes ténus d’activité suspecte, par exemple un compte utilisateur légitime qui se connecte à un système en dehors des heures de travail.
• Une capacité de traitement massive. L’IA peut traiter en temps réel des millions de points de données, comme des entrées de journaux, ce qui garantit des temps de réponse courts, dans des environnements de la taille d’une grande entreprise.
• Un filtrage efficace. En corrélant les données, en établissant des références et en vérifiant des conditions, l’IA réduit fortement le bruit et le volume de faux positifs, qui font perdre du temps aux équipes et entraînent une lassitude des administrateurs. Elle contribue à ce que les alertes remontées soient réelles, sérieuses et justifient une intervention humaine.
• La réponse automatisée. L’IA peut s’appuyer sur des agents autonomes pour évaluer les menaces détectées, recueillir des informations complémentaires, voire agir immédiatement lorsqu’une menace réelle est établie, et ce en temps réel, au fil du traitement des flux de données.

Les cas d’usage de la détection des menaces par l’IA en entreprise

L’IA a fait la preuve de capacités remarquables en matière d’analyse de données et d’automatisation de processus adaptables. Les concepteurs de solutions s’en emparent, et ces capacités trouvent leur place dans de nombreux outils de cybersécurité à base d’IA destinés aux grandes entreprises, notamment :

• La simulation d’attaques. L’IA générative peut concevoir et lancer des attaques simulées contre une organisation. Les experts en cybersécurité peuvent ainsi éprouver les défenses existantes, identifier et confirmer des vulnérabilités potentielles, et améliorer les modèles de détection en soumettant les systèmes de détection à base d’IA à des tests de résistance et à un entraînement complémentaire.
• L’analyse de contenu. L’IA peut mobiliser des technologies comme le traitement du langage naturel pour rechercher, dans les communications entrantes, des signes d’ingénierie sociale, d’usurpation, de phishing ou d’autres intentions malveillantes.
• La sécurité réseau. Les systèmes de détection et de réponse réseau (NDR) s’appuient sur l’IA pour surveiller le trafic, en analyser les sources et les schémas, examiner le contenu des paquets et identifier des menaces complexes et discrètes capables de déjouer les outils de sécurité réseau traditionnels. Cette approche se révèle particulièrement efficace contre les attaques zero-day.
• Les menaces liées aux identités. L’IA peut surveiller l’activité de connexion, les schémas d’authentification, les connexions depuis des lieux inhabituels, les terminaux non autorisés et les élévations de privilèges qui trahissent des identifiants compromis ou une menace interne. Ces fonctions relèvent généralement de la détection et de la réponse aux menaces sur les identités (ITDR) et de l’analyse comportementale des utilisateurs et des entités (UEBA).
• La sécurité des terminaux. Les systèmes de détection et de réponse sur les terminaux (EDR) s’appuient sur l’IA pour gérer les ordinateurs portables, postes fixes et appareils mobiles. Ils analysent l’activité des terminaux et les comportements des utilisateurs pour détecter les menaces ou activités malveillantes potentielles et y répondre.
• La sécurité des infrastructures. Les SIEM s’appuient sur l’IA pour analyser les journaux de sécurité du matériel et des applications. En apprenant le comportement normal et en intégrant les exceptions courantes, une plateforme SIEM peut analyser rapidement l’ensemble de l’infrastructure de l’entreprise et y identifier des menaces, y compris celles dues à des infections virales ou à des agissements malveillants d’utilisateurs.
• La sécurité physique. Les menaces physiques, comme l’altération ou le vol d’équipements, sont souvent négligées en cybersécurité. L’analyse d’images et de vidéos par l’IA permet de reconnaître des visages et d’autres données biométriques, d’authentifier des rôles ou des droits d’accès par la biométrie, et d’alerter les équipes de sûreté en cas de comportement anormal, par exemple une tentative d’accès non autorisé à une zone sécurisée.

Comment déployer la détection des menaces par l’IA

Chaque entreprise a ses propres besoins : il n’existe donc pas de méthode unique pour intégrer l’IA de détection des menaces à une infrastructure de sécurité. Une mise en œuvre réussie exige une planification stratégique, des compétences techniques et des ajustements permanents. Les principes généraux suivants peuvent aider :

• Partir de l’objectif. Tout projet a besoin d’un but. Identifiez les types de menaces auxquels l’entreprise doit faire face et les objectifs assignés au système d’IA – par exemple automatiser l’identification et la neutralisation des menaces. Puis définissez un périmètre adapté.
• Définir le succès. Déterminez les critères qui permettront de juger le déploiement réussi. Il peut s’agir d’un ensemble d’indicateurs pertinents : menaces détectées, menaces neutralisées, voire le ratio entre les deux. Ces indicateurs peuvent généralement être configurés et affichés dans le tableau de bord d’administration du système. Tout écart par rapport aux critères de succès peut justifier, après le déploiement, une analyse approfondie et des ajustements.
• Choisir le système d’IA. Il faut développer ou sélectionner un système de détection adapté, souvent au terme de comparaisons, d’évaluations et de preuves de concept (PoC) approfondies. Certaines organisations privilégient les capacités de détection, comme la détection d’anomalies, la reconnaissance de motifs ou l’analyse comportementale. D’autres retiennent un système pour sa bonne intégration à l’infrastructure de sécurité existante, ou sa capacité à fonctionner de concert avec les outils traditionnels. Les systèmes de détection hybrides s’appuient généralement sur les signatures pour contrer les menaces connues, et sur l’IA pour identifier les menaces nouvelles, émergentes ou inconnues.
• Organiser et préparer les données d’entraînement. Les systèmes d’IA doivent être entraînés. Il est donc essentiel d’identifier, de collecter et de préparer les données nécessaires, notamment les journaux d’activité des systèmes, du réseau et des utilisateurs. Comme pour la plupart des entraînements d’IA, ces données doivent être nettoyées, normalisées et transformées afin d’en uniformiser le format et le contenu. Veillez à respecter l’ensemble des règles de protection des données et de la vie privée, lors de l’accès aux données d’entraînement et de leur préparation.
• Entraîner et valider l’IA. Utilisez les données préparées pour entraîner les modèles d’apprentissage automatique (machine learning) du système. Cela demande du temps et des efforts. Validez ensuite le modèle en mesurant sa précision et ses performances par rapport aux références établies. Suivez ses performances dans la durée et actualisez périodiquement l’entraînement à mesure que de nouvelles menaces ou de nouvelles références l’imposent. Assurez-vous que l’IA dispose d’un coupe-circuit (kill switch) permettant aux équipes de désactiver ses réponses et de revenir à un mode d’alerte seule si elle perturbe du trafic légitime.
• Déployer l’IA. Une fois entraîné et validé, le système peut passer en production. Cela suppose souvent une certaine intégration avec d’autres outils de sécurité, comme les plateformes SIEM ou les systèmes de détection et de prévention d’intrusion (IDS/IPS). Prévoyez un plan de retour arrière bien compris de tous. Configurez l’IA avec soin et élaborez des processus d’alerte et d’automatisation adaptés aux menaces qu’elle a appris à identifier. Une période de test ou un déploiement blue/green peut être nécessaire pour vérifier que l’IA fonctionne comme prévu.
• Surveiller et mettre à jour l’IA. Une fois en production, le système doit faire l’objet d’une surveillance continue pour s’assurer de ses performances et repérer des axes d’amélioration, comme l’affinage des processus d’automatisation ou une meilleure précision dans la reconnaissance de certaines menaces. Toute IA exige des mises à jour périodiques du modèle, avec réentraînement et redéfinition des références, à mesure que le contexte et les menaces évoluent.
• Former les équipes de sécurité. La détection des menaces par l’IA a vocation à compléter les équipes de sécurité, non à les remplacer. Formez-les de manière approfondie à l’outil et à son utilisation, y compris à la création de processus d’automatisation et aux procédures d’entraînement de l’IA. Les systèmes d’IA doivent être explicables, et les équipes doivent bien comprendre comment l’IA prend ses décisions.

Risques, limites et gouvernance des systèmes de détection des menaces par l’IA

Malgré ses atouts, la détection des menaces par l’IA soulève plusieurs difficultés que les dirigeants métier et IT doivent soigneusement examiner avant tout déploiement, a fortiori dans un domaine aussi critique que la cybersécurité. Parmi les risques et limites les plus courants :

• La confidentialité des données. L’IA accède à d’énormes volumes de données, les stocke et les analyse. Ces données sont souvent sensibles pour l’entreprise et peuvent inclure des données à caractère personnel. Leur stockage, leur accès, leur utilisation et leur transmission doivent respecter les obligations réglementaires et les cadres législatifs en vigueur. Des politiques robustes de protection et de conservation des données sont indispensables.
• L’usage éthique. Comme pour la confidentialité, les données produites, consultées et utilisées par les systèmes de détection à base d’IA ne doivent être exploitées que par des personnes habilitées, à des fins légitimes pour l’entreprise. Il faut empêcher tout détournement des données et analyses de sécurité, par exemple pour identifier et exploiter une vulnérabilité chez un concurrent.
• L’explicabilité. L’explicabilité – la transparence nécessaire pour comprendre comment une IA fonctionne et exploite les données pour prendre ses décisions – reste un défi permanent pour toute IA. Elle fonde la confiance et permet à l’entreprise de démontrer la fiabilité de sa plateforme. À l’inverse, son absence sape la confiance des dirigeants, des salariés, des partenaires, des utilisateurs et des autres parties prenantes.
• Les biais. Les algorithmes d’apprentissage automatique peuvent être puissants et efficaces, mais ils ne valent que ce que valent leurs données d’entraînement. Des biais dans ces données peuvent conduire l’IA à prendre des décisions inexactes, injustes ou discriminatoires. Les data scientists et développeurs chargés de concevoir et d’entraîner un système d’IA doivent soigneusement sélectionner les données d’entraînement pour éliminer les biais susceptibles de fausser les évaluations.
• L’injection de prompts. La manière dont l’IA ingère et traite les données peut parfois se retourner contre elle. Des attaquants peuvent par exemple dissimuler des instructions dans des journaux ou dans le trafic réseau, pour amener l’IA à contourner des filtres de sécurité ou à exécuter des commandes indésirables, comme lancer un fichier infecté.
• L’IA au service des attaquants. Si l’IA générative peut servir à simuler des attaques, des acteurs malveillants peuvent aussi l’utiliser pour en mener de bien réelles, en trouvant et en exploitant des vulnérabilités. Certaines techniques d’attaque permettent même de tromper un système de détection à base d’IA : les attaquants peuvent manipuler les données d’entraînement ou introduire de légères modifications dans les données d’entrée pour amener l’IA à mal classer, voire à ignorer, de véritables menaces. Les experts en cybersécurité doivent rester vigilants face à cette militarisation des outils d’IA.

Les systèmes de détection des menaces par l’IA sont aussi des plateformes d’IA : ils doivent donc être soumis aux mêmes principes de gouvernance que ceux qui s’appliquent à l’entreprise et à ses autres plateformes d’IA, non liées à la sécurité. Voici les principaux enjeux de gouvernance et de réglementation :

• Les cadres de gestion des risques. Les systèmes de détection des menaces par l’IA doivent s’inscrire dans les cadres de gestion des risques en vigueur, c’est-à-dire l’ensemble des politiques, règles et processus servant à identifier, mesurer, surveiller et atténuer les risques. Les plus répandus sont l’AI Risk Management Framework du NIST et la norme ISO/IEC 42001. Ces référentiels proposent des méthodes éprouvées pour inventorier les actifs, suivre les cycles de vie et vérifier la conformité des plateformes aux politiques définies. Pouvoir démontrer l’adoption et l’application effective d’un cadre adapté peut s’avérer essentiel à une bonne gouvernance d’entreprise.
• La conformité réglementaire. Les données, les traitements et les décisions d’une plateforme de détection des menaces par l’IA doivent respecter le cadre réglementaire en vigueur. La cybersécurité d’entreprise constitue par nature une application à haut risque, généralement soumise à des exigences strictes en matière de transparence et d’explicabilité de l’IA, de qualité et de protection des données, et de supervision humaine (human-in-the-loop, HITL).
• La surveillance et le contrôle continus. Les échecs de l’IA tiennent souvent à l’évolution des données, autrement dit à la dérive. Définissez des indicateurs mesurant les biais et la dérive de la plateforme, et surveillez-les en continu. Appuyez-vous sur des politiques et des procédures claires pour les atténuer. Recourez à la supervision humaine pour vérifier que les performances de l’IA répondent aux exigences et prendre les mesures appropriées en cas de problème de précision ou de fiabilité. Une documentation et un reporting complets renforceront la posture de gouvernance de l’organisation.

Les questions à poser aux fournisseurs de solutions de détection par l’IA

Au-delà des critères habituels (coût, support, facilité d’utilisation), les RSSI et leurs équipes doivent évaluer avec soin plusieurs éléments clés d’un système de détection des menaces à base d’IA avant de le tester ou de l’adopter. Voici les questions qu’un RSSI peut chercher à éclaircir :

• Quels types de menaces le système détecte-t-il ? Il faut d’abord identifier les menaces à détecter, puis examiner les outils capables d’y répondre. Les catégories courantes comprennent les malwares, le phishing, les intrusions réseau et les attaques internes ; les capacités associées incluent l’analyse comportementale des systèmes et des utilisateurs, la détection d’anomalies et la reconnaissance de motifs.
• Quelles données le système exploite-t-il ? Un système de détection à base d’IA doit aller au-delà des simples journaux pour cerner l’intention des utilisateurs et repérer les activités douteuses, comme les injections de prompts. Demandez au fournisseur de détailler précisément les données que l’IA collecte et utilise pour prendre ses décisions, et vérifiez qu’elles sont déjà disponibles dans votre infrastructure.
• Quelles sont les performances du système ? Identifiez les fonctionnalités et capacités précises de la plateforme : efficacité de la détection et de la neutralisation en temps réel, options et prérequis d’entraînement, capacité à affiner son apprentissage, à s’adapter aux menaces nouvelles ou changeantes et à monter en charge pour absorber des volumes croissants de données de sécurité. L’échange peut porter sur des points plus précis concernant les capacités de raisonnement du système, par exemple s’il est déterministe, non déterministe ou hybride.
• Quelle est la précision du système ? Même les meilleurs systèmes de détection à base d’IA ne sont pas infaillibles. Évaluez la précision de la plateforme, ce qui peut nécessiter une preuve de concept pour vérifier qu’elle détecte et bloque bien les types de menaces visés. La plateforme doit aussi limiter au maximum les faux positifs. Renseignez-vous sur la fréquence de publication ou de mise à jour des algorithmes. L’échange peut inclure des chiffres réels de faux positifs pour mesurer la précision de la plateforme en production.
• Le système s’intègre-t-il à l’infrastructure de sécurité existante ? Examinez la qualité de l’interopérabilité du système avec l’infrastructure en place, en particulier avec les outils de sécurité actuels : détection des malwares, pare-feu, sécurité des terminaux, SIEM. Écartez les systèmes qui imposent de modifier en profondeur d’autres composantes de l’infrastructure de sécurité.
• Quelle part du travail le système peut-il automatiser ? Alléger la charge des équipes de sécurité est l’un des intérêts majeurs de la détection par l’IA. Évaluez le nombre de tâches que le système peut automatiser, de la détection des menaces aux réponses autonomes en temps réel. Un système d’IA tributaire de la supervision humaine n’exploite pas pleinement les capacités de l’IA. L’échange aborde souvent plus directement la question de la supervision humaine, en précisant les comportements HITL et les seuils fixés pour les actions sensibles ou à fort enjeu de sécurité.
• Comment le système communique-t-il ? Même le système de sécurité le plus performant et le plus autonome doit émettre des alertes, produire des rapports et fournir le contexte nécessaire aux équipes. Évaluez la manière dont le système génère, hiérarchise et transmet les alertes aux analystes.
• Le système garantit-il la conformité ? Examinez la place de la supervision humaine dans le système et assurez-vous qu’il soutient les obligations de continuité d’activité et de conformité réglementaire. Penchez-vous par exemple sur la manière dont les données sensibles sont collectées, stockées et conservées. Dans d’autres cas, l’échange pourra porter sur des questions de gouvernance comme l’existence d’un coupe-circuit ou d’options de confinement en cas de dysfonctionnement de l’IA.

Stephen J. Bigelow, rédacteur en chef technique senior chez Informa TechTarget, cumule plus de 30 ans d’expérience de la rédaction technique dans l’industrie de l’informatique et des technologies.

Ce conseil est initialement paru en anglais sur Techtarget.com, une publication sœur du MagIT.