Intelligence artificielle IA et cybersécurité : 8 cas d’usage principaux

Pour approfondir le sujet

Sur le même thème :

STREAMER : un programme permettant d’intégrer et de tester facilement des algorithmes de machine learning

Des chercheurs du CEA List (Université Paris-Saclay, CEA) et du laboratoire DAVID (Université Paris-Saclay, UVSQ) ont uni leurs forces dans le cadre du projet...

La demande et l’adoption de la technologie pour assurer la sécurité du public sont en forte hausse selon une étude

Dans son rapport « Consensus for Change », Motorola Solutions, en partenariat avec une équipe de recherche universitaire indépendante dirigée par le Dr. Chris...

Création du partenariat mondial pour l’intelligence artificielle : secrétariat au sein de l’OCDE à Paris

Le partenariat mondial sur l'intelligence artificielle, une initiative lancée par le Canada et la France à l'occasion du sommet de Biarritz en août 2019,...

Cybersécurité : création du BlackBerry Labs centré sur le machine learning et la datascience

Pour répondre aux enjeux en matière de cybersécurité, BlackBerry vient d'annoncer la création du BlackBerry Advanced Technology Development Labs. Cette business unit sera centrée...

IA et cybersécurité : 8 cas d’usage principaux

L’Intelligence Artificielle (IA) est perçue par la plupart des spécialistes comme une avancée très profitable à notre société, permettant de prédire nos besoins et ainsi d’y répondre avec anticipation.

En matière de cybersécurité, la simple description de la situation actuelle des menaces dans le cyberespace suffit à comprendre l’intérêt que l’industrie porte à l’intelligence artificielle (IA). Sur le papier, l’IA, avec sa capacité à comprendre et analyser un contexte donné, peut contribuer à y détecter des anomalies ou des comportements inhabituels, révélateurs d’attaques et ainsi, à renforcer les outils de protection, détection, réponse et remédiation : augmentation du taux de détection, détection au plus tôt des attaques, amélioration de la capacité d’adaptation aux évolutions permanentes des SI.

1- L’IA intégrée aux équipements et applications de cybersécurité de l’infrastructure

Des technologies d’intelligence artificielle sont déjà intégrées dans des outils comme les anti-virus, les solutions EDR (Endpoint Detection and Response), les passerelles mail ou web, les firewalls, l’IAM, les CASB, les solutions DLP…, soit des équipements qui réagissent automatiquement aux attaques en filtrant le trafic malicieux. La plupart des éditeurs le font y compris en utilisant certaines technologies avancées telles que le deep learning (Google l’a intégré depuis 2015 pour filtrer les spams dans Gmail).

2- L’IA intégrée dans les sondes réseaux et autres Intrusion Detection Systems (IDS)

De nombreuses sondes intègrent des technologies d’IA, en complément de leur moteur de détection. La plupart de ces systèmes apprennent le comportement « normal » de l’infrastructure et toute déviation est remontée comme un signe d’un risque cyber.
Les alertes remontées sont exploitées par des analystes, typiquement au sein d’un SOC, avec un taux de faux positifs non négligeable. L’ajout de ces technologies dans une infrastructure augmenter la charge de travail, tout en permettant de détecter plus d’attaques, ou de les détecter plus tôt. Un des enjeux est donc de mieux intégrer ces outils. Concrètement, la pertinence de ces technologies d’IA est d’autant plus grande qu’elles sont déployées dans les environnements où le trafic est relativement déterministe, tels que dans les environnements industriels.

3- L’IA pour détecter les comportements anormaux dans un SOC

Dans ce cas d’usage, l’IA est utilisée en parallèle ou en complément de la détection temps réel effectuée par exemple dans un SIEM : le système apprend du comportement standard de l’infrastructure ou des utilisateurs et mesure des écarts par rapport à ce comportement.

À la différence des sondes qui sont placées à un endroit précis de l’infrastructure, l’information récoltée par l’outil peut-être extrêmement hétérogène et provenir de multiples sources, ce qui accroit très sensiblement le niveau de difficulté. De fait, ces technologies paraissent aujourd’hui plus pertinentes en complément des outils classiques pour des environnements relativement stables et déterministes.

4- L’IA pour l’investigation des alertes et la recherche proactive de compromission (hunting) dans un SOC

Les analystes d’un SOC partent typiquement d’une alerte émanant d’un SIEM ou d’un autre outil pour ensuite en déterminer la criticité, l’étendue, l’urgence ainsi que les éléments techniques permettant de stopper les attaques et d’y remédier. Ils accèdent pour cela à un puits de données (data lake) où sont stockés les logs, des métadonnées de trafic ou autres informations. De plus ce puits de données peut être exploité pour rechercher des traces d’autres attaques qui n’auraient pas été détectées en temps réel. Cette activité s’appuie à la fois sur de l’expertise humaine et sur des outils (recherches d’observables, corrélation d’événements, etc.). L’intégration d’IA dans ces outils permet d’assister les experts pour qu’ils accèdent plus rapidement et facilement à la bonne information et pour qu’ils soient guidés dans leurs recherches.

5- L’IA appliquée à la réponse sur incident

Pour répondre aux incidents de cybersécurité, les équipes CERT ou CSIRT effectuent de nombreuses tâches qui peuvent en partie être automatisées : réinstallation d’anti-virus, vérification de clés de registre, modification de règles dans les firewalls, etc.
Les plates-formes de réponse aux incidents (Security Orchestration and Automated Response – SOAR ou Security Incident Response Platform – SIRP) proposent des scénarios de réponse, automatiques ou semi-automatiques, afin de faciliter la sélection, l’exécution et l’enchainement des tâches. Certaines commencent également à intégrer des technologies d’IA afin d’assister plus efficacement les intervenants dans la sélection des actions à effectuer et d’augmenter l’automatisation.

6- L’IA appliquée au renseignement sur la menace (Threat Intelligence)

Le renseignement sur la menace consiste à collecter (typiquement sur le Web ou DarkWeb), un ensemble d’informations sur la menace et à les rendre opérationnelles : quels groupes d’attaquants sont actifs et pour faire quoi, avec quels modes opératoires, exploitant quelles vulnérabilités, à partir de quels serveurs web compromis de Command & Control… Plutôt que de se battre contre un ennemi invisible, il s’agit d’obtenir des renseignements sur lui pour mieux le contrer. Un des problèmes du renseignement sur la menace réside dans la capacité à fournir des informations pertinentes de manière structurée.

7- L’IA appliquée à la gestion des vulnérabilités

La gestion des vulnérabilités est devenue un point de tension pour les équipes opérationnelles, du fait de l’augmentation constante du nombre de failles connues, des difficultés à évaluer les risques réels induits et à prioriser et automatiser le déploiement des patchs. En effet, sur les milliers de vulnérabilités publiées tous les ans, seule une fraction est réellement utilisée par les attaquants. De plus, certains systèmes en sont protégés par des défenses périmétriques.

Cette complexité incite les fournisseurs d’outils de gestion des vulnérabilités à intégrer des technologies d’IA dans leurs solutions. L’objectif de l’IA appliquée à la gestion des vulnérabilités est d’améliorer la découverte des équipements déployés, le scan des vulnérabilités, la détermination des risques associés en lien avec l’intelligence sur la menace, la priorisation et le déploiement des patchs.

8- L’IA appliquée aux tests d’intrusions

Dans la même veine, et bien qu’il s’agisse à ce stade plus d’une vision ou de prototypes que de réalité, des travaux émanant de laboratoires universitaires, d’agences gouvernementales, d’entreprises établies ou de start-ups, visent à appliquer l’IA aux tests d’intrusions.

Ces tests nécessitent de trouver des vulnérabilités parmi de multiples possibles sur de nombreux systèmes, puis d’exploiter ces vulnérabilités par différentes techniques. L’arbre des choix possibles devient rapidement trop important pour être géré par un humain ou même parcouru automatiquement. Par ailleurs, l’analyse de la pratique des testeurs humains révèle qu’ils ont tendance à privilégier le parcours de l’arbre en profondeur plutôt qu’en largeur. Si technologies d’IA constituent un moyen de compenser les limites et contraintes des dispositifs actuels, plusieurs points d’attention doivent être pris en compte. L’IA ou plutôt le machine learning a surtout fait ses preuves dans la détection de fraudes, un domaine connexe à la cybersécurité. Ses bons résultats s’expliquent par le fait que l’on travaille depuis un certain temps sur des données normées. Aussi, elle ne peut être vue que comme un complément algorithmique aux outils existants.Si l’IA modifie le niveau d’expertise nécessaire à certaines activités de cybersécurité grâce l’automatisation des tâches à faible valeur ajoutée, il n’en reste pas moins que pour le moment l’IA ne diminue pas le besoin global d’expertise humaine. En effet les équipes doivent analyser plus d’évènements et de comportements suspects à partir de remontées qui difficiles à interpréter et qui nécessitent par conséquent des expertises de haut niveau. L’IA connaît également certaines limites morales voire légales car elle peut parfois prendre des décisions discutables d’un point de vue éthique et exploite souvent des données à caractère personnel.

Et surtout… Les systèmes de défense à base d’IA sont eux-mêmes vulnérables aux leurres que les attaquants mettent en place pour les contourner.

Les attaquants utilisent aussi des technologies d’IA pour augmenter leur potentiel de nuisance à moindre coût : pour sélectionner leurs cibles, optimiser leurs capacités d’intrusion (ex : phishing intelligent), déterminer les meilleures failles à exploiter (ex : scan de pages web intelligent), passer autant que possible sous le radar des systèmes de détection, etc. Par sa capacité à traiter de grands volumes de données, l’IA peut être vue comme un allié au service des défenseurs du cyberespace, en particulier pour détecter des menaces inconnues à condition toutefois d’être en capacité de traiter les faux positifs (et les faux négatifs ?). Mais elle peut aussi être mise à profit par les assaillants et leur permettre de développer des attaques intelligentes capables de s’adapter en temps réel aux réactions défensives.

La blockchain, l’IA ou le machine learning seront-ils les réponses que nous attendons tant ?

Là encore, il faut faire la part des choses. Ces technologies ne seront jamais des réponses aux questions qu’elles n’adressent pas. Elles permettront vraisemblablement de faire avancer les domaines de recherche, de créer de nouvelles offres, d’offrir une assistance aux parties prenantes, mais auront encore bien des difficultés à sécuriser ce que nous ne maîtrisons pas toujours.

Contributeur expert

Thomas Gayet

Directeur du CERT digital.security, premier CSIRT spécialisé sur la sécurité de l’Internet

Partager l'article

Vendée Territoire Connecté : réseau d’objets connectés et jumeau numérique au service de la transition écologique

Vendée Territoire Connecté, l'un des douze projets lauréats de l'appel à projets DIAT, entre dans sa phase opérationnelle. Porté par Vendée Numérique et soutenu...

Nomination de Clara Chappaz : La voie vers une nouvelle mission ?

En ligne avec l’intervention en Serbie d’Emmanuel Macron fin août, la nomination de Clara Chappaz en tant que Secrétaire d’Etat Chargée de l’Intelligence Artificielle...

Mozilla appelle à créer une alternative publique à l’IA privée dominée par les Big Tech

Si l'organisation à but non-lucratif Mozilla est connue principalement pour son navigateur web, Mozilla Firefox, elle, œuvre sans relâche en faveur des libertés numériques, de...

IA et sûreté : vers une généralisation des caméras de vidéosurveillance intelligentes en France

L'expérimentation des caméras de surveillance augmentées d'IA lors des Jeux olympiques et paralympiques s'est avérée positive. Le gouvernement réfléchit donc à l'installer durablement sur...