[APPLICATION MOUSER] Bien que l’IA soit utilisée par les acteurs malveillants pour déployer des bots autonomes de plus en plus sophistiqués, elle s’impose en contrepartie aussi comme un outil puissant pour maintenir l’efficacité des mécanismes de cyberdéfense mis en œuvre à grande échelle et de manière contextuelle. De plus, sa capacité à s’adapter aux flux de données et à leur destination lui permet de suivre l’évolution des workflows actuels et futurs des entreprises. Analyse de Mouser.

Auteur : Poornima Apte

Spécialiste contenus B2B (robotique, IA, cybersécurité…)

Mouser Electronics

La multiplication des sources de données, combinée à de nouvelles façons de les exploiter, rend la cybersécurité de plus en plus complexe. Face à ce défi, l’intelligence artificielle (IA) permet de concevoir des stratégies plus affûtées grâce à une analyse contextuelle globale. C’est un fait aujourd’hui que les entreprises traitent des volumes massifs de données.

Or, le nombre de sources de données et les surfaces d’attaque qui leur sont associées ne cessent de croître. L’essor de l’IA agencielle et des bots autonomes, de l’Internet industriel des objets (IIoT, Industrial IoT), de l’IA générative et des grands modèles de langage (LLM, Large Language Model), ) qui l’accompagnent donne lieu à des architectures réseau plus complexes qui multiplient les opportunités d’infiltration pour les acteurs malveillants et obligent les organisations à renforcer leur surveillance.

Si l’IA peut être exploitée par les acteurs malveillants pour orchestrer leurs offensives, elle offre aussi aux entreprises un outil efficace pour renforcer leur "cyberhygiène". Le domaine de la cybersécurité évolue lui-même en exploitant le potentiel de l’IA à grande échelle.

Dans ce cadre, il est possible de dégager cinq stratégies par lesquelles l’IA peut améliorer la cybersécurité :

1 - Déployer des stratégies au sein d’environnements distribués

La cybersécurité doit tenir compte de la façon dont les données circulent et de leur destination, aussi bien sur site que dans le cloud, car, qu’elles soient statiques ou en transit, ces données doivent être protégées. Pour y parvenir, l’architecture zéro confiance (Zero Trust) et le contrôle des accès basé sur les rôles (RBAC, Role-Based Access Control) s’avèrent tous deux indispensables : le premier pour vérifier chaque demande d’accès, le second pour sécuriser intelligemment les données sensibles.

A ce niveau, l’IA permet justement de déployer ces mécanismes à grande échelle. Cette technologie s’avère également performante dans les environnements IIoT, où les attaques se traduisent parfois par l’exécution de commandes non autorisées plutôt que par de classiques infections par malware.

Elle soutient ainsi la mise en œuvre de la cybersécurité dans les environnements de données aujourd’hui très distribués. Qu’il s’agisse d’analyser la télémétrie, le trafic réseau ou l’état des machines, l’IA est capable d’apprendre à reconnaître ce qui est "normal" et de détecter les écarts par rapport à cette norme, et ce, en tenant compte du contexte.

Il est par exemple possible d’entraîner d’une part des agents IA à surveiller des catégories spécifiques de surfaces d’attaque et d’autre part des modèles d’apprentissage automatique (ML) propriétaires à reconnaître les menaces propres aux workflows de l’entreprise.

Intégrée aux systèmes de défense, l’IA permet aux équipes d’automatiser les interventions à un stade précoce (confinement des environnements compromis, restriction des accès réseau…) afin de limiter l’impact d’une intrusion.

2 - Surmonter les limites des signatures statiques

Une stratégie de cybersécurité éprouvée consiste à répertorier les acteurs malveillants connus et à comparer les nouvelles attaques à des "signatures"établies, telles que leur adresse IP. Ce type de détection par signatures ne doit cependant représenter qu’une facette de la sécurité, et non l’unique ligne de défense, car les acteurs malveillants peuvent changer très rapidement de signature, et cette méthode ne prend pas en compte les exploits "jour zéro" (zero-day) issus de sources totalement inédites.

Les modèles d’IA adaptatifs sont capables de suivre les évolutions de l’environnement réseau - notamment la mise à l’échelle automatique dans le cloud et le télétravail - de façon à actualiser en permanence les enregistrements internes des nouvelles surfaces d’attaque potentielles à surveiller.

Quant aux modèles de ML, ils regroupent les évènements en fonction des similarités de comportement plutôt que sur la base de signatures statiques et invariables, sujettes à une obsolescence rapide.

Enfin, ces mécanismes présentent également l’avantage de résister à l’afflux massif de données provenant de centaines de milliers, voire de millions de nœuds distribués.

3 - Automatiser les actions de contrôle d’accès en contexte

Étant donné que les infrastructures les plus complexes intègrent des technologies de l’information (IT, Information Technology) et des technologies opérationnelles (OT, Operational Technology) les modèles d’IA analysent la façon dont les équipements communiquent et répondent aux commandes.

Si des séquences de commandes s’écartent des schémas établis, l’IA signale l’activité comme suspecte. Ces actions, combinées au flux continu de nouvelles données sur les menaces provenant du SIEM (Security Information and Event Management, ou gestion des informations et des événements de sécurité), de l’EDR (End Point Detection Response), du NDR (Network Detection and Response) et des journaux SaaS (Software as a Service) permettent d’obtenir une vision globale.

Pour autant, réagir à chaque alerte n’est pas forcément justifié. C’est pourquoi les équipes de cybersécurité ont besoin d’informations sur le contexte de menace. Les modèles d’enrichissement contextuel complètent les données avec des informations utiles à une meilleure compréhension de l’évènement.

Dans ce cadre, les modèles d’IA sont en mesure d’attribuer des scores de risque probabilistes plutôt que de s’appuyer sur de simples modèles binaires (oui/non) pour qualifier les menaces.

Par ailleurs, chaque stratégie de cybersécurité devrait tenir compte d’une possible hausse de la gravité des risques attribués avec le temps.

4 - Évaluer et hiérarchiser l’exposition aux risques et aux vulnérabilités

Les entreprises étant confrontées à des centaines de milliers de vulnérabilités et expositions courantes (CVE, Common Vulnerabilities and Exposures) au sein d’inventaires en perpétuelle évolution, leur capacité à suivre l’ensemble des menaces est limitée.

L’analyse prédictive pilotée par IA aide ici les équipes de cybersécurité à identifier les vulnérabilités les plus susceptibles d’être exploitées. Cette technologie est en outre capable de déterminer les chemins d’attaque et les identités les plus probables.

Il est par ailleurs indispensable d’analyser l’ensemble de ces surfaces d’attaque de manière contextuelle. Par exemple, une CVE affectant un système isolé sur le terrain peut présenter un niveau de vulnérabilité globalement inférieur à celui d’un compte utilisateur à privilèges élevés qui utilise un navigateur grand public pour des tâches courantes.

5 - Comprendre la psychologie des acteurs malveillants

Les équipes de cybersécurité peuvent également recourir à des opérations psychologiques (psyops) : il s’agit en l’occurrence de comprendre l’"adversaire" afin de mieux le manipuler. Cette méthode de sécurité basée sur la cyberpsychologie peut s’appuyer sur l’IA pour exploiter les failles cognitives de l’attaquant.

Ainsi, le système de cyberdéfense peut affiner sa riposte en tirant parti des éventuels biais intrinsèques de l’attaquant. Même si un tel dispositif ne permet pas d’écarter définitivement les acteurs malveillants, il est capable de déjouer ou de retarder une attaque le temps que des mesures de défense plus strictes prennent effet.

Pour l’heure, cette méthode avancée s’applique principalement aux cyberattaques d’origine humaine et non aux bots dotés d’IA, mais ce domaine d’étude évolue rapidement pour s’adapter à la prochaine génération d’acteurs malveillants s’appuyant sur l’IA.