L'IA améliore la cybersécurité, mais la supervision humaine reste essentielle

Quand il s'agit de protéger les ordinateurs et les systèmes d'information contre les cyberattaques, l'intelligence artificielle et l'apprentissage automatique peuvent aider — mais ils ne sont pas une panacée pour un problème croissant.

Nonobstant l'excitation actuelle sur l'IA et sa capacité croissante à surpasser les humains sur de nombreux fronts, ce n'est pas une balle magique pour renforcer la cybersécurité, dit Randy Watkins, chief technology officer chez Critical Start, Inc.

L'IA excelle à gérer d'énormes quantités de données, incluant les alertes sur d'éventuelles violations de sécurité. Le problème réside dans la façon dont elle interprète cette information.

Les alertes sont traitées dans l'ordre dans lequel elles arrivent. Ensuite, elles sont priorisées et évaluées pour le niveau de menace approprié. Les analystes humains, avec une connaissance approfondie et l'expérience de l'entreprise, sont bons pour placer chaque alerte dans son contexte approprié. Les machines, pas tant. Un système piloté par l'IA peut détecter une activité utilisateur anormale, mais il est moins efficace pour déterminer si l'événement implique une intention malveillante.

« Je ne suis pas un opposant à tout ce qui est IA », dit Watkins, « mais l'IA et l'apprentissage automatique n'ont pas la capacité d'appliquer une abondance de raisonnement à ce qu'ils font. »

Les machines ne sont pas particulièrement bonnes pour minimiser les faux positifs. Prenez PowerShell de Microsoft, un framework populaire pour l'automatisation des tâches. Une machine ne peut pas déterminer avec précision si un utilisateur donné de cet outil devrait exécuter une commande à un moment particulier. L'anomalie peut ou non être le résultat d'une attaque malveillante.

Le terme « apprentissage automatique » implique que le système s'améliore avec l'expérience, mais Watkins dit que cette capacité est limitée. Entraîner l'algorithme à répondre de la manière appropriée nécessite d'y injecter un grand nombre d'exemples précédents, bons et mauvais. Et cela ne résout toujours pas le problème des faux négatifs — les attaques réelles que le système manque. « Vous devez être capable d'éliminer les valeurs aberrantes qui vont fausser vos données », dit Watkins.

Déterminer si un événement est malveillant ne se résume pas toujours à une réponse oui ou non. D'une part, les entreprises doivent déterminer à quel point elles veulent que le système soit sensible. Devrait-il déclencher l'alarme pour 100 % des événements apparemment anormaux ? Et 80 % ? Trop, et vous êtes inondé d'alertes et d'arrêts de système potentiels. Trop peu, et les violations sont susceptibles de passer inaperçues.

« Quand vous introduisez plus de variables, vous avez besoin de jeux de données additionnels, plus de contexte sur le sujet et le comportement [du système] », note Watkins. « Une fois que vous commencez à introduire ces questions, la machine s'effondre. »

La détection efficace des cyberattaques dépend du scoring de risque cumulatif, quelque chose que les humains font bien. « Chaque fois que nous regardons un événement, nous décidons s'il est suspect », dit Watkins. « Mais vous pouvez aussi appliquer le raisonnement, et les connaissances précédentes sur la sécurité que les algorithmes n'ont pas.

« Une machine peut ramper à travers d'énormes quantités de données rapidement », continue-t-il. « Mais donnez-lui un concept abstrait comme le moindre privilège et appliquez-le à l'ensemble d'alertes — va-t-elle reconnaître une escalade de privilèges ? Il y a beaucoup d'activité bénigne qui a l'air malveillante. »

Il n'y a aucun doute que l'apprentissage automatique évoluera, même si les voleurs cybernétiques inventent de nouvelles façons d'éviter la détection. Microsoft a fait des progrès vers l'amélioration de la sophistication des systèmes de détection automatisés, tout comme Palo Alto Networks, un leader mondial en cybersécurité. « Mais à la fin de la journée », dit Watkins, « vous avez encore besoin d'un humain pour dire : 'Oui, mettez ce contrôleur de domaine hors ligne.' » Les entreprises s'efforcent constamment de minimiser le coût des temps d'arrêt système causés par des alertes erronées.

Cela dit, il n'y a pas assez d'experts humains pour combler le besoin de cybersécurité à travers tous les secteurs. « Il y a définitivement un manque de talents dans l'industrie », dit Watkins. D'où le virage vers le support externe, sous forme de détection et réponse gérées.

La pénurie de talents n'est pas nouvelle. « Elle existe depuis que la sécurité existe », dit Watkins. Seulement dans les 10 dernières années, les entreprises et universités ont commencé à s'éveiller au besoin de meilleure formation et éducation des futurs experts en cybersécurité.

Les humains et les machines ont encore du chemin à faire, s'ils veulent collaborer pour sécuriser les systèmes vitaux contre la menace toujours croissante de cyberattaque. « Nous avons commencé à zéro quand nous devions être à 60 », dit Watkins. « Maintenant nous devons être à 90, et nous sommes à 60. »