Comment les machines peuvent mener le combat : L'IA et la réponse aux incidents

De nombreuses entreprises adoptent l'IA pour la réponse aux incidents afin de réduire le temps de réponse, de limiter l'erreur humaine et de gérer les menaces plus efficacement. Le cabinet d'avocats Pillsbury prévoit que les dépenses en cybersécurité liées à l'IA pourraient atteindre 46,3 milliards de dollars d'ici 2027, sous l'effet de l'automatisation croissante et des demandes de réponse en temps réel.

Cela s'explique par le fait que les outils d'IA deviennent de plus en plus sophistiqués, mais aussi par le fait que l'IA est parfaitement adaptée aux menaces actuelles. Les réseaux étant devenus plus complexes et distribués grâce à des tendances telles que l'essor du travail à distance, la capacité de l'IA à analyser des millions d'événements de sécurité sur différentes plateformes est devenue de plus en plus précieuse. Grâce à sa rapidité de détection et de réaction, l'IA peut souvent stopper les incursions avant qu'elles ne se transforment en cauchemar moderne de cybersécurité : une attaque par ransomware.

Nous verrons ici ce que l'IA peut réellement apporter aux équipes de réponse aux incidents, quelles sont ses limites et comment la déployer efficacement sans excès ni fausse confiance.

L'IA réelle est capable d'apprendre

L'IA peut être un facteur de transformation, mais les organisations doivent encore faire preuve de prudence avant de sauter le pas. L'IA est confrontée à un problème de marketing, de nombreuses solutions se réclamant de l'IA alors qu'elles n'en sont rien. De nombreuses offres utilisent des outils automatisés pour analyser les données et agir sur les résultats, mais si ces processus statiques peuvent être sophistiqués et utiles, ils relèvent de l'analyse des données et non de l'IA.

L'IA réelle utilise des approches qui se recoupent, telles que l'apprentissage automatique (dans lequel l'IA applique des algorithmes et des modèles statistiques aux données et exploite les résultats), les réseaux neuronaux (prise de décision pondérée) et l'apprentissage profond (un réseau neuronal artificiel multicouche). Il possède la connaissance, l'intelligence et la capacité d'apprendre et d'utiliser cet apprentissage.

Ces caractéristiques permettent aux outils de cybersécurité à base d'IA de collecter et d'analyser en permanence des données, en repérant des schémas à une échelle presque inimaginable. Il peut analyser vos actifs, étudier le paysage des menaces et même prédire les violations. Plus il y a de données et de réseaux auxquels il a accès, plus il devient utile.

Pourquoi l'IA pour la réponse aux incidents commence par une détection précoce

La capacité de réponse aux incidents de l'intelligence artificielle commence tôt. Les contrôles de sécurité, l'analyse comportementale, la surveillance et la prédiction intelligente aident l'IA à identifier les anomalies au niveau des utilisateurs, des serveurs et des logiciels. Lorsqu'il s'agit d'analyser des modèles à grande échelle sur un réseau distribué, l'IA l'emporte haut la main sur les observateurs humains.
En combinant une surveillance constante avec des informations sur les incidents et les comportements passés, l'IA peut à la fois repérer et évaluer les risques. Plutôt que de s'appuyer sur les signatures pour identifier les malware, l'IA peut évaluer diverses caractéristiques - telles que le chiffrement de plusieurs fichiers à la fois ou le fait de chercher à se dissimuler - afin d'évaluer le danger que peut représenter un logiciel.
Le courrier électronique et les plateformes de collaboration restent des points d'entrée à haut risque pour les cyberincidents. L'IA joue un rôle important dans la réponse aux incidents en analysant les signaux comportementaux tels que les pièces jointes malveillantes, les comportements de partage anormaux ou les indicateurs de phishing. Des plateformes comme Mimecast apportent contexte et visibilité sur ces canaux, aidant les organisations à identifier les indicateurs précoces et à réduire le temps d'attente avant que les incidents ne s'aggravent.

L'IA est plus qu'un simple messager - elle peut jouer un rôle actif dans la réponse.

L'IA peut réduire la fatigue liée aux alertes et atténuer les bruits de fond qui peuvent mettre les analystes hors d'eux. En repérant les problèmes à un stade précoce, il permet aux équipes de sécurité de trier les incidents ou d'y répondre rapidement, afin d'éviter qu'ils ne s'aggravent. Mais si son rôle de facilitateur est crucial, l'IA joue un rôle de plus en plus actif.

Il peut identifier les tâches répétitives et relativement routinières en évaluant le niveau de risque et la quantité de contexte, puis répondre à ces incidents à grande échelle. Par exemple, l'arrêt automatique d'un appareil infecté par un ransomware est un gain facile qui peut éviter un incident majeur.

L'IA est plus efficace pour la réponse aux incidents lorsqu'elle fournit aux enquêteurs une visibilité claire et un contexte fiable. Les plateformes de sécurité de l'ensemble de l'écosystème, y compris les plateformes de sécurité des données et de collaboration comme Mimecast, permettent d'enrichir les données relatives aux incidents et d'alimenter les flux de travail de réponse par le biais d'intégrations SIEM et SOAR. Cette visibilité à plusieurs niveaux améliore la rapidité des enquêtes tout en maintenant une structure de réponse coordonnée entre les équipes de sécurité.

Pour les incidents plus graves ou plus complexes, l'IA peut utiliser sa connaissance des ressources - telles que la disponibilité et l'expertise des ingénieurs - pour suggérer la manière dont un incident peut être géré. Les équipes seront également en mesure de se mettre au travail. De multiples flux de données peuvent être rassemblés et rassemblés dans un rapport que les travailleurs peuvent analyser et décider d'un plan d'action.

Les cyberattaquants utilisent l'IA, et vous devriez en faire autant

Bien entendu, l'IA n'est pas seulement utilisée par les gentils. Les attaquants peuvent utiliser l'apprentissage automatique pour identifier les vulnérabilités avant de chercher à les exploiter par le biais du phishing ou d'attaques par déni de service distribué (DDoS), et peuvent même utiliser l'IA pour personnaliser les courriels d'ingénierie sociale. C'est là que l'IA pour la réponse aux incidents devient une nécessité défensive, aidant les organisations à identifier les modèles d'attaque générés par l'IA, à automatiser l'endiguement et à raccourcir les cycles de récupération.

L'IA fait également partie du paysage plus large des incidents. Sa capacité à analyser rapidement de grandes parties de vos réseaux peut vous aider à remédier aux incidents dans des délais plus courts. Il peut mettre en évidence les causes profondes des vulnérabilités et mettre à votre disposition des données et des analyses qui aideront les RSSI à justifier les mesures de cybersécurité à venir et à se prémunir contre de futurs incidents.

Les connaissances de Mimecast, basées sur l'IA, renforcent cet avantage défensif en corrélant l'activité des menaces à travers le courrier électronique et les plateformes de collaboration. En s'intégrant aux outils déjà utilisés par les organisations pour orchestrer la réponse, Mimecast garantit que les données sur les menaces et les indicateurs comportementaux circulent efficacement, ce qui permet de réduire le temps d'investigation et d'empêcher la réinfection ou la propagation.

Mais l'IA n'est pas tout

Malgré tout son potentiel, l'IA a encore ses limites en matière de réponse aux incidents. Pour être efficace, l'IA doit être bien faite, avec des outils intégrés dans votre écosystème existant et adaptés à vos flux de travail.

Il convient également de prendre avec des pincettes certaines des affirmations les plus audacieuses concernant l'IA. Si ces systèmes tirent des enseignements des changements qui les entourent, ils peuvent être pris au dépourvu par des changements qui pourraient sembler évidents à un observateur humain. La capacité de l'IA à identifier les anomalies peut être extrêmement utile, mais elle peut toujours laisser des milliers de faux positifs à examiner, en particulier si elle s'appuie sur un pool de données limité. En réalité, l'IA est un outil dont la qualité dépend de celle des personnes qui l'utilisent. L'IA peut soutenir les équipes humaines et étendre leurs capacités, mais elle n'est pas encore à la hauteur de la perspicacité humaine. Mais la bonne équipe de sécurité, soutenue par les bons outils d'IA, peut faire une énorme différence dans votre posture de cybersécurité.

Le bilan

Alors que les surfaces d'attaque des organisations deviennent distribuées et complexes, la capacité de l'IA à opérer à grande échelle et avec une relative autonomie est devenue cruciale pour la cybersécurité. Et il ne s'agit pas seulement de la détection des menaces : comme nous l'avons vu, la réponse aux incidents est un domaine en pleine expansion dans lequel l'IA peut transformer les efforts des entreprises.

L'IA ne doit pas remplacer les défenses traditionnelles ou l'expertise humaine. Au contraire, il renforce l'architecture de sécurité existante en automatisant les décisions de routine et en accélérant les délais de réponse. Associée à des contrôles de sécurité multicouches et à une supervision humaine compétente, l'IA permet aux équipes de réponse aux incidents d'agir plus rapidement, de réduire les risques opérationnels et de maintenir une résilience opérationnelle plus forte.

L'IA n'est pas une solution unique dans laquelle vous pouvez investir à la place d'autres solutions : elle doit plutôt être utilisée pour renforcer les défenses dont vous disposez déjà, depuis les pare-feu et la chasse aux menaces jusqu'à la sécurité centrée sur le risque humain et la formation à la sensibilisation, en passant par la confiance zéro. Utilisée à bon escient, l'intelligence artificielle peut réduire les risques, gérer les incidents de routine et libérer votre équipe de sécurité pour qu'elle mette son expertise au service des besoins les plus urgents.

Découvrez les solutions de sécurité basées sur l'IA

**Ce blog a été mis à jour à partir d'une version précédente.