Sécurité : les apports des nouveaux systèmes d'analyse du trafic réseau

Introduction

Pas de doute pour de nombreux experts : les techniques d’intelligence artificielle comme l’apprentissage automatique (machine learning) et l’apprentissage profond (deep learning) ouvrent de nouvelles perspectives à la détection des menaces dans le système d’information, en particulier à partir de la surveillance du trafic réseau.

Au printemps 2019, Anton Chuvakin, alors analyste au sein du cabinet Gartner, co-signait une fiche conseil sur l’apprentissage automatique appliqué à la sécurité confirmant notamment la tendance que l’on peut retirer des témoignages de ceux qui ont adopté la technologie – comme Essilor – ou encore de certains tests d’efficacité : les techniques d’apprentissage automatique « sont utilisées aujourd’hui avec succès pour traiter maliciels, hameçonnage, anomalies réseau, accès non autorisé à des données sensibles, analyse comportementale des utilisateurs, hiérarchisation des vulnérabilités, et plus encore ».

Car dans la pratique, l’application de l’intelligence artificielle à la cybersécurité se concentre largement sur le comportement. Sur le réseau, le trafic est plus ou moins prévisible. Les hôtes interagissent généralement avec les mêmes sites ou systèmes, sur les mêmes ports, en utilisant les mêmes instances de chiffrement et en envoyant la même quantité de données. Les attaques impliquent l'utilisation de serveurs de commande et de contrôle, l'utilisation de ports inhabituels, le transfert de quantités de données peu coutumières et une utilisation accrue du chiffrement.

Dans le cas du réseau, l'apprentissage automatique (ou machine learning) peut donc être utilisé pour améliorer l'analyse, l’administration et la sécurité. Mais, pour bien comprendre comment il peut s’appliquer au domaine du réseau, il est important de comprendre quelques modèles d'apprentissage automatique. Les outils de machine learning incorporent un ou plusieurs modèles de calcul, tels que les réseaux neuronaux et les algorithmes génétiques. Cette compréhension est d’autant plus importante que ces systèmes peuvent être appréhendés comme des boîtes noires. Et qu’une compréhension de base des mécanismes à l’œuvre permet de dépasser cette perception pour mieux définir ses attentes – et les contraintes induites par l’adoption de ces outils.

Le marché ne s’y est pas trompé : au fil des ans, la grande majorité des jeunes pousses bâties autour de l’analyse comportementale ont été absorbées, par d’autres acteurs alléchés par les promesses des techniques mises en œuvre. Certains n’en restent pas moins indépendants et continuent de faire agressivement évoluer leurs offres, à l’instar de Darktrace, Vectra, ou encore Gurucul et Blue Hexagon, entre autres.  

Si l’analyse du trafic réseau améliore sans doute la sécurité du système d’information, elle est en fait appelée à jouer un rôle crucial. Certaines organisations sont encore sceptiques à l'égard des systèmes de réponse automatisés, préférant utiliser des méthodes manuelles pour réagir aux événements de sécurité. Mais la diffusion de rançongiciels – pour ne citer qu’eux – est plus rapide qu’il n’est possible de réagir manuellement. Cela va inciter toutes les organisations à adopter des systèmes de correction et de réponse entièrement automatisés.

Et il est préférable d'utiliser une intelligence artificielle adaptable ou un mécanisme d'apprentissage automatique dans les outils d'analyse du trafic réseau : les variations subtiles des mécanismes d'attaque et de distribution des charges malveillantes rendent des systèmes à base d’heuristique très rapidement obsolètes.

Plus que jamais, la surveillance du trafic réseau a toute sa pertinence dans une stratégie de cybersécurité globale, même si l’on souhaite commencer avec des outils en apparence peut-être plus simples mais d’une efficacité potentiellement redoutable - comme l’incontournable Suricata, adossé aux outils d’analyse appropriés.

1Apprentissage automatique-

Ce qu’il apporte à la cybersécurité

2Réseau-

L’analyse du trafic pour la détection des menaces

3Marché-

Produits