Qu’est-ce que la détection des menaces internes pilotée par l’IA ?

La détection des menaces internes pilotée par l’IA vise à identifier les menaces internes en utilisant une combinaison d’analytique comportementale, d’apprentissage automatique et de détection d’anomalies. Les menaces internes, qui incluent des employés malveillants, des utilisateurs négligents et des employés compromis, représentent un défi de sécurité majeur puisque la menace a déjà un accès légitime à l’environnement d’une organisation. Cela rend ces menaces difficiles à identifier avec des solutions de sécurité traditionnelles, et l’accès privilégié peut amplifier l’impact que la menace a sur l’organisation.

L’IA offre le potentiel d’identifier et de bloquer ces types de menaces en s’appuyant sur la détection de motifs et d’anomalies pour repérer les signes avant-coureurs de ces risques. Elle est particulièrement efficace lorsqu’elle est mise en œuvre dans le cadre d’une architecture Secure Access Service Edge (SASE), où la visibilité centralisée offre un accès aux données dont l’IA a besoin, et un Zero Trust Network Access (ZTNA) intégré fournit la capacité d’identifier et de bloquer les demandes anormales et potentiellement malveillantes.

Comment les menaces internes évoluent-elles dans les environnements SASE modernes ?

Les menaces internes représentent un risque de sécurité potentiel pour l’organisation qui a déjà un accès légitime à ses systèmes, éliminant ainsi le besoin d’exploiter des vulnérabilités ou de prendre d’autres actions « bruyantes » pour obtenir ce premier point d’appui. Les menaces internes se présentent sous plusieurs formes, y compris des employés malveillants, des comptes compromis et des utilisateurs négligents.

Ces menaces internes sont plus difficiles à détecter que les menaces externes, et des facteurs tels que le travail à distance, la migration vers le cloud et l’accès hybride compliquent la situation. Dans cet environnement, le SASE est un outil inestimable, offrant la capacité de voir le trafic des utilisateurs, les modèles d’accès et les événements de sécurité en un seul endroit.

Quels types de menaces internes sont les plus importants aujourd’hui ?

Toutes les menaces internes ne cherchent pas délibérément à nuire à l’entreprise. Les trois principaux types de menaces internes incluent :

• Employés malveillants : Certaines menaces internes sont des employés de confiance qui prennent délibérément des mesures pour nuire à l’entreprise. Les exemples incluent un employé mécontent ou un acteur de menace qui a pris un emploi au sein de l’entreprise pour accéder à son environnement.
• Utilisateurs compromis : Les utilisateurs compromis sont des employés légitimes qui peuvent aider à permettre à un attaquant tiers. Cela pourrait inclure quelqu’un qui a accepté un pot-de-vin pour remettre des données sensibles.
• Employés négligents: Certaines menaces internes représentent un risque pour l’entreprise en ne respectant pas correctement les politiques de sécurité et en protégeant les ressources de l’entreprise. Par exemple, un employé qui copie des données sensibles dans un LLM ou sur un compte de stockage cloud personnel pourrait être à l’origine d’une violation de données.

Les menaces internes peuvent exister partout au sein d’une organisation, mais certains rôles professionnels sont plus risqués que d’autres. Par exemple, les développeurs ayant accès aux dépôts de code, les professionnels de la finance et le personnel des ressources humaines ont accès à des données ou des ressources hautement sensibles qui peuvent avoir des impacts significatifs sur l’entreprise.

De plus, le concept de « menace interne » n’est pas limité aux employés travaillant sur site. Avec le travail à distance, les sous-traitants et l’accès de tiers, la partie de confiance peut être quelqu’un physiquement ou organisationnellement externe à l’entreprise.

Pourquoi les menaces internes sont-elles difficiles à détecter avec des outils traditionnels ?

Les acteurs de la menace qui commencent de l’extérieur de l’organisation doivent entreprendre des actions bruyantes comme exploiter des vulnérabilités ou effectuer des attaques de phishing pour obtenir un point d’appui initial. En revanche, les menaces internes ont déjà cet accès, leur permettant d’utiliser des identifiants valides et des appareils approuvés pour mener leurs attaques. Cela rend leur activité plus légitime puisqu’ils exercent en grande partie les privilèges et les permissions qu’ils possèdent déjà.

Pour une menace interne, une attaque pourrait impliquer d’effectuer plus de téléchargements que d’habitude ou d’accéder progressivement à de nouvelles données et applications. Ces types d’activités sont faciles à considérer comme bénignes et peuvent se perdre dans le bruit des nombreuses alertes que les analystes de sécurité doivent évaluer. Le volume même des alertes peut également pousser les équipes SOC à ajuster les paramètres pour ignorer ces types de menaces de bas niveau et de faux positifs probables au profit de l’identification des attaques plus spectaculaires menées par des acteurs de menace externes.

En conséquence, les systèmes traditionnels peuvent avoir du mal à identifier les menaces internes qui n’ont pas besoin de logiciels malveillants, d’exploits de vulnérabilités ou d’accès non autorisé pour atteindre leurs objectifs. La gestion de ces menaces nécessite des analyses comportementales conçues pour identifier les écarts par rapport au comportement normal d’un utilisateur, d’un compte ou d’un appareil particulier.

Comment SASE améliore-t-il la visibilité des risques internes ?

SASE est défini par la convergence de l’optimisation du réseau et des fonctionnalités SSE dans une seule plateforme livrée par le cloud. Cela offre un aperçu du trafic des utilisateurs, des décisions d’accès, de l’application des politiques de sécurité et de la navigation web à travers l’ensemble du WAN de l’entreprise.

Avec cette centralisation, il est possible de suivre le comportement d’un utilisateur à travers l’ensemble de l’environnement informatique de l’entreprise depuis une seule solution. Remplacer les solutions de sécurité ponctuelles par une plateforme intégrée réduit également le risque de manquer des menaces en raison d’un manque de contexte ou de zones d’ombre entre les outils de sécurité autonomes. Cet ensemble de données complet et normalisé est également idéal pour former des solutions basées sur l’IA, car il évite les lacunes de couverture ou les problèmes potentiels de corrélation et de traduction des informations entre différents outils et formats.

Qu’est-ce que la détection des menaces internes pilotée par l’IA en pratique ?

En pratique, la détection des menaces internes pilotée par l’IA utilise l’IA pour rechercher les modèles et les anomalies qui indiquent la présence d’une menace potentielle dans l’environnement de l’organisation. Les outils d’IA peuvent établir des bases de référence du comportement normal, puis identifier les écarts par rapport à ce comportement qui pourraient indiquer un risque potentiel pour l’entreprise. En distillant les données brutes en signaux de haute fidélité, l’IA réduit le volume d’alertes et la charge sur les analystes humains, protégeant ainsi contre l’épuisement professionnel et accélérant la détection et la réponse aux incidents.

Comment fonctionnent les bases de référence comportementales et la détection des anomalies ?

L’analyse comportementale utilise l’apprentissage non supervisé pour identifier les bases de référence du comportement normal des utilisateurs. Au fil du temps, l’IA surveille les données concernant les heures de connexion, les lieux, les appareils, les applications accessibles, les volumes de transfert de données et les combinaisons de ressources typiques de l’utilisateur. À partir de cela, elle peut extraire des modèles et une compréhension du comportement normal de l’utilisateur.

Avec cette base de référence en place, l’IA peut passer à l’identification des variations statistiquement significatives par rapport au comportement normal de l’utilisateur. Par exemple, un utilisateur pourrait soudainement accéder à des bases de données contenant des données sensibles sur les clients alors qu’il ne l’a jamais fait auparavant.

Ces variations pourraient être bénignes, potentiellement le résultat d’une promotion ou d’un transfert vers une nouvelle équipe. Ou elles pourraient indiquer une menace potentielle. Si ces anomalies augmentent le score de risque de l’utilisateur au-delà d’un certain niveau, elles sont signalées pour examen et enquête. Le résultat de cette enquête peut ensuite être réintégré dans l’IA, permettant aux bases de référence d’évoluer au fil du temps pour refléter les changements légitimes de comportement.

Le rôle de l’analyse comportementale des utilisateurs et des entités (UEBA)

L’analyse comportementale des utilisateurs et des entités (UEBA) se concentre sur la compréhension et l’évaluation du comportement des utilisateurs et des entités non humaines telles que les comptes de service, les serveurs et les appareils. L’UEBA collecte des données provenant de diverses sources, allant au-delà de l’analyse des journaux pour analyser les graphes de relations entre les utilisateurs et les ressources, les comparaisons avec leurs groupes de pairs et les tendances à long terme.

L’UEBA est utile pour la détection des menaces internes car les écarts par rapport au comportement passé d’un utilisateur ou à celui de son groupe de pairs pourraient indiquer une menace potentielle. L’UEBA peut également utiliser l’apprentissage automatique pour regrouper des comportements similaires et identifier des anomalies qui pourraient indiquer un abus ou une compromission.

Comment les équipes de sécurité opérationnalisent-elles les insights générés par l’IA ?

Les insights générés par l’IA sont conçus pour garantir que les analystes de sécurité humains concentrent leur attention sur les menaces les plus probables et significatives pour l’entreprise. Les analystes reçoivent des scores de risque, des alertes prioritaires, des chronologies d’événements corrélés et des contextes tels que le rôle de l’utilisateur et la criticité des actifs pour une menace potentielle via des tableaux de bord SIEM, des playbooks SOAR, des systèmes de billetterie et des outils de gestion de cas.

Si une menace potentielle est examinée et validée par un analyste humain, le système peut automatiquement mettre en œuvre diverses réponses à celle-ci. Par exemple, les utilisateurs peuvent être tenus d’effectuer des étapes d’authentification supplémentaires ou d’être soumis à des politiques de sécurité plus strictes. Au cours de l’enquête, les utilisateurs peuvent également être soumis à des restrictions temporaires conçues pour gérer le risque jusqu’à ce qu’un verdict soit atteint.

Quels signaux comportementaux et sources de données sont les plus importants ?

Les systèmes d’analyse comportementale ont besoin d’accéder à des signaux de grande valeur pour aider à identifier les menaces et les différencier d’activités anormales mais bénignes. Quelques exemples de données qui devraient être collectées à l’échelle de l’entreprise incluent :

• Les journaux d’identité et d’accès
• La télémétrie réseau
• Les données DNS et TLS
• L’activité des points de terminaison
• Les journaux SaaS
• Les événements DLP

Avec ces sources de données, les systèmes d’IA peuvent identifier des systèmes comportementaux de grande valeur, tels que l’accès en dehors des heures de travail, des combinaisons de ressources inhabituelles, des téléchargements de données excessifs ou un accès depuis des emplacements inhabituels. Ces informations peuvent également être corrélées à des cas d’utilisation courants d’insider, tels que l’exfiltration de données, la reconnaissance discrète, l’abus de privilèges et les violations de politiques, pour déterminer le risque et les impacts potentiels sur l’organisation.

Quelle télémétrie réseau et cloud l’IA nécessite-t-elle ?

Au niveau du réseau et du cloud, l’IA a besoin d’accéder à diverses données pour l’analyse comportementale. Les principales télémetries à collecter incluent :

• Les enregistrements de flux
• Les journaux DNS
• Les journaux de proxy ou de SWG
• Les métadonnées TLS
• Les événements de pare-feu
• Les journaux d’accès au cloud des plateformes SaaS

Combiner ces différents points de données peut aider à reconstruire le parcours utilisateur d’un acteur de menace interne. Par exemple, un utilisateur peut demander l’accès à des données sensibles de l’entreprise, effectuer un téléchargement important, puis déplacer les données vers un compte cloud personnel.

Assembler ces éléments nécessite que l’IA ait accès à des données complètes et normalisées. Si les données ne sont pas normalisées, manquent de contexte sur les utilisateurs et les appareils, ou présentent des lacunes, alors les systèmes d’IA peuvent négliger un incident potentiel.

Comment les signaux d’identité et d’accès façonnent-ils les scores de risque interne ?

L’identité est une partie fondamentale de la détection des menaces internes. Certains des signaux clés incluent :

• Les succès et échecs d’authentification
• Les invites MFA
• Les vérifications de posture des appareils
• Les attributions de rôle
• Les élévations de privilèges

Avec ces données d’identité, les systèmes d’IA peuvent ajuster dynamiquement les scores de risque en fonction de la menace perçue qu’un utilisateur représente pour l’entreprise. Par exemple, de nombreuses tentatives de connexion échouées ou des changements de privilèges juste avant l’accès à des données ou des applications sensibles représentent un risque accru. De même, des événements inhabituels, tels que des tentatives d’accès depuis de nouveaux appareils ou emplacements, devraient augmenter le score de risque.

Quel rôle jouent les signaux de prévention de la perte de contenu et de données ?

Les signaux de prévention de la perte de contenu et de données (DLP) se concentrent sur les ressources que pourrait cibler une menace interne. Les signaux courants incluent :

• Événements de classification de fichiers
• Utilisation du presse-papiers
• Téléversements vers des applications non autorisées
• Pièces jointes d’e-mails
• Impression de documents sensibles

Avec des bases de référence en place, une IA peut aider à identifier les premiers signes d’exfiltration et à les différencier d’une utilisation légitime et normale. Par exemple, un système pourrait constater qu’un utilisateur a effectué des téléchargements significatifs de données sensibles peu avant sa démission ou juste après son licenciement.

Le contexte des politiques peut également jouer un rôle significatif, où des actions peuvent être autorisées même si elles sont considérées comme « risquées ». Par exemple, un utilisateur peut être autorisé à télécharger de grands volumes de données à partir de la base de données clients ; cependant, le fait de le faire augmente son score de risque et la probabilité d’une enquête.

Comment la détection des menaces internes pilotée par l’IA s’intègre dans le SASE et le Zero Trust

Le modèle de sécurité Zero Trust est axé sur la gestion de l’exposition au risque en éliminant la confiance implicite au sein d’une organisation. Cela s’aligne bien avec la détection des menaces internes, puisque les personnes internes sont généralement celles qui sont implicitement dignes de confiance pour l’entreprise.

Le SASE soutient la détection des menaces internes pilotée par l’IA en offrant les données nécessaires pour identifier les menaces et les outils nécessaires pour appliquer des contrôles d’accès au moindre privilège et des politiques de sécurité d’entreprise. Une visibilité centralisée sur les opérations du réseau d’entreprise améliore la détection des menaces, et des outils tels que la vérification continue et la segmentation du réseau offrent la capacité de surveiller en continu les sessions des utilisateurs et d’intervenir lorsque le risque devient trop élevé.

Comment les principes du Zero Trust soutiennent les programmes de menaces internes.

Le modèle de sécurité Zero Trust est basé sur les principes du moindre privilège et de la validation explicite des demandes d’accès. Le moindre privilège réduit l’impact potentiel qu’un initié peut avoir sur l’organisation, tandis que la vérification continue et explicite garantit que la surveillance et la gestion des accès se déroulent tout au long de la session utilisateur, et pas seulement au début.

Avec la validation explicite de chaque demande d’accès, les systèmes Zero Trust peuvent prendre en compte le contexte, tel que la santé de l’appareil, la localisation et le comportement de l’utilisateur, lors de la prise de décisions d’accès. Les systèmes de détection des menaces internes basés sur l’IA peuvent utiliser ces données pour identifier des modèles ou des anomalies qui signalent des risques significatifs pour l’entreprise.

Quel est le rôle du ZTNA dans la détection des menaces internes pilotée par l’IA ?

Le ZTNA applique les principes du Zero Trust au réseau d’entreprise. Cela inclut l’octroi aux utilisateurs d’un accès granulaire au niveau des applications plutôt qu’un accès large au niveau du réseau en réponse à une demande. En conséquence, c’est une base parfaite pour un programme de détection des menaces internes piloté par l’IA.

La granularité et la richesse de ces données les rendent idéales pour les modèles de détection des menaces internes pilotés par l’IA. Avec un aperçu de tout ce qu’un utilisateur demande et fait sur le système – y compris l’identité de l’utilisateur, la posture de l’appareil, les applications demandées et les politiques appliquées – l’IA peut établir une base solide du comportement normal des utilisateurs et identifier plus efficacement les écarts significatifs par rapport à celui-ci.

Le ZTNA a également le potentiel de mettre en œuvre une sécurité supplémentaire en réponse aux signaux de l’IA. Par exemple, si l’IA augmente le score de risque d’un utilisateur, le ZTNA pourrait mettre en œuvre une authentification renforcée, terminer sa session ou renforcer les politiques de sécurité.

Comment le SASE unifie-t-il les données pour l’analyse comportementale ?

Le SASE est défini par sa convergence de diverses capacités – y compris SWG, CASB, ZTNA et FWaaS – en une seule plateforme livrée dans le cloud. Cela garantit que toutes les données sont accessibles de manière centralisée et cohérente, éliminant le besoin pour les systèmes d’IA de rassembler des informations provenant de divers produits de sécurité ponctuels.

Cela aide également à surveiller un utilisateur tout au long de son parcours utilisateur. Un utilisateur unique peut travailler à distance ou depuis un bureau décentralisé et accéder à des ressources sur site et basées sur le cloud. Avec le SASE, toutes ces activités sont surveillées par la même solution avec une collecte de données cohérente et une application des politiques. En conséquence, l’IA peut établir de meilleures bases, avoir moins de zones d’ombre et détecter plus fiablement les anomalies qui signalent des menaces potentielles.

Quels sont les principaux risques et limitations de sécurité de l’IA pour la détection des menaces internes ?

L’IA offre le potentiel d’améliorer considérablement la détection des menaces internes en analysant de grands volumes de données pour identifier des anomalies et des tendances qui indiquent des incidents potentiels. Cependant, l’introduction de la sécurité alimentée par l’IA peut également créer de nouveaux risques de sécurité si l’IA commet des erreurs ou est ciblée par des attaquants. Les organisations doivent comprendre les défis associés à l’utilisation de modèles d’IA opaques avec une explicabilité limitée et mettre en œuvre des politiques et des contrôles pour gérer ces risques.

Comment les modèles d’IA peuvent-ils être attaqués ou manipulés ?

Les outils alimentés par l’IA construisent des modèles à partir de données d’entraînement, et la qualité de ces données est essentielle pour le modèle résultant. Si les données contiennent des biais ou sont empoisonnées par des attaquants, alors le modèle résultant aura les mêmes problèmes et produira des résultats incorrects.

En plus d’empoisonner les données d’entraînement ou de rétroaction, les attaquants peuvent utiliser leur compréhension de l’outil d’IA pour échapper à la détection. Par exemple, un attaquant ayant une compréhension des seuils de risque qui déclenchent une enquête ou une action supplémentaire pourrait adapter ses activités malveillantes pour rester en dessous de ces seuils et échapper à la détection. Cela pourrait inclure une attaque « lente et discrète » ou la distribution d’activités malveillantes sur plusieurs comptes compromis.

Pour gérer ces menaces, les organisations devraient mettre en œuvre des journaux et une surveillance du système d’IA lui-même. Toute déviation par rapport au comportement normal peut signaler une menace et déclencher une enquête supplémentaire.

Quelles gouvernances et contrôles aident à réduire le risque ?

Gérer les risques associés à l’IA nécessite une gouvernance et des contrôles de l’IA mis en œuvre à l’échelle de l’entreprise. Certaines meilleures pratiques clés incluent :

• Une propriété claire des modèles d’IA
• Des objectifs documentés
• Des processus d’approbation définis pour les changements.
• Versionnage des modèles
• Tests sur des ensembles de données de réserve
• Surveillance des dérives
• Mise en œuvre de mécanismes de retour en arrière pour les mises à jour problématiques
• Validation régulière des modèles, vérifications des biais et vérification que les seuils respectent la tolérance au risque de l’entreprise
• Exiger l’approbation humaine pour les actions automatisées à fort impact et les changements irréversibles

Au-delà de la sécurisation de l’IA, il est également judicieux de lier les résultats et les décisions prises par les outils pilotés par l’IA aux politiques de sécurité établies et aux cadres de risque. Cela aide à garantir l’explicabilité des décisions de sécurité lors des audits de conformité ou dans le cadre des processus de réponse aux incidents.

Comment les équipes de sécurité devraient-elles communiquer les limitations de l’IA ?

L’IA est un outil utile, mais son utilité et sa précision peuvent être exagérées. Voici quelques façons dont les équipes de sécurité peuvent communiquer les limitations et les inconvénients de l’IA :

• Transparence: Les responsables de la sécurité devraient expliquer aux dirigeants ce que l’IA peut et ne peut pas détecter de manière fiable.
• Exemples Concrets: Identifier des exemples concrets des limitations de l’IA, tels que la difficulté à gérer des situations uniques et des comportements nouveaux, la dépendance à des données d’entraînement et de télémétrie de haute qualité, et le potentiel de décisions faussement positives et faussement négatives.
• Résultats Opérationnels: Lors de la présentation des résultats de l’IA, inclure des scores de confiance, des hypothèses clés et des étapes suivantes recommandées.
• Attentes Réalistes: Éviter de faire des promesses excessives et souligner que l’IA peut améliorer la détection des menaces internes mais n’élimine pas complètement le risque interne.
• Défense en Profondeur: Déployer des outils alimentés par l’IA comme un élément d’une stratégie de défense en profondeur qui inclut des politiques, de la formation, de la surveillance et des capacités de réponse aux incidents.

FAQ

En quoi la détection des menaces internes pilotée par l’IA est-elle différente des outils UEBA traditionnels ?

Les outils UEBA traditionnels se concentrent principalement sur les modèles d’activité historiques, tandis que les systèmes modernes d’IA analysent intelligemment les données à la recherche de modèles, d’anomalies ou de signes de menaces potentielles. Les systèmes d’IA ont généralement une meilleure couverture des données et la capacité de corréler et d’enrichir les données pour améliorer la précision de la classification.

Quelles données devons-nous fournir à un programme de détection des menaces internes piloté par l’IA ?

Un programme de détection des menaces internes piloté par l’IA est le plus efficace lorsqu’il a accès à une grande variété de signaux de haute valeur. Les journaux d’identité, la télémétrie réseau, les métadonnées DNS et TLS, les journaux SaaS et de collaboration, ainsi que les événements DLP sont des exemples courants de données à fournir à ces programmes. Il est également important d’assurer une couverture cohérente et complète sur tous les sites et environnements cloud d’une organisation.

Comment mesurons-nous l’efficacité de la détection des menaces internes pilotée par l’IA ?

Certains indicateurs clés pour évaluer l’efficacité des programmes de détection des menaces internes pilotés par l’IA incluent le temps moyen de détection (MTTD), la fidélité des alertes, la charge de travail des analystes et la réduction des incidents non détectés. Ces indicateurs peuvent être ajustés et évalués via des tests contrôlés, tels que des tests de pénétration ou des simulations de violation et d’attaque.

Où la détection des menaces internes pilotée par l’IA s’intègre-t-elle dans notre pile SOC existante ?

La détection des menaces internes par l’IA doit être intégrée aux outils SOC existants, y compris SIEM, SOAR, gestion des cas et flux de travail d’intelligence sur les menaces. Ces outils augmentent la capacité du SOC à identifier les menaces internes et complètent les flux de travail, outils et processus existants.

Comment devrions-nous penser à la vie privée et à l’éthique lors de la surveillance du comportement des employés ?

Les politiques de surveillance du comportement des employés devraient être définies sur la base d’une collaboration entre la sécurité, les ressources humaines, le juridique et la conformité. Les meilleures pratiques incluent la transparence, des politiques d’utilisation acceptable claires et l’alignement avec les réglementations régionales.

Comment l’IA aborde les menaces internes

Les outils de découverte des menaces internes pilotés par l’IA utilisent l’analyse comportementale et la surveillance continue pour quantifier le risque posé par des employés de confiance et prendre des mesures lorsque les scores de risque deviennent trop élevés. Ces solutions sont les plus efficaces dans le cadre d’une plateforme SASE intégrée, qui offre la visibilité et l’accès aux données nécessaires pour la détection des menaces pilotée par l’IA et la capacité d’appliquer des changements d’accès et de politique basés sur les signaux de l’IA.

Cependant, l’IA n’est pas une solution parfaite, pouvant être sujette à des faux positifs, à l’empoisonnement des données et à des attaques d’évasion. En conséquence, les entreprises devraient considérer la détection des menaces internes pilotée par l’IA comme une capacité évolutive qui devrait être associée à une conception de confiance zéro solide, à la gouvernance des identités et à l’expertise humaine.