La d\u00e9tection des menaces internes pilot\u00e9e par l’IA vise \u00e0 identifier les menaces internes en utilisant une combinaison d’analytique comportementale, d’apprentissage automatique et de d\u00e9tection d’anomalies. Les menaces internes, qui incluent des employ\u00e9s malveillants, des utilisateurs n\u00e9gligents et des employ\u00e9s compromis, repr\u00e9sentent un d\u00e9fi de s\u00e9curit\u00e9 majeur puisque la menace a d\u00e9j\u00e0 un acc\u00e8s l\u00e9gitime \u00e0 l’environnement d’une organisation. Cela rend ces menaces difficiles \u00e0 identifier avec des solutions de s\u00e9curit\u00e9 traditionnelles, et l’acc\u00e8s privil\u00e9gi\u00e9 peut amplifier l’impact que la menace a sur l’organisation.<\/p>\n\n\n\n
L’IA offre le potentiel d’identifier et de bloquer ces types de menaces en s’appuyant sur la d\u00e9tection de motifs et d’anomalies pour rep\u00e9rer les signes avant-coureurs de ces risques. Elle est particuli\u00e8rement efficace lorsqu’elle est mise en \u0153uvre dans le cadre d’une architecture Secure Access Service Edge (SASE)<\/a>, o\u00f9 la visibilit\u00e9 centralis\u00e9e offre un acc\u00e8s aux donn\u00e9es dont l’IA a besoin, et un Zero Trust Network Access (ZTNA)<\/a> int\u00e9gr\u00e9 fournit la capacit\u00e9 d’identifier et de bloquer les demandes anormales et potentiellement malveillantes.<\/p>\n\n\n\n Les menaces internes repr\u00e9sentent un risque de s\u00e9curit\u00e9 potentiel pour l’organisation qui a d\u00e9j\u00e0 un acc\u00e8s l\u00e9gitime \u00e0 ses syst\u00e8mes, \u00e9liminant ainsi le besoin d’exploiter des vuln\u00e9rabilit\u00e9s ou de prendre d’autres actions \u00ab\u00a0bruyantes\u00a0\u00bb pour obtenir ce premier point d’appui. Les menaces internes se pr\u00e9sentent sous plusieurs formes, y compris des employ\u00e9s malveillants, des comptes compromis et des utilisateurs n\u00e9gligents.<\/p>\n\n\n\n Ces menaces internes sont plus difficiles \u00e0 d\u00e9tecter que les menaces externes, et des facteurs tels que le travail \u00e0 distance, la migration vers le cloud et l’acc\u00e8s hybride compliquent la situation. Dans cet environnement, le SASE est un outil inestimable, offrant la capacit\u00e9 de voir le trafic des utilisateurs, les mod\u00e8les d’acc\u00e8s et les \u00e9v\u00e9nements de s\u00e9curit\u00e9 en un seul endroit.<\/p>\n\n\n\n Toutes les menaces internes ne cherchent pas d\u00e9lib\u00e9r\u00e9ment \u00e0 nuire \u00e0 l’entreprise. Les trois principaux types de menaces internes incluent :<\/p>\n\n\n\n Les menaces internes peuvent exister partout au sein d’une organisation, mais certains r\u00f4les professionnels sont plus risqu\u00e9s que d’autres. Par exemple, les d\u00e9veloppeurs ayant acc\u00e8s aux d\u00e9p\u00f4ts de code, les professionnels de la finance et le personnel des ressources humaines ont acc\u00e8s \u00e0 des donn\u00e9es ou des ressources hautement sensibles qui peuvent avoir des impacts significatifs sur l’entreprise.<\/p>\n\n\n\n De plus, le concept de \u00ab\u00a0menace interne\u00a0\u00bb n’est pas limit\u00e9 aux employ\u00e9s travaillant sur site. Avec le travail \u00e0 distance, les sous-traitants et l’acc\u00e8s de tiers, la partie de confiance peut \u00eatre quelqu’un physiquement ou organisationnellement externe \u00e0 l’entreprise.<\/p>\n\n\n\n Les acteurs de la menace qui commencent de l’ext\u00e9rieur de l’organisation doivent entreprendre des actions bruyantes comme exploiter des vuln\u00e9rabilit\u00e9s ou effectuer des attaques de phishing pour obtenir un point d’appui initial. En revanche, les menaces internes ont d\u00e9j\u00e0 cet acc\u00e8s, leur permettant d’utiliser des identifiants valides et des appareils approuv\u00e9s pour mener leurs attaques. Cela rend leur activit\u00e9 plus l\u00e9gitime puisqu’ils exercent en grande partie les privil\u00e8ges et les permissions qu’ils poss\u00e8dent d\u00e9j\u00e0.<\/p>\n\n\n\n Pour une menace interne, une attaque pourrait impliquer d’effectuer plus de t\u00e9l\u00e9chargements que d’habitude ou d’acc\u00e9der progressivement \u00e0 de nouvelles donn\u00e9es et applications. Ces types d’activit\u00e9s sont faciles \u00e0 consid\u00e9rer comme b\u00e9nignes et peuvent se perdre dans le bruit des nombreuses alertes que les analystes de s\u00e9curit\u00e9 doivent \u00e9valuer. Le volume m\u00eame des alertes peut \u00e9galement pousser les \u00e9quipes SOC \u00e0 ajuster les param\u00e8tres pour ignorer ces types de menaces de bas niveau et de faux positifs probables au profit de l’identification des attaques plus spectaculaires men\u00e9es par des acteurs de menace externes.<\/p>\n\n\n\n En cons\u00e9quence, les syst\u00e8mes traditionnels peuvent avoir du mal \u00e0 identifier les menaces internes qui n’ont pas besoin de logiciels malveillants, d’exploits de vuln\u00e9rabilit\u00e9s ou d’acc\u00e8s non autoris\u00e9 pour atteindre leurs objectifs. La gestion de ces menaces n\u00e9cessite des analyses comportementales con\u00e7ues pour identifier les \u00e9carts par rapport au comportement normal d’un utilisateur, d’un compte ou d’un appareil particulier.<\/p>\n\n\n\n SASE est d\u00e9fini par la convergence de l’optimisation du r\u00e9seau et des fonctionnalit\u00e9s SSE dans une seule plateforme livr\u00e9e par le cloud. Cela offre un aper\u00e7u du trafic des utilisateurs, des d\u00e9cisions d’acc\u00e8s, de l’application des politiques de s\u00e9curit\u00e9 et de la navigation web \u00e0 travers l’ensemble du WAN de l’entreprise.<\/p>\n\n\n\n Avec cette centralisation, il est possible de suivre le comportement d’un utilisateur \u00e0 travers l’ensemble de l’environnement informatique de l’entreprise depuis une seule solution. Remplacer les solutions de s\u00e9curit\u00e9 ponctuelles par une plateforme int\u00e9gr\u00e9e r\u00e9duit \u00e9galement le risque de manquer des menaces en raison d’un manque de contexte ou de zones d’ombre entre les outils de s\u00e9curit\u00e9 autonomes. Cet ensemble de donn\u00e9es complet et normalis\u00e9 est \u00e9galement id\u00e9al pour former des solutions bas\u00e9es sur l’IA, car il \u00e9vite les lacunes de couverture ou les probl\u00e8mes potentiels de corr\u00e9lation et de traduction des informations entre diff\u00e9rents outils et formats.<\/p>\n\n\n\n En pratique, la d\u00e9tection des menaces internes pilot\u00e9e par l’IA utilise l’IA pour rechercher les mod\u00e8les et les anomalies qui indiquent la pr\u00e9sence d’une menace potentielle dans l’environnement de l’organisation. Les outils d’IA peuvent \u00e9tablir des bases de r\u00e9f\u00e9rence du comportement normal, puis identifier les \u00e9carts par rapport \u00e0 ce comportement qui pourraient indiquer un risque potentiel pour l’entreprise. En distillant les donn\u00e9es brutes en signaux de haute fid\u00e9lit\u00e9, l’IA r\u00e9duit le volume d’alertes et la charge sur les analystes humains, prot\u00e9geant ainsi contre l’\u00e9puisement professionnel et acc\u00e9l\u00e9rant la d\u00e9tection et la r\u00e9ponse aux incidents.<\/p>\n\n\n\n L’analyse comportementale utilise l’apprentissage non supervis\u00e9 pour identifier les bases de r\u00e9f\u00e9rence du comportement normal des utilisateurs. Au fil du temps, l’IA surveille les donn\u00e9es concernant les heures de connexion, les lieux, les appareils, les applications accessibles, les volumes de transfert de donn\u00e9es et les combinaisons de ressources typiques de l’utilisateur. \u00c0 partir de cela, elle peut extraire des mod\u00e8les et une compr\u00e9hension du comportement normal de l’utilisateur.<\/p>\n\n\n\n Avec cette base de r\u00e9f\u00e9rence en place, l’IA peut passer \u00e0 l’identification des variations statistiquement significatives par rapport au comportement normal de l’utilisateur. Par exemple, un utilisateur pourrait soudainement acc\u00e9der \u00e0 des bases de donn\u00e9es contenant des donn\u00e9es sensibles sur les clients alors qu’il ne l’a jamais fait auparavant.<\/p>\n\n\n\n Ces variations pourraient \u00eatre b\u00e9nignes, potentiellement le r\u00e9sultat d’une promotion ou d’un transfert vers une nouvelle \u00e9quipe. Ou elles pourraient indiquer une menace potentielle. Si ces anomalies augmentent le score de risque de l’utilisateur au-del\u00e0 d’un certain niveau, elles sont signal\u00e9es pour examen et enqu\u00eate. Le r\u00e9sultat de cette enqu\u00eate peut ensuite \u00eatre r\u00e9int\u00e9gr\u00e9 dans l’IA, permettant aux bases de r\u00e9f\u00e9rence d’\u00e9voluer au fil du temps pour refl\u00e9ter les changements l\u00e9gitimes de comportement.<\/p>\n\n\n\n L’analyse comportementale des utilisateurs et des entit\u00e9s (UEBA) se concentre sur la compr\u00e9hension et l’\u00e9valuation du comportement des utilisateurs et des entit\u00e9s non humaines telles que les comptes de service, les serveurs et les appareils. L’UEBA collecte des donn\u00e9es provenant de diverses sources, allant au-del\u00e0 de l’analyse des journaux pour analyser les graphes de relations entre les utilisateurs et les ressources, les comparaisons avec leurs groupes de pairs et les tendances \u00e0 long terme.<\/p>\n\n\n\n L’UEBA est utile pour la d\u00e9tection des menaces internes car les \u00e9carts par rapport au comportement pass\u00e9 d’un utilisateur ou \u00e0 celui de son groupe de pairs pourraient indiquer une menace potentielle. L’UEBA peut \u00e9galement utiliser l’apprentissage automatique pour regrouper des comportements similaires et identifier des anomalies qui pourraient indiquer un abus ou une compromission.<\/p>\n\n\n\n Les insights g\u00e9n\u00e9r\u00e9s par l’IA sont con\u00e7us pour garantir que les analystes de s\u00e9curit\u00e9 humains concentrent leur attention sur les menaces les plus probables et significatives pour l’entreprise. Les analystes re\u00e7oivent des scores de risque, des alertes prioritaires, des chronologies d’\u00e9v\u00e9nements corr\u00e9l\u00e9s et des contextes tels que le r\u00f4le de l’utilisateur et la criticit\u00e9 des actifs pour une menace potentielle via des tableaux de bord SIEM, des playbooks SOAR, des syst\u00e8mes de billetterie et des outils de gestion de cas.<\/p>\n\n\n\n Si une menace potentielle est examin\u00e9e et valid\u00e9e par un analyste humain, le syst\u00e8me peut automatiquement mettre en \u0153uvre diverses r\u00e9ponses \u00e0 celle-ci. Par exemple, les utilisateurs peuvent \u00eatre tenus d’effectuer des \u00e9tapes d’authentification suppl\u00e9mentaires ou d’\u00eatre soumis \u00e0 des politiques de s\u00e9curit\u00e9 plus strictes. Au cours de l’enqu\u00eate, les utilisateurs peuvent \u00e9galement \u00eatre soumis \u00e0 des restrictions temporaires con\u00e7ues pour g\u00e9rer le risque jusqu’\u00e0 ce qu’un verdict soit atteint.<\/p>\n\n\n\n Les syst\u00e8mes d’analyse comportementale ont besoin d’acc\u00e9der \u00e0 des signaux de grande valeur pour aider \u00e0 identifier les menaces et les diff\u00e9rencier d’activit\u00e9s anormales mais b\u00e9nignes. Quelques exemples de donn\u00e9es qui devraient \u00eatre collect\u00e9es \u00e0 l’\u00e9chelle de l’entreprise incluent :<\/p>\n\n\n\n Avec ces sources de donn\u00e9es, les syst\u00e8mes d’IA peuvent identifier des syst\u00e8mes comportementaux de grande valeur, tels que l’acc\u00e8s en dehors des heures de travail, des combinaisons de ressources inhabituelles, des t\u00e9l\u00e9chargements de donn\u00e9es excessifs ou un acc\u00e8s depuis des emplacements inhabituels. Ces informations peuvent \u00e9galement \u00eatre corr\u00e9l\u00e9es \u00e0 des cas d’utilisation courants d’insider, tels que l’exfiltration de donn\u00e9es, la reconnaissance discr\u00e8te, l’abus de privil\u00e8ges et les violations de politiques, pour d\u00e9terminer le risque et les impacts potentiels sur l’organisation.<\/p>\n\n\n\n Au niveau du r\u00e9seau et du cloud, l’IA a besoin d’acc\u00e9der \u00e0 diverses donn\u00e9es pour l’analyse comportementale. Les principales t\u00e9l\u00e9metries \u00e0 collecter incluent :<\/p>\n\n\n\n Combiner ces diff\u00e9rents points de donn\u00e9es peut aider \u00e0 reconstruire le parcours utilisateur d’un acteur de menace interne. Par exemple, un utilisateur peut demander l’acc\u00e8s \u00e0 des donn\u00e9es sensibles de l’entreprise, effectuer un t\u00e9l\u00e9chargement important, puis d\u00e9placer les donn\u00e9es vers un compte cloud personnel.<\/p>\n\n\n\n Assembler ces \u00e9l\u00e9ments n\u00e9cessite que l’IA ait acc\u00e8s \u00e0 des donn\u00e9es compl\u00e8tes et normalis\u00e9es. Si les donn\u00e9es ne sont pas normalis\u00e9es, manquent de contexte sur les utilisateurs et les appareils, ou pr\u00e9sentent des lacunes, alors les syst\u00e8mes d’IA peuvent n\u00e9gliger un incident potentiel.<\/p>\n\n\n\n L’identit\u00e9 est une partie fondamentale de la d\u00e9tection des menaces internes. Certains des signaux cl\u00e9s incluent :<\/p>\n\n\n\n Avec ces donn\u00e9es d’identit\u00e9, les syst\u00e8mes d’IA peuvent ajuster dynamiquement les scores de risque en fonction de la menace per\u00e7ue qu’un utilisateur repr\u00e9sente pour l’entreprise. Par exemple, de nombreuses tentatives de connexion \u00e9chou\u00e9es ou des changements de privil\u00e8ges juste avant l’acc\u00e8s \u00e0 des donn\u00e9es ou des applications sensibles repr\u00e9sentent un risque accru. De m\u00eame, des \u00e9v\u00e9nements inhabituels, tels que des tentatives d’acc\u00e8s depuis de nouveaux appareils ou emplacements, devraient augmenter le score de risque.<\/p>\n\n\n\n Les signaux de pr\u00e9vention de la perte de contenu et de donn\u00e9es (DLP) se concentrent sur les ressources que pourrait cibler une menace interne. Les signaux courants incluent :<\/p>\n\n\n\n Avec des bases de r\u00e9f\u00e9rence en place, une IA peut aider \u00e0 identifier les premiers signes d’exfiltration et \u00e0 les diff\u00e9rencier d’une utilisation l\u00e9gitime et normale. Par exemple, un syst\u00e8me pourrait constater qu’un utilisateur a effectu\u00e9 des t\u00e9l\u00e9chargements significatifs de donn\u00e9es sensibles peu avant sa d\u00e9mission ou juste apr\u00e8s son licenciement.<\/p>\n\n\n\n Le contexte des politiques peut \u00e9galement jouer un r\u00f4le significatif, o\u00f9 des actions peuvent \u00eatre autoris\u00e9es m\u00eame si elles sont consid\u00e9r\u00e9es comme \u00ab\u00a0risqu\u00e9es\u00a0\u00bb. Par exemple, un utilisateur peut \u00eatre autoris\u00e9 \u00e0 t\u00e9l\u00e9charger de grands volumes de donn\u00e9es \u00e0 partir de la base de donn\u00e9es clients ; cependant, le fait de le faire augmente son score de risque et la probabilit\u00e9 d’une enqu\u00eate.<\/p>\n\n\n\n Le mod\u00e8le de s\u00e9curit\u00e9 Zero Trust est ax\u00e9 sur la gestion de l’exposition au risque en \u00e9liminant la confiance implicite au sein d’une organisation. Cela s’aligne bien avec la d\u00e9tection des menaces internes, puisque les personnes internes sont g\u00e9n\u00e9ralement celles qui sont implicitement dignes de confiance pour l’entreprise.<\/p>\n\n\n\n Le SASE soutient la d\u00e9tection des menaces internes pilot\u00e9e par l’IA en offrant les donn\u00e9es n\u00e9cessaires pour identifier les menaces et les outils n\u00e9cessaires pour appliquer des contr\u00f4les d’acc\u00e8s au moindre privil\u00e8ge et des politiques de s\u00e9curit\u00e9 d’entreprise. Une visibilit\u00e9 centralis\u00e9e sur les op\u00e9rations du r\u00e9seau d’entreprise am\u00e9liore la d\u00e9tection des menaces, et des outils tels que la v\u00e9rification continue et la segmentation du r\u00e9seau offrent la capacit\u00e9 de surveiller en continu les sessions des utilisateurs et d’intervenir lorsque le risque devient trop \u00e9lev\u00e9.<\/p>\n\n\n\nComment les menaces internes \u00e9voluent-elles dans les environnements SASE modernes ?<\/h2>\n\n\n\n
Quels types de menaces internes sont les plus importants aujourd’hui ?<\/h3>\n\n\n\n
\n
Pourquoi les menaces internes sont-elles difficiles \u00e0 d\u00e9tecter avec des outils traditionnels ?<\/h3>\n\n\n\n
Comment SASE am\u00e9liore-t-il la visibilit\u00e9 des risques internes ?<\/h3>\n\n\n\n
Qu’est-ce que la d\u00e9tection des menaces internes pilot\u00e9e par l’IA en pratique ?<\/h2>\n\n\n\n
Comment fonctionnent les bases de r\u00e9f\u00e9rence comportementales et la d\u00e9tection des anomalies ?<\/h3>\n\n\n\n
Le r\u00f4le de l’analyse comportementale des utilisateurs et des entit\u00e9s (UEBA)<\/h3>\n\n\n\n
Comment les \u00e9quipes de s\u00e9curit\u00e9 op\u00e9rationnalisent-elles les insights g\u00e9n\u00e9r\u00e9s par l’IA ?<\/h3>\n\n\n\n
Quels signaux comportementaux et sources de donn\u00e9es sont les plus importants ?<\/h2>\n\n\n\n
\n
Quelle t\u00e9l\u00e9m\u00e9trie r\u00e9seau et cloud l’IA n\u00e9cessite-t-elle ?<\/h3>\n\n\n\n
\n
Comment les signaux d’identit\u00e9 et d’acc\u00e8s fa\u00e7onnent-ils les scores de risque interne ?<\/h3>\n\n\n\n
\n
Quel r\u00f4le jouent les signaux de pr\u00e9vention de la perte de contenu et de donn\u00e9es ?<\/h3>\n\n\n\n
\n
Comment la d\u00e9tection des menaces internes pilot\u00e9e par l’IA s’int\u00e8gre dans le SASE et le Zero Trust<\/h2>\n\n\n\n
Comment les principes du Zero Trust soutiennent les programmes de menaces internes.<\/h3>\n\n\n\n