Comment le deep learning peut retenir le flot de faux positifs ?

Les alertes générées par ces outils arrivent le plus souvent dans la boîte de réception d’analystes de centres d’opérations de sécurité (SOC) extrêmement surchargés, qui doivent ensuite les évaluer manuellement.

Dans de nombreux cas, les outils de gestion des informations et des événements de sécurité (SIEM) qui regroupent les données sur les menaces et les transforment en alertes ne fournissent que peu de contexte, ce qui oblige les équipes à essayer de suivre un déluge constant d’alertes sans aucun moyen de les hiérarchiser.

Les équipes reçoivent souvent des milliers d’alertes par jour, bien plus qu’il n’est humainement possible d’en traiter.

Ce problème est aggravé par le fait que la plupart, voire la totalité, de ces alertes s’avèrent être des faux positifs.

Les faux positifs sont des alertes qui ne correspondent pas à une menace réelle pour l’organisation. Ils sont généralement dus au fait que l’outil d’analyse n’est pas suffisamment fidèle ou que des indicateurs légitimes ressemblent de près à des signatures de menaces connues.

Les faux positifs constituent une crise croissante pour de nombreuses organisations, augmentant leur exposition au risque et consommant une quantité disproportionnée de temps et de ressources précieuses.

Quelle est l’ampleur du problème et que peut-on faire pour y remédier ?

Outre le risque de sécurité plus évident, cette situation favorise également un environnement de travail extrêmement négatif pour le personnel de sécurité. 90 % des personnes interrogées dans le cadre de cette enquête* ont déclaré que les faux positifs contribuaient à la démoralisation du personnel.

En effet, les analystes passent une grande partie de la journée à effectuer un travail manuel répétitif et de faible valeur. Une équipe démoralisée est également plus susceptible de passer à côté de menaces réelles. Ce que l’on appelle souvent la fatigue des alertes.

La fatigue des alertes est l’une des principales causes du problème de l’épuisement professionnel dans le secteur de la sécurité, et il est courant de constater que les analystes ne restent dans une fonction que 12 à 24 mois avant de chercher un autre emploi ou de quitter complètement le secteur.

Si la plupart des organisations utilisent actuellement le machine learning pour alimenter leurs analyses et automatiser les processus de sécurité, il présente plusieurs failles que les criminels commencent à exploiter.

En particulier, les outils traditionnels de machine learning sont susceptibles d’être manipulés avec des ensembles de données “empoisonnées” créés par un autre outil d’apprentissage automatique. Ces ensembles alimentent la solution en “mauvaises données”, l’entraînant subtilement à ignorer les véritables données de menace et à créer des faux négatifs derrière lesquels les attaquants peuvent se cacher.

Les outils de Machine Learning sont aussi généralement tributaires des flux de données provenant des outils anti-virus, de détection et de réponse aux points d’accès (EDR) et d’autres outils de sécurité.

Cela signifie qu’ils ne peuvent que réagir aux menaces, plutôt que de les prévoir, ce que les adversaires sont de plus en plus capables d’exploiter avec des attaques conçues pour faire leurs dégâts avant qu’elles ne puissent être détectées.

Ces failles sont résolues par le deep learning (DL). Bien qu’il partage le même principe de base que le ML, le DL va encore plus loin puisqu’il est capable de prendre des décisions non supervisées permettant d’identifier les fichiers comme bénins ou malveillants de manière autonome.

La solution commence par former des centaines de millions de fichiers bruts jusqu’à ce qu’elle puisse différencier les bonnes données des mauvaises de manière indépendante. Une fois appliquée à une pile de sécurité, cela lui permet d’aller au-delà de la simple réaction aux ensembles de données entrants et de commencer à anticiper le comportement des menaces.

Associé à cette capacité d’analyse prédictive, le deep learning a une vitesse de traitement fulgurante et peut identifier une violation potentielle en moins de 20 millisecondes, ce qui signifie que le nombre d’alertes reçues est réduit et que le risque de faux positifs est considérablement réduit.

Les entreprises qui souhaitent commencer à incorporer le deep learning dans leur stratégie de sécurité doivent examiner attentivement la manière dont la solution va interagir avec les processus existants, en déterminant ce qui sera amélioré et ce qui devra probablement être remplacé.

Une fois la technologie correctement intégrée dans la pile de sécurité, les équipes SOC bénéficieront d’une réduction immédiate du volume de faux positifs et d’autres alertes de bas niveau qui occupent leurs journées.

Mieux encore, l’entreprise sera en mesure de passer de la réaction aux attaques entrantes à la prédiction proactive et à l’arrêt de celles-ci avant qu’elles ne commencent. L’assaut des attaques ne montrant aucun signe de cessation, les entreprises devraient chercher à préparer l’avenir de leurs opérations pour se donner une chance de lutter contre les attaques connues et inconnues.

La nature proactive du deep learning pourrait leur donner le bouclier dont elles ont tant besoin pour dévier les attaques paralysantes qui se dirigent vers elles.