L’IA et l’automatisation peuvent-elles gérer correctement les menaces croissantes qui pèsent sur le paysage de la cybersécurité ?
Si l’IA générative s’est avérée utile pour détecter les menaces de cybersécurité, elle devient également de plus en plus un outil utile pour les pirates informatiques et les cybercriminels.
Les organisations se tournent vers l’automatisation et l’intelligence artificielle (IA) pour faire face à un paysage de menaces complexe et en expansion. Cependant, si elle n’est pas correctement gérée, cette situation peut présenter certains inconvénients.
Dans une interview vidéo avec ZDNET, Daniel dos Santos, directeur principal de la recherche en sécurité au Vedere Lab de Forescout, a déclaré que l'IA générative (gen AI) permet de donner un sens à un grand nombre de données d'une manière plus naturelle qu'il n'était auparavant possible sans l'IA et l'automatisation.
Les modèles d'apprentissage automatique et d'IA sont formés pour aider les outils de sécurité à catégoriser les variantes de logiciels malveillants et à détecter les anomalies, a déclaré Juraj Malcho, CTO d'ESET.
Malcho a exprimé la nécessité d'une modération manuelle pour réduire davantage les menaces en purgeant les données et en saisissant des ensembles de données plus propres pour former en continu des modèles d'IA dans une interview avec ZDNET.
Il aide les équipes de sécurité à faire face à l'assaut des données, et la multitude de systèmes, notamment les pare-feu, les équipements de surveillance des réseaux et les systèmes de gestion des identités, collectent et génèrent des données à partir d'appareils et de réseaux.
Tous ces éléments, y compris les alertes, deviennent plus faciles à comprendre et plus explicables grâce à la génération AI, a déclaré dos Santos.
Par exemple, les outils de sécurité peuvent non seulement déclencher une alerte en cas d'attaque malveillante potentielle, mais également exploiter le traitement du langage naturel pour expliquer où un modèle similaire a pu être identifié lors d'attaques précédentes et ce que cela signifie lorsqu'il est détecté sur votre réseau, a-t-il noté.
"Il est plus facile pour les humains d'interagir avec ce type de narration qu'avant, où elle comprend principalement des données structurées en gros volumes", a-t-il déclaré. La génération AI résume désormais ces données en informations significatives et utiles pour les humains assis derrière l'écran, a déclaré dos Santos.
Malcho a ajouté que la technologie d'IA permet aux ingénieurs SOC (centre d'opérations de sécurité) de prioriser et de se concentrer sur des problèmes plus importants.
Cependant, la dépendance croissante à l’égard de l’automatisation aura-t-elle pour conséquence de rendre les humains inexpérimentés dans la reconnaissance des anomalies ?
Dos Santos a reconnu qu'il s'agissait d'une préoccupation valable, mais a noté que le volume des attaques ne ferait que croître, parallèlement aux données et aux appareils à protéger. "Nous allons avoir besoin d'une sorte d'automatisation pour gérer cela et l'industrie s'y dirige déjà", a-t-il déclaré.
"Cependant, vous aurez toujours besoin d'humains au courant pour prendre des décisions et déterminer s'ils doivent répondre à [une alerte]."
Il a ajouté qu’il serait irréaliste de s’attendre à ce que les équipes de sécurité continuent de compter jusqu’à 50 ou 100 personnes pour suivre le rythme. « Il y a une limite à la façon dont les organisations dotent leurs SOC, il est donc nécessaire de se tourner vers les outils d'IA et d'IA de génération pour obtenir de l'aide », a-t-il déclaré.
Il a souligné que l'instinct humain et des professionnels de la sécurité qualifiés seront toujours nécessaires dans les SOC pour garantir que les outils fonctionnent comme prévu.
En outre, avec l'augmentation du volume des attaques de cybersécurité et des données, il est toujours possible pour les professionnels humains d'élargir leurs connaissances afin de mieux gérer ce paysage de menaces, a-t-il déclaré.
Malcho est du même avis, ajoutant que cela devrait inciter les cadres moins qualifiés à acquérir de nouvelles qualifications pour ajouter de la valeur et prendre de meilleures décisions, et non pas simplement consommer aveuglément les signaux générés par l'IA et les outils d'automatisation.
Les ingénieurs SOC doivent encore examiner une combinaison de différents signaux pour relier les points et avoir une vue d’ensemble, a-t-il noté.
"Vous n'avez pas besoin de savoir comment fonctionne le malware ou quelle variante est générée. Ce dont vous avez besoin, c'est de comprendre comment les acteurs malveillants se comportent", a-t-il déclaré.
Cependant, une automatisation accrue peut entraîner le risque de déploiement de codes ou de correctifs de sécurité mal configurés et de faire tomber des systèmes critiques, comme ce fut le cas lors de la panne de CrowdStrike en juillet.
La panne mondiale s'est produite après que CrowdStrike a poussé une "mise à jour de configuration du capteur" boguée aux systèmes Windows exécutant son logiciel Falcon Sensor. Bien qu'elle ne soit pas elle-même un pilote du noyau, la mise à jour communique avec d'autres composants du capteur Falcon qui s'exécutent dans le même espace que le noyau Windows, ou le niveau le plus privilégié sur un PC Windows, où ils interagissent directement avec la mémoire et le matériel, selon ESET. .
CrowdStrike a déclaré qu'une "erreur logique" dans le code avait provoqué le crash des systèmes Windows quelques secondes après leur démarrage, affichant "l'écran bleu de la mort". Microsoft avait estimé que la mise à jour affectait 8,5 millions d'appareils Windows.
En fin de compte, ce qui souligne la nécessité pour les organisations, quelle que soit leur taille, de tester leur infrastructure et de mettre en place plusieurs dispositifs de sécurité, a déclaré Jake Moore, conseiller en sécurité mondiale d'ESET, dans un commentaire suite à la panne de CrowdStrike. Il a noté que les mises à niveau et la maintenance des systèmes peuvent involontairement inclure de petites erreurs aux conséquences étendues, comme le montre l'incident de CrowdStrike.
Moore a souligné l'importance de la « diversité » dans l'utilisation des infrastructures informatiques à grande échelle, y compris les systèmes d'exploitation et les outils de cybersécurité. "Là où la diversité est faible, un seul incident technique -- sans parler d'un problème de sécurité -- peut conduire à des pannes à l'échelle mondiale avec des répercussions ultérieures", a-t-il déclaré.
L'application de procédures appropriées est toujours importante dans l'automatisation
En termes simples, les processus d'automatisation appropriés n'ont probablement pas été mis en œuvre, a déclaré Malcho.
Les codes, y compris les correctifs, doivent être révisés après avoir été écrits et testés en interne. Ils devraient être mis en bac à sable et segmentés du réseau plus large pour garantir davantage leur sécurité à déployer, a-t-il déclaré. Le déploiement devrait alors se faire progressivement, a-t-il ajouté.
Dos Santos a fait écho à la nécessité pour les éditeurs de logiciels de procéder aux « tests les plus stricts » et de s'assurer que des problèmes ne surgissent pas. Il a toutefois souligné qu’aucun système n’est infaillible et que certaines choses peuvent passer entre les mailles du filet.
L'épisode CrowdStrike devrait encore souligner la nécessité pour les organisations qui déploient des mises à jour de le faire de manière plus contrôlée, a-t-il déclaré. Par exemple, les correctifs peuvent être déployés en sous-ensembles, et non sur tous les systèmes en même temps, même si le correctif de sécurité est étiqueté comme critique.
"Vous avez besoin de processus pour garantir que les mises à jour sont effectuées de manière testable. Commencez petit et évoluez une fois les tests [vérifiés]", a-t-il ajouté.
Prenant l'exemple du secteur aérien, les incidents font l'objet d'enquêtes sérieuses afin que les faux pas puissent être identifiés et évités à l'avenir. Des politiques similaires devraient être mises en place pour le secteur de la cybersécurité, où chacun devrait partir du principe que la sécurité est primordiale, a déclaré dos Santos.
Il a appelé à davantage de responsabilité : les organisations qui commercialisent des produits manifestement dangereux et qui ne respectent pas les bonnes normes de sécurité devraient être dûment punies. Les gouvernements devront déterminer comment cela doit être fait, a-t-il souligné.
"Il faut plus de responsabilité. Nous ne pouvons pas simplement accepter des conditions de licence qui permettent à ces organisations de dire qu'elles ne sont responsables de rien", a-t-il déclaré. Les utilisateurs devraient également être sensibilisés à la manière d'améliorer leur posture de sécurité de base, par exemple en modifiant les mots de passe par défaut sur les appareils, a-t-il ajouté.
Bien utilisées, l’IA et l’automatisation sont des outils nécessaires qui permettront aux équipes de cybersécurité de gérer ce qui serait autrement un environnement de menace impossible à gérer, a déclaré Malcho.
Et s’ils n’utilisent pas déjà ces outils, les cybercriminels ont une longueur d’avance.
Les acteurs menaçants utilisent déjà la génération AI
Dans un rapport publié ce mois-ci, OpenAI a confirmé que les acteurs malveillants utilisent ChatGPT dans leur travail. Depuis début 2024, le développeur de gen AI a arrêté au moins 20 opérations dans le monde qui tentaient d’utiliser ses modèles. Celles-ci allaient du débogage de logiciels malveillants à la génération de contenu pour de faux personnages sur les réseaux sociaux.
"Ces cas nous permettent de commencer à identifier les manières les plus courantes par lesquelles les acteurs de la menace utilisent l'IA pour tenter d'augmenter leur efficacité ou leur productivité", a déclaré OpenAI. Ces pirates malveillants utilisaient souvent des modèles OpenAI pour effectuer des tâches dans une « phase d'activité intermédiaire spécifique » après avoir acquis des outils de base, tels qu'un accès Internet et des comptes de réseaux sociaux, mais avant de déployer des produits « finis », tels que des publications sur les réseaux sociaux ou des logiciels malveillants via diverses chaînes.
Par exemple, un acteur malveillant baptisé « STORM-0817 » a utilisé les modèles ChatGPT pour déboguer son code, tandis qu'une opération secrète OpenAI baptisée « A2Z » a utilisé ses modèles pour générer des biographies pour les comptes de réseaux sociaux.
OpenAI a ajouté qu’elle avait perturbé fin août une opération iranienne secrète qui avait généré des commentaires sur les réseaux sociaux et de longs articles sur les élections américaines ainsi que sur le conflit à Gaza et sur la politique occidentale à l’égard d’Israël.
Les entreprises remarquent l'utilisation de l'IA dans les cyberattaques, selon une étude mondiale publiée ce mois-ci par Keeper Security, qui a interrogé plus de 800 responsables informatiques et de sécurité.
Quelque 84 % ont déclaré que les outils basés sur l'IA ont rendu les attaques de phishing et de smishing plus difficiles à détecter, ce qui a incité 81 % d'entre eux à mettre en œuvre des politiques d'employés concernant l'utilisation de l'IA.
51 % d'entre eux considèrent les attaques basées sur l'IA comme la menace la plus sérieuse à laquelle est confrontée leur organisation, et 35 % admettent qu'ils sont les moins préparés à lutter contre de telles menaces, par rapport à d'autres types de cyberattaques.
En réponse, 51 % ont déclaré avoir intégré le cryptage des données dans leurs stratégies de sécurité, tandis que 45 % cherchent à améliorer leurs programmes de formation pour guider les employés, par exemple, dans l'identification et la réponse aux menaces basées sur l'IA. 41 % supplémentaires investissent dans des systèmes avancés de détection des menaces.
Les résultats d'un rapport de Sophos de septembre 2024 ont révélé des inquiétudes concernant les menaces de sécurité basées sur l'IA, 73 % des personnes interrogées désignant les attaques de cybersécurité renforcées par l'IA comme la menace en ligne qui les inquiète le plus. Ce chiffre était le plus élevé en Inde, où près de 90 % des personnes interrogées ont cité les attaques basées sur l'IA comme leur principale préoccupation, suivie de 85 % aux Philippines et de 78 % à Singapour, selon l'étude, qui a basé ses recherches sur 900 entreprises réparties dans six pays d'Asie. Marchés du Pacifique, notamment l’Australie, le Japon et la Malaisie.
Alors que 45 % estiment disposer des compétences nécessaires pour faire face aux menaces liées à l’IA, 50 % envisagent d’investir davantage dans des services de sécurité gérés par des tiers. Parmi ceux qui envisagent d'augmenter leurs dépenses dans de tels services gérés, 20 % ont déclaré que leurs investissements augmenteraient de plus de 10 %, tandis que les autres tablent sur une augmentation comprise entre 1 % et 10 %.
Environ 22 % estiment avoir mis en place une stratégie globale d’IA et d’automatisation, et 72 % indiquent qu’ils ont un employé chargé de diriger leur stratégie et leurs efforts en matière d’IA.
Pour combler la pénurie de compétences en IA, 45 % ont déclaré qu'ils sous-traiteraient à des partenaires, tandis que 49 % prévoient de former et de développer des compétences en interne et auront besoin de partenaires pour soutenir la formation et l'éducation.
En moyenne, 20 % font actuellement appel à un seul fournisseur pour leurs besoins en matière de cybersécurité, tandis que 29 % en utilisent deux et 23 % en utilisent trois. Environ 10 % utilisent des outils d'au moins cinq fournisseurs de sécurité.
Cependant, des outils peu performants et une faille de sécurité ou une panne majeure impliquant des fournisseurs de services tiers sont les principales raisons pour lesquelles les organisations envisageront de changer de fournisseur ou de stratégie de cybersécurité.
De plus, 59 % ne feront « certainement » ou « probablement » pas appel à un fournisseur tiers ayant subi un incident ou une violation de sécurité. Quelque 81 % prendront en compte les fournisseurs qui ont fait l'objet d'une violation s'il existe des clauses supplémentaires liées aux performances et aux accords de niveau spécifiques.