Apprentissage automatique comme un détective intelligent : les données d’intelligence dont vous avez besoin

Sans les soi-disant données d’intelligence des menaces, ou CTI (abréviation de cyber threat intelligence), les experts avertissent que vous ne pouvez rien faire en ce qui concerne la défense de vos systèmes et de vos données. Mais qu’est-ce que l’intelligence des menaces, et quels sont actuellement les meilleurs outils pour se défendre contre les cyberattaques ?

Au départ, il convient d’expliquer ce que signifie l’intelligence des menaces et le CTI, comme le suggère Mate Matijašević, un analyste en cybersécurité chez l’entreprise informatique Span. L’intelligence des menaces est, dit-il, une partie de la profession d’intelligence plus large qui englobe divers types de menaces, mais contrairement à elle, le CTI se concentre sur les menaces cybernétiques et traite principalement de l’analyse des incidents et des tactiques et techniques d’attaque. La qualité du produit d’intelligence dépend directement de la définition des besoins.

– Dans la phase initiale du cycle CTI, qui dirige toutes les activités suivantes, nous sommes guidés par la philosophie selon laquelle une question bien posée est à moitié réponse. Malheureusement, il arrive parfois que le produit d’intelligence ne réponde pas aux besoins du client précisément parce que le processus de définition des besoins n’a pas été correctement effectué, explique Matijašević.

Encore mystique en Croatie

Dans les cercles professionnels, les termes l’intelligence des menaces et CTI impliquent un produit d’intelligence, ou un ensemble d’informations analytiques ou de rapports. D’autre part, il continue, l’intelligence des menaces implique également une fonction, ou un cycle d’intelligence qui nous mène au produit d’intelligence. En bref, le CTI au sens large représente la collecte et l’analyse de données et d’informations sur les activités d’attaque – afin que nous puissions les utiliser pour construire une meilleure défense. Dans CARNET, ils expliquent qu’il s’agit de menaces cybernétiques potentielles ou actuelles, englobant des données telles que : indicateurs de compromission (IOC), données sur les adresses IP malveillantes, domaines, URL, techniques d’attaque, tactiques et procédures, etc.

Il existe des entreprises qui recherchent activement des informations sur les menaces qui sont souvent partagées au sein de la communauté de la sécurité, disent-ils dans CARNET. Malgré cela, Matijašević note que le CTI est encore un phénomène relativement frais et quelque peu mystique dans nos régions, donc le terme est sujet à diverses interprétations, souvent incomplètes, comme la notion que ‘le CTI représente une liste d’indicateurs malveillants.’ Par conséquent, il suggère une communication directe avec le client pour éviter le ‘jeu du téléphone’, et une autre phase critique du cycle CTI est la phase de diffusion – l’activité de création et de partage de rapports.

– Un produit d’intelligence de qualité est finalement créé exclusivement selon les besoins des utilisateurs définis dans la phase initiale du cycle. Plus précisément, les types de rapports finaux dépendent de ces besoins, ainsi que des niveaux de prise de décision. Ces différents types sont connus sous le nom d’intelligence stratégique, intelligence opérationnelle, et intelligence tactique, déclare Matijašević.

Un cas d’un magasin en ligne

Et tout cela est discuté par Ante Marić, un spécialiste junior en cybersécurité chez l’entreprise informatique Duplico, qui souligne que les entreprises s’appuient de plus en plus sur des techniques avancées d’analyse d’intelligence des menaces pour se protéger. Il cite un exemple intéressant de la façon dont l’analyse d’intelligence des menaces fonctionne pour un magasin en ligne. Ainsi, le magasin en ligne a remarqué des activités inhabituelles sur son site web – un nombre accru de tentatives de connexion échouées à l’interface administrative. Par conséquent, ils décident de ne pas rester les bras croisés et d’attendre que le problème se résolve de lui-même, mais commencent à rassembler des informations supplémentaires pour mieux comprendre ce qui se passe.

– Leurs analystes utilisent diverses sources de données, y compris des journaux d’activité internes et des rapports de sécurité externes, pour trouver la menace. Ils découvrent qu’il existe une campagne malveillante ciblant les magasins en ligne dans laquelle l’attaquant se comporte comme un kidnappeur tenant le système en otage et empêchant son utilisation. Pendant ce temps, ils utilisent la méthode de force brute pour craquer les mots de passe. Sur la base des informations collectées, l’entreprise prend des mesures concrètes pour protéger son application en ligne. Ils changent proactivement les mots de passe de tous les utilisateurs et mettent en œuvre une authentification à plusieurs facteurs pour tous les comptes utilisateurs. Un blocage géographique est également introduit pour se connecter à l’application, permettant des connexions uniquement depuis des pays sûrs, explique Marić.

Il ajoute que les experts en cybersécurité de Duplico surveillent quotidiennement les événements actuels et rassemblent les dernières données d’intelligence sur les menaces de sécurité, les vulnérabilités et les logiciels malveillants. Dans CARNET, ils soulignent que les données existantes sont souvent utilisées pour créer des adresses IP malveillantes ou des URL qui sont exploitées pour le scan de sécurité du trafic réseau. Ils disent que s’ils remarquent qu’un appareil du réseau CARNET communique avec une adresse IP malveillante, ils peuvent l’isoler et vérifier s’il s’agit d’une compromission qui doit être traitée.

– Parfois, les fabricants découvrent des vulnérabilités dans leurs systèmes, et avec des correctifs, ils émettent des indicateurs de compromission (IOC), que les administrateurs peuvent utiliser pour vérifier si leur système a été compromis. De plus, les indicateurs de compromission peuvent être entrés dans le système pour la reconnaissance des vulnérabilités ou définis sur divers services qui envoient des informations sur les indicateurs aux entreprises antivirus, déclarent-ils dans CARNET.

Comment cela se déroule

Matijašević ajoute que la chasse aux menaces est menée en formulant une hypothèse sur une attaque exécutée inspirée par des informations sur les tactiques et techniques d’attaque, puis une enquête est menée pour confirmer ou infirmer l’hypothèse.

– Un exemple similaire peut être utilisé à des fins de test de sécurité, comme le red teaming, où des informations sur les tactiques, techniques, et procédures (TTP) sont utilisées pour émuler de réelles menaces. Au niveau de la prise de décision stratégique, le CTI aide à planifier l’architecture de sécurité. Par exemple, en obtenant un aperçu des tendances et du paysage des menaces – les individus occupant des rôles de CISO ont l’opportunité d’optimiser l’allocation des ressources défensives selon les besoins et priorités réels, dit Matijašević.

Quels sont actuellement les meilleurs outils pour se défendre contre les cyberattaques, nous demandons-nous, et il dit que cela dépend principalement des besoins spécifiques, mais aussi des capacités, et il est souhaitable que ces outils aient la capacité de s’intégrer facilement avec d’autres outils pour créer un système de sécurité adapté au modèle bien connu de protection en couches. Marić mentionne plusieurs outils particulièrement importants, tels que les outils SIEM qui collectent de grandes quantités de données sur les événements se produisant sur les ordinateurs, serveurs, réseaux et applications. Cela inclut des événements tels que des tentatives de connexion, des changements de configuration système ou la détection d’activités suspectes.

– Ce qui rend le SIEM particulièrement utile, c’est qu’il peut corréler différents types de données et détecter des modèles qui sont inhabituels. En visualisant ces données, le SIEM peut alerter le personnel informatique sur des événements suspects. Contrairement au SIEM, la Threat Intelligence Platform (TIP) collecte des informations provenant de diverses sources sur Internet concernant les menaces cybernétiques connues. Cela peut inclure des informations sur des virus, des logiciels malveillants, des groupes de hackers attaquant des organisations dans des secteurs spécifiques, etc., explique Marić.

Comme le conclut Marić,’les organisations ont souvent beaucoup d’informations telles que des transactions, des retours d’utilisateurs ou des données de trafic web. L’exploration de données utilise diverses astuces pour identifier des informations essentielles parmi les données. Après l’exploration de données, l’apprentissage automatique entre en jeu, agissant comme un détective intelligent car il apprend des données collectées. Il analyse les modèles identifiés, les identifiants, les anomalies et les connexions et les applique pour développer des modèles qui peuvent prédire des événements futurs ou prendre des décisions.’