IsoEx - Une approche d'investigation cybernétique basée sur l'IA
39 secondes. C'est le laps de temps entre deux cyberattaques consécutives en 2023. Ce qui signifie que le temps que vous finissiez de lire ces quelques phrases, environ 1 ou 2 cyberattaques supplémentaires se seraient produites quelque part dans le monde.
Dans ce contexte de fréquence fortement accrue des cybermenaces, les Centres d'Opérations de Sécurité (SOC) et les Équipes d'Intervention d'Urgence Informatique (CERT) peuvent être débordés. Afin de soulager les équipes de cybersécurité dans leurs efforts d'investigation et de les aider à se concentrer sur des tâches à plus forte valeur ajoutée, des approches et méthodes d'apprentissage automatique ont commencé à émerger.
IsoEx est une nouvelle méthode développée - par Ismaïl ALAOUI et Pierre LAVIEILLE (deux consultants de notre équipe) - pour détecter les lignes de commande anormales et potentiellement problématiques lors de l'investigation d'appareils contaminés. IsoEx est construite autour d'un ensemble de fonctionnalités qui exploitent la structure des logs de la ligne de commande, ainsi que sa relation parent/enfant, pour atteindre une précision supérieure aux méthodes traditionnelles.
Pour détecter les anomalies, IsoEx a recours à une technique de détection d'anomalies non supervisée, à la fois très sensible et légère. Une caractéristique clé de la méthode est son accent sur l'interprétabilité, obtenue grâce aux fonctionnalités elles-mêmes et à l'application de techniques et de visualisations d'Intelligence Artificielle Explicable (XAI). Ceci est essentiel pour assurer l'adoption de la méthode par les équipes SOC et CERT, car Ismaïl et Pierre soutiennent dans leurs recherches que la littérature actuelle sur l'apprentissage automatique pour l'investigation des logs n'a pas suffisamment abordé la question de l'explicabilité. Cette méthode a prouvé son efficacité dans un environnement réel, ayant été conçue pour soutenir le SOC et le CERT d'une entreprise.
Pour en savoir plus sur cette méthode, vous pouvez accéder à l'article complet en cliquant ici
