Comprendre l’évolution et l’impact de l’IA sur la cybersécurité

Le concept d’IA peut ressembler un peu à de la science-fiction futuriste, mais en vérité, l’IA simple existe depuis des décennies, et l’IA moderne et évoluée est toujours enracinée dans les mêmes éléments essentiels. Une façon de trier l’histoire de l’IA est de classer son évolution en trois vagues :

• IA basée sur des règles de première vague
• IA supervisée de deuxième vague
• IA non supervisée de troisième vague

À partir de ces descripteurs simplifiés, il est facile de conclure que l’IA la plus sophistiquée d’aujourd’hui est le résultat d’avancées axées sur une moindre dépendance humaine, qui a toujours été intrinsèquement affectée par des biais non intentionnels (et parfois intentionnels) et des erreurs humaines inévitables. Examinons de plus près chacune de ces phases évolutives du développement de l’IA.

IA de première vague

Les systèmes basés sur des règles sont exécutés sur des observations. Les premiers utilisateurs ont utilisé cette forme d’IA pour examiner les observations liées à des éléments tels que le trafic réseau et les actions des utilisateurs, sur la base de règles créées et appliquées manuellement par des opérateurs humains. Par exemple, un utilisateur peut établir une règle LOFT (Largest Outbound File Transfer) qui déclenche des alertes en fonction d’une taille prédéterminée de fichiers sortant du réseau local. Une autre règle typique peut concerner un nombre plus élevé que prévu de tentatives de connexion infructueuses.

Ces règles ont du sens et les alertes créées par ces règles peuvent être utiles, mais cette approche est laborieuse, de portée assez limitée et susceptible de déclencher un grand nombre d’alertes qui correspondent à des comportements inhabituels, mais pas vraiment dangereux. Les analystes ne pourraient jamais espérer créer suffisamment de règles pour contourner les comportements courants, standard et acceptables qui surviennent fréquemment à divers points des réseaux d’entreprise très fréquentés.

Pour qu’un seuil LOFT soit correct, par exemple, un analyste aurait besoin de savoir à l’avance qu’un utilisateur spécifique envoie très rarement des fichiers d’une taille supérieure à une taille spécifique en dehors du réseau local, puis d’examiner manuellement les modèles de trafic et les tailles de fichier pour chaque utilisateur individuel sur le réseau. Pire encore, ces modèles d’utilisateurs sont susceptibles de changer à mesure que les responsabilités professionnelles changent pour un certain nombre de raisons, dont beaucoup sont totalement imprévisibles.

Malgré tous leurs efforts, les analystes coincés à travailler avec l’IA de première vague auraient du mal à réduire les faux positifs et, en fait, seraient plus susceptibles d’augmenter la charge au fil du temps, à mesure que les réseaux se développent et changent de manière organique parallèlement au flux naturel des affaires. L’IA de première vague est utile, jusqu’à un certain point, mais c’est plus utile en théorie en tant que solution globale de cybersécurité, en particulier dans les années 2020.

IA de deuxième vague

Plus tard au XXe siècle, l’IA est devenue plus avantageuse en tant qu’outil de cybersécurité grâce aux progrès de l’apprentissage automatique, un ensemble d’algorithmes mathématiques qui permettent de détecter des modèles dans les données. Plusieurs algorithmes d’apprentissage automatique sont devenus importants au cours des dernières décennies du 20e siècle, notamment :

• Réseaux de neurones profonds
• Soutenir les machines vectorielles
• Apprentissage bayésien

Contrairement aux systèmes basés sur des règles de première vague, l’IA d’apprentissage automatique utilise des données historiques sur le réseau pour déterminer les seuils des règles, ce qui réduit une grande partie de la dépendance à l’entrée et à l’analyse manuelles de l’homme. L’apprentissage automatique peut également analyser les écarts par rapport aux comportements de réseau précédemment observés.

La mise en garde, et c’est une grande mise en garde, est que l’énorme quantité de données circulant sur un réseau d’entreprise typique nécessite un effort d’apprentissage massif et coûteux en calculs qui peut prendre des mois ou des années. Pire encore, une fois l’apprentissage terminé, la dynamique du réseau a probablement changé, rendant ces mois ou années d’apprentissage incomplets.

Même si tout se passe comme prévu et qu’une solution de cybersécurité basée sur l’apprentissage automatique est relativement complète, la nature même du processus de cet apprentissage crée des angles morts inhérents et exploitables attrayants pour les mauvais acteurs prêts à rechercher ces vulnérabilités prévisibles. En d’autres termes, les acteurs malveillants apprenaient à utiliser l’apprentissage automatique aux côtés des fournisseurs de cybersécurité et ont pu rapidement intervenir et attaquer ces systèmes protégés par l’IA.

L’IA de deuxième vague dépasse de loin l’IA basée sur des règles de la première vague, mais les limites et les vulnérabilités inhérentes aux approches de deuxième vague ont fait de cette approche un statut hérité. Les cybercriminels modernes d’aujourd’hui sont beaucoup plus sophistiqués dans leurs approches qu’ils ne l’étaient il y a quelques décennies, mais ces solutions apparaissent encore fréquemment sur le marché de la cybersécurité.

IA de troisième vague

La nature dynamique des réseaux d’entreprise n’a fait que gagner en importance depuis les débuts de la cybersécurité basée sur l’IA. Il n’est pas étonnant que les solutions de deuxième vague aient échoué à plusieurs reprises face aux attaques d’acteurs malveillants ultra-rapides brandissant de nouveaux déploiements zéro jour. La bonne nouvelle est que la troisième vague d’IA est vivante et prospère.

L’IA de troisième vague est basée sur un modèle génératif de dynamique créé dans un environnement non supervisé. En termes simples, l’IA de troisième vague vit sur un réseau et développe une compréhension globale des comportements attendus et inattendus mais acceptables.

Dès les 5 premières minutes de son déploiement, MixMode utilise une IA non supervisée pour apprendre, sans s’appuyer sur des données historiques. La plate-forme s’adapte en permanence aux changements dynamiques de quantités massives de données réseau et cloud de manière efficace sur le plan informatique, sur la base d’algorithmes mathématiques inventés au cours de ce siècle. MixMode représente un changement radical dans la sécurité du réseau.

Supervisé vs non supervisé

Comme nous l’avons mentionné, MixMode représente une approche d’apprentissage automatique non supervisée par rapport à une approche supervisée. Décomposons la différence :

L’apprentissage supervisé repose sur des données historiques étiquetées

L’apprentissage non supervisé gère lui-même la classification

Dans une approche d’apprentissage automatique supervisé, les humains créent des étiquettes en tant qu’entrées d’un algorithme qui est ensuite formé pour reconnaître les modèles étiquetés (encore une fois, tels que déterminés par les humains). L’algorithme est nécessaire pour reconnaître les données nouvellement acquises comme étant d’un type spécifique qui était déjà présent dans les données historiques mais, surtout, seulement données historiquement présentes. Un exemple typique est la reconnaissance d’images facilitée par des environnements de réseaux de neurones profonds, qui peuvent reconnaître des objets dans de nouvelles images basées sur des objets similaires dans des images étiquetées sur lesquelles il a été formé.

En revanche, l’apprentissage non supervisé classe les objets qu’il voit dans les données avec ses propres étiquettes internes en utilisant une approche assez similaire à l’apprentissage humain organique. Considérez que même un bébé reconnaîtra un chat qui passe comme une chose qui bouge, le différenciant d’un environnement de fond statique. Les bébés peuvent même noter des caractéristiques spécifiques, telles que le chat ayant 4 pattes, des moustaches, des oreilles, des yeux et une longue queue. Les jeunes bébés ne savent pas que cet objet est lié à une étiquette appelée chat, mais ils en apprennent encore beaucoup sur les chats. La clé ici est d’établir une ligne de base (le fond statique) et la déviation (le mouvement de l’objet).

Le paysage des menaces modernes comprend un ensemble en constante évolution d’écarts non étiquetés sous la forme de menaces du jour zéro et de modifications de menaces bien connues. L’IA non supervisée permet de devancer ces menaces, mais trop souvent, les offres des fournisseurs dans ce domaine incluent l’utilisation d’algorithmes insuffisants et prêts à l’emploi (tels que les algorithmes de clustering) et s’appuient toujours sur d’énormes magasins de données pour fournir toute mesure. de la protection du monde réel.

MixMode exploite le véritable potentiel de l’IA de troisième vague

MixModes non supervisé, l’IA de troisième vague calcule les modèles d’interaction sur de nombreuses échelles de temps différentes, en les comparant au cours de l’intervalle de 5 minutes suivant avec ce qui a été vu précédemment. Si les modèles s’écartent, la plate-forme effectue une évaluation du risque de sécurité impliqué dans cet écart et le présente à l’utilisateur.

Même si une menace est, en effet, une tentative du jour zéro, la nature non supervisée des algorithmes d’apprentissage dynamique MixModes peut la reconnaître. Et, si la plate-forme détermine un faible risque, les analystes ne sont pas bombardés d’un déluge d’informations et d’avis, éliminant plus de 95 % des faux positifs généralement déclenchés par des solutions moins évoluées.

L’IA de troisième vague de MixModes prend ses décisions sur les menaces du jour zéro et les faux positifs sur la base du concept intuitif et transparent d’interaction des éléments du réseau sur une variété d’échelles de temps, tout comme le ferait un humain, mais utilise ses énormes puissances de calcul pour le faire de manière efficace.

Apprenez-en plus sur MixMode et configurez une démo dès aujourd’hui.

Articles MixMode que vous pourriez aimer :

Mise à jour pour 2022 : Qu’est-ce que la détection et la réponse réseau (NDR) ? Un guide pour débutants

Étude de cas client : cyberdéfense d’auto-apprentissage pour les institutions financières

Faux récits sur le marché des outils de cybersécurité

Les promesses non tenues des fournisseurs de cybersécurité

Comment MixMode adopte le Zero Trust

Pouvez-vous prévoir une cyberattaque avant qu’elle ne se produise ?