Comment l’apprentissage automatique peut améliorer la visibilité du réseau pour les équipes OT
L’objectif des réseaux de neurones dans la cybersécurité est de pouvoir détecter des comportements et des modèles inhabituels, en particulier au sein des actifs et des réseaux OT. La détection de comportements inhabituels conduit souvent à découvrir que vous avez été compromis ou que quelque chose a été mal configuré.
« Avoir une visibilité sur vos actifs et réseaux industriels est la première étape pour comprendre votre posture globale de cybersécurité OT », déclare Pete Lund, vice-président des produits pour la sécurité OT chez Opswat, spécialiste de la cybersécurité des infrastructures.
Pour tirer parti de ces capacités, Opswat a dévoilé une solution de visibilité réseau alimentée par l’IA, Neuralyzer. L’outil logiciel exploite l’apprentissage automatique (ML) pour apprendre les modèles de communication entre les actifs et les réseaux afin de déterminer ce qu’est une activité « normale ». Cela permet aux ergothérapeutes de rester concentrés sur les principales tâches à accomplir et d’être alertés uniquement lorsqu’une activité anormale se produit.
« Les réseaux de neurones ont la capacité d’apprendre de la même manière que le cerveau humain, et ils peuvent donc repérer les drapeaux rouges en votre nom comme une deuxième paire d’yeux », explique Lund. « Le ML dans Neuralyzer peut identifier le type d’appareil ou d’actif sur le réseau, offrant une visibilité sur les actifs. »
L’apprentissage automatique recherche les atouts et les anomalies
Une application de ML dans Neuralyzer est la capacité d’identifier le type d’appareil/d’actif sur le réseau, appelée à juste titre la fonction de visibilité des actifs.
Pour la visibilité des actifs, la plupart des outils utilisent l’empreinte digitale de l’appareil (DFP) pour découvrir et/ou profiler l’appareil. Les appareils OT typiques, contrairement aux appareils informatiques, n’ont pas de navigateur installé, de sorte qu’une empreinte digitale de navigateur (une approche efficace pour DFP dans l’informatique) ne fonctionnera généralement pas pour l’environnement OT.
« Grâce à des recherches et des expériences approfondies, notre équipe a élaboré un ensemble de fonctionnalités et un algorithme ML sélectionnés qui fonctionnent le mieux en termes de précision, de performances et d’entrées requises pour classer le type d’appareil », explique Lund.
Une autre application pour ML est de détecter des anomalies sur la connectivité réseau et l’activité d’un appareil particulier ou de l’ensemble du réseau, dit-il.
Neuralyzer peut modéliser le ou les appareils et leurs connexions réseau sous forme de graphique, puis utiliser le réseau neuronal convolutif 1D pour la détection des anomalies.
« La dissection du trafic réseau et la détection d’anomalies sont de bons cas d’utilisation pour le ML et les réseaux de neurones », déclare Lund. « La dissection du trafic réseau serait une approche réalisable pour DFP dans l’OT. »
La détection des anomalies est un aspect important de la visibilité de l’environnement OT, souligne-t-il.
« Une anomalie peut non seulement concerner l’intégrité, par exemple une violation du réseau, mais également la disponibilité ou le fonctionnement normal des actifs, ce qui est crucial pour l’environnement OT », explique Lund.
Les réseaux de neurones offrent de multiples avantages en matière de cybersécurité
Bud Broomhead, PDG du fournisseur automatisé de cyberhygiène IoT Viakoo, affirme que les réseaux de neurones, comme toute autre technologie, peuvent être utilisés à la fois pour améliorer et pour vaincre la cybersécurité.
« Il existe de nombreux exemples sur la façon dont les réseaux de neurones peuvent être formés pour produire de mauvais résultats ou être alimentés en données pour perturber les systèmes », explique-t-il. « Pourtant, l’amélioration massive de l’efficacité, par exemple, la détection des cybermenaces en quelques secondes ou la recherche presque immédiate d’acteurs menaçants au sein d’une foule sera nécessaire pendant de nombreuses années à venir pour surmonter les lacunes en ressources présentes dans la cybersécurité. »
Les réseaux de neurones peuvent analyser des systèmes complexes et prendre des décisions intelligentes sur la manière de les présenter et de les classer. En d’autres termes, ils prennent beaucoup de données brutes et les transforment en informations significatives.
« Le simple fait d’avoir un inventaire des actifs ne vous montre pas leur combinaison dans un flux de travail étroitement couplé, mais c’est ce dont les entreprises ont besoin pour hiérarchiser la vulnérabilité et le risque de ces systèmes », déclare Broomhead.
John Bambenek, principal chasseur de menaces chez Netenrich, une société SaaS d’analyse de la sécurité et des opérations, ajoute que les réseaux de neurones permettent une analyse statistique bien au-delà de la capacité d’un humain.
« Avec suffisamment de points de données et une formation approfondie et efficace, ils peuvent classer rapidement les normaux et les anormaux, permettant à un analyste de suivre des événements qui ne seraient pas détectés autrement », dit-il.
Mais Bambenek dit qu’il ne considère pas les réseaux de neurones comme fiables pour la découverte d’actifs ou la gestion des vulnérabilités.
« Si un actif n’est pas visible dans les journaux DHCP, il n’y a pas beaucoup de données pour le trouver autrement », souligne-t-il. « La gestion des risques, d’autre part, peut trouver des comportements anormaux, puis catégoriser les comportements à risque en utilisant d’autres contextes disponibles pour donner des réponses aux risques de l’entreprise. »
Même la détection de changements subtils dans le comportement du système OT peut permettre à un réseau de neurones de voir quand une maintenance est nécessaire, quand des cybermenaces se produisent et comment les changements environnementaux font réagir le système, explique Broomhead.
« Surtout à une époque comme celle d’aujourd’hui où les ressources humaines sont limitées pour assurer le fonctionnement sûr et sécurisé des systèmes OT, les réseaux de neurones sont un multiplicateur de force sur lequel de nombreuses organisations peuvent compter », dit-il.