Sécurité pilotée par l’IA : les journaux ne disent pas toute la vérité

Le SOC a une superstition bien connue : si c’est arrivé dans le SIEM, alors c’est arrivé. Mignon. Danelle Au, de SecurityWeek, met le doigt sur un problème d’architecture plus inconfortable : pendant des années, les équipes de sécurité ont traité les journaux et les événements comme étant les données, alors qu’ils ne sont en réalité que la partie de l’environnement qui a accepté d’écrire quelque chose. Cette distinction compte, car l’IA ne répare pas magiquement des entrées incomplètes. Elle les accélère, les résume, les corrèle et leur donne parfois l’assurance d’une diapositive présentée en conseil d’administration. Le résultat peut ressembler à du renseignement tout en manquant encore du contexte environnant qui permettrait à un défenseur de savoir si une alerte est du bruit, une dérive ou la première scène d’un rapport d’incident très coûteux.

Ce qui s’est cassé : traiter les résidus d’événements comme des preuves DataBahn

situe le mode de défaillance dans la plomberie, là où toutes les meilleures franchises d’horreur finissent toujours par arriver. Son analyse de la gouvernance des schémas indique que la détection de sécurité pilotée par l’IA échoue lorsque les schémas dérivent, et que la gouvernance des schémas doit s’exécuter dans le pipeline avant qu’un SIEM ou un système d’IA ne voie les données. En clair : si les noms de champs, les formats ou les significations changent sans cesse sous le modèle, votre élégant graphe de détection est peut-être en train de faire de la danse interprétative avec des hypothèses corrompues. La Cloud Security Alliance présente l’analyse des journaux avec des modèles d’IA comme un élément permettant de respecter les principes Zero Trust, ce qui est la bonne ambition, mais aussi une étiquette d’avertissement. Le Zero Trust dépend du contexte, de la vérification et de l’évaluation continue, pas seulement d’un plus grand seau d’événements avec un chatbot posé dessus. Joe Sharmer, de Quest Software, décrit l’analyse des journaux par l’IA comme utile pour les professionnels de l’informatique confrontés à d’énormes volumes de données de journalisation, mais le volume n’est pas la même chose que la vérité. Une botte de foin avec plus de foin reste une botte de foin, sauf qu’elle a maintenant une offre d’abonnement.

Rayon d’impact : la pression des coûts modifie l’histoire Realm Security décrit

la pression opérationnelle avec une franchise admirable : chaque nouvelle source de journaux — pare-feu, endpoint, identité et cloud — ajoute de la visibilité, mais aussi des coûts de stockage, de calcul et de licences. L’entreprise indique aussi que les événements routiniers d’autorisation de pare-feu, les journaux d’authentification redondants et les signaux système bénins peuvent représenter 70 à 90 % du volume total de journaux dans un environnement d’entreprise typique. Ce n’est pas un simple petit désagrément de facturation. C’est le moment du film où la finance entre dans le SOC avec une feuille de calcul à la main et où tout le monde développe soudain des opinions sur la politique de conservation. C’est là que la sécurité par l’IA peut échouer d’une façon très humaine. Les équipes réduisent les journaux parce que les coûts sont réels, que les pipelines sont limités et que personne ne veut conserver chaque signal système comme s’il s’agissait d’un héritage familial. Mais si les réductions sont faites sans intégrité de détection, cartographie du contexte et discipline des schémas, le modèle apprend à partir d’une ombre sélectionnée de l’environnement. Les acteurs malveillants n’ont pas besoin que les défenseurs soient aveugles partout. Il leur suffit que la pièce manquante soit celle qui aurait relié la scène.

Le correctif : gouverner

le contexte avant d’automatiser le jugement La prescription de DataBahn n’a rien de glamour, ce qui signifie qu’elle a de bonnes chances d’être importante : la gouvernance des schémas doit se situer en amont, avant l’ingestion dans le SIEM et avant l’interprétation par l’IA. Cela déplace la question du constructeur : au lieu de demander quel modèle est le plus intelligent, il faut demander ce que le modèle peut savoir de manière fiable. Si les champs d’identité dérivent, si les noms d’événements cloud changent ou si la télémétrie des endpoints arrive avec des significations différentes selon les sources, le modèle n’enquête pas sur la réalité. Il rapproche des dossiers provenant de systèmes qui ne se sont jamais mis d’accord sur le même classeur. Lorven Technologies décrit l’analytique de sécurité pilotée par l’IA comme l’utilisation de l’apprentissage automatique pour apprendre les schémas de comportement normal et détecter les anomalies, plutôt que d’attendre des signatures connues. Gigamon, de son côté, met en avant le renseignement dérivé du réseau comme moyen d’éliminer les angles morts et de réduire les coûts des outils. Ces deux idées vont ensemble : la détection d’anomalies a besoin d’un contexte plus riche, et un contexte plus riche ne signifie pas toujours jeter chaque journal brut dans la fournaise. La note de correctif que personne ne mettra dans les notes de version est simple : corrigez la signification, la couverture et la gouvernance de la télémétrie avant de demander à l’IA de prendre des décisions à plus fort enjeu.

Ce que cela signifie vraiment pour vous Le cadrage de Quest Software est utile

parce que la plupart des équipes croulent réellement sous le volume de journaux, et l’angle Zero Trust de la Cloud Security Alliance est utile parce que les journaux n’aident que s’ils soutiennent la vérification. Le bon geste pratique n’est donc pas de tout journaliser pour toujours, ni de filtrer agressivement en espérant que le modèle sente intuitivement la vérité. Faites l’inventaire de vos sources, documentez la signification de chaque champ, surveillez la dérive des schémas et testez toute réduction de journaux par rapport aux détections que vous voulez voir survivre. Si vous achetez ou construisez des outils de sécurité basés sur l’IA, posez tôt les questions gênantes. Que se passe-t-il lorsqu’une source devient silencieuse, qu’un schéma change ou qu’un filtre supprime une classe d’événements qui soutenait auparavant une enquête ? La prochaine génération d’automatisation utile du SOC ne sera pas remportée par la plus jolie boîte de résumé. Elle sera remportée par les équipes qui traitent l’architecture de télémétrie comme une architecture de sécurité, parce que le modèle ne peut pas défendre ce que les données ne lui ont jamais montré.