La détection des premiers accès relève d'un problème de précision des signaux. La plupart des outils de gestion des identités se trompent dans les deux sens : ils submergent les analystes de bruit tout en passant à côté de véritables compromissions. Une étude menée par Vectra AI sur des compromissions de comptes confirmées montre à quel point la précision des signaux peut faire la différence : des compromissions sophistiquées mises au jour par Vectra AI étaient noyées parmi environ 200 alertes de risque natives qu'un analyste aurait autrement dû trier. Cet article explique pourquoi les signaux natifs ne suffisent pas et comment les modèles de Vectra AIdétectent ce qu'ils laissent passer.
Presque toutes les intrusions graves commencent par une connexion. Un pirate disposant d’identifiants valides n’exploite aucune faille. Il s’authentifie, et le processus d’authentification fonctionne comme prévu. Si vous repérez ce moment, l’incident se résumera à une réinitialisation de mot de passe. Si vous le manquez, vous passerez le mois suivant à traquer les traces de persistance, les règles de messagerie et les exfiltrations.
Alors, pourquoi si peu d'équipes SOC font-elles confiance à leurs alertes d'accès initial ?
La détection des anomalies se déclenche en cas de changement. Un nouveau pays, une nouvelle adresse IP ou un nouvel appareil. Or, dans une véritable organisation, le changement est une constante. Les analystes apprennent à ignorer ces alertes dès qu’elles apparaissent. Pendant ce temps, les compromissions qui comptent ne sont souvent pas considérées comme des anomalies selon ces critères : dix minutes sur LinkedIn suffisent à un attaquant pour se connecter depuis le bon pays et avec le bon système d’exploitation. Un SOC qui s’appuie uniquement sur des signaux de risque natifs se retrouve limité par ce plafond dans sa posture de sécurité. Il est contraint par des signaux que les attaquants ont déjà appris à contourner.
La contrefaçon d'un signal ne coûte pas toujours le même prix. Et les signaux natifs reposent sur les signaux les moins chers.
La question pertinente concernant un attribut d'authentification n'est pas de savoir s'il est inhabituel, mais quel serait le coût pour un attaquant de le reproduire.
Cette dernière catégorie est sans doute la plus difficile à modéliser et la plus importante, car c'est celle dont les attaquants ne peuvent pas se soustraire en versant de l'argent.
C'est là que réside l'erreur de se fier uniquement aux signaux natifs. Les signaux de risque natifs reposent en grande partie sur des critères de base, tels que la réputation IP, la localisation géographique et les caractéristiques des clients. Or, ce sont les attaquants qui contrôlent ces éléments. Pire encore, leur comportement est pratiquement identique d'un locataire à l'autre, ce qui permet aux attaquants de s'entraîner à les contourner. Une technique qui reste en dessous du seuil de risque dans un environnement donné a toutes les chances de le rester partout ailleurs.
Les signaux de la dernière ligne inversent cette tendance. L'historique du réseau et des applications n'existe qu'au sein de votre organisation ; il n'y a donc aucun élément externe sur lequel s'appuyer pour s'entraîner ni aucune information à consulter.
L'approche « Vectra AI » : références multidimensionnelles, pondérées en fonction du coût
Chez Vectra AI, nos détections d’accès initiales s’appuient sur des modèles d’IA qui apprennent des références multidimensionnelles : des représentations statistiques de ce à quoi ressemble normalement l’activité de connexion pour chaque identité humaine et non humaine, ainsi que pour l’organisation qui l’entoure. Cela inclut l’historique réseau, la géographie, les attributs des appareils et des clients, ainsi que le comportement des applications. Les modèles apprennent en continu les distributions à partir de l’activité propre à l’organisation. Aucune dimension ne fait à elle seule pencher la balance. Une connexion est analysée comme le ferait un analyste expérimenté : comme un instant précis mis en perspective avec tout ce que l’on sait déjà sur l’identité et l’organisation à laquelle elle appartient.
Les références étant des distributions de probabilité apprises, chaque nouvelle connexion peut être évaluée en fonction de son « surprisal » — une mesure issue de la théorie de l'information qui évalue précisément à quel point chaque observation est improbable compte tenu de tout ce que le modèle a appris. Les activités courantes obtiennent un score faible. Les activités véritablement inédites obtiennent un score élevé. C'est dans l'immense zone intermédiaire que se déroule l'essentiel du travail.
C'est alors l'ordre de coût de contrefaçon qui détermine la pondération. Un indice de surprise élevé pour un élément facilement falsifiable rapporte peu ; pour un élément qu'un attaquant n'aurait pas pu connaître, il rapporte davantage. La détection ne se déclenche pas en cas de nouveauté. Elle se déclenche uniquement lorsque cette nouveauté aurait été coûteuse à fabriquer.
L'impact, mesuré par rapport aux attaques confirmées : détection et hiérarchisation de haute précision. À titre de comparaison, les indicateurs de risque natifs de Microsoft n'ont attribué à ces mêmes connexions qu'un niveau de risque « moyen » au maximum, un niveau où un analyste doit trier environ 200 alertes pour chaque compromission réelle identifiée par le modèle « Vectra AI ».
Proofpoint : une IA qui tire les leçons du passé, contre des alertes qui déclenchent la panique au moindre changement
Prenons l'exemple d'une alerte que presque tous les SOC ont déjà traitée une centaine de fois. Un employé qui travaille habituellement depuis les États-Unis se rend en avion au siège de l'entreprise à Sydney.
Les alertes natives sèment la panique : nouveau pays, nouvelle adresse IP, nouveau réseau. Un analyste passe vingt minutes à vérifier qu’il s’agit bien d’un déplacement professionnel. Multipliez cela par chaque voyageur, chaque semaine. C’est là l’exemple type de la « fatigue des alertes » à laquelle sont confrontées les équipes de sécurité (SecOps).
Un pirate, quant à lui, contourne ces mêmes alertes pour quelques dollars : un VPN endpoint dans le bon pays, le bon système d'exploitation, un agent utilisateur adapté. Ces caractéristiques faciles à imiter font que les signaux natifs ne détectent rien qui mérite d'être signalé.
Le modèle de détection des anomalies « Vectra AI » identifie correctement ces deux éléments, car il s’appuie sur un historique auquel l’attaquant n’a pas accès. Le « nouveau » réseau du voyageur n’est pas nouveau pour l’entreprise. Des centaines de collègues s’authentifient déjà via le fournisseur desservant ce bureau. La connexion de l’attaquant échoue à ce même test. Un réseau que personne au sein du tenant n’a jamais utilisé, un appareil non enregistré et une course effrénée vers les points d’accès généraux dont tout voleur de credentials a besoin. Les attributs « bon marché » obtiennent un score faible, tandis que les attributs « coûteux » obtiennent un score élevé. Il en résulte un scénario d’attaque cohérent.
Accès initial : un problème en constante évolution et comment les défenseurs gardent une longueur d'avance La détection de l'accès initial n'est pas un problème statique.
Les techniques permettant de contourner les signaux natifs se démocratisent de plus en plus : les infrastructures de proxy, les services d’adresses IP résidentielles et les kits d’outils de détournement de session, qui exigeaient autrefois de réelles compétences, sont désormais des produits courants. L’attaquant lambda ne cesse de s’améliorer sans pour autant devenir plus intelligent.
Il existe également de véritables cas limites. Un employé connecté au Wi-Fi de l’aéroport, sur un appareil non géré, via un réseau auquel personne au sein de l’entreprise n’a eu accès, peut présenter des caractéristiques similaires à celles d’une intrusion à un stade précoce. Cela déclenche parfois une alerte qui mérite d’être examinée.
C’est pourquoi les modèles d’ Vectra AI s sont conçus comme un système d’apprentissage dynamique plutôt que comme un ensemble statique de règles. Les modèles sont évalués en permanence par rapport aux résultats en production et aux attaques confirmées ; les cas limites sont pris en compte pour affiner les modèles, et à mesure que de nouvelles techniques d’accès apparaissent, les seuils de référence et les pondérations s’adaptent en conséquence. Les attaquants s’attaquent systématiquement à ce qui est le plus facile à modifier. Les modèles apprennent de ce que les attaquants ne peuvent pas dissimuler, et c’est grâce à cette boucle que la détection garde une longueur d’avance.
À retenir
C'est lors de l'accès initial que la détection prend tout son sens et que la plupart des outils inspirent le moins confiance. Les moteurs de détection qui accordent la même importance à tous les signaux laissent une marge de manœuvre aux attaquants. En pondérant les signaux en fonction de leur coût de reproduction, par rapport à des références tirées de l'historique de l'organisation, on inverse cette tendance. Les alertes liées aux changements courants cessent de se déclencher, et celles qui se déclenchent méritent d'être examinées. C'est sur ce principe d'inversion que reposent les modèles d'accès initial d'Vectra AI.
Résultat : les analystes interviennent au lieu de procéder à un triage. Les responsables constatent la compromission au moment de la réinitialisation du mot de passe, et non lors de la phase de réponse aux incidents.
Ce même problème lié aux signaux s'étend bien au-delà de l'accès initial. Une fois qu'un attaquant a pénétré dans le système, il se déplace d'une identité à l'autre, traversant les réseaux, les services d'cloud , les applications SaaS, les terminaux, les environnements OT et IoT, et de plus en plus souvent les agents d'IA, laissant derrière lui des traces de son attaque sur l'ensemble de la surface d'attaque moderne. La plateforme d’ Vectra AI rassemble ces signaux, utilise l’IA pour comprendre le comportement et le contexte de l’attaquant, et établit des corrélations entre les activités au fur et à mesure que l’attaque progresse. Il en résulte une « Attack Signal Intelligence » haute fidélité qui suit l’attaque partout où elle se déplace, permettant ainsi aux équipes de sécurité d’identifier plus tôt les éléments pertinents, de comprendre les agissements de l’attaquant et d’agir en toute confiance.