A Savoir: Comment combiner l’expertise humaine et l’IA pour arrêter les cyberattaques

Le plus grand défi des responsables de la sécurité de l’information (CISO) à l’horizon 2022 est de contrer la vitesse et la gravité des cyberattaques. Les dernières technologies de surveillance et de détection en temps réel améliorent les chances de déjouer une attaque, mais ne sont pas infaillibles. Les RSSI indiquent à VentureBeat que les mauvais acteurs évitent la détection avec les systèmes de surveillance de première ligne en modifiant les attaques à la volée. C’est une source de préoccupation, en particulier avec les RSSI dans les services financiers et les soins de santé.

Les entreprises sont en mode réaction

Les entreprises ne parviennent pas à tirer le meilleur parti des stratégies de surveillance, de détection et de réponse des menaces en matière de cybersécurité, car elles se concentrent trop uniquement sur la collecte de données et la surveillance de la sécurité. Les RSSI indiquent à VentureBeat qu’ils capturent plus de données de télémétrie (c’est-à-dire à distance) que jamais, mais manquent de personnel pour les déchiffrer, ce qui signifie qu’ils sont souvent en mode réaction.
Les entreprises doivent être plus agressives pour perturber les menaces avant qu’elles n’affectent les opérations. Pour ce faire, les RSSI, ainsi que les PDG et les conseils d’administration dont ils dépendent, doivent considérer les dépenses de cybersécurité comme un investissement commercial, et pas seulement comme un centre de coûts. VentureBeat s’est entretenu avec des RSSI qui ont déclaré que les défis pour devenir préventif dans la perturbation des menaces potentielles incluent les contraintes budgétaires, le recrutement d’analystes de cybersécurité expérimentés possédant une expertise dans les outils d’analyse des menaces et la mise à l’échelle de la confiance zéro .à travers de nouvelles identités de machine et de nouveaux points de terminaison. Ces facteurs, combinés à la gravité et à la vitesse des cyberattaques, conduisent les entreprises à intégrer la détection et la réponse gérées (MDR) dans leurs stratégies plus larges de cybersécurité et informatique. De plus, les RSSI et les équipes de cybersécurité donnent la priorité aux MDR qui peuvent s’intégrer immédiatement à leurs piles technologiques à l’aide d’API pour étendre et élargir les piles et l’infrastructure informatiques actuelles.

L’apprentissage des menaces doit évoluer plus rapidement

Même les systèmes de surveillance et de réponse aux menaces basés sur l’IA et l’apprentissage automatique les plus avancés ont besoin de temps pour interpréter, apprendre et se défendre contre les nouveaux modèles d’attaque. Les algorithmes d’apprentissage automatique structurés qui reposent sur des réseaux de neurones convolutifs aident à réduire les latences. Cependant, les mauvais acteurs improvisent des techniques d’attaque plus rapidement que les techniques d’IA et de ML ne peuvent réagir.

Les MDR voient une opportunité de marché pour combler les lacunes de détection et de visibilité croissantes dans les entreprises en fournissant des analystes des menaces expérimentés en tant que service. Ils recrutent ces analystes pour renforcer la surveillance et la détection en temps réel avec une expertise humaine afin d’identifier rapidement les anomalies complexes. Le nombre croissant de MDR ciblant ce problème dans les entreprises suggère que l’analyse humaine identifie les anomalies et les interconnexions non linéaires dans les données avec une plus grande précision, empêchant les violations, les cyberattaques complexes, les attaques sophistiquées de ransomware et les attaques automatisées en obtenant des informations d’identification d’accès privilégiées.
Dans son récent Market Guide for Managed Detection and Response Services , Gartner a défini le rôle des MDR comme la fourniture de « services de détection et de réponse, fournissant aux clients des fonctions de centre d’opérations de sécurité (MSOC) modernes fournies à distance ». Ces fonctions permettent aux organisations de détecter, d’analyser, d’enquêter et de réagir rapidement rapidement grâce à l’atténuation et au confinement des menaces. Les fournisseurs de services MDR offrent une expérience clé en main, en utilisant une pile technologique prédéfinie (couvrant des domaines tels que les services de point de terminaison, de réseau et de cloud) pour collecter des journaux, des données et des informations contextuelles pertinents. La définition de Gartner du MDR et des services adjacents donne la priorité à l’obtention de données et d’analyses, de renseignements sur les menaces et de rapports en temps réel pour éviter les attaques 24 heures sur 24, 7 jours sur 7, comme l’illustre le diagramme ci-dessous.

Les lacunes en matière de cybersécurité alimentent un marché en croissance

L’ étude de Gartner sur les technologies émergentes prévoit que le marché mondial du MDR atteindra 2,15 milliards de dollars d’ici 2025, contre 1,03 milliard de dollars en 2021, soit un taux de croissance annuel composé de 20,2 %. Gartner affirme que les demandes de renseignements des clients ont augmenté de 95 % entre 2019 et 2020, les grandes entreprises menant l’évaluation et l’adoption. Le rapport sur les technologies émergentes de Gartner cite également la sophistication croissante des cyberattaques, les pénuries de personnel qualifié et les exigences réglementaires croissantes qui stimulent la croissance du marché. Ces facteurs contribuent aux lacunes croissantes en matière de cybersécurité auxquelles les entreprises sont confrontées aujourd’hui, car elles ne peuvent pas réagir assez rapidement aux menaces.

Arrêter les attaques avec la perspicacité humaine et l’IA

Les MDR se différencient par leurs niveaux de service engagés et l’extensibilité et l’échelle de leurs piles technologiques. Cependant, Pondurance, un concurrent notable, a récemment annoncé une nouvelle solution d’évaluation des cyber-risques qui combine les idées d’experts en cyberet une plate-forme technologique innovante pour réduire le risque de violation et améliorer la cyber-résilience. Pondurance affirme que son outil d’évaluation des risques cyber identifie les lacunes dans la couverture de la cybersécurité sur des tableaux de bord intégrés que les entreprises peuvent utiliser pour réduire les risques de violations et de tentatives de ransomware. Sur la base de leurs antécédents en matière d’identification des menaces sur les plates-formes cloud, les réseaux, les utilisateurs, les applications, les points de terminaison et les données de journal traditionnelles, Pondurance affirme que cette nouvelle solution combinée à ses services MDR fondamentaux aidera les organisations à adopter une approche à la fois proactive et offensive et réactive, approche défensive pour améliorer leur posture de sécurité et arrêter les cyberattaques. En juin dernier, Pondurance a acquis Bearing Cybersecurity, un prestataire de services de conseil et d’évaluation. En conséquence, leur plate-forme phare basée sur le cloud, MyCyberScorecard,est désormais intégré aux solutions Pondurance pour aider à réaliser sa mission de permettre à chaque organisation de détecter et de répondre aux cybermenaces – indépendamment de la taille, de l’industrie ou des capacités internes actuelles – avec les personnes et la technologie.
Lyndon Brown, directeur de la stratégie chez Pondurance, a déclaré que « alors que les organisations évoluent rapidement vers un modèle de distribution largement à distance et adoptent de plus en plus les services cloud, la visibilité est devenue difficile à maintenir et à acquérir ». La nécessité d’examiner non seulement les journaux, mais également les différents points de vue et de comprendre ce qui se passe dans l’entreprise est un grand défi. Lyndon dit également que les organisations ont réalisé que la recherche sur leurs réseaux et leurs points de terminaison et la recherche de menaces qui peuvent déjà être dans l’environnement est également une exigence de plus en plus importante.
Pondurance affirme que ses évaluations des risques cybernétiques optimisées par MyCyberScorecard permettent également la collaboration entre les entreprises et les propriétaires de systèmes pour combler le fossé entre les politiques, les contrôles et les opérations. De plus, les experts en cyber-risques de Pondurance peuvent communiquer des recommandations directement dans MyCyberScorecard, aidant les clients à prouver aux régulateurs et aux assureurs qu’ils font de réels progrès dans l’atténuation de leurs cyber-risques. Leur approche jette également les bases d’évaluations plus complètes, telles que NIST Cybersecurity Framework (CSF), NIST 800-53, NIST 800-171, Cybersecurity Maturity Model Certification (CMMC), New York State Department of Financial Services (NYDFS), National Loi sur les données de l’Association of Insurance Commissioners (NAIC), risque de tiers et autres à l’avenir.

Éliminer la source d’une attaque

Identifier et éliminer la source d’une attaque à grande échelle nécessite de repenser la façon dont l’automatisation domine le paysage MDR aujourd’hui. Même les meilleures technologies de surveillance et de détection en temps réel basées sur l’IA et le ML ne peuvent pas suivre la vitesse à laquelle les mauvais acteurs réinventent les stratégies d’attaque à la volée. Au lieu de cela, les RSSI bénéficient de la perspicacité intuitive des analystes de la cybersécurité, combinée aux meilleures informations possibles, que les outils et technologies de surveillance en temps réel basés sur l’IA et le ML peuvent fournir. À mesure que le paysage concurrentiel du MDR mûrit, recherchez des approches hybrides qui combinent l’expertise humaine et l’IA pour devenir plus répandues.