10 choses à savoir sur Mi:RIAM, le moteur de machine learning dédié à l’étude des menaces.

des menaces de sécurité toujours plus nombreuses qui visent les terminaux, toutes plates-formes confondues.

Les avantages de l'intégration de cette technologie aux solutions de sécurité sont nombreux. Ses capacités d'analyse de données permettent d'élever la posture de sécurité d'une organisation à un niveau hors d'atteinte pour une intervention humaine. En effet, les technologies de ML ne sont pas seulement puissantes. Capables d'analyser rapidement des volumes considérables de données de risque, elles peuvent :

• identifier tout un panel de menaces de sécurité, connues et inconnues ;

• améliorer leurs capacités grâce à l'apprentissage continu ;

• détecter les nouvelles attaques potentielles grâce aux données historiques et empiriques ;

• répondre plus rapidement et plus efficacement aux menaces ;

• automatiser les workflows de corrections pour neutraliser efficacement les menaces.

Dans le cas de Jamf Threat Defense par exemple, le moteur de renseignements utilisé pour identifier et lutter contre les menaces connues porte le nom de MI:RIAM. Grâce à un apprentissage automatique puissant et sophistiqué, MI:RIAM détecte et prévient également les menaces inconnues. En analysant constamment les données, MI:RIAM est capable de bloquer en temps réel les menaces de type zero-day, provenant notamment de sites d'hameçonnage et de domaines malveillants, avant même que vos appareils ne soient touchés. Et ce n'est qu'une des nombreuses mesures de protection qui assurent la sécurité de vos terminaux.

Quel rôle le machine learning joue-t-il dans la sécurité des terminaux ?

Selon IBM, les technologies comme le ML « fournissent des informations rapides permettant de réduire le volume d'alertes quotidien et ainsi de diminuer considérablement les temps de réponse. » L'apprentissage automatique est un puissant atout pour les équipes de sécurité disposant de peu de ressources, parce qu'il permet de faire face plus efficacement à la multiplication et à la complexité des attaques de cybersécurité. Il collecte et trie des renseignements provenant de différentes sources pour élaborer des rapports dynamiques et sur mesure, afin de donner à l'équipe une longueur d'avance sur les menaces.

Quels sont les avantages du machine learning pour la cybersécurité ?

Pour faire simple, le ML aide les équipes informatiques et de sécurité à faire le lien entre les menaces et les vulnérabilités. Il rassemble toutes les données pour obtenir une vision globale et descendante (top-down) de la posture de sécurité de votre entreprise, et évalue sa capacité à protéger ses appareils, utilisateurs et données contre les menaces de sécurité en constante évolution.

Le soulèvement des machines

L'apprentissage automatique est capable de détecter les nouvelles menaces et les activités potentiellement malveillantes. Cette force est l'un des principaux arguments en faveur de son intégration dans votre plan de protection contre la cybercriminalité. Les solutions de sécurité traditionnelles se basent sur les signatures des menaces connues pour les empêcher de compromettre les terminaux. Le ML, lui, s'appuie sur des algorithmes sophistiqués pour détecter les logiciels malveillants, les tentatives d'hameçonnage et autres attaques. Il exploite des informations prédictives, en analysant le comportement d'une attaque potentielle pour le comparer à des modèles connus. Le ML s'efforce de détecter le moindre signe d'une nouvelle forme d'attaque avant qu'elle n'ait la possibilité de compromettre vos appareils ou de pénétrer votre réseau.

I, Robot

Le ML possède en effet la faculté d'apprendre à identifier davantage de menaces, ou d'y être entraîné : il élargit ainsi ses capacités de protection et de prévention pour mieux prémunir les systèmes des attaques.

Il peut par exemple :

• être entraîné à détecter des types d'attaques d'une complexité extrême ;

• reconnaître des tendances globales ;

• utiliser le traitement automatique du langage naturel pour améliorer le niveau de protection ;

• analyser des articles, des documents techniques et des études pour compiler des données ;

• analyser le fonctionnement des anomalies et des attaques pour dégager des tendances ;

• cataloguer les données pour améliorer et partager les connaissances à l'échelle mondiale ;

• hiérarchiser les décisions pour mieux protéger les terminaux sur la base de formules ;

• offrir une protection globale au moyen de mesures granulaires spécifiques à chaque secteur d'activité.

Le choc des robots

Soulignant sa capacité à identifier les menaces plus rapidement, IBM résume ainsi l'objectif du raisonnement du ML : non seulement « comprendre les menaces et les risques de cybersécurité en consommant des milliards de données », mais aussi analyser ces données pour déterminer les relations existant entre une multitude de vecteurs de menaces. Cette analyse lui permet de dresser, en quelques secondes ou minutes, un tableau complet du risque global auquel une entreprise est exposée. Et cette vitesse est en grande partie le fruit de l'automatisation du machine learning.

Prenons quelques exemples de menaces potentielles : fichiers indésirables, communications provenant d'adresses IP ou de domaines inconnus, ou comportements suspects de la part d'utilisateurs ayant accès à des ressources d'entreprise. En soi, il est impossible de qualifier ces événements de menaces avec certitude : ils peuvent s'inscrire dans le cadre d'activités liées au développement d'une nouvelle relation client ou à l'arrivée d'un nouvel employé.

Skynet

Non, le ML n'est pas cette IA qui, dans les films Terminator, cherche à protéger l'humanité contre elle-même en provoquant son extinction. Mais le concept est finalement assez similaire. Reprenons les exemples de menaces potentielles mentionnées plus haut : le ML parvient à rassembler des éléments apparemment disparates pour déterminer s'il y a bel et bien un risque de cybersécurité, dans quelle mesure, sur quels appareils, comment les applications et les services sont ciblés et quelles sont les retombées potentielles. Et tous ces contrôles approfondis ont un résultat : la neutralisation effective des menaces avant même qu'elles ne se concrétisent par une violation de données.

Le contraste avec une analyse manuelle est saisissant : il faudrait des heures pour inspecter toutes les données et examiner l'intégralité des liens entre des actions inconnues ou suspectes. Certaines relations échapperaient nécessairement à la vigilance des personnes en charge, en raison de la difficulté de la tâche.

Fonctionnement de MI:RIAM

Avant de nous plonger dans les rouages de MI:RIAM, penchons-nous un instant sur son nom.

MI:RIAM est l'abréviation de Machine Intelligence: Real-time Insights and Analytics Machine (Intelligence artificielle : informations et analyses en temps réel). Comme nous l'avons vu, MI:RIAM est la technologie d'apprentissage automatique avancée sur laquelle repose Jamf Threat Defense. Plus précisément, ce composant contribue à la protection de votre parc d'appareils, de vos utilisateurs et de vos données sensibles en accomplissant les tâches suivantes :

• Déceler les attaques de type zero-day telles que les tentatives d'hameçonnage

• Identifier de nombreux types d'attaques, comme le cryptominage clandestin et les activités de commande et contrôle (C2)

• Bloquer automatiquement les attaques sophistiquées visant le réseau afin d'éviter la perte ou l'exfiltration de données sensibles et critiques.

• Protéger les applications et les services, notamment les navigateurs web, l'e-mail, les réseaux sociaux et les SMS.

• Protéger les terminaux des travailleurs mobiles en vérifiant l'état des appareils afin d'éviter les violations dues à des configurations vulnérables ou à des connexions à risque.

• Empêcher les logiciels malveillants connus de compromettre les appareils.

• Analyser les applications à l'aide de workflows de vérification pour créer des rapports détaillés sur les menaces et répertorier les autorisations et les URL intégrées qui exposent les données à des risques.

• Fonctionner seul ou aux côtés d'outils internes ou tiers pour appliquer des règles de sécurité et adapter les mesures de protection à la volée.

• Neutraliser automatiquement les menaces pesant sur les terminaux, sur la base d'évaluations complètes des risques effectuées en temps réel.

• Surveiller en continu de vastes ensembles de données télémétriques et contextuelles pour fournir aux appareils de confiance un accès adaptatif aux applications et services.