Pourquoi un SOC tout IA ne suffira pas face aux ransomwares
L’intelligence artificielle (IA) transforme le fonctionnement des centres opérationnels de sécurité (SOC) en accélérant les investigations et en automatisant certaines réponses. Cependant, face aux ransomwares et aux menaces inédites, le jugement humain demeure essentiel pour interpréter le contexte et gérer l’incertitude.
Les entreprises qui envisagent de réduire leurs équipes grâce à l’IA sont souvent celles qui n’ont pas encore résolu des problèmes de visibilité cruciaux, tels que la télémétrie incomplète et les politiques d’authentification insuffisantes. Une IA ne peut analyser que les informations dont elle dispose, ce qui signifie qu’elle ne peut pas combler les angles morts, mais traite plus rapidement ce qu’elle observe.
L’IA excelle dans la corrélation d’événements provenant de multiples sources et peut isoler automatiquement des terminaux compromis. Toutefois, ces actions concernent des situations où la réponse est connue et où le niveau d’incertitude est faible. Lorsque l’impact opérationnel augmente, le jugement humain redevient indispensable.
Lorsqu’un ransomware est déclenché, l’attaquant a souvent déjà pénétré le réseau et identifié des comptes privilégiés. À ce stade, le chiffrement représente l’aboutissement de l’attaque. Un SOC reposant uniquement sur l’IA montre alors ses limites, car intervenir après l’apparition du ransomware signifie souvent agir trop tard.
Les analystes peuvent détecter des signes précurseurs d’une attaque, comme des comportements anormaux dans l’analyse réseau. Leur expérience leur permet d’intervenir avant le chiffrement, alors que l’IA, bien que rapide dans l’identification des comportements, ne remplace pas le jugement nécessaire pour évaluer le contexte.
Un autre obstacle à l’automatisation réside dans le temps d’apprentissage nécessaire pour développer des règles de détection fiables face à de nouvelles techniques d’attaque. Durant cette période, les analystes apportent une valeur ajoutée en interprétant des informations imparfaites et en prenant des décisions basées sur leur expérience.
L’avenir des SOC repose sur la complémentarité entre l’IA et les analystes. L’automatisation peut gérer les tâches répétitives, tandis que les analystes se concentreront sur des situations nécessitant discernement et compréhension du contexte. La véritable limite de l’automatisation se situe là où l’incertitude requiert un jugement humain.
Source : Journal du Net
