Intelligence artificielle, risque ou opportunité pour les cyber-défenseurs ?

L’intelligence artificielle offre depuis quelques années de nouvelles méthodes efficaces pour traiter de grosses masses de données et prendre des décisions. Le domaine de la cybersécurité est bien entendu impacté, car ces méthodes sont promues par les fournisseurs de technologie et de services comme le nouvel outil indispensable pour lutter contre les attaques informatiques. Comme toute technologie, celle-ci sera sans doute également exploitée par les attaquants. Entre risques et opportunités, cet article tente de proposer quelques pistes pour mieux préparer l’exploitation des techniques d’intelligence artificielle dans la cybersécurité.

La version originale de cette tribune rédigée par Hervé Debar, professeur à Télécom SudParis, a été publiée dans le n° 190 de TELECOM, la revue de l’association Télécom ParisTech Alumni.

 

Comme de nombreux domaines de l’informatique, la cybersécurité est touchée par l’émergence de nouvelles techniques qui renouvellent l’intelligence artificielle. Cette émergence s’est tout d’abord traduite par une nouvelle génération de plates-formes de Security Information and Event Management (SIEM), fondées sur des technologies de fouille de données (Splunk, pile ELK, etc.). Ces plates-formes permettent de traiter de manière effective des données, soutenant l’activité des centres opérationnels de cybersécurité, et ont donc un intérêt majeur pour les professionnels du domaine.

Cependant, l’émergence de l’intelligence artificielle va bien au-delà. Le « Cyber Grand Challenge DARPA » http://archive.darpa.mil/cybergrandchallenge/ crée un certain nombre de fantasmes quant à la capacité des ordinateurs, des intelligences artificielles, à s’attaquer et se défendre, sans intervention humaine. A l’instar des véhicules autonomes, et comme nous avons pu le voir avec certains codes malveillants hautement toxiques (Stuxnet, Mirai, Wannacry, etc.), il est possible que le développement de l’intelligence artificielle offre aux codes malveillants, et donc aux attaquants, de nouvelles possibilités.

La problématique de la règle

La cybersécurité est, d’abord et avant tout, un problème de règle, et donc de politique définissant ce qui est légitime, et ce qui ne l’est pas : notre « politique de sécurité ». Cette politique de sécurité est bien entendu fortement associée à l’usage que nous faisons du monde numérique, aux services auxquels nous accédons. Nous sommes habitués, depuis de nombreuses années, à fonctionner en définissant un certain nombre de fonctionnements attendus, et à rejeter les comportements non conformes. Cela se traduit par exemple par le déploiement de systèmes pare-feu, de systèmes de contrôle d’accès, de mécanismes d’identification et d’authentification, qui permettent de définir ces règles d’une part, de vérifier leur mise en application d’autre part.

La première problématique que peut donc poser l’intelligence artificielle dans le domaine de la cybersécurité est une sur-dépendance à la donnée pour définir le bon fonctionnement des systèmes d’information. Cette problématique est ancienne, puisque dès le début des années 2000 des articles (1) étudient la manière de configurer des modèles de contrôle d’accès en analysant les traces de fonctionnement des systèmes. Cela suppose, bien évidemment, que le système d’information analysé ne présente pas de comportement déviant. La vérification des résultats de ces analyses se pose d’ailleurs plus en termes d’efficacité (2) qu’en termes de qualité.

Il y a donc une première difficulté à l’introduction actuelle de l’intelligence artificielle dans le domaine de la cybersécurité, qui est d’abord de comprendre quelles sont les règles qui sont effectivement mises en place dans le système d’information, et ensuite de valider la conformité de ces règles au besoin de l’organisation et à la conformité de ces règles aux besoins réglementaires et à l’analyse de risque qui doit les précéder… [Lire l’article complet]

Lire les autres articles d’Hervé Debar sur I’MTech