Au-delà de la surveillance basique : il existe une meilleure façon de définir le « normal » dans les infrastructures complexes

Nous avons parcouru un long chemin depuis la surveillance basique. Des sols d’usine aux infrastructures d’entreprise modernes, les administrateurs IT ont besoin de beaucoup plus d’informations que de simples vérifications pour déterminer si un site Web ou une application est en mesure de servir les utilisateurs. Certes, il est utile de voir un statut « actif » ou « inactif » de base, mais cela ne raconte pas toute l’histoire de la manière dont la technologie livre la valeur commerciale attendue. De plus, à mesure que les environnements IT et OT convergent et que les écosystèmes deviennent plus dynamiques et éphémères, ces alertes ne reflètent pas avec précision les références ou les baselines.

Comprendre ce qui est normal, apprendre les modèles de performance et prévenir les temps d’arrêt coûteux sont des fonctions vitales dans les infrastructures complexes d’aujourd’hui. C’est particulièrement vrai alors que les acteurs de la menace utilisent des outils de plus en plus sophistiqués pour faire plus avec moins et que les infrastructures modernes interconnectées créent de nouvelles vulnérabilités.

C’est dans ce paysage que la surveillance basée sur l’IA transforme la gestion des infrastructures en offrant des informations sur ce qui est et ce qui n’est pas un comportement normal, éliminant ainsi les baselines médiocres et la fatigue des alertes. Explorons comment ce passage d’une lutte contre les incendies réactifs à une prévention proactive marque une évolution de surveillance bien nécessaire.

Découvrir le nouveau normal

Qu’est-ce que le « normal » ? C’est une question que les équipes d’infrastructure chargées de la surveillance des serveurs, des appareils réseau, des applications et des bases de données se posent depuis des décennies. Pourquoi ? Parce que définir le « normal » est complexe et sujet à erreurs dans des environnements dynamiques et de plus en plus distribués avec des systèmes diversifiés à surveiller. La réponse dépendra de vos modèles commerciaux et technologies spécifiques. De plus, elle dépendra de votre technologie et de votre configuration de surveillance, car la définition de seuils statiques ne détecte pas de nombreux problèmes. Au lieu de cela, elle vous donnera une bonne idée de ce qui se passe lorsque vous vous y attendez, mais n’aide pas à détecter les problèmes que vous n’attendez pas, ce qui entraîne de fausses alertes, une fatigue des alertes et des lacunes dans la visibilité.

Considérons une usine de fabrication où le trafic augmente soudainement à 14 heures un mardi. La surveillance traditionnelle peut déclencher une alerte car elle dépasse un seuil prédéfini, mais est-ce vraiment un problème ? Il n’y a pas moyen de le savoir sans données et diagnostics plus approfondis. L’augmentation pourrait indiquer une activité commerciale légitime comme un nouveau calendrier de travail ou une augmentation de la production pour répondre à une échéance. Alternativement, elle pourrait signaler une menace de sécurité grave, telle que l’exfiltration de données ou un système compromis qui envoie des signaux à des serveurs de commandement et de contrôle.

C’est là que la détection d’anomalies basée sur l’IA améliore l’intelligence de la surveillance des infrastructures. Cette méthode émergente analyse en continu les données historiques pour créer des références intelligentes qui s’adaptent automatiquement aux conditions changeantes. Cette approche permet une alerte plus proactive qui donne plus de temps aux administrateurs IT et aux équipes DevOps pour intervenir et atténuer le problème avant qu’il n’ait un impact important.

La surveillance du trafic réseau est un bon exemple de cela en action. Les systèmes de surveillance des infrastructures collectent divers signaux, notamment des journaux et des métriques. Un journal est un événement généré par un système, tandis qu’une métrique est une mesure. Au fil du temps, ces mesures sont collectées et représentées sous forme de série chronologique, semblable à la température mesurée tout au long de la journée. Les données collectées pour surveiller les conditions du réseau incluent des métriques telles que les taux de paquets de diffusion entrants et sortants, le nombre de rejets et d’erreurs, et le débit total du trafic. Si quelque chose ne va pas par rapport aux performances habituelles, la surveillance intelligente peut garantir que les alarmes appropriées sont déclenchées et que les fausses alertes sont évitées.

En conséquence, les équipes d’infrastructure peuvent se concentrer sur la livraison de la valeur commerciale au lieu de passer constamment à ajuster les paramètres d’alerte et à résoudre des problèmes qui n’existent peut-être pas.

Éviter la duplication des alertes

Le doublement de la surveillance peut introduire des défis supplémentaires en créant davantage d’alertes. La surveillance peut devenir encombrée au fil du temps à mesure que les équipes ajoutent une surveillance pour de nouveaux projets ou créent une surveillance supplémentaire lors de la dépannage ou des tests. Avant longtemps, ce qui semblait être une configuration de surveillance propre et simple peut se transformer en un labyrinthe surchargé d’alertes spurieuses ou redondantes qui obscurcissent plutôt qu’illuminent les problèmes.

Par exemple, les équipes IT reçoivent parfois des alertes pour une utilisation élevée du processeur, des temps de réponse d’application lents et une congestion du réseau à partir du même serveur surchargé. Sans comprendre la corrélation, les équipes pourraient enquêter sur trois problèmes distincts au lieu de la seule cause racine.

Les technologies modernes d’IA, lorsqu’elles sont couplées à la surveillance, transforment à nouveau ce problème grâce à la détection automatique de configurations de surveillance similaires. En utilisant des techniques telles que les mathématiques floues et les heuristiques, cette approche analyse les modèles de comportement et découvre les corrélations entre les surveillances similaires pour révéler des interconnexions cachées.

Cela compte pour deux raisons principales. Premièrement, cela réduit le bruit des alertes. Au lieu de recevoir trois alertes distinctes pour un seul problème, les équipes reçoivent une seule alerte avec une compréhension claire de ce qui nécessite l’attention et pourquoi. Deuxièmement, cela élimine la surveillance redondante. Cela aide à créer une configuration plus gérable qui rationalise les tableaux de bord et réduit la charge cognitive.

Le futur de la surveillance intelligente

D’autres développements en matière de réseau et de cybersécurité soutiennent également le cas d’une surveillance accrue à mesure que la complexité continue de croître de manière exponentielle. Ce qui étaient autrefois des réseaux industriels distincts et isolés sont maintenant interconnectés avec des systèmes d’entreprise, créant des environnements hybrides où un problème de réseau peut avoir un impact sur les lignes de production et les applications commerciales. Et nous voyons cette convergence à travers l’ensemble moderne.

Les capteurs IoT industriels, les passerelles de bord et les appareils OT communiquent désormais aux côtés des protocoles IT standard. Lorsque ces systèmes diversifiés connaissent des problèmes, les administrateurs nécessitent une surveillance qui peut comprendre les relations à travers l’écosystème plutôt que de traiter chacun comme un silo distinct. La vigilance est incontournable, car une violation réussie peut arrêter les lignes de production, endommager du matériel coûteux et présenter des risques pour la sécurité. En fait, le temps d’arrêt non planifié coûte désormais 11 % du chiffre d’affaires annuel des entreprises du Fortune Global 500, soulignant que le coût de la surveillance intelligente est nettement inférieur au coût de la dépannage manuel et de la perte de productivité.

Pendant ce temps, il est clair que les pirates de l’autre côté du registre de la cybersécurité utilisent cette technologie comme une avancée de productivité pour attaquer à grande échelle. Les modèles de langage grandeur nature génératifs (LLM) gratuits ou peu coûteux permettent aux pirates de générer et de modifier des attaques à un coût minimal. Et, avec le temps, il est clair que les acteurs malveillants voient de plus en plus l’IA comme un facteur de changement de jeu. Aujourd’hui, 7 pirates sur 10 pensent que la technologie et ses divers outils améliorent les attaques, contre seulement 2 sur 10 en 2023.

Aujourd’hui, les algorithmes de détection d’anomalies sont basés sur des mathématiques et des statistiques qui ont été bien établies depuis des décennies. Cette technologie fonctionne, mais l’avènement et l’application de l’IA et des LLM à la surveillance des métriques est un changement de jeu. Nous voyons certains des premiers modèles de série chronologique basés sur les LLM arriver sur le marché et nous pouvons nous attendre à ce que cela transforme la détection d’anomalies au cours des deux prochaines années. Plusieurs de ces nouveaux modèles montrent une excellente précision et des progrès.

Le choix repose maintenant sur les équipes IT et opérations pour déterminer la meilleure façon de surveiller leurs écosystèmes et de contrer les menaces. La bonne nouvelle est que la détection d’anomalies automatisée et la surveillance des références peuvent aider à mieux protéger les actifs tout en apprenant, en s’adaptant et en optimisant, ce qui permet à son tour une planification et une optimisation des ressources plus efficaces. Les vérifications de base sont toujours précieuses, mais – lorsqu’un seul problème peut se propager à travers les systèmes IT, OT et IoT – nous avons besoin d’un contexte intelligent en plus de cette base. Les défenseurs des infrastructures peuvent répondre à ce défi en augmentant leur visibilité en conséquence.