Carl Froggett, CIO de Deep Instinct – Série d’entretiens

Carl Froggett, est le directeur des systèmes d’information (CIO) de Deep Instinct, une entreprise fondée sur un principe simple : que l’apprentissage profond, un sous-ensemble avancé de l’IA, pourrait être appliqué à la cybersécurité pour prévenir davantage de menaces, plus rapidement.

M. Froggett a une expérience éprouvée dans la construction d’équipes, l’architecture des systèmes, la mise en œuvre de logiciels d’entreprise à grande échelle, ainsi que dans l’alignement des processus et des outils sur les besoins commerciaux. Froggett était auparavant responsable de la défense de l’infrastructure globale, CISO Cyber Security Services chez Citi.

Votre expérience est dans l’industrie financière, pouvez-vous partager votre histoire de comment vous avez ensuite fait la transition vers la cybersécurité ?

J’ai commencé à travailler dans la cybersécurité à la fin des années 90, alors que j’étais chez Citi, en passant d’un rôle IT. J’ai rapidement pris un poste de leadership, en appliquant mon expérience en opérations IT au monde de la cybersécurité en évolution et en défis. En travaillant dans la cybersécurité, j’ai eu l’occasion de me concentrer sur l’innovation, tout en déployant et en exécutant des solutions de cybersécurité pour divers besoins commerciaux. Pendant mon séjour chez Citi, mes responsabilités comprenaient l’innovation, l’ingénierie, la livraison et les opérations de plates-formes mondiales pour les entreprises et les clients de Citi à l’échelle mondiale.

Vous avez fait partie de Citi pendant plus de 25 ans et avez passé une grande partie de ce temps à diriger des équipes responsables des stratégies et des aspects d’ingénierie de la sécurité. Qu’est-ce qui vous a incité à rejoindre la startup Deep Instinct ?

J’ai rejoint Deep Instinct parce que je voulais relever un nouveau défi et utiliser mon expérience d’une manière différente. Pendant 15 ans, j’ai été fortement impliqué dans les startups de cybersécurité et les sociétés FinTech, en encadrant et en faisant grandir des équipes pour soutenir la croissance commerciale, en faisant passer certaines sociétés en IPO. J’étais familier avec Deep Instinct et j’ai vu leur technologie unique et perturbatrice d’apprentissage profond (DL) produire des résultats que aucun autre fournisseur ne pouvait égaler. Je voulais faire partie de quelque chose qui allait amorcer une nouvelle ère de protection des sociétés contre les menaces malveillantes que nous affrontons chaque jour.

Pouvez-vous discuter de pourquoi l’application de l’apprentissage profond à la cybersécurité est un facteur de changement de jeu ?

Lorsque Deep Instinct a été créé, l’entreprise s’est fixé un objectif ambitieux de révolutionner l’industrie de la cybersécurité, en introduisant une philosophie de prévention en premier lieu plutôt que d’être à la traîne avec une approche de « détection, réponse, confinement ». Avec l’augmentation des cyberattaques, comme les rançongiciels, les exploitations de zero-day et d’autres menaces inconnues, le modèle de sécurité réactionnaire n’est plus efficace. Maintenant, alors que nous continuons à voir les menaces augmenter en volume et en vélocité en raison de l’IA générative, et que les attaquants réinventent, innovent et évitent les contrôles existants, les organisations ont besoin d’une capacité prédictive et préventive pour rester une longueur d’avance sur les acteurs malveillants.

Les adversaires de l’IA sont en augmentation avec les acteurs malveillants qui utilisent WormGPT, FraudGPT, des logiciels malveillants mutés et plus encore. Nous sommes entrés dans une période charnière, qui nécessite que les organisations luttent contre l’IA avec l’IA. Mais pas toutes les IA sont créées égales. La défense contre l’IA adverse nécessite des solutions qui sont alimentées par une forme plus sophistiquée d’IA, à savoir l’apprentissage profond (DL). La plupart des outils de cybersécurité utilisent des modèles d’apprentissage automatique (ML) qui présentent plusieurs lacunes pour les équipes de sécurité lorsqu’il s’agit de prévenir les menaces. Par exemple, ces offres sont formées sur des sous-ensembles limités de données disponibles (généralement 2-5 %), offrent seulement 50-70 % de précision avec les menaces inconnues et introduisent de nombreuses fausses positives. Les solutions ML nécessitent également une intervention humaine importante et sont formées sur de petits ensembles de données, les exposant aux préjugés humains et aux erreurs. Ils sont lents et non réactifs, même sur le point de terminaison, laissant les menaces traîner jusqu’à ce qu’elles soient exécutées, plutôt que de les traiter alors qu’elles sont dormantes. Ce qui rend le DL efficace, c’est sa capacité à s’auto-apprendre à mesure qu’il ingère des données et à travailler de manière autonome pour identifier, détecter et prévenir les menaces compliquées.

Le DL permet aux dirigeants de passer d’une mentalité traditionnelle « d’intrusion supposée » à une approche de prévention prédictive pour lutter efficacement contre les logiciels malveillants générés par l’IA. Cette approche aide à identifier et à atténuer les menaces avant qu’elles ne se produisent. Elle offre un taux d’efficacité extrêmement élevé contre les logiciels malveillants connus et inconnus, ainsi que des taux de fausses positives extrêmement bas par rapport aux solutions basées sur ML. Le noyau DL n’a besoin d’être mis à jour qu’une ou deux fois par an pour maintenir cette efficacité et, puisqu’il fonctionne de manière indépendante, il n’a pas besoin de recherches constantes dans le cloud ou de partage d’informations. Cela le rend extrêmement rapide et respectueux de la vie privée.

Comment l’apprentissage profond peut-il prévenir de manière prédictive les logiciels malveillants inconnus qui n’ont jamais été rencontrés auparavant ?

Les logiciels malveillants inconnus sont créés de plusieurs manières. Une méthode courante consiste à modifier le hachage dans le fichier, ce qui peut être aussi simple que d’ajouter un octet. Les solutions de sécurité des points de terminaison qui s’appuient sur la liste noire des hachages sont vulnérables à ces « mutations » car leurs signatures de hachage existantes ne correspondront pas aux hachages de ces nouvelles mutations. Le conditionnement est une autre technique dans laquelle les fichiers binaires sont conditionnés avec un conditionneur qui fournit une couche générique sur le fichier d’origine — pensez-y comme un masque. De nouvelles variantes sont également créées en modifiant le code binaire du logiciel malveillant lui-même. Cela est fait sur les fonctionnalités que les fournisseurs de sécurité pourraient signer, en commençant par des chaînes de caractères codées en dur, des noms de domaine et des adresses IP des serveurs de commandement et de contrôle, des clés de registre, des chemins de fichiers, des métadonnées ou même des mutex, des certificats, des décalages, ainsi que des extensions de fichiers qui sont corrélées aux fichiers chiffrés par les rançongiciels. Le code ou les parties de code peuvent également être modifiés ou ajoutés, ce qui échappe aux techniques de détection traditionnelles.

Le DL est basé sur un réseau neuronal et utilise son « cerveau » pour s’entraîner continuellement sur des données brutes. Un point important ici est que la formation du DL consomme toutes les données disponibles, sans intervention humaine dans la formation — une raison clé pour laquelle il est si précis. Cela conduit à un taux d’efficacité très élevé et à un taux de fausses positives très bas, ce qui le rend hyper résistant aux menaces inconnues. Avec notre cadre DL, nous ne nous appuyons pas sur des signatures ou des modèles, notre plate-forme est donc immunisée contre les modifications de hachage. Nous classifions également avec succès les fichiers conditionnés — qu’ils soient simples et connus, ou même FUD.

Durant la phase d’entraînement, nous ajoutons du « bruit », qui modifie les données brutes des fichiers que nous alimentons dans notre algorithme, afin de générer automatiquement de légères « mutations », qui sont alimentées à chaque cycle d’entraînement pendant notre phase d’entraînement. Cette approche rend notre plate-forme résistante aux modifications appliquées aux différentes variantes de logiciels malveillants inconnus, telles que les chaînes de caractères ou même le polymorphisme.

Une mentalité de prévention est souvent la clé de la cybersécurité, comment Deep Instinct se concentre-t-il sur la prévention des cyberattaques ?

Les données sont l’essence vitale de chaque organisation et les protéger devrait être primordial. Il suffit d’un seul fichier malveillant pour être compromis. Pendant des années, « supposer une faille » a été la mentalité de sécurité de facto, en acceptant l’inévitable que les données seraient accessibles aux acteurs menaçants. Cependant, cette mentalité, et les outils basés sur cette mentalité, n’ont pas fourni de sécurité de données adéquate, et les attaquants en profitent pleinement de cette approche passive. Notre recherche récente a révélé qu’il y a eu plus d’incidents de rançongiciels dans la première moitié de 2023 que dans tout 2022. Pour répondre efficacement à ce paysage de menaces en évolution, il ne suffit pas de s’éloigner de la mentalité « supposer une faille » : cela nécessite que les sociétés aient une approche et un arsenal de mesures préventives entièrement nouveaux. La menace est nouvelle et inconnue, et elle est rapide, c’est pourquoi nous voyons ces résultats dans les incidents de rançongiciels. Tout comme les signatures n’ont pas pu suivre le paysage de menaces en évolution, aucune solution existante basée sur ML ne le peut non plus.

À Deep Instinct, nous exploitons le pouvoir du DL pour offrir une approche de prévention en premier lieu pour la sécurité des données. La plate-forme de prévention prédictive Deep Instinct est la première et la seule solution basée sur notre cadre DL unique spécifiquement conçu pour la cybersécurité. Il s’agit de la solution de cybersécurité la plus efficace, la plus efficace et la plus fiable sur le marché, qui prévient plus de 99 % des menaces de zero-day, des rançongiciels et d’autres menaces inconnues en moins de 20 millisecondes avec le taux de fausses positives le plus bas de l’industrie (<0,1 %). Nous avons déjà appliqué notre cadre DL unique pour sécuriser les applications et les points de terminaison, et nous avons récemment étendu les capacités à la protection du stockage avec le lancement de la prévention Deep Instinct pour le stockage.

Un changement vers une prévention prédictive pour la sécurité des données est nécessaire pour rester en avance sur les vulnérabilités, limiter les fausses positives et alléger le stress des équipes de sécurité. Nous sommes à la pointe de cette mission et elle commence à gagner en traction, car de plus en plus de fournisseurs de solutions legacy annoncent désormais des capacités de prévention en premier lieu.

Pouvez-vous discuter du type de données d’entraînement utilisées pour former vos modèles ?

Comme les autres modèles d’IA et de ML, notre modèle s’entraîne sur des données. Ce qui rend notre modèle unique, c’est qu’il n’a pas besoin de données ou de fichiers provenant des clients pour apprendre et grandir. Cet aspect unique de confidentialité donne à nos clients un sentiment de sécurité supplémentaire lorsqu’ils déployent nos solutions. Nous souscrivons à plus de 50 flux que nous téléchargeons des fichiers pour former notre modèle. À partir de là, nous validons et classifions les données nous-mêmes avec des algorithmes que nous avons développés en interne.

En raison de ce modèle de formation, nous n’avons besoin de créer que 2-3 nouveaux « cerveaux » par an en moyenne. Ces nouveaux cerveaux sont déployés de manière indépendante, ce qui réduit considérablement l’impact opérationnel sur nos clients. Cela ne nécessite pas non plus de mises à jour constantes pour suivre le paysage de menaces en évolution. C’est l’avantage de la plate-forme alimentée par le DL, ce qui nous permet de fournir une approche proactive et préventive, alors que d’autres solutions qui utilisent l’IA et le ML fournissent des capacités réactionnaires.

Une fois que le référentiel est prêt, nous construisons des ensembles de données en utilisant tous les types de fichiers avec des classifications malveillantes et bénignes, ainsi que d’autres métadonnées. À partir de là, nous formons un cerveau sur toutes les données disponibles – nous ne rejetons aucune donnée pendant le processus de formation, ce qui contribue à des fausses positives faibles et à un taux d’efficacité élevé. Ces données apprennent continuellement sans notre intervention. Nous ajustons les résultats pour enseigner au cerveau, puis il continue à apprendre. C’est très similaire à la façon dont un cerveau humain fonctionne et à la façon dont nous apprenons – plus nous sommes enseignés, plus nous sommes précis et intelligents. Cependant, nous sommes extrêmement prudents pour éviter le surapprentissage, pour garder notre cerveau DL d’apprendre et de comprendre plutôt que de mémoriser les données.

Une fois que nous avons un niveau d’efficacité extrêmement élevé, nous créons un modèle d’inférence qui est déployé chez les clients. Lorsque le modèle est déployé à ce stade, il ne peut pas apprendre de nouvelles choses. Cependant, il a la capacité d’interagir avec de nouvelles données et de menaces inconnues et de déterminer si elles sont de nature malveillante. Essentiellement, il prend une décision « de zero day » sur tout ce qu’il voit.

Deep Instinct s’exécute dans un environnement de conteneur d’un client, pourquoi est-ce important ?

L’une de nos solutions de plate-forme, Deep Instinct Prevention for Applications (DPA), offre la possibilité d’exploiter les capacités de DL via une interface API / iCAP. Cette flexibilité permet aux organisations d’intégrer nos capacités révolutionnaires dans les applications et les infrastructures, ce qui nous permet d’étendre notre portée pour prévenir les menaces en utilisant une stratégie de cybersécurité de défense en profondeur. C’est un facteur de différenciation unique. Le DPA s’exécute dans un conteneur (que nous fournissons), et s’aligne sur les stratégies de numérisation modernes que nos clients mettent en œuvre, telles que la migration vers des environnements de conteneurs sur site ou dans le cloud pour leurs applications et services. Généralement, ces clients adoptent également une approche « shift left » avec DevOps. Notre modèle de service orienté API complète cela en permettant un développement et des services agiles pour prévenir les menaces.

Avec cette approche, Deep Instinct s’intègre sans effort dans la stratégie technologique d’une organisation, en exploitant les services existants sans nouveaux matériels ou préoccupations logistiques et sans nouveaux frais d’exploitation, ce qui conduit à un TCO très bas. Nous exploitons tous les avantages que les conteneurs offrent, notamment un auto-étalonnage massif à la demande, la résilience, la faible latence et les mises à jour faciles. Cela permet une stratégie de cybersécurité de prévention en premier lieu, en intégrant la prévention des menaces dans les applications et les infrastructures à grande échelle, avec des efficacités que les solutions legacy ne peuvent pas atteindre. En raison des caractéristiques du DL, nous avons l’avantage d’une faible latence, d’un taux d’efficacité élevé / de fausses positives bas, combiné avec une sensibilité à la vie privée – aucun fichier ou donnée ne quitte jamais le conteneur, qui est toujours sous le contrôle du client. Notre produit n’a pas besoin de partager avec le cloud, d’effectuer des analyses ou de partager les fichiers / données, ce qui le rend unique par rapport à tout produit existant.

L’IA générative offre le potentiel de mettre à l’échelle les cyberattaques, comment Deep Instinct maintient-il la vitesse nécessaire pour détourner ces attaques ?

Notre cadre DL est basé sur des réseaux neuronaux, donc son « cerveau » continue d’apprendre et de s’entraîner sur des données brutes. La vitesse et la précision avec lesquelles notre cadre fonctionne sont le résultat du cerveau formé sur des centaines de millions d’échantillons. À mesure que ces ensembles de données d’entraînement augmentent, le réseau neuronal devient de plus en plus intelligent, ce qui lui permet d’être encore plus détaillé dans la compréhension de ce qui fait un fichier malveillant. Parce qu’il peut reconnaître les briques de base des fichiers malveillants à un niveau plus détaillé que toute autre solution, le DL arrête les menaces connues, inconnues et de zero-day avec une meilleure précision et rapidité que les produits de cybersécurité établis. Cela, combiné au fait que notre « cerveau » n’a pas besoin d’analyses basées sur le cloud ou de recherches, le rend unique. Le ML en lui-même n’a jamais été suffisant, c’est pourquoi nous avons des analyses basées sur le cloud pour sous-tendre le ML – mais cela le rend lent et réactif. Le DL ne présente simplement pas cette contrainte.

Quelles sont certaines des plus grandes menaces qui sont amplifiées avec l’IA générative que les entreprises devraient prendre en compte ?

Les courriels de phishing sont devenus beaucoup plus sophistiqués grâce à l’évolution de l’IA. Autrefois, les courriels de phishing étaient généralement faciles à repérer car ils étaient souvent parsemés d’erreurs grammaticales. Mais maintenant, les acteurs menaçants utilisent des outils comme ChatGPT pour créer des courriels de phishing plus approfondis, grammaticalement corrects, dans diverses langues, qui sont plus difficiles pour les filtres de spam et les lecteurs à détecter.

Un autre exemple est les faux profils qui sont devenus beaucoup plus réalistes et crédibles en raison de la sophistication de l’IA. Les outils audio IA sont également utilisés pour simuler les voix des dirigeants au sein d’une société, laissant des messages vocaux frauduleux pour les employés.

Comme mentionné ci-dessus, les attaquants utilisent l’IA pour créer des logiciels malveillants inconnus qui peuvent modifier leur comportement pour éviter les solutions de sécurité, éviter la détection et se propager plus efficacement. Les attaquants continueront à exploiter l’IA non seulement pour construire de nouveaux logiciels malveillants sophistiqués et uniques qui échappent aux solutions existantes, mais également pour automatiser la « chaîne d’attaque de bout en bout ». Cela réduira considérablement leurs coûts, augmentera leur échelle et, en même temps, aboutira à des campagnes d’attaque plus sophistiquées et plus réussies. L’industrie de la cybersécurité doit repenser les solutions, la formation et les programmes de sensibilisation existants sur lesquels nous nous sommes appuyés pendant les 15 dernières années. Comme on le voit dans les failles de cette année seule, ils échouent déjà et cela va empirer.

Pouvez-vous résumer brièvement les types de solutions proposées par Deep Instinct en matière d’applications, de points de terminaison et de solutions de stockage ?

La plate-forme de prévention prédictive Deep Instinct est la première et la seule solution basée sur un cadre DL unique spécifiquement conçu pour résoudre les défis de cybersécurité d’aujourd’hui — à savoir, prévenir les menaces avant qu’elles ne puissent s’exécuter et atterrir sur votre environnement. La plate-forme a trois piliers :

1. Sans agent, dans un environnement de conteneur, connecté via API ou ICAP : La prévention Deep Instinct pour les applications est une solution sans agent qui prévient les rançongiciels, les menaces de zero-day et d’autres logiciels malveillants inconnus avant qu’ils n’atteignent vos applications, sans affecter l’expérience utilisateur.
2. Avec agent sur le point de terminaison : La prévention Deep Instinct pour les points de terminaison est une plate-forme de prévention en premier lieu autonome — et non en cours d’exécution comme la plupart des solutions d’aujourd’hui. Ou elle peut fournir une véritable couche de prévention de menaces pour compléter toute solution EDR existante. Elle prévient les menaces connues et inconnues, de zero-day et de rançongiciels avant l’exécution, avant toute activité malveillante, en réduisant considérablement le volume des alertes et les fausses positives afin que les équipes SOC puissent se concentrer exclusivement sur les menaces légitimes à haute fidélité.
3. Une approche de prévention en premier lieu pour la protection du stockage : La prévention Deep Instinct pour le stockage offre une approche de prévention prédictive pour arrêter les rançongiciels, les menaces de zero-day et d’autres logiciels malveillants inconnus pour infiltrer les environnements de stockage — que les données soient stockées sur site ou dans le cloud. En fournissant une solution rapide et extrêmement efficace sur le stockage centralisé pour les clients, elle empêche le stockage de devenir un point de propagation et de distribution pour les menaces.

Je vous remercie pour cette excellente revue, les lecteurs qui souhaitent en savoir plus devraient visiter Deep Instinct.