Les équipes de sécurité corrigent les menaces incorrectes. Voici comment rectifier le tir à l’ère des attaques par IA

Les cyberattaques ne sont plus des opérations manuelles et linéaires. Avec l’IA maintenant intégrée aux stratégies offensives, les attaquants développent des logiciels malveillants polymorphes, automatisent la reconnaissance et contournent les défenses plus rapidement que de nombreuses équipes de sécurité ne peuvent réagir. Ce n’est pas un scénario futur, c’est en train de se produire.

En même temps, la plupart des défenses de sécurité sont encore réactives. Elles reposent sur l’identification d’indicateurs de compromission connus, l’application de modèles d’attaque historiques et la signalisation des risques en fonction de scores de gravité qui peuvent ne pas refléter le véritable paysage des menaces. Les équipes sont submergées par le volume, et non par les informations, créant un environnement parfait pour que les attaquants réussissent.

L’esprit legacy de l’industrie, construit autour de listes de contrôle de conformité, d’évaluations périodiques et d’outils fragmentés, est devenu un passif. Les équipes de sécurité travaillent plus dur que jamais, mais elles corrigent souvent les mauvaises choses.

Pourquoi cet écart existe-t-il

L’industrie de la cybersécurité s’est longtemps appuyée sur des scores de risque comme CVSS pour prioriser les vulnérabilités. Cependant, les scores CVSS ne reflètent pas le contexte réel de l’infrastructure d’une organisation, comme si une vulnérabilité est exposée, accessible ou exploitable dans un chemin d’attaque connu.

En conséquence, les équipes de sécurité passent souvent du temps précieux à corriger des problèmes non exploitables, tandis que les attaquants trouvent des moyens créatifs pour enchaîner des faiblesses négligées et contourner les contrôles.

La situation est encore compliquée par la nature fragmentée de la pile de sécurité. Les SIEM, les systèmes de détection et de réponse des points de terminaison (EDR), les outils de gestion des vulnérabilités (VM) et les plateformes de gestion de la posture de sécurité cloud (CSPM) fonctionnent tous de manière indépendante. Cette télémétrie cloisonnée crée des angles morts que les attaquants dotés d’IA exploitent de plus en plus.

La détection basée sur les signatures est en déclin

L’une des tendances les plus inquiétantes en matière de cybersécurité moderne est la diminution de la valeur des méthodes de détection traditionnelles. Les signatures statiques et les alertes basées sur des règles étaient efficaces lorsque les menaces suivaient des modèles prévisibles. Mais les attaques générées par l’IA ne suivent pas ces règles. Elles mutent le code, évitent la détection et s’adaptent aux contrôles.

Prenons par exemple les logiciels malveillants polymorphes, qui changent de structure à chaque déploiement. Ou les e-mails de phishing générés par l’IA qui imitent les styles de communication des cadres avec une précision alarmante. Ces menaces peuvent passer inaperçues aux outils basés sur les signatures.

Si les équipes de sécurité continuent à s’appuyer sur l’identification de ce qui a déjà été vu, elles resteront à la traîne des adversaires qui innovent en permanence.

La pression réglementaire s’intensifie

Le problème n’est pas seulement technique, c’est également réglementaire. La Commission des valeurs mobilières des États-Unis (SEC) a récemment introduit de nouvelles règles de divulgation de la cybersécurité, obligeant les sociétés cotées à signaler les incidents de cybersécurité importants et à décrire leurs stratégies de gestion des risques en temps réel. De même, l’Acte de résilience opérationnelle numérique de l’Union européenne (DORA) exige un passage d’évaluations périodiques à une gestion continue et validée des risques cybernétiques.

La plupart des organisations ne sont pas préparées à ce changement. Elles ne disposent pas de la capacité de fournir des évaluations en temps réel de l’efficacité de leurs contrôles de sécurité actuels contre les menaces d’aujourd’hui, en particulier à mesure que l’IA continue d’évoluer ces menaces à une vitesse machine.

La priorisation des menaces est rompue

Le défi fondamental réside dans la façon dont les organisations priorisent leur travail. La plupart s’appuient encore sur des systèmes de notation de risque statique pour déterminer ce qui doit être corrigé et quand. Ces systèmes tiennent rarement compte de l’environnement dans lequel une vulnérabilité existe, ni si elle est exposée, accessible ou exploitable.

Cela a conduit les équipes de sécurité à passer du temps et des ressources à corriger des vulnérabilités qui ne sont pas attaquables, tandis que les attaquants trouvent des moyens de combiner des problèmes négligés pour accéder. Le modèle traditionnel « trouver et corriger » est devenu une façon inefficace et souvent inefficace de gérer les risques cybernétiques.

La sécurité doit évoluer de la réaction aux alertes vers la compréhension du comportement de l’adversaire – comment un attaquant se déplacerait réellement dans un système, quels contrôles il pourrait contourner et où se trouvent les véritables faiblesses.

Une meilleure voie à suivre : une défense proactive, guidée par les chemins d’attaque

Et si, au lieu de réagir aux alertes, les équipes de sécurité pouvaient simuler en continu la façon dont les attaquants réels essaieraient de compromettre leur environnement, et ne corriger que ce qui compte le plus ?

Cette approche, souvent appelée validation de la sécurité continue ou simulation du chemin d’attaque, gagne du terrain en tant que changement stratégique. Plutôt que de traiter les vulnérabilités de manière isolée, elle cartographie la façon dont les attaquants pourraient combiner des faiblesses de configuration, des faiblesses d’identité et des actifs vulnérables pour atteindre des systèmes critiques.

En simulant le comportement de l’adversaire et en validant les contrôles en temps réel, les équipes peuvent se concentrer sur les risques exploitables qui exposent réellement l’entreprise, et non pas seulement sur ceux signalés par les outils de conformité.

Recommandations pour les DSI et les dirigeants de la sécurité

Voici ce que les équipes de sécurité devraient prioriser aujourd’hui pour rester en tête des attaques générées par l’IA :

• Mettre en œuvre des simulations d’attaque continues Adopter des outils d’émulation d’adversaire automatisés et alimentés par l’IA qui testent vos contrôles de la même manière que les attaquants réels. Ces simulations doivent être continues et non réservées aux exercices de rédaction annuels.
• Donner la priorité à l’exploitabilité plutôt qu’à la gravité Dépasser les scores CVSS. Intégrer l’analyse du chemin d’attaque et la validation contextuelle dans vos modèles de risque. Demandez-vous : Cette vulnérabilité est-elle accessible ? Peut-elle être exploitée aujourd’hui ?
• Unifier votre télémétrie de sécurité Consolider les données des plateformes SIEM, CSPM, EDR et VM dans une vue centralisée et corrélée. Cela permet l’analyse du chemin d’attaque et améliore votre capacité à détecter les intrusions complexes et multétapes.
• Automatiser la validation de la défense Passer de l’ingénierie de détection manuelle à la validation alimentée par l’IA. Utilisez l’apprentissage automatique pour vous assurer que vos stratégies de détection et de réponse évoluent aux côtés des menaces qu’elles sont censées arrêter.
• Moderniser les rapports de risque cybernétique Remplacer les tableaux de bord de risque statiques par des évaluations d’exposition en temps réel. Alignez-vous sur des cadres tels que MITRE ATT&CK pour démontrer comment vos contrôles se rapportent aux comportements de menace réels.

Les organisations qui passent à la validation continue et à la priorisation basée sur l’exploitabilité peuvent s’attendre à des améliorations mesurables dans de nombreuses dimensions des opérations de sécurité. En se concentrant uniquement sur les menaces à impact élevé et actionnables, les équipes de sécurité peuvent réduire la fatigue des alertes et éliminer les distractions causées par les faux positifs ou les vulnérabilités non exploitables. Cette focalisation rationalisée permet des réponses plus rapides et plus efficaces aux attaques réelles, réduisant ainsi considérablement le temps de résidence et améliorant la contention des incidents.

De plus, cette approche améliore l’alignement réglementaire. La validation continue satisfait aux exigences croissantes des cadres tels que les règles de divulgation de la cybersécurité de la SEC et le règlement DORA de l’UE, qui exigent tous deux une visibilité en temps réel sur les risques cybernétiques. Peut-être plus important encore, cette stratégie garantit une allocation de ressources plus efficace et permet aux équipes d’investir leur temps et leur attention là où cela compte le plus, plutôt que de s’étendre sur une vaste surface de risques théoriques.

Il est temps de s’adapter

L’ère des cybercrimes alimentés par l’IA n’est plus une prédiction, c’est le présent. Les attaquants utilisent l’IA pour trouver de nouveaux chemins d’accès. Les équipes de sécurité doivent utiliser l’IA pour les fermer.

Il ne s’agit pas d’ajouter plus d’alertes ou de corriger plus rapidement. Il s’agit de savoir quelles menaces comptent, de valider en continu vos défenses et d’aligner votre stratégie sur le comportement réel de l’attaquant. Seulement alors les défenseurs peuvent-ils reprendre la main dans un monde où l’IA réécrit les règles de l’engagement.