Analyse Comportementale

L'analyse comportementale est une méthode, pas un produit. Elle prend des données d'activité, comme les connexions, les opérations sur les fichiers, les flux réseau, les messages, les transactions et l'usage des applications, construit une image de ce qui est habituel pour chaque sujet, puis note tout ce qui s'en écarte.

La différence avec la détection par signature tient à la question posée. Une signature repère un fichier malveillant connu ou une adresse bloquée. L'analyse comportementale se demande si un compte, un appareil ou un flux de données agit différemment de son propre historique. C'est souvent le seul signal disponible avant qu'une menace nouvelle ou lente n'atteigne son but.

La même logique alimente la détection des menaces internes, où le sujet est un collaborateur de confiance et non un attaquant extérieur, et où aucune signature n'a rien à comparer.

Quel que soit le sujet, le travail suit la même séquence. La qualité dépend surtout de la référence de base, car une note ne vaut que par l'image de la normalité qui la sous-tend. Les références se construisent par le profilage de chaque utilisateur, appareil ou compte.

1. 1

   Collecte

   Les données d'activité viennent de sources pertinentes, comme les agents sur les postes, les capteurs réseau, les fournisseurs d'identité et les journaux de transactions, en volume et sur une durée suffisants.

2. 2

   Référence

   Un profil de la normale est construit pour chaque sujet, utilisateur, appareil, segment réseau ou compte, souvent replacé dans les normes de son groupe de pairs.

3. 3

   Notation

   La nouvelle activité est comparée à la référence par des règles de seuil, des modèles statistiques ou de l'apprentissage automatique. Elle reçoit un score d'écart ou de risque, et non un simple verdict oui ou non.

4. 4

   Tri et réponse

   Les constats notés sont classés et transmis aux analystes via un flux SOC ou la console SIEM. Ils les examinent, les escaladent ou s'en servent pour affiner la référence.

La même méthode s'applique à quatre domaines, chacun ayant son propre nom sur le marché :

Les termes se recouvrent assez pour prêter à confusion. L'analyse comportementale est la discipline générale : l'usage de la statistique et de l'apprentissage automatique sur des données comportementales, pour tout sujet et toute partie de la pile de sécurité. L'analyse comportementale des utilisateurs et des entités (UEBA) est une catégorie de produits bâtie dessus, limitée aux utilisateurs et aux entités IT d'une organisation.

L'analyse du comportement est la méthode sous-jacente qui consiste à étudier l'activité pour établir ce qui est normal, qu'un analyste le fasse à la main ou qu'un logiciel l'automatise. La détection d'anomalies comportementales est une tâche plus étroite : signaler un écart précis une fois la référence établie. En pratique, une équipe SOC rencontre les quatre à la fois : la méthode, la catégorie de plateforme, le travail d'interprétation et l'alerte qui l'a déclenché.

Anexet applique la même méthode à travers des règles explicites. Chaque règle déclenchée crée un incident, et la console regroupe les incidents par catégorie et par niveau de risque. L'analyste voit le schéma dans la détection des menaces internes avant d'ouvrir un seul événement.

Les catégories se modifient dans le gestionnaire des catégories de risque, ce qui permet à une organisation d'en ajouter ses propres à côté des catégories standard. Les deux vues ci-dessous s'appuient sur les mêmes données d'incidents.

1 / 2

• 
• 

L'analyse comportementale repère ce que la détection par signature et par règles ne voit pas : des écarts lents, cumulatifs ou nouveaux, construits à partir d'actions qui sont chacune légitimes. Cette force est aussi sa principale faiblesse.

Les scores alimentent un programme de gestion du risque d'initié, et c'est une personne, non le score, qui tranche. Quatre limites comptent le plus :

• Les références ont besoin de semaines d'historique avant que les scores aient du sens.
• Un nouveau projet, un changement de poste ou un pic saisonnier peut ressembler à un écart.
• Trop de seuils produisent des faux positifs, et les analystes cessent de faire confiance aux alertes.
• Les données sur l'activité des salariés relèvent du droit du travail et de la protection des données.

Commencez par les sujets et les données dont la fuite ou l'usage abusif causerait le plus de dégâts, puis par les canaux qui les transportent réellement. Construisez d'abord les références de ces sujets et ajustez les seuils avant que quiconque n'agisse sur un score.

Un programme qui part d'un objectif clair, d'une liste courte de règles et d'une piste d'audit complète est plus facile à défendre qu'un programme qui note tout d'un coup.