Ce qui compte comme une anomalie comportementale
Une anomalie est un écart par rapport à un schéma attendu, suffisamment important, ou suffisamment inhabituel dans son contexte, pour justifier une attention. L'attente provient d'une ligne de base : un modèle de la normalité construit à partir de l'historique de la personne, de son groupe de pairs dans le même rôle et du comportement attendu pour ce rôle.
Toute anomalie n'est pas malveillante. Les échéances, les déplacements professionnels et les nouveaux projets produisent aussi des écarts légitimes. La détection fournit donc des pistes, pas des verdicts. La confirmation intervient lors de l'enquête, et les signaux pertinents sont décrits dans les indicateurs de menace interne.
| Type | Exemple |
|---|---|
| Anomalie ponctuelle | Envoi de 2 Go par un utilisateur qui transfère habituellement des mégaoctets |
| Anomalie contextuelle | Fichiers de projet ouverts à 3 h du matin un week-end |
| Anomalie collective | Collecte de fichiers, renommage d'extensions, archivage, puis un gros transfert |
Détection d'anomalies, analyse comportementale et UEBA
Ces termes sont liés, mais non interchangeables. L'analyse comportementale est la méthodologie la plus large : elle étudie la façon dont les personnes utilisent les systèmes de l'entreprise, établit ce qui est normal et interprète les écarts. Elle est pratiquée par des analystes comme par des logiciels.
La détection d'anomalies comportementales en est la tâche technique précise : signaler automatiquement l'activité qui répond à des critères d'écart définis par rapport à une ligne de base. L'analyse comportementale des utilisateurs et des entités (UEBA) est la catégorie de produits qui automatise tout le processus. En bref, l'analyse comportementale pose les questions, la détection d'anomalies déclenche l'alerte et l'UEBA automatise la boucle.
Méthodes de détection : seuil, statistique, apprentissage automatique
Trois familles de méthodes dominent, et la plupart des déploiements les combinent.
Aucune approche n'est strictement supérieure. Les règles de seuil sont transparentes, mais rigides. Les modèles statistiques ajoutent un contexte personnel et de pairs. L'apprentissage automatique repère des schémas plus subtils, mais il est plus difficile à expliquer et à régler. Beaucoup de programmes commencent par les seuils et la statistique, car chaque alerte peut être justifiée auprès des auditeurs. Ils n'ajoutent l'apprentissage que là où la sensibilité supplémentaire vaut l'opacité.
| Approche | Fonctionnement | Atouts | Limites |
|---|---|---|---|
| Règles de seuil | Limites fixes sur les compteurs d'activité, p. ex. 50 messages par heure | Simples à configurer, comprendre et auditer | Statiques et aveugles au contexte ; une limite sauf découpage par groupe |
| Détection statistique | Compare l'activité à la distribution d'une personne ou de ses pairs | S'adapte à chaque utilisateur et rôle ; perçoit la dérive graduelle | Exige de l'historique ; sensible à la saisonnalité et aux bases polluées |
| Apprentissage automatique | Apprend le comportement normal et mesure l'écart d'ajustement | Détecte des écarts subtils et multidimensionnels | Opaque ; exige des données et de l'expertise ; difficile à expliquer |
Faux positifs et fatigue d'alerte
Les faux positifs constituent le problème opérationnel central. Ils naissent de changements légitimes que la ligne de base n'a pas encore intégrés : échéances, déplacements, réorganisations ou pics saisonniers. Ils naissent aussi de détecteurs réglés trop finement.
Les lignes de base, construites par le profilage, ajoutent leur propre bruit. Le démarrage à froid survient lorsqu'un nouveau salarié n'a pas d'historique et que la détection s'appuie sur les habitudes de ses pairs. La dérive apparaît lorsque des projets et des horaires modifiés amènent un modèle périmé à signaler une activité ordinaire.
Le coût s'accumule en fatigue d'alerte : les analystes cessent de faire confiance aux alertes, et les véritables écarts se perdent dans le bruit.
L'endiguement est un processus. Régler les seuils sur la variation normale mesurée. Ajouter le contexte du groupe de pairs, pour que les habitudes de toute l'équipe ne soient pas signalées membre par membre. Réinjecter les conclusions bénignes dans les règles. Étayer les signaux faibles par une preuve indépendante, comme la vérification de ce qui a réellement été transféré, avant toute escalade.
De l'anomalie à l'action
La détection ne se justifie que si ses résultats changent les décisions. Un écart signalé passe en triage, dans le cadre d'une enquête sur incident de sécurité, où un analyste suit trois étapes.
- 1
Confirmer la gravité
L'analyste évalue à quel point l'écart est sérieux.
- 2
Rassembler le contexte
Il vérifie ce qui a été consulté, ce qui a été envoyé et depuis où.
- 3
Décider
Il clôt le dossier, continue l'observation ou intervient.
À quoi cela ressemble dans Anexet
Les deux mécanismes à seuil apparaissent dans la console sous forme de règles statistiques et de notifications de valeur de risque ; tous deux relèvent de la fonctionnalité de détection des menaces internes.
1 / 2
Limites juridiques et documentation
Parce que la technique repose sur la surveillance des salariés, elle s'exerce dans des limites juridiques. Dans la plupart des juridictions, y compris au titre du RGPD, la surveillance exige une finalité définie, une proportionnalité et une transparence envers les salariés.
Un programme défendable documente ce que mesurent les lignes de base, qui voit les constats et combien de temps les registres sont conservés.
Pour aller plus loin : Comment un responsable de la sécurité identifie-t-il une personne interne malveillante grâce au système DLP ?.
La ligne de base montre à quoi ressemble la normalité. Une alerte n'a de sens que lorsqu'on la confronte à cette norme.
Anexet TeamComment Anexet traite ce sujet
Dans Anexet, la détection d'anomalies comportementales repose sur deux mécanismes à seuils : les règles de sécurité statistiques, qui se déclenchent quand l'activité d'un utilisateur ou du réseau dépasse des limites numériques configurées, et le moteur Risk Analysis, qui transforme les incidents déclenchés en profils comportementaux par utilisateur avec niveaux et tendances de risque. La détection tourne sur des seuils configurés par l'analyste plutôt que sur des modèles auto-apprenants ; chaque règle est explicite, auditable et ajustable.
L'architecture on-premise garde les données comportementales et les scores de risque dans l'infrastructure de l'organisation ; chaque constat atterrit dans une piste d'audit complète et attribuable plutôt que dans un score opaque.
Règles de sécurité statistiques
une règle se déclenche lorsqu'un compteur d'activité franchit une limite fixée sur une heure, un jour calendaire, une semaine ou une période personnalisée, par exemple plus de 50 messages instantanés en une heure, par utilisateur ou à l'échelle du réseau.
Huit catégories de risque
les incidents sont classés dans huit catégories prédéfinies : menace interne, fuite de données, déloyauté des salariés, comportement incorrect, activité improductive, violation de la loi, dépense de ressources de l'entreprise et non-respect des horaires, auxquelles s'ajoutent des catégories personnalisées.
Niveaux et tendances de risque
chaque incident reçoit une note Élevée, Moyenne ou Faible ; chaque utilisateur porte un score total et un score de risque non revu, et les courbes de tendance se reconstruisent automatiquement au fil des changements de comportement.
Notifications de seuil
le gestionnaire de notifications peut alerter par e-mail ou par Telegram dès que le risque d'un utilisateur dans une catégorie choisie franchit un seuil configuré.
Fonctionnalité de détection des menaces internes
En savoir plus