Détection des Menaces Internes

Une attaque externe déclenche des alarmes. Un pare-feu bloque une connexion, un système de détection d'intrusion signale une signature, l'antivirus met un fichier en quarantaine. Ce sont des événements fondés sur des règles : quelque chose correspond à un motif malveillant connu, ou ne correspond pas.

Les menaces internes ne fonctionnent pas ainsi. La personne interne utilise des identifiants, des applications et des canaux légitimes. Chaque action prise isolément, comme ouvrir un fichier, envoyer un courriel ou téléverser des données dans le cloud, est autorisée. La menace réside dans le motif : la combinaison d'actions dans le temps qui révèle une intention ou un risque. La détecter suppose une approche différente de la sécurité périmétrique.

Une détection efficace combine plusieurs méthodes, car aucune ne couvre à elle seule tous les cas :

• Surveillance par règles : des politiques fixes signalent des actions précises, par exemple un fichier correspondant à l'empreinte d'un document confidentiel déposé sur un compte cloud personnel. Elles détectent les motifs connus, pas les nouveaux.
• Référentiel comportemental et détection d'anomalies (UEBA) : le système apprend le comportement habituel de chaque utilisateur et signale les écarts, par exemple une hausse soudaine du volume de données ou l'accès à des systèmes hors de son rôle. Elle capte les menaces qui ne correspondent à aucune règle prédéfinie.
• Inspection de contenu (DLP) : plutôt que le comportement, le DLP examine ce qui est transféré, par exemple un tableur contenant des numéros de carte ou un texte correspondant à un dictionnaire de termes sensibles. Il capte les données réellement exposées, quel que soit le canal.
• Notation du risque : plusieurs signaux sont combinés en un score de risque par utilisateur. Un signal faible isolé représente un risque faible, mais plusieurs signaux convergeant sur la même personne élèvent le score. Les dossiers sont ainsi hiérarchisés face à l'attention limitée des analystes.
• Enrichissement contextuel : les événements RH, les changements d'accès et le contexte organisationnel rendent la détection plus précise et réduisent les faux positifs.

Anexet évalue chaque utilisateur selon des catégories de risque. Chaque catégorie dispose d'un niveau de risque par défaut.

Les programmes de détection suivent dans le temps des combinaisons de ces indicateurs. Aucun indicateur isolé n'est concluant : la valeur tient aux combinaisons et aux tendances, non aux événements isolés.

Détecter n'est pas accuser. Lorsqu'un utilisateur est signalé, l'étape suivante est d'instruire, non d'agir. L'analyste examine l'activité signalée dans son contexte :

• Existe-t-il une explication métier légitime ?
• Le poste ou le projet de la personne a-t-il récemment changé ?
• Plusieurs sources de données confirment-elles les indicateurs ?
• Quelle est la gravité et l'impact potentiel ?

Ce n'est qu'après l'instruction que le programme décide de la réponse : clore le dossier comme faux positif, renforcer la surveillance, ajuster les accès ou escalader vers la direction ou la sécurité. Agir sur des alertes brutes sans instruction conduit à des accusations infondées, à une perte de confiance et à une exposition juridique.

La détection identifie le risque, la prévention bloque le dommage. Les deux sont complémentaires :

Beaucoup de menaces ne peuvent pas être empêchées à l'avance. Une personne interne peut utiliser des canaux que le DLP ne couvre pas, ou agir de façon légitime si on la considère isolément. Dans ces cas, la défense principale reste la détection assortie d'une instruction rapide. Pour les canaux et contenus connus, la prévention par DLP est plus efficace.

Pour aller plus loin : Comment un responsable de la sécurité identifie-t-il une personne interne malveillante grâce au système DLP ?.

• Le DLP est préventif : il peut empêcher un fichier sensible de quitter l'organisation.
• L'UEBA est détectif : il identifie un risque comportemental qui peut ou non se traduire par un événement réel.