Evolution of Log-Based Detection Rules in Public Repositories
Cet article présente la première analyse longitudinale de l'évolution des règles de détection basées sur les journaux dans les dépôts publics, révélant que les changements de règles sont principalement non monotones et reflètent des compromis opérationnels continus entre la couverture et les faux positifs plutôt qu'une convergence constante vers des formes stables.
Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète
Imaginez que vous êtes un détective essayant d'attraper un type de criminel spécifique. Vous rédigez un ensemble d'instructions, ou une « règle », pour les repérer. Peut-être que la règle dit : « Si vous voyez une personne portant un chapeau rouge ET portant un sac bleu, déclenchez l'alarme. »
Dans le monde de la cybersécurité, ces « règles » sont appelées règles de détection basées sur les journaux (logs). Ce sont les instructions que les équipes de sécurité utilisent pour scanner des millions d'enregistments informatiques (journaux) afin de trouver les méchants.
Ce document est comme une étude à long terme de la façon dont ces instructions de détective changent au fil du temps. Les chercheurs ont examiné deux énormes bibliothèques publiques où les experts en sécurité partagent leurs règles : le projet Sigma (un groupe communautaire) et Splunk Security Content (une collection professionnelle et organisée). Ils ont suivi des milliers de règles pendant près d'une décennie pour voir comment elles évoluent.
Voici ce qu'ils ont découvert, expliqué à travers des analogies simples :
1. Les règles ne sont jamais « finies »
Vous pensez peut-être qu'une fois qu'un détective a écrit une règle, elle reste la même pour toujours. Mais les chercheurs ont découvert que 56 % des règles sont réécrites au moins une fois.
Imaginez que ces règles soient comme une recette de soupe.
- Au début, vous écrivez une recette : « Ajoutez du sel et du poivre. »
- Plus tard, vous réalisez que c'est trop salé, donc vous changez pour : « Ajoutez moins de sel. »
- Ensuite, vous réalisez que vous avez oublié l'ail, donc vous l'ajoutez à nouveau.
- Puis, vous réalisez que l'ail rend la soupe trop épicée, donc vous le retirez.
L'étude a montré que les règles sont constamment modifiées. Elles ne s'améliorent pas simplement de manière linéaire ; elles montent et descendent, ajoutant et retirant des ingrédients constamment.
2. L'effet « Bascule »
La découverte la plus surprenante est que ces règles ne se stabilisent que rarement. Au lieu de cela, elles agissent comme une balançoire (ou un see-saw).
- Côté A (Couverture) : Parfois, le détective veut attraper plus de criminels. Il rend la règle plus large : « Si vous voyez un chapeau rouge OU un sac bleu OU une écharpe verte, déclenchez l'alarme ! » Cela attrape plus de méchants, mais cela attrape aussi accidentellement des innocents (fausses alertes).
- Côté B (Faux Positifs) : Ensuite, le détective est agacé par tous les innocents qui se font attraper. Il rend la règle plus stricte : « Ne déclenchez l'alarme que si vous voyez un chapeau rouge ET un sac bleu. » Cela arrête les fausses alertes, mais maintenant, vous pourriez manquer certains vrais criminels.
L'étude a révélé qu'environ un tiers des règles oscillent entre ces deux côtés pendant des années. Elles ne trouvent pas un « terrain d'entente parfait » et n'y restent pas. Au lieu de cela, elles continuent d'osciller, essayant de trouver l'équilibre entre attraper les méchants sans agacer l'équipe de sécurité avec trop de fausses alertes.
3. Comment ils ont étudié les changements
Pour comprendre ces changements, les chercheurs ne pouvaient pas simplement regarder le texte des règles, car les experts en sécurité réécrivent souvent la même logique de différentes manières (comme réécrire une phrase pour qu'elle paraisse plus formelle).
Ils ont inventé un outil spécial appelé « Graphe de Prédicats ».
- L'analogie : Imaginez prendre une phrase complexe et la transformer en un diagramme d'arbre généalogique.
- Les mots « ET » et « OU » deviennent les branches.
- Les détails spécifiques (comme « chapeau rouge » ou « sac bleu ») deviennent les feuilles.
- En comparant ces arbres, ils pouvaient voir la structure de la règle, en ignorant le texte désordonné. Cela leur permettait de voir exactement quand une règle ajoutait une nouvelle branche, supprimait une feuille ou réorganisait tout l'arbre.
4. Le « Pourquoi » derrière les changements
Les chercheurs ont utilisé une IA (un Modèle de Langage Étendu) pour lire les changements et deviner pourquoi les experts les ont effectués. Ils ont trouvé trois raisons principales pour lesquelles les règles continuent de changer :
- Le « Bras de fer » (Oscillation) : Parfois, l'équipe ne parvient pas à décider entre attraper plus de personnes ou avoir moins de fausses alertes. Ils essaient une version, ne l'aiment pas, passent à l'autre version, ne l'aiment pas non plus, et reviennent à la première. C'est comme essayer de trouver la température parfaite d'une douche qui fluctue sans cesse.
- Le « Pack de base » (Changements couplés) : Parfois, ajouter une nouvelle chose pour attraper un élément vous force à ajouter une nouvelle chose pour l'exclure.
- Exemple : Si vous décidez d'attraper un nouveau type de virus, vous pourriez accidentellement commencer à attraper un programme inoffensif qui lui ressemble. Vous devez donc ajouter une règle pour exclure ce programme inoffensif au même moment. On ne peut pas avoir l'un sans l'autre.
- « Perdu dans la traduction » (Preuves insuffisantes) : Parfois, la règle change parce que le système informatique qu'elle surveille a changé son langage (comme un nom de champ passant de « user_name » à « username »). La règle fonctionne, mais on ne peut pas savoir par le texte seul si elle attrape plus ou moins de personnes. C'est comme changer la langue d'un livre ; l'histoire est la même, mais les mots sont différents.
5. La grande conclusion
La conclusion principale du document est que les règles de sécurité ne sont pas des plans statiques ; ce sont des choses vivantes et respirantes.
Elles n'évoluent pas vers une forme parfaite et stable. Au lieu de cela, elles reflètent la lutte continue des équipes de sécurité. Elles jonglent constamment avec l'équilibre entre :
- Ne pas manquer un méchant.
- Ne pas agacer tout le monde avec des fausses alertes.
Le document soutient que, parce que ces règles sont si désordonnées et changent constamment, nous avons besoin de meilleurs outils pour aider les équipes de sécurité à les gérer. Nous avons besoin de systèmes qui comprennent la logique des règles, pas seulement le texte, et d'outils qui peuvent aider les équipes à faire ces choix difficiles sans avoir à réécrire toute la règle à chaque fois.
En bref : Écrire une règle de sécurité, c'est comme accorder une radio. Vous continuez à tourner le cadran d'avant en arrière, essayant de trouver le signal le plus clair, mais la station dérive sans cesse, donc vous devez continuer à l'ajuster.
Noyé(e) sous les articles dans votre domaine ?
Recevez des digests quotidiens des articles les plus récents correspondant à vos mots-clés de recherche — avec des résumés techniques, dans votre langue.