Operationalizing Cyber Threat Intelligence with GraphRAG
Ce document démontre que l'utilisation de Microsoft GraphRAG pour la récupération par graphe de connaissances, plutôt qu'un RAG vectoriel standard, permet la génération automatique de plans de détection de cybermenaces reposant sur des indicateurs de haut niveau plus durables, ce qui se traduit par une persistance de détection nettement plus élevée face aux techniques d'évasion des attaquants.
Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète
Imaginez l'internet comme une immense ville bouillonnante où des méchants tentent constamment de s'introduire dans des bâtiments. Lorsque les chercheurs en sécurité capturent ces voleurs, ils rédigent un rapport énumérant les indices : la pointure de chaussures du voleur, la plaque d'immatriculation de sa voiture de fuite et la marque spécifique du crochet utilisé. Autrefois, les équipes de sécurité se contentaient de copier ces indices dans une « liste d'interdiction » et espéraient que cela suffirait. Mais voici le problème : les méchants sont rapides. Si vous interdisez une plaque d'immatriculation, ils peuvent louer une nouvelle voiture en une heure. Si vous interdisez une pointure de chaussures, ils peuvent simplement en acheter une autre paire. C'est comme essayer d'arrêter une rivière en y jetant un simple caillou ; l'eau contourne simplement l'obstacle.
Pour résoudre cela, les experts en sécurité utilisent un concept appelé la « Pyramide de la Douleur » (Pyramid of Pain). Imaginez une pyramide où les couches inférieures sont des indices faciles à changer (comme des plaques d'immatriculation) et les couches supérieures sont les véritables habitudes et plans des voleurs (comme la façon dont ils crochetent la serrure ou pourquoi ils ont choisi ce bâtiment). Changer une habitude est difficile et prend des mois ; changer une plaque d'immatriculation prend quelques minutes. L'objectif est de construire des défenses qui ciblent le sommet de la pyramide. Parallèlement, un nouveau type d'outil d'IA appelé « GraphRAG » a émergé. Considérez l'IA standard comme un étudiant qui lit un livre et surligne les phrases qui ressemblent à une question. GraphRAG est comme un étudiant qui dessine d'abord une carte connectant tous les personnages, lieux et événements du livre, puis utilise cette carte pour trouver la réponse. Ce document pose une question simple : si nous utilisons la « carte » au lieu de simplement les « phrases surlignées », nos plans de sécurité dureront-ils plus longtemps ?
Le dilemme du détective : Cartes vs Surligneurs
Lorsqu'une entreprise de sécurité publie un rapport sur une cyberattaque, c'est comme remettre à un détective un épais roman rempli d'indices. Le travail du détective est de transformer ce roman en un ensemble d'instructions pour la force de police (l'équipe de sécurité) afin de capturer les méchants. Généralement, c'est un processus lent et manuel. Un humain doit lire l'intégralité du texte, en extraire les parties utiles et rédiger des règles spécifiques pour les logiciels de sécurité. Cela prend des jours, et au moment où les règles sont prêtes, les méchants ont souvent déjà changé leurs tactiques.
Certaines équipes ont tenté d'accélérer ce processus en utilisant l'IA. Ils ont donné le rapport à l'IA et lui ont demandé de rédiger les règles. L'IA a utilisé une méthode courante appelée « RAG Standard ». Vous pouvez voir cela comme un étudiant passant un examen qui ne cherche que les mots exacts dans le manuel qui correspondent à la question. Si la question porte sur une « voiture rouge », l'étudiant trouve le paragraphe mentionnant une « voiture rouge » et le recopie. Le problème est que cette approche est trop littérale. Elle se concentre sur les indices faciles à changer (la « voiture rouge ») et manque l'histoire plus profonde (le fait que le voleur conduit toujours une voiture rouge uniquement les mardis). Parce que les méchants peuvent changer leur « voiture rouge » pour une « camionnette bleue » en un jour, les règles de l'IA cessent de fonctionner presque immédiatement.
L'expérience GraphRAG
Les chercheurs de l'IIT Bombay ont voulu voir si une approche d'IA plus intelligente pouvait corriger cela. Ils ont comparé deux méthodes de traitement des mêmes rapports de sécurité :
- RAG Standard : La méthode classique du « surligneur » qui se contente de trouver des segments de texte similaires.
- GraphRAG : Une méthode qui construit d'abord un « graphe de connaissances ». Imaginez prendre le rapport et dessiner un réseau de connexions : ce hacker a utilisé ce malware pour attaquer ce serveur. Cela connecte les points avant de tenter de répondre à la question.
Ils ont soumis les deux méthodes aux mêmes rapports et leur ont demandé de rédiger exactement le même type de plan de recherche de menaces (threat-hunting). Ensuite, ils ont utilisé une IA « juge » spéciale pour noter les plans. La notation ne portait pas seulement sur le nombre de règles écrites par l'IA, mais sur l'endroit où ces règles se situaient sur la « Pyramide de la Douleur ». Le plan reposait-il sur des indices faciles à changer (le bas de la pyramide), ou se concentrait-il sur les comportements difficiles à changer (le haut de la pyramide) ?
Les résultats : La Carte gagne
Les résultats ont été clairs, bien qu'avec une distinction importante. Lors d'une analyse approfondie d'un rapport spécifique concernant un groupe de hackers célèbre (APT28), les chercheurs ont testé la durée de vie des plans. Ils ont simulé un scénario où les méchants changeaient chaque indice facile (adresses IP, noms de fichiers, domaines) dans ce rapport.
- Le plan RAG Standard (le surligneur) n'a fonctionné que pour 29 % des détections. Il était trop dépendant des indices spécifiques et changeants.
- Le plan GraphRAG (la carte) a fonctionné pour 100 % des détections dans ce cas d'étude spécifique. Parce qu'il se concentrait sur les relations et les comportements (le haut de la pyramide), le plan ne se souciait pas du fait que les méchants aient échangé leur « voiture rouge » contre une « camionnette bleue ».
Lorsque les chercheurs ont répété ce test avec neuf rapports différents provenant de quatre fournisseurs de sécurité différents, le schéma s'est confirmé : les plans GraphRAG atteignaient systématiquement des niveaux plus élevés de la pyramide, les rendant beaucoup plus difficiles à éviter pour les attaquants. Bien que le taux de survie de 100 % soit un résultat exceptionnel de cette étude de cas unique sur APT28, les expériences plus larges ont confirmé que les plans GraphRAG surpassaient systématiquement le RAG Standard pour cibler des indices durables et difficiles à éviter, même lorsque les deux méthodes présentaient des scores de qualité globale similaires.
Ce que cela signifie
L'article suggère que pour que les équipes de sécurité puissent transformer automatiquement les rapports en défenses opérationnelles, elles doivent cesser de simplement « lire » le texte et commencer à « cartographier » les connexions. L'étude a montré que la manière dont l'IA récupère l'information (la carte vs le surligneur) importe presque autant que l'IA elle-même. Si la méthode du « surligneur » est acceptable pour des questions simples, la méthode de la « carte » est la méthode architecturalement correcte pour construire des plans de recherche qui n'expirent pas dès que les méchants changent de chaussures.
Cependant, les auteurs ont également noté quelques accrocs. Parfois, si un rapport était très court, la méthode de la « carte » se mélangeait les pinceaux et ne trouvait pas assez de connexions pour construire un bon plan. De plus, l'IA juge commettait parfois des erreurs de calcul lors de la notation de plans longs, ce que les chercheurs ont dû corriger avec un peu de code supplémentaire. Mais dans l'ensemble, les preuves suggèrent que la construction d'un graphe de connaissances est la clé pour créer des règles de sécurité générées par l'IA qui sont réellement pérennes.
Noyé(e) sous les articles dans votre domaine ?
Recevez des digests quotidiens des articles les plus récents correspondant à vos mots-clés de recherche — avec des résumés techniques, dans votre langue.