Imaginez que vous soyez un détective tentant de résoudre un crime, mais au lieu de chercher des empreintes digitales ou des empreintes de pas, vous examinez un flux massif et chaotique d'empreintes numériques laissées par un ordinateur. Ce domaine s'appelle la cybersécurité, et la « scène du crime » est le journal de bord interne d'un ordinateur. Pendant longtemps, les détectives ont essayé d'attraper les méchants en cherchant des « photos d'identité judiciaire » spécifiques et connues — comme un nom de fichier spécifique ou l'adresse d'un hacker connu. Mais les hackers modernes sont habiles ; ils changent constamment de vêtements et de masques, donc ces vieilles « photos d'identité » échouent souvent.

Pour attraper ces changeurs de forme, les scientifiques essaient une approche différente : au lieu de regarder des empreintes isolées, ils regardent l' histoire que racontent les empreintes. Ils veulent comprendre le comportement de l'intrus. Pensez-y de cette façon : si vous voyez une personne entrer dans une banque, puis courir vers un coffre-fort, puis briser une fenêtre, et enfin sortir en courant avec un sac, vous n'avez pas besoin de connaître son nom pour savoir qu'elle est en train de braquer la banque. Vous avez juste besoin de voir la séquence d'actions. Ce document explore comment transformer un tas désordonné de journaux informatiques en une histoire claire et lisible de ce que fait un attaquant, puis utilise des programmes informatiques intelligents pour comprendre exactement quel genre de « tour » l'attaquant est en train de jouer.

---

Le nouveau kit d'outils du détective numérique

Dans le monde de la sécurité informatique, il existe un célèbre manuel de jeu appelé MITRE ATT&CK. Considérez-le comme une immense encyclopédie de tous les différents tours que les hackers utilisent pour s'introduire dans les systèmes. Il ne se contente pas de lister des « méchants » ; il catégorise leurs mouvements spécifiques, comme « voler des mots de passe », « cacher des fichiers » ou « se déplacer latéralement vers d'autres ordinateurs ». L'objectif de cette recherche était de construire un système capable d'examiner les journaux d'activité bruts d'un ordinateur et de dire : « Ah, je vois ce qui se passe ici ; c'est le tour du 'Credential Dumping' (vol d'identifiants) », ou « C'est le tour du 'Lateral Movement' (mouvement latéral) ».

Les chercheurs ont utilisé un outil spécial appelé Sysmon. Imaginez Sysmo comme une caméra de sécurité hyper-observatrice à l'intérieur d'un ordinateur qui ne cligne jamais des yeux. Elle enregistre tout : chaque programme qui démarre, chaque fichier qui est créé, chaque connexion établie sur Internet et chaque modification apportée aux paramètres du système. Mais voici le problème : Sysmon enregistre tout, et elle le fait d'une manière incroyablement bruyante et désordonnée. C'est comme avoir une caméra de sécurité qui enregistre chaque clin d'œil, chaque respiration et chaque pas de chaque personne dans une ville, mais qui ne vous dit pas qui marche avec qui ou dans quel ordre. Si vous regardez juste un clin d'œil, vous n'apprenez rien. Vous devez voir tout le film.

La grande question : Comment relier les points ?

Les chercheurs se sont posé une question simple mais cruciale : Comment pouvons-nous le mieux relier ces empreintes numériques éparpillées pour raconter une histoire cohérente ?

Ils ont testé deux manières principales de lier les événements ensemble :

1. La méthode « Qui est ton parent ? » (basée sur le GUID) : Dans un ordinateur, chaque programme possède un numéro d'identification unique. Lorsqu'un programme en lance un autre, c'est comme si un parent avait un enfant. Les chercheurs ont tenté de lier les événements en suivant ces « arbres généalogiques ». Si le Programme A a démarré le Programme B, et que le Programme B a ouvert un fichier, ils ont lié ces événements car ils appartiennent à la même « famille ». C'est comme suivre un gang criminel en suivant son arbre généalogique, peu importe l'heure de la journée où ils agissent.
2. La méthode « Qu'est-ce qui s'est passé en premier ? » (basée sur le temporel) : Cette méthode lie les événements simplement par le temps. Si deux choses se sont produites à moins d'une seconde d'intervalle, les chercheurs ont supposé qu'elles étaient liées. C'est comme dire : « Ces deux personnes étaient dans la même pièce au même moment, elles travaillent donc forcément ensemble. »

L'expérience : Enseigner aux ordinateurs à lire l'histoire

Pour tester ces méthodes, les chercheurs n'ont pas attendu que de vrais hackers s'introduisent dans une vraie banque. Au lieu de cela, ils ont mis en place un laboratoire sûr et contrôlé et ont utilisé un outil appelé Atomic Red Team pour simuler des attaques. Ils ont joué des tours spécifiques du manuel MITRE ATT&CK, générant des milliers de journaux Sysmon qui ressemblaient exactement à une attaque réelle.

Ils ont ensuite injecté ces journaux dans deux types d'ordinateurs « étudiants » :

• Les Étudiants Traditionnels : Il s'agissait de modèles classiques d'apprentissage automatique (comme Random Forest et LightGBM). Ils sont bons pour repérer des motifs, mais nécessitent que les données soient très propres et organisées au préalable.
• Les Super-Lecteurs : Il s'agissait de modèles d'IA avancés appelés Transformers (plus précisément SecBERT et SecureBERT). Ce sont comme des ordinateurs qui ont lu l'intégralité d'Internet et sont experts pour comprendre le sens et le contexte des mots et des séquences. Ils peuvent lire une phrase et comprendre l'histoire qui se cache derrière.

Les chercheurs ont également dû faire face à un problème délicat : le déséquilibre des classes (Class Imbalance). Dans leurs données, certains tours (comme le « System Binary Proxy Execution ») se produisaient des centaines de fois, tandis que d'autres (comme le « Subvert Trust Controls ») ne se produisaient que quelques fois. C'est comme une salle de classe où 90 % des élèves s'appellent « Jean », et un seul s'appelle « Zoé ». Si vous entraînez un professeur à deviner les noms, il dira « Jean » à chaque fois et obtiendra un score élevé, mais il n'apprendra jamais qui est Zoé. Les chercheurs ont essayé différentes manières de corriger cela, comme créer des exemples supplémentaires pour les tours rares (une technique appelée SMOTE) ou apprendre à l'ordinateur à accorder une attention particulière aux plus rares (en utilisant une mathématique spéciale appelée « Focal Loss »).

Les résultats : L'arbre généalogique gagne, et moins c'est mieux

Après avoir lancé des centaines de simulations, les résultats étaient clairs et surprenants.

1. La méthode de l'« Arbre Généalogique » est supérieure
La corrélation basée sur le GUID (suivre l'arbre généalogique du processus) a systématiquement battu la corrélation basée sur le temporel (regarder simplement l'heure).

• Pourquoi ? Le document suggère que le simple fait d'être proche dans le temps ne suffit pas à prouver que deux événements sont liés. Un ordinateur peut faire un million de choses sans rapport en une seconde. Mais si le Programme A a lancé le Programme B, c'est un lien dur et incassable. La méthode de l'« arbre généalogique » a préservé les véritables relations entre les événements, donnant à l'IA une histoire beaucoup plus claire à lire.
• Le Score : Le meilleur modèle utilisant la méthode de l'« arbre généalogique » (SecureBERT) a atteint une précision de 0,586 (ce qui signifie qu'il a trouvé la bonne réponse environ 58,6 % du temps). Le meilleur modèle utilisant la méthode du « temps » n'a atteint que 0,504.

2. Les « Super-Lecteurs » battent les « Étudiants Traditionnels »
Les modèles d'IA avancés (SecureBERT) ont systématiquement surpassé les modèles traditionnels d'apprentissage automatique.

• Le Score : SecureBERT avec la méthode de l'« arbre généalogique » a obtenu une précision de 0,586. Le meilleur modèle traditionnel (LightGBM) n'a obtenu que 0,501.
• Pourquoi ? Les « Super-Lecteurs » étaient meilleurs pour comprendre le contexte complexe de l'histoire. Ils pouvaient voir qu'une séquence spécifique d'événements signifiait « piratage », même si les parties individuelles semblaient inoffensives sur le moment.

3. Le rebondissement surprenant : Ne pas trop enseigner à l'IA
Les chercheurs s'attendaient à ce que corriger le « déséquilibre des classes » (le problème des tours rares) aide l'IA à mieux apprendre. Ils ont essayé de créer des exemples supplémentaires (SMOTE) pour les modèles traditionnels, et cela a bien fonctionné.

• Cependant, pour les « Super-Lecteurs » avancés (SecureBERT), ne rien faire était en fait la meilleure stratégie.
• Lorsqu'ils ont essayé de forcer l'IA à prêter une attention particulière aux tours rares en utilisant une mathématique spéciale (Focal Loss), la performance globale de l'IA a chuté.
• La conclusion : Le modèle de base (l'IA standard sans astuces particulières pour corriger le déséquilibre) a obtenu la précision la plus élevée (0,586) et le meilleur équilibre global. Le document suggère que les histoires complexes et corrélées générées par la méthode de l'« arbre généalogique » étaient si riches et significatives que l'IA pouvait apprendre les tours rares naturellement sans avoir besoin d'être forcée ou « sur-corrigée ».

Ce que cela signifie pour l'avenir

Ce document ne prétend pas avoir résolu tous les problèmes de la cybersécurité. Il ne dit pas que les hackers sont désormais capturés 100 % du temps. Au contraire, il suggère que la façon dont nous organisons les données importe plus que le programme informatique spécifique que nous utilisons pour les lire.

En liant les événements par leurs « arbres généalogiques » (relations de processus) plutôt que par leurs horodatages, nous créons une histoire beaucoup plus riche et plus précise de ce qu'un attaquant est en train de faire. Et lorsque nous nourrissons ces histoires riches à des modèles d'IA avancés, ils peuvent apprendre à reconnaître les tours spécifiques des hackers mieux que jamais — même sans avoir besoin d'être artificiellement forcés de prêter attention aux cas rares.

L'étude souligne également une limite : ces résultats ont été trouvés dans un laboratoire contrôlé utilisant des attaques simulées. Les chercheurs admettent que les environnements informatiques réels sont plus désordonnés et complexes. Ainsi, bien que ce soit une nouvelle direction prometteuse, la prochaine étape est de voir si ces histoires d'« arbres généalogiques » tiennent la route lorsque l'ordinateur est réellement utilisé par de vraies personnes dans un vrai bureau, et non pas seulement dans un laboratoire de test.

En bref, le document nous enseigne que pour attraper un voleur numérique, vous ne devriez pas seulement regarder l'horloge ; vous devriez regarder avec qui il marche. Et parfois, le plus intelligent des ordinateurs est celui qui est autorisé à apprendre à son propre rythme, sans trop d'interférences.