Dans le monde numérique, les équipes de sécurité sont constamment bombardées de flux de données provenant d'ordinateurs et de serveurs. Ces journaux enregistrent chaque action entreprise par une machine : l'ouverture d'un fichier, le démarrage d'un programme, l'établissement d'une connexion. Pendant des années, l'objectif de la cybersécurité a été de rassembler ces notes éparses pour saisir la vue d'ensemble d'une attaque. Le défi est que les notes sont souvent incomplètes. Les attaquants sont habiles pour effacer leurs traces, supprimer des journaux ou brouiller l'ordre des événements. De plus, une seule action informatique peut signifier beaucoup de choses différentes selon le contexte ; le démarrage d'un programme peut être une mise à jour inoffensive ou le début d'un vol. Les méthodes traditionnelles tentent de résoudre cela en faisant correspondre des motifs spécifiques à des menaces connues, mais elles échouent souvent lorsque les preuves sont désordonnées ou lorsque les attaquants utilisent des outils familiers de manières nouvelles et inattendues.

Une équipe de chercheurs de l'Université Gachon en Corée du Sud a proposé une nouvelle façon d'aborder ce problème. Ils appellent leur système SCOPE. Au lieu d'essayer de forcer chaque entrée de journal dans une boîte rigide, SCOPE traite l'analyse comme un processus de raisonnement sous incertitude. Il accepte que les données reçues soient imparfaites et incomplètes, et construit un modèle capable de gérer les pièces manquantes sans s'effondrer. Les chercheurs ont testé leur système contre un ensemble de trente-cinq scénarios d'attaque connus où la séquence réelle des événements était déjà documentée. Ils ont constaté que SCOPE pouvait reconstruire le chemin global d'une attaque avec une précision bien plus élevée que les méthodes existantes, même lorsqu'une moitié des preuves numériques manquait. Plus important encore, le système pouvait identifier des schémas d'attaque complexes qu'il n'avait jamais vus auparavant, à condition que ces schémas soient constitués de blocs de construction connus agencés dans un nouvel ordre.

La difficulté fondamentale de l'analyse de ces journaux réside dans le fait que les événements individuels sont trop petits pour raconter une histoire à eux seuls. Une seule entrée de journal peut montrer la création d'un fichier, mais elle n'explique pas pourquoi. Pour résoudre cela, les chercheurs regroupent d'abord les événements liés en blocs plus larges et significatifs. Ils recherchent des événements qui se produisent proches les uns des autres dans le temps, impliquent les mêmes processus informatiques ou touchent les mêmes fichiers et connexions réseau. Cela crée un « groupe de comportement » qui représente une étape cohérente d'une attaque, telle qu'un pirate tentant de voler des mots de passe, plutôt qu'une simple liste de changements de fichiers isolés. Ce regroupement est conçu pour être robuste ; si certains événements au milieu sont manquants ou supprimés, le système peut toujours reconnaître le groupe car les pièces restantes sont liées par leur contexte partagé.

Une fois ces groupes formés, le système est confronté au défi suivant : décider ce que chaque groupe représente réellement. Par le passé, les systèmes essayaient d'attribuer une étiquette unique à un groupe, comme « Vol de mot de passe ». Si cette étiquette était erronée, toute l'analyse se brisait. SCOPE évite ce piège en gardant plusieurs possibilités ouvertes simultanément. Pour chaque groupe de comportement, il génère une liste d'étiquettes potentielles avec différents niveaux de probabilité. Il ne force pas une décision finale immédiatement. Au lieu de cela, il maintient ces options dans un état d'incertitude, permettant au système de considérer l'ensemble du tableau avant de se fixer sur une réponse. Cette approche reconnaît que la même action peut ressembler à des choses différentes selon ce qui se passe ensuite.

L'étape finale consiste à relier ces groupes en une chaîne complète. Les chercheurs utilisent une méthode qui évalue la qualité avec laquelle un comportement suit un autre en se basant sur deux facteurs principaux : le flux logique d'une attaque et la connexion physique entre eux. Ils savent que certains types d'actions se produisent généralement dans un ordre spécifique, comme obtenir l'accès à un système avant de voler des données. Ils recherchent également des liens physiques, tels qu'un fichier créé dans une étape étant utilisé dans la suivante. En combinant ces indices logiques et physiques, le système peut combler les lacunes là où les preuves manquent. Si une étape est manquante, le système ne s'arrête pas ; il connecte simplement les étapes survivantes, reconnaissant que le saut est plus grand que d'habitude mais reste possible. Cela permet au système de reconstruire une histoire continue même lorsque des parties de la chronologie ont été effacées.

Les chercheurs ont testé cette approche en utilisant un ensemble de données de trente-cinq scénarios d'attaque comprenant des enregistrements de vérité terrain de ce qui s'est exactement passé. Ils ont comparé SCOPE à plusieurs autres méthodes de pointe, incluant des systèmes basés sur des règles qui recherchent des motifs spécifiques, des systèmes basés sur des graphes qui cartographient les connexions, et des systèmes utilisant des modèles de langage de grande taille pour deviner l'histoire. SCOPE les a tous surpassés. Il a correctement identifié les techniques spécifiques utilisées dans les attaques environ 84 % du temps lorsqu'en examinant les cinq meilleures hypothèses. En mesurant sa capacité à reconstruire l'ensemble de la séquence d'événements, il a obtenu un score de 0,68, ce qui est nettement supérieur à la méthode la plus performante suivante.

La découverte la plus significative concerne la gestion des données manquantes par le système. Les chercheurs ont simulé une situation où jusqu'à 50 % des événements de journal étaient supprimés de manière aléatoire, imitant un scénario où un attaquant a réussi à effacer ses traces. Alors que les performances des autres systèmes chutaient brutalement à mesure que les données disparaissaient, SCOPE restait stable. Même avec la moitié des preuves disparues, il maintenait un score de reconstruction d'environ 0,57, ce qui est toujours supérieur au meilleur score obtenu par n'importe quelle autre méthode lorsque toutes les données étaient présentes. Cela suggère que la capacité du système à raisonner sur l'incertitude et à lier les pièces de preuves survivantes le rend bien plus résilient face à la perte de données du monde réel.

Le système a également démontré une capacité à reconnaître des combinaisons d'attaques inédites. En cybersécurité, les attaquants utilisent souvent des outils connus de manières nouvelles. Les systèmes traditionnels échouent souvent ici car ils sont entraînés uniquement sur des séquences spécifiques et connues. SCOPE, cependant, ne repose pas sur la mémorisation de séquences spécifiques. Au lieu de cela, il comprend la compatibilité de différentes étapes d'attaque. Lors des tests, il a reconstruit avec succès des chaînes cohérentes de techniques connues qui n'étaient jamais apparues ensemble dans les données d'entraînement. Il a atteint un taux de « cohérence-nouveauté » de 0,83, ce qui signifie qu'il pouvait identifier et lier correctement ces nouvelles combinaisons dans 83 % des cas où elles se produisaient. Cela indique que le système peut généraliser ses connaissances aux menaces inconnues, à condition que les composants individuels soient familiers.

Un choix de conception clé dans SCOPE est la manière dont il utilise l'intelligence artificielle. Les chercheurs ont utilisé un modèle de langage de grande taille, un type d'IA capable de comprendre le langage naturel, mais uniquement pour une tâche spécifique : décrire les groupes de comportement en texte clair. Le modèle ne prend pas les décisions finales sur la nature de l'attaque ou sur la façon dont les pièces s'assemblent. Ces décisions sont prises par un processus déterministe et mathématique qui évalue les connexions entre les étapes. Cette séparation garantit que le système ne « hallucine » pas ou n'invente pas de détails qui ne sont pas supportés par les données. Le modèle de langage agit uniquement comme un traducteur, transformant les journaux informatiques bruts en une description que le système de notation peut comprendre, tandis que le système de notation reste le juge strict de la chaîne finale.

Les chercheurs reconnaissent que leur travail est basé sur un ensemble de données contrôlées et que les environnements d'entreprise du monde réel sont beaucoup plus complexes. Ils notent que leur système n'est pas un remplacement pour les déclencheurs de détection de bas niveau, mais plutôt un outil pour donner du sens aux données que ces déclencheurs produisent. Le système est conçu pour travailler avec la nature incomplète et bruitée des vrais journaux, offrant un moyen de récupérer le récit d'une attaque même lorsque les preuves sont fragmentées. En traitant l'analyse d'attaque comme un problème de raisonnement sous incertitude plutôt que comme une simple correspondance de motifs, les chercheurs ont créé un cadre plus robuste face aux ruses utilisées par les attaquants pour masquer leurs traces. Les résultats suggèrent que l'avenir de l'analyse d'attaque pourrait ne pas résider dans la recherche de plus de données, mais dans un raisonnement plus efficace avec les données qui restent.