When Explanations Help or Harm Network Intrusion Alert Triage: A Distribution-Conditional Benchmark

Dans le monde de la sécurité informatique à enjeux élevés, un flux constant de trafic numérique traverse les réseaux chaque seconde. La majeure partie de ce trafic est inoffensive, mais des tentatives d'intrusion, de vol de données ou de perturbation de services se cachent au sein de celui-ci. Pour attraper ces intrus, les organisations utilisent des systèmes automatisés qui agissent comme des sentinelles numériques. Ces systèmes scannent constamment le flux de données, à la recherche de modèles qui semblent suspects. Lorsqu'ils repèrent quelque chose d'inhabituel, ils déclenchent une alarme. Cependant, ces systèmes ne sont pas parfaits ; ils génèrent souvent des milliers de fausses alertes, signalant une activité normale comme étant une menace. Cela crée un arriéré massif pour les analystes de sécurité humains, qui doivent trier le bruit pour trouver le véritable danger. La question critique pour ces équipes n'est pas seulement de savoir si le système peut détecter une attaque, mais si la liste d'alarmes qu'il produit place les menaces les plus dangereuses tout en haut, là où un analyste fatigué peut les voir en premier.

Pendant des années, une idée populaire dans le domaine de l'intelligence artificielle a été d'utiliser des « explications » pour aider à résoudre ce problème. La logique est simple : si un ordinateur peut dire à un humain pourquoi il a signalé une alarme spécifique, l'humain peut davantage lui faire confiance et mieux la prioriser. Imaginez un garde de sécurité qui non seulement pointe du doigt une personne suspecte, mais explique aussi : « Je le surveille parce qu'il tient un grand sac et qu'il se déplace rapidement. » L'espoir est qu'ajouter ce raisonnement à la liste des alarmes aiderait les analystes à trouver les véritables attaques plus rapidement. Mais cette hypothie n'a jamais été rigoureusement testée dans la réalité chaotique de la sécurité des réseaux. L'ajout d'une explication aide-t-il réellement, ou cela confond-il le système et repousse-t-il les véritables menaces plus bas dans la liste ?

Une équipe de chercheurs de diverses universités de Turquie s'est donné pour mission de répondre à cette question par une expérience contrôlée et minutieuse. Ils ne se sont pas contentés de demander si les explications étaient « bonnes » ou « mauvaises ». Au lieu de cela, ils ont construit un terrain d'essai pour voir exactement quand les explications aident, quand elles ne font rien, et quand elles aggravent la situation. Ils ont commencé par trois types différents de détecteurs automatisés, chacun entraîné à reconnaître une activité réseau inhabituelle sans être informé de ce que sont les attaques spécifiques à rechercher. Ces détecteurs généraient une liste d'alarmes basées purement sur l'étrangeté des données. Les chercheurs ont ensuite pris cette liste et ont appliqué une règle spécifique : ils ont ajouté une « signature » à l'explication. Cette signature était un ensemble prédéfini de caractéristiques correspondant à un type d'attaque spécifique, tel qu'une attaque par déni de service (DoS), qui se caractérise par un flux massif de données.

Les chercheurs ont ensuite testé si le fait de booster la priorité des alarmes correspondant à cette signature améliorait réellement l'ordre de la liste. Ils ont utilisé une méthode appelée SHAP, qui décompose la décision d'un ordinateur en analysant la contribution de chaque fragment de donnée, pour voir si l'ordinateur se concentrait sur les bonnes choses. Ils ont comparé la liste originale, ordonnée uniquement selon l'étrangeté des données, contre une nouvelle liste où les alarmes correspondant à la signature de l'attaque recevaient un léger bonus. Ils ont mené ce test à travers des milliers de scénarios, utilisant différents types d'attaques, différents détecteurs et différentes tailles de listes pour voir si les résultats se confirmaient.

Les conclusions ont été surprenantes et nuancées. Les chercheurs ont découvert que l'ajout d'explications n'améliorait pas automatiquement la liste. En fait, pour certains des types d'attaques les plus courants, spécifiquement les inondations de déni de service, l'explication a en fait aggravé la situation. Lorsque les chercheurs ont appliqué la règle de l'explication à ces attaques, les véritables menaces ont été repoussées plus profondément dans la liste, les rendant plus difficiles à trouver pour un analyste. Cela s'est produit parce que les détecteurs automatisés étaient déjà très performants pour repérer ces inondations par eux-mêmes, les classant en tête de liste. La règle de l'explication, tentant d'être utile, a involontairement mélangé la liste et a déplacé les alarmes les plus urgentes vers le bas.

Cependant, l'histoire n'est pas entièrement négative. Dans quelques cas spécifiques, l'explication a aidé. Pour certains types d'attaques et avec des détecteurs spécifiques, l'explication a réussi à maintenir les bonnes alarmes en haut de la liste. Mais ces succès étaient rares et fragiles. Les chercheurs ont constaté que le résultat dépendait entièrement de la combinaison spécifique du détecteur utilisé, du type d'attaque et du moment exact où les données ont été collectées. Ce qui fonctionnait pour un type d'attaque échouait pour un autre. Ce qui fonctionnait sur une journée de données ne fonctionnait pas le lendemain.

L'étude a également examiné si ces résultats tiendraient bon dans le monde réel, où les données sont désordonnées et imprévisibles. Ils ont testé leurs méthodes sur différents ensembles de données, incluant certains beaucoup plus larges et complexes que le test initial. Ils ont constaté que le schéma restait cohérent : la règle de l'explication n'était pas une solution universelle. Dans certains jeux de données modernes, elle aidait légèrement, mais dans d'autres, elle causait des dommages. De manière cruciale, ils ont tenté de construire un « sélecteur » capable de décider automatiquement quand utiliser l'explication et quand s'en tenir à la liste simple. Ils ont découvert qu'aucun sélecteur de ce type ne pouvait être construit de manière assez sûre pour être utilisé sans une surveillance humaine constante. La règle qui fonctionnait dans les données d'entraînement échouait souvent lorsqu'elle était appliquée à de nouvelles données inédites.

Les chercheurs ont conclu que l'idée de simplement ajouter des explications aux alertes de sécurité n'est pas une solution miracle. Bien que les explications puissent être utiles pour comprendre pourquoi un ordinateur a pris une décision, les utiliser pour réordonner automatiquement une liste d'alarmes est risqué. L'étude a montré que, dans de nombreux cas, la liste simple basée sur le score brut d'« étrangeté » était en fait meilleure que la liste modifiée par les explications. La meilleure approche, suggèrent les chercheurs, est de traiter l'explication comme un outil secondaire. Les équipes de sécurité devraient conserver la liste originale comme moyen primaire de prioriser le travail, en utilisant l'explication uniquement comme un moyen de double vérification ou de compréhension d'une alarme spécifique, plutôt que de la laisser changer l'ordre de l'ensemble de la liste.

Ce travail fournit une carte claire et fondée sur des preuves pour l'avenir des opérations de sécurité. Il nous dit que nous ne pouvons pas supposer que plus d'informations mènent toujours à de meilleures décisions. Parfois, la couche supplémentaire d'explication peut obscurcir les signaux les plus importants. Les chercheurs ont démontré qu'avant qu'une organisation n'adopte un système qui re-classe les alarmes sur la base d'explications, elle doit le tester rigoureusement dans son propre environnement. Elle doit vérifier que l'explication aide réellement ses détecteurs spécifiques à trouver ses menaces spécifiques. Sans cette validation locale, la tentative de rendre la sécurité plus intelligente grâce aux explications pourrait simplement la rendre plus lente et moins efficace. La voie à suivre n'est pas de faire confiance aveuglément au raisonnement de l'ordinateur, mais de l'utiliser avec prudence, en sachant exactement quand il aide et quand il nuit.