Graph Neural Networks for Provenance-Based APT Detection under a Temporal Transfer Framework: A Review

Dans les couches cachées des systèmes informatiques, une guerre silencieuse est constamment menée. Les attaquants, connus sous le nom de menaces persistantes avancées, ne font pas planter les serveurs ou ne volent pas de données en une seule explosion bruyante. Au lieu de cela, ils se déplacent lentement, comme un cambrioleur qui entre dans une maison, attend que la famille s'endorme, puis se déplace discrètement de pièce en pièce, ouvrant des tiroirs et copiant des documents sur plusieurs jours ou semaines. Pour attraper un intrus aussi patient, les experts en sécurité examinent l'historique du système, ou la provenance. Il s'agit d'un enregistrement de chaque action effectuée par un ordinateur : quel programme a ouvert quel fichier, quel processus a envoyé un message à un autre, et quand ces événements se sont produits. En reliant ces points, les experts peuvent voir le chemin invisible laissé derrière eux par un attaquant. Pendant des années, les chercheurs ont tenté d'utiliser l'intelligence artificielle pour lire ces historiques automatiquement, espérant détecter les motifs subtils d'une attaque avant qu'il ne soit trop tard.

Une nouvelle revue de ce domaine suggère toutefois que les succès actuels pourraient être une illusion. Les chercheurs ont examiné des dizaines d'études affirmant avoir construit des modèles d'intelligence artificielle capables de repérer ces intrusions à long terme avec une précision quasi parfaite. Ils ont constaté que, bien que ces modèles soient brillants en laboratoire, ils échouent souvent à prendre en compte le facteur le plus critique de la sécurité dans le monde réel : le temps. Les études examinées testaient principalement leurs modèles sur des données déjà complètes, permettant à l'intelligence artificielle de voir des événements qui n'étaient pas encore survenus au moment où une alerte aurait dû être déclenchée. C'est un peu comme noter un élève à un examen d'histoire en lui laissant lire le corrigé avant qu'il ne s'assoie pour écrire. Lorsque les chercheurs ont regardé de plus près, ils ont découvert que les modèles n'apprenaient pas nécessairement à reconnaître le comportement de l'attaquant ; ils se contentaient souvent de mémoriser les détails spécifiques des données de test ou de s'appuyer sur des informations qui ne seraient pas disponibles dans une situation réelle et en temps réel.

La revue, menée par une équipe de spécialistes en informatique, a synthétisé les conclusions de vingt-neuf études de détection différentes publiées entre 2020 et 2026. Ces études utilisaient un type d'intelligence artificielle appelé réseau de neurones sur graphes, conçu pour comprendre les relations entre les choses, un peu comme une carte montrant comment les villes sont reliées par des routes. Dans ce contexte, les « villes » sont les processus et les fichiers informatiques, et les « routes » sont les actions qui les relient. Les chercheurs ont organisé ces études selon un cadre clair pour voir comment elles géraient le passage du temps. Ils ont découvert que, bien que dix-neuf des études utilisent ces réseaux de graphes avancés, très peu testaient réellement l'efficacité de leurs modèles sur des données provenant d'une date ultérieure. Dans le monde réel, un système de sécurité est entraîné sur des données du mois dernier et doit détecter des attaques se produisant aujourd'hui. La revue a révélé que la plupart des études ne simulaient pas ce délai. Au lieu de cela, elles entraînaient et testaient leurs modèles sur le même lot de données, mélangeant souvent la chronologie afin que le modèle puisse « jeter un coup d'œil » aux événements futurs pour prendre sa décision.

L'une des découvertes les plus significatives était que les taux de précision élevés rapportés dans ces études ne se traduisent probablement pas par des performances dans le monde réel. Les chercheurs ont défini deux niveaux de test pour le prouver. Le premier demande si un modèle, une fois entraîné et figé, peut toujours repérer des attaques lorsqu'on lui présente de nouvelles données à une date ultérieure. Le second demande si le modèle peut s'adapter et s'améliorer à mesure qu'il voit de nouvelles données. La revue a découvert que, bien que cinq études aient mentionné des moyens d'adapter leurs modèles, aucune d'entre elles n'a réellement testé ces adaptations sur des données d'une période ultérieure. De plus, de nombreuses études ont utilisé une méthode d'étiquetage des attaques qui créait un piège caché. Si les chercheurs marquaient un fichier comme « mauvais » parce qu'il était connecté à un autre fichier connu comme mauvais, l'intelligence artificielle pouvait simplement apprendre à chercher cette connexion plutôt que le comportement réel de l'attaque. Cela signifiait que le modèle réussissait le test en reconnaissant les règles du test, et non en comprenant la menace.

L'équipe a également souligné une faille spécifique dans la préparation des données. Dans de nombreuses études, l'intelligence artificielle recevait une image complète de l'historique du système, incluant des événements survenus des heures ou des jours après le moment où une alerte aurait dû être donnée. C'est ce qu'on appelle le biais d'anticipation (look-ahead bias). Pour qu'un système de sécurité soit utile, il doit prendre une décision basée uniquement sur ce qui s'est passé jusqu'à cette seconde précise. La revue a constaté que très peu d'études indiquaient si elles avaient coupé les données au moment correct. Sans cette coupure, les modèles étaient essentiellement testés sur un scénario qui n'existe pas dans la réalité. Les chercheurs ont également noté que les ensembles de données utilisés pour ces tests étaient souvent petits et répétitifs, ne contenant que quelques semaines de données et un petit nombre de scénarios d'attaque. Cela limitait la capacité de voir comment les modèles géreraient les changements lents et subtils du comportement informatique qui se produisent sur des mois ou des années.

Pour corriger ces problèmes, les auteurs ont proposé un nouvel ensemble de normes pour la conduite de ces études. Ils ont créé une liste de contrôle de vingt et un éléments que les chercheurs doivent suivre pour prouver que leurs modèles fonctionnent en temps réel. Cela inclut la construction du graphe de données uniquement jusqu'au moment de la décision, le verrouillage des paramètres du modèle avant de le tester sur de nouvelles données, et le signalement du nombre de fausses alertes que le système générerait dans un environnement de bureau réel. Ils ont soutenu qu'un modèle qui génère trop de fausses alertes est inutile, quelle que soit sa précision pour repérer les attaques, car les équipes de sécurité seraient submergées. La revue a conclu que tant que ces nouvelles normes ne sont pas suivies, les affirmations de détection quasi parfaite dans le domaine de la sécurité basée sur la provenance doivent être accueillies avec scepticisme. Les modèles ont montré un certain potentiel, mais la preuve qu'ils peuvent réellement protéger les systèmes sur le terrain, face à des attaquants qui changent leurs tactiques au fil du temps, n'a pas encore été démontrée. La voie à suivre exige de passer de la recherche de scores élevés sur des tests statiques à la preuve que ces systèmes peuvent survivre à l'épreuve du temps.