Quand l'abondance de signaux brouille la décision...
/Quand l'abondance de signaux brouille la décision
Par Olivier Arous - CEO d’OGO Security*
Comme chaque automne, les directions informatiques entrent en novembre dans la saison des arbitrages budgétaires, où la cybersécurité occupe une place de choix. Les demandes se ressemblent d'ailleurs, puisqu'il s'agit le plus souvent d'ajouter une sonde, une console ou un service de supervision afin de mieux repérer les menaces. Cette logique se comprend aisément, une menace invisible restant par définition impossible à traiter. Mais au moment de valider ces nouvelles lignes budgétaires, une question discrète mérite d'être posée. Que faire, concrètement, de tout ce que l'on verra en plus ?
La détection a remporté une bataille qu'il fallait gagner
Le chemin parcouru mérite d'abord d'être salué. Il y a peu encore, bien des entreprises découvraient une intrusion des mois après les faits, souvent par un tiers. La généralisation des journaux centralisés, puis celle des centres opérationnels de sécurité (SOC, ces équipes chargées de surveiller les systèmes en continu), a profondément changé la donne. L'ANSSI rappelle d'ailleurs régulièrement que la journalisation conditionne toute capacité de réponse à incident. C'est pourquoi une visibilité étendue sur ses systèmes relève aujourd'hui de l'hygiène élémentaire, au même titre que la sauvegarde ou la gestion des droits d'accès.
Chaque outil ajouté apporte aussi son propre bruit
D'où vient alors ce sentiment de débordement que décrivent tant d'équipes ? Il tient largement à l'empilement, car chaque nouvel outil arrive avec ses règles, ses seuils et sa console, puis signale ce qu'il juge anormal, sans tenir compte de ses voisins. Les analystes se retrouvent ainsi à arbitrer entre des alertes redondantes, parfois contradictoires, dont une large part relève du faux positif (une alerte déclenchée par une activité en réalité légitime). Si chacun de ces signaux paraît raisonnable pris isolément, leur addition forme en revanche un flux qui dépasse vite la capacité d'analyse, restée quant à elle constante.
L'excès d'alertes finit par émousser la vigilance
Les praticiens ont d'ailleurs donné un nom à cette saturation, la fatigue d'alerte, aux effets très concrets. Lassés de signaux anodins, les analystes apprennent en effet à les écarter. Des règles sont assouplies, voire désactivées, afin que la production continue de tourner et il arrive même qu'une protection soit coupée en pleine crise parce qu'elle bloquait des utilisateurs légitimes, au moment précis où elle aurait dû servir. Ainsi, plus l'organisation voit moins elle regarde et la menace réelle se glisse dans ces zones que l'on survole.
“Voir et maîtriser” relèvent de deux capacités distinctes
Comment sortir de ce paradoxe ? Sans doute en distinguant deux notions souvent confondues. Voir consiste à disposer de l'information, tandis que maîtriser suppose d'être capable de décider, au bon moment, de ce qu'elle implique. Si la première capacité s'achète et se déploie rapidement, la seconde se construit dans la durée, puisqu'elle exige de savoir quels flux sont critiques et quels comportements sont normaux pour telle application à telle heure. Privée de ce contexte une alerte reste une donnée parmi d'autres, alors que replacés dans ce cadre quelques signaux bien hiérarchisés pèsent davantage qu'un mur de notifications.
La maîtrise se joue dans la qualité de la décision
L'enjeu se déplace dès lors vers la qualité du tri. Les organisations qui résistent le mieux aux incidents sont rarement celles qui collectent le plus, mais plutôt celles qui ont défini à l'avance ce qui justifie une action, qui observent avant de bloquer et qui ajustent leurs règles à mesure que leur activité évolue. Les textes européens vont d'ailleurs dans ce sens et la directive NIS 2 insiste sur la gestion des risques et la responsabilité des dirigeants, bien plus que sur l'accumulation d'outils. En somme, la maîtrise relève d'abord d'une organisation, ensuite seulement d'une technologie.
La détection reste donc indispensable, et personne ne songe sérieusement à s'en priver. Mais sa valeur se mesure moins au nombre d'alertes produites qu'à la part de celles qui débouchent sur une décision juste. L'enjeu consiste ainsi à distinguer « voir et maîtriser », plutôt qu'à choisir entre les deux, car une organisation qui voit tout sans rien hiérarchiser se trouve, au fond, simplement mieux informée de ce qui lui arrive. Olivier Arous
