La sécurité par l’analyse comportementale

DSIH : En quoi consiste l’analyse comportementale ?

Jean-Nicolas Piotrowski : Les outils existants en sécurité ne suffisent plus à détecter certains nouveaux problèmes. IKare permet de prévenir, de faire en sorte que les failles de sécurité soient détectées et de minimiser ainsi le risque d’attaques. Mais il réside des failles dont les menaces furtives ! Certains virus sont « one shoot », c’est-à-dire utilisé une fois ! Le jour où ils sont détectés, il est déjà trop tard ! Aucun produit sur le marché n’arrive à parer cela. Avec IT-Tude, nous concentrons la détection sur le signe faible d’un comportement, d’un virus, d’une attaque.

Tout le monde sur le marché était en attente de solution. Après 5 années de travail, en janvier 2014, IT-Tude a subi une phase de tests chez des clients, en situation, pour voir quel niveau de détection l’on pouvait agréger. Nous avons identifié de très bons niveaux de détection. L’outil vient de la recherche menée ces dernières années avec des partenaires comme Bull et l’Université de Toulouse. Le produit sera donc à maturité et sur le marché dans les 2 mois qui arrivent.  

La solution peut-elle détecter des intrusions « malveillantes » sur des dossiers confidentiels ?

IT-Tude permet de détecter ce que l’on ne cherche pas ! Il s’agit de toutes les anomalies de comportement sur des machines, non basées sur des comportements connus mais sur un moteur d’apprentissage. Contrairement à des anti-virus qui vont chercher des signatures virales connues, on ne sait pas ce qu’on cherche. Mathématiquement et par l’apprentissage de la manière dont fonctionnent les SI dans les entreprises, on va savoir que quelqu’un fait quelque chose de non conforme et l’outil le tracera et alertera.

On demande aux DSI d’ouvrir les SIH vers l’écosystème des partenaires de santé mais cela pose des problèmes de sécurité !

Les entrées / sorties se contrôlent. Des traces sont générées sur « qui fait quoi et quand ». Mais le jour où il y a un problème, la DSI est obligée d’étudier tous ces fichiers de logs et de trouver la cause de la faille de sécurité ou de la malveillance. IT-Tude permet de traiter ces fichiers logs et d’en sortir une analyse dans l’heure. Toutes les incohérences seront pointées. La traçabilité progressera donc en permanence pour une meilleure gestion des utilisateurs internes mais aussi externes.

Le mode supervision continue en parallèle et les données sont envoyées à l’outil en quasi temps réel. Toutes les heures, on est capable de faire un état des lieux et de remonter une alerte, l’analyse disant si c’est normal ou non. Le comportement sera ensuite enregistré comme normal ou anormal et l’outil comprendra de lui-même que la prochaine fois. Le logiciel gagne en pertinence avec le temps.