Apprentissage automatique appliqué à la détection

Définition

L'apprentissage automatique appliqué à la détection désigne l'usage d'algorithmes de machine learning pour identifier des menaces de sécurité à partir de grands volumes de données, en complément ou en remplacement de règles statiques et de signatures. Les modèles supervisés sont entraînés sur des jeux de données étiquetés (malveillant/légitime) pour classer de nouveaux échantillons, par exemple pour la détection de malwares ou de phishing ; les modèles non supervisés, comme le clustering ou les forêts d'isolement, détectent des anomalies sans exemples préalables, utiles contre les menaces zero-day. Ces techniques alimentent des solutions comme les antivirus de nouvelle génération (NGAV), les EDR, les plateformes NDR et les moteurs UEBA, en analysant des indicateurs comportementaux plutôt que de simples signatures statiques, ce qui améliore la couverture face aux techniques d'évasion (T1027 - Obfuscated Files or Information). Les modèles doivent cependant être réentraînés régulièrement pour rester pertinents (dérive de données) et restent vulnérables à des attaques adverses visant à tromper le classifieur (empoisonnement de données, évasion par perturbation ciblée). Le taux de faux positifs et l'explicabilité des décisions du modèle (interprétabilité) sont des enjeux opérationnels majeurs pour les équipes SOC, qui doivent pouvoir justifier une alerte. L'apprentissage automatique s'inscrit désormais dans la majorité des architectures de détection modernes, en articulation avec la corrélation multi-sources.