Lorsque le compte est légitime et que le comportement est normal, l'IA doit détecter l'intention
Les attaques les plus dangereuses ne viennent pas d'inconnus. Elles proviennent de comptes légitimes, dans des fils de discussion familiers, avec des demandes correspondant à ce que ces comptes demandent habituellement. Un compte réellement compromis s'authentifie normalement, envoie ses messages depuis son infrastructure habituelle et se comporte exactement comme il l'a toujours fait, car il s'agit du même compte. L'IA comble le reste de l'écart, permettant à un cybercriminel d'imiter suffisamment bien le style d'écriture d'une personne réelle et ses relations avec ses fournisseurs pour que même le contenu ne paraisse plus inhabituel. Ce qui reste – la seule chose qui n'est pas copiée de l'historique – est l'objectif derrière le message.
Les cyberpirates utilisent désormais l'IA pour cibler, élaborer et intensifier leurs attaques d'une manière qui rend le simple rapprochement de modèles totalement inefficace. Une seule campagne peut atteindre 50 victimes avec 50 emails différents, chacun formulé différemment, personnalisé pour son destinataire et adapté à mesure que le cybercriminel interagit avec lui et gagne sa confiance. Aucun message ne ressemble à un autre. Mais leur signification sous-jacente est identique : même demande, même intention, répétée 50 fois sous 50 formes différentes.
C'est pourquoi la détection doit opérer simultanément à deux niveaux. Premièrement, elle doit comprendre le sens d'un message indépendamment de sa formulation, afin que 50 emails formulés différemment mais poursuivant le même objectif soient identifiés comme une seule et même menace. Deuxièmement, elle doit comprendre le contexte dans lequel un message arrive, les relations, l'historique et le graphe de connaissances autour de l'expéditeur et du destinataire, car une même demande peut être routinière ou malveillante selon qui la formule et pourquoi.
La sécurité comportementale seule détecte ce qui s'écarte d'une base de référence. Elle ne peut pas détecter une chaîne où chaque étape semble normale et dont seul l'objectif sous-jacent est malveillant. Cette nouvelle ère exige de discerner l'intention : non pas déterminer si quelque chose est inhabituel, mais ce que cette action cherche à accomplir.
Aujourd'hui, nous annonçons la nouvelle génération de Proofpoint Nexus, conçue pour répondre directement à cette question : le modèle de détection Nexus basé sur l'intention et la protection des utilisateurs à privilèges. Le premier étend le raisonnement fondé sur l'intention à chaque message, à chaque point de contrôle. Le second l'applique aux individus visés par les attaques les plus personnalisées.
Présentation de la protection Nexus basée sur l'intention
La protection Nexus basée sur l'intention va au-delà du comportement pour raisonner sur l'intention : l'objectif vers lequel tend un message, la plausibilité de cet objectif au regard du contexte et la technique employée pour l'atteindre. Cette combinaison permet d'intercepter la demande frauduleuse qui ne correspond pas à la relation, le cyberpirate dont la technique le trahit, et l'utilisateur interne dont l'accès est valide mais dont l'objectif ne l'est pas.
La solution s'exécute en ligne, avant et après la remise, à chaque point de contrôle. Grâce à elle, Proofpoint devient le premier éditeur à proposer une analyse conjointe de l'intention et du comportement à la fois au niveau de la passerelle et de l'API, avec une solution de passerelle et d'API qui partage les informations et adapte ses détections de manière coordonnée. Elle permet ainsi de détecter les messages en apparence ordinaires qui dissimuleraient autrement leur véritable objectif à la vue de tous.
Une analyse de l'intention à plusieurs niveaux, conçue pour la rapidité exigée par chaque décision
Les modèles comportementaux posent une question : est-ce différent de la normale ? Cette approche échoue face aux attaques qui reproduisent exactement les habitudes d'un expéditeur et génère des faux positifs pour tout ce qui est nouveau et ne dispose simplement pas encore d'une base de référence. Le moteur d'IA adaptative Nexus évalue l'intention selon trois niveaux de profondeur croissante, chacun étant conçu pour augmenter la part des décisions pouvant être prises de manière autonome, sans attendre l'intervention d'une personne :
- Le niveau Flash (moins de 500 millisecondes) effectue une vérification rapide de la plausibilité du contexte métier, compare le message aux infrastructures et signatures techniques de cybercriminels connus et vérifie le profil de risque de l'utilisateur. Les cas présentant un niveau de confiance élevé sont traités instantanément, en ligne.
- Le niveau Extended Thinking (jusqu'à quelques minutes, au sein d'une zone d'isolation) prend en charge environ 1 % des messages qui ne peuvent pas être évalués de manière fiable en temps réel, mais qui sont suffisamment suspects pour justifier une analyse approfondie, à l'écart de la boîte de réception. Il extrait l'historique des relations et des communications pour évaluer la plausibilité métier, corrèle les informations avec une threat intelligence plus large afin d'identifier des modèles de campagne, et prend en compte le contexte comportemental pour évaluer un risque interne qu'une analyse rapide ne pourrait pas déterminer de manière suffisamment fiable.
- Le niveau Deep Thinking (déclenché par un email signalé ou manqué, après la remise) reconstitue l'intégralité de l'interaction, notamment l'historique des communications, la portée de l'attaque et les comptes associés, afin de déterminer avec certitude quelle intention motivait le message.
Les niveaux apprennent les uns des autres. Tout élément identifié par un niveau d'analyse plus approfondi est confronté à une question : aurait-il pu être détecté plus tôt ? Si la réponse est oui, les niveaux plus rapides sont ajustés en conséquence. Le fonctionnement conjoint de la passerelle et de l'API rend cet apprentissage bidirectionnel. La passerelle évalue l'intention avant la remise, tandis que l'API surveille la boîte de réception et le trafic est-ouest afin de détecter ce qui serait passé à travers les mailles du filet et aurait commencé à se déplacer latéralement. Les éléments détectés à ce stade sont traités dans le cadre de l'investigation, puis réinjectés afin d'améliorer ce qui s'exécute avant la remise – une boucle qu'aucun éditeur proposant uniquement une API ou uniquement une passerelle ne peut fermer seul.
Analyse à plusieurs niveaux
Lorsque les modèles d'intention détectent une menace, l'analyse ne s'arrête pas à ce message. Le résultat est automatiquement enrichi selon cinq niveaux d'analyse afin de répondre à une question qu'une détection isolée ne peut pas résoudre : à qui d'autre cela s'applique-t-il ?
- Individu. L'analyse est confrontée aux relations et à l'historique propres à la personne concernée, avec le niveau de précision nécessaire pour détecter une attaque extrêmement ciblée ou personnalisée.
- Entreprise. L'analyse est mise en perspective avec les habitudes de l'entreprise concernée : qui échange avec qui et sur quels sujets.
- Secteur. L'analyse est comparée à celle d'entreprises du même secteur, où des réglementations, des workflows et des fournisseurs communs rendent certaines techniques beaucoup plus reconnaissables au sein d'un groupe de pairs qu'à l'échelle mondiale. Une campagne visant des banques régionales peut ne présenter aucun signal particulier lorsqu'elle est comparée au trafic mondial, mais ressortir très nettement lorsqu'elle est comparée à celui d'autres banques régionales.
D'autres éditeurs peuvent enrichir leurs analyses à partir d'un modèle global. Sans communauté multilocataire, ils ne disposent d'aucun niveau d'analyse sectoriel, organisationnel, collectif ou individuel sur lequel s'appuyer pour enrichir leurs détections, ni d'aucun moyen d'offrir aux utilisateurs à haut risque la protection individuelle que leur exposition exige.
Un graphe de connaissances fondé sur la plus grande diversité de signaux du secteur
Nous faisons évoluer notre graphe comportemental vers le Proofpoint Knowledge Graph, en étendant le profilage du niveau du domaine aux groupes et aux utilisateurs individuels, et en ajoutant une modélisation des sujets et du ton qui transmet directement ces nouvelles informations à la passerelle. Il s'étendra au-delà de la sécurité de la collaboration pour couvrir l'ensemble de la plate-forme, en intégrant les signaux liés au risque utilisateur, à la sécurité des données et à la sécurité de l'IA, afin de répondre à des questions auxquelles aucun produit de protection email ne peut répondre seul : cette personne représente-t-elle réellement un risque interne et à quelles données peut-elle accéder ? Un message en apparence routinier conduit à une décision très différente lorsque le système sait que son destinataire présente un risque élevé et se trouve à proximité des ressources stratégiques, ces utilisateurs étant précisément ceux à l'origine d'une part disproportionnée des dommages réels.
Une communauté qui détecte les menaces en premier et les bloque partout
C'est ce que nous appelons la boucle de protection communautaire : le réseau de Proofpoint couvre 3,4 millions de clients, traitant 2,37 billions de messages par an via plus de 13 000 capteurs de détection des intrusions dans 105 pays. Comme la plupart des grandes entreprises mondiales échangent des emails avec nos clients, nous pouvons détecter des compromissions au sein d'entreprises qui ne sont pas elles-mêmes clientes, notamment chez vos fournisseurs. Aucun concurrent ne peut reproduire ce niveau de visibilité. Chaque détection, investigation et signalement d'utilisateur est évalué afin de déterminer s'il protège toute la communauté. La réponse est ensuite propagée à l'ensemble du réseau en quelques minutes, et non en plusieurs jours, afin d'optimiser la détection sans que le client n'ait à configurer, à ajuster ni à maintenir quoi que ce soit.
Le moteur d'IA adaptative Nexus est inclus dans les droits de protection email existants des clients Proofpoint. Le déploiement débutera au 1er trimestre 2027, avec des exceptions limitées pour les clients ayant des exigences spécifiques en matière de résidence des données.
Présentation de la protection des utilisateurs à privilèges
Les cibles de grande valeur font face à un type d'attaque différent : suffisamment personnalisé pour échapper à la détection et conçu pour ne jamais se répéter, de sorte qu'aucun modèle opérant à l'échelle de la population ne dispose d'un schéma à partir duquel apprendre. Une tentative d'usurpation d'identité visant un directeur financier ne ressemble à rien d'autre dans le trafic de messagerie mondial. Elle ne devient identifiable qu'une fois que l'on étudie suffisamment attentivement cette relation pour comprendre que le message n'y a pas sa place.
C'est la mission de la protection des utilisateurs à privilèges. Proposée en tant que nouvelle fonctionnalité, elle crée un modèle de menace individuel pour chaque utilisateur à haut risque, basé sur ses relations, ses workflows et ses schémas de communication réels, plutôt que de le comparer à une population. Elle intercepte les attaques personnalisées et multimodales qui échappent aux mécanismes de détection traditionnels justement parce qu'elles ont été conçues pour y échapper. Elle va également au-delà de la fraude par email pour bloquer les communications indésirables ciblant des individus spécifiques, en analysant conjointement le texte, la voix, la vidéo et l'image.
Présentation de l'agent d'investigation des menaces
L'agent Proofpoint Satori Investigation Agent peut être déclenché automatiquement lorsqu'un événement nécessite une analyse plus approfondie. Il raisonne à partir des données télémétriques de Proofpoint et de données tierces, notamment celles provenant de l'identité, des endpoints, du navigateur, du SIEM, du proxy Web et d'autres outils connectés via MCP, afin de reconstituer l'attaque, d'établir sa chronologie et son périmètre, ainsi que de recommander ou d'exécuter une réponse. Les analystes reçoivent une investigation complète plutôt qu'un ensemble d'alertes qu'ils doivent eux-mêmes corréler. Chaque investigation alimente également un processus en boucle fermée : les enseignements tirés des faux positifs, des faux négatifs ou des signalements effectués par les clients permettent de mettre à jour la logique de détection, réduisant ainsi la probabilité qu'une même faille de détection se reproduise.
Satori agit pendant qu'il enquête. Les mesures de confinement à faible risque (retrait des messages de phishing déjà envoyés depuis le compte compromis, suppression des messages distribués encore présents dans les boîtes de réception, suppression de la règle de boîte email du cyberpirate et ajout de l'URL malveillante à une liste de blocage) sont exécutées automatiquement. Les actions présentant un risque plus élevé (réinitialisation des identifiants de connexion et révocation des sessions, ajout du compte à une liste de surveillance, attribution d'une formation de suivi et renforcement de l'inspection des emails sortants) sont mises en file d'attente pour une approbation en un clic, afin qu'un humain reste dans la boucle pour les décisions nécessitant un jugement.
Il s'agit du même raisonnement fondé sur l'intention, mais appliqué en sens inverse : au lieu de se demander si un message doit être distribué, Satori cherche à comprendre ce qu'a réellement fait le cybercriminel qui a réussi à franchir les défenses, puis referme la boucle vers le modèle de détection chargé d'intercepter la prochaine attaque.
Une nouvelle façon de mesurer l'efficacité
Pendant des années, les performances de la détection ont été évaluées à travers les faux positifs et les faux négatifs. Ce n'est plus le bon indicateur pour un système conçu pour réduire l'écart entre ce que les cyberpirates sont désormais capables de faire et ce que les équipes de sécurité peuvent réellement voir. Les indicateurs qui comptent désormais sont plus simples à formuler : quelle part des menaces est résolue de manière autonome, à quelle vitesse une menace découverte quelque part devient une protection partout, quelle proportion de la surface d'attaque réelle le système peut observer, aussi bien dans la messagerie électronique que dans le navigateur, et si les utilisateurs qui représentent une part disproportionnée de votre risque bénéficient eux aussi d'un niveau de protection disproportionné.
La détection comportementale et la détection fondée sur l'intention ne sont pas des approches concurrentes, mais seule l'une d'entre elles est capable de s'adapter aux attaques qui caractérisent notre époque. Le compte est légitime. Le comportement est normal. L'intention, elle, ne l'est pas. C'est le seul point commun à toutes les variantes de ces attaques, qu'il s'agisse d'une demande de virement frauduleuse dans un fil de discussion familier ou d'un script dérobant discrètement des identifiants de connexion lors d'une session de navigateur. Proofpoint développe une IA qui interprète l'intention partout où cela compte : au niveau de la passerelle, dans la boîte de réception et désormais, pour les personnes qui en ont le plus besoin, au niveau individuel.
Vous souhaitez savoir quelle proportion de ces menaces parvient déjà à franchir vos défenses ? Profitez d'une évaluation rapide et gratuite des risques liés à la messagerie électronique et identifiez les lacunes de votre dispositif actuel.