Détection des menaces par IA, un outil performant pour renforcer la sécurité

La détection des menaces par IA est l'utilisation de l'intelligence artificielle et de l'apprentissage automatique pour identifier des schémas, des comportements et des anomalies qui pourraient signaler la présence d'une menace de cybersécurité. Elle peut analyser des signaux au niveau des emails, des identités, des endpoints, des applications cloud, des réseaux et de l'activité des données dans le but de détecter un comportement suspect, de prioriser les risques et de soutenir l'investigation et la réponse.

Les systèmes de sécurité traditionnels reposent souvent sur des règles prédéfinies, des signatures ou des indicateurs de compromission. Ces méthodes restent importantes, mais elles fonctionnent mieux lorsque l'équipe de sécurité sait déjà à quoi ressemble une activité malveillante.

La détection des menaces optimisée par l'IA ajoute une couche supplémentaire. Elle peut établir des lignes de base comportementales, identifier les déviations par rapport à l'activité normale et corréler les signaux connexes entre les systèmes. Ces analyses diverses peuvent contribuer à détecter des menaces dont les actions individuelles ne correspondent pas à une signature existante.

Par exemple, une connexion inhabituelle ne justifie pas une escalade immédiate en soi. Un email suspect peut également paraître non concluant. Toutefois, si le même utilisateur reçoit le message, saisit des identifiants de connexion, puis se met à accéder à des ressources sensibles depuis un environnement inconnu, ces signaux combinés constituent des éléments nettement plus probants d'une possible prise de contrôle de comptes.

Les règles, les signatures et les indicateurs restent des outils de sécurité essentiels. Le défi est que les attaques modernes évoluent souvent rapidement, utilisent des identifiants légitimes et tirent parti des processus métier normaux.

Le SOC doit donc distinguer l'activité qui est simplement inhabituelle de celle qui crée un risque significatif.

Baisse de vigilance face aux alertes et faux positifs

Les équipes de sécurité peuvent recevoir de grands volumes d'alertes générés par les outils de sécurité couvrant la messagerie, les identités, les endpoints, le réseau, les applications cloud ou les données.

Lorsque les alertes manquent de contexte, les analystes doivent passer un temps précieux à déterminer quels événements doivent être examinés. Trop d'alertes de faible qualité peuvent ralentir la réponse, rendre la priorisation plus difficile et entamer la confiance dans les systèmes de détection.

L'IA peut aider à résoudre ce problème en corrélant les événements, en enrichissant les alertes avec du contexte et en classant les activités suspectes en fonction de la probabilité et de l'impact potentiel.

Limites de la détection basée sur des règles

La détection basée sur des règles fonctionne bien en présence de schémas connus et de conditions clairement définies. Elle devient moins efficace lorsque les attaquants :

• changent leur infrastructure ou leurs charges virales ;
• utilisent des services légitimes ;
• compromettent des comptes valides ;
• modifient les techniques établies ;
• agissent via des workflows métier normaux ;
• utilisent l'ingénierie sociale plutôt que des malwares.

L'apprentissage automatique et l'analyse comportementale peuvent compléter les règles en identifiant des relations ou des schémas d'activité inhabituels, même lorsqu'une signature connue est absente.

Les attaques centrées sur les utilisateurs exigent un contexte comportemental

De nombreuses cyberattaques dépendent de la manipulation ou de la compromission des personnes.

Le phishing, le piratage de la messagerie en entreprise (BEC), le vol d'identifiants, la prise de contrôle de comptes et les menaces internes peuvent sembler légitimes au niveau technique, car les attaquants utilisent des identités de confiance, des applications légitimes et des canaux de communication normaux.

Pour être efficace, la détection doit donc tenir compte de la personne concernée, de ses activités normales, des ressources qu'elle utilise et de son comportement par rapport aux activités environnantes.

Ce contexte humain est au cœur de l'approche plus large de Proofpoint en matière de risque lié aux utilisateurs, qui allie les signaux comportementaux et les signaux de menaces pour aider les entreprises à identifier et à prioriser les risques concentrés.

La détection des menaces par IA doit être envisagée comme un processus de décision plutôt que comme un modèle unique. Les systèmes efficaces collectent des signaux de sécurité pertinents, établissent à quoi ressemble une activité normale, identifient les déviations, corrèlent les preuves, puis déterminent ce qui mérite une attention. L'automatisation peut accélérer certaines parties de ce processus, mais la qualité du résultat dépend toujours de la qualité des données et du contexte disponibles.

1. Constituer une base de signaux pertinents

La détection commence par la télémétrie. Selon le cas d'utilisation, cela peut inclure les métadonnées des messages, l'activité des identités, les événements des endpoints, le comportement des applications cloud, le mouvement des données, la threat intelligence et les activités suspectes signalées par les utilisateurs. L'abondance de données n'est pas forcément un avantage en soi. L'important est de collecter des signaux susceptibles de fournir une explication quant aux personnes, systèmes et informations impliqués dans un événement.

C'est aussi à ce niveau que des outils de sécurité déconnectés montrent parfois leurs limites. Si un système voit l'email suspect et qu'un autre voit l'accès cloud inhabituel, mais que ni l'un ni l'autre ne peut relier ces deux éléments d'information, les analystes doivent reconstituer la narration manuellement.

2. Établir des lignes de base comportementales

L'analyse comportementale offre au système un point de référence. Au lieu de traiter chaque collaborateur ou charge de travail de la même manière, le système peut apprendre des schémas typiques pour un individu, un groupe de pairs, un terminal ou une application. Cette connaissance peut rendre une déviation plus significative. Un téléchargement à une heure tardive peut être routinier pour un poste donné et très inhabituel pour un autre.

Les lignes de base ne doivent pas être considérées comme une preuve d'intention. Les utilisateurs changent d'affectation, voyagent, travaillent différemment et adoptent de nouvelles applications. Un programme de détection robuste utilise le changement de comportement comme une raison d'ajouter du contexte, et non comme un verdict automatique.

3. Appliquer l'apprentissage automatique et la threat intelligence

L'apprentissage automatique peut classer des événements, identifier des anomalies et reconnaître des schémas dans de grands volumes d'activité. La threat intelligence ajoute une dimension supplémentaire en reliant les événements locaux à des infrastructures, des campagnes, des techniques ou des caractéristiques de messages malveillantes connues.

Proofpoint Nexus fournit une couche d'intelligence artificielle et de threat intelligence qui peut aider à relier les signaux dans l'environnement de sécurité. Sa valeur ne réside pas tant dans l'étiquette « IA » elle-même, mais dans sa capacité à transformer un grand nombre d'observations en un contexte utile pour la détection et la prise de décision.

4. Corréler les signaux connexes

La corrélation est l'étape où des signaux faibles peuvent devenir un incident cohérent. Un message suspect peut être non concluant. Une nouvelle connexion peut être légitime. Une règle de boîte email peut être justifiée par une pratique de l'entreprise. Si ces événements se produisent séquentiellement pour le même utilisateur et sont suivis d'un accès inhabituel à des informations sensibles, le schéma combiné est plus significatif que n'importe quelle alerte individuelle.

Cette vue transversale aide les analystes à comprendre le chemin probablement emprunté par l'attaque plutôt qu'à examiner chaque événement comme un problème séparé.

5. Prioriser selon le risque et l'impact

Tous les événements suspects ne présentent pas les mêmes conséquences sur l'activité. Une priorisation efficace prend en compte la probabilité d'une activité malveillante ainsi que des facteurs tels que les privilèges de l'utilisateur, la sensibilité des données impliquées, la présence de threat intelligence connexe et l'impact potentiel sur l'entreprise.

Cette approche permet au SOC d'abandonner le traitement chronologique des alertes en faveur d'investigations basées sur les risques. Un incident de volume plus faible impliquant un compte de direction ou un ensemble de données sensibles peut mériter que l'on s'y intéresse plus rapidement qu'un grand nombre d'anomalies de routine.

6. Automatiser les tâches qui gagnent à être systématisées

L'automatisation prend tout son sens lorsque la tâche est répétable, fondée sur des preuves et bien comprise. Rassembler le contexte, regrouper les alertes connexes, enrichir un dossier et appliquer une stratégie de réponse connue sont de bons exemples. Plus l'action est perturbatrice, en revanche, plus il faut favoriser les seuils de confiance et l'approbation humaine.

Proofpoint Satori applique des agents d'IA à des tâches de sécurité définies, y compris des workflows tels que le tri des alertes DLP et l'examen des emails suspects signalés par les utilisateurs. Ce modèle reflète un principe important pour l'automatisation des SOC : utiliser l'IA pour développer la capacité des analystes, et non pour supprimer le principe de responsabilité des décisions importantes.

7. Utiliser les retours des analystes pour améliorer le système

La qualité de la détection change avec le temps parce que les entreprises et les menaces changent elles aussi avec le temps. Les analystes fournissent l'une des sources de retours les plus précieuses. Les incidents confirmés, les faux positifs, les exceptions bénignes et les détections manquées peuvent aider les équipes à affiner les modèles, les politiques et les guides de procédures.

Cette boucle de rétroaction est également un mécanisme de confiance important. Les équipes devraient pouvoir constater si le système s'améliore après la correction par les analystes, au lieu de traiter le résultat de l'IA comme un jugement figé et secret.

L'IA est particulièrement efficace dans les scénarios de détection où les cybercriminels peuvent se fondre dans l'activité légitime ou lorsque plusieurs signaux de faible confiance doivent être reliés entre eux. Il s'agit également de scénarios où la connaissance des personnes et des données peut améliorer significativement l'interprétation d'un événement par le SOC.

Phishing et piratage de la messagerie en entreprise (BEC)

Les attaques par email ne se limitent pas aux pièces jointes malveillantes ou aux liens évidents. Le piratage de la messagerie en entreprise (BEC), l'usurpation d'identité et le phishing d'identifiants de connexion peuvent reposer sur un langage, des relations et un timing qui semblent plausibles tant pour les utilisateurs que pour les filtres conventionnels.

L'IA peut évaluer les caractéristiques des messages parallèlement au comportement de l'expéditeur, à l'authentification, à l'historique de communication, aux signalements des utilisateurs et à l'activité après la remise. Ce contexte plus large peut aider à distinguer un message légitime mais inhabituel, d'un message qui tente de manipuler le destinataire.

Proofpoint Core Email Protection applique l'IA, l'apprentissage automatique, l'analyse comportementale et la threat intelligence aux menaces avancées par email. Dans le cadre de cet article, le point à retenir est le modèle de détection : l'analyse au niveau du message devient plus utile lorsqu'elle est combinée avec le contexte d'identité et de risque lié aux utilisateurs.

Prise de contrôle de comptes

La prise de contrôle de comptes est difficile à contrer précisément parce que l'acteur malveillant peut sembler doté des autorisations nécessaires. Des identifiants valides peuvent contourner de nombreux contrôles conçus pour empêcher un utilisateur non authentifié. Le contexte comportemental peut aider à révéler quand un accès techniquement valide ne ressemble plus à celui du propriétaire légitime du compte.

Des signaux tels qu'un nouveau terminal, une authentification inhabituelle, des règles de boîte email inattendues, des changements dans le comportement de communication ou un accès à des ressources sensibles deviennent plus significatifs lorsqu'ils se produisent ensemble. L'objectif n'est pas de bloquer chaque déviation. Il s'agit de reconnaître une séquence qui est incohérente avec le comportement et le profil de risque établis de l'utilisateur.

Menaces internes et risque lié aux utilisateurs

Le risque interne peut impliquer une intention malveillante, des comptes compromis ou des erreurs ordinaires. Cela rend la détection simpliste particulièrement peu efficace. Un collaborateur qui transfère un grand nombre de fichiers peut être en train de faire son travail, de se préparer à une transition légitime ou de tenter de supprimer des informations sensibles.

L'IA peut aider en comparant l'activité avec les tendances historiques, le comportement des pairs, les autorisations d'accès et la sensibilité des données. L'analyste doit encore interpréter les circonstances, mais un meilleur contexte réduit le nombre de suppositions nécessaires.

Ce même principe soutient une stratégie plus large de gestion des risques liés aux utilisateurs. Plutôt que de traiter chaque personne comme une source de risque égale, les équipes de sécurité peuvent concentrer les contrôles et les interventions là où le comportement, l'exposition et les privilèges créent la plus grande concentration de risques.

Exfiltration de données et utilisation abusive de données

Les informations sensibles circulent souvent par des canaux légitimes tels que la messagerie électronique, le stockage cloud, les plates-formes de collaboration et les endpoints. C'est pourquoi la fuite de données ne peut pas toujours être détectée en recherchant une destination bloquée ou un processus malveillant connu.

L'IA peut ajouter un contexte comportemental à l'inspection de contenu. Un transfert peut devenir plus significatif lorsque le volume est inhabituel pour l'utilisateur, que la destination est nouvelle, que l'information est sensible ou que l'activité coïncide avec d'autres signaux de risque.

Une stratégie de sécurité des données unifiée peut utiliser cette combinaison de contenu et de comportement pour aider les équipes à distinguer la collaboration de routine de l'activité qui mérite d'être examinée.

Activité des endpoints, du réseau et du cloud

L'IA peut également identifier un comportement de processus, des schémas réseau, une activité et l'utilisation d'API sortant de l'ordinaire. Ces signaux sont importants, mais leur valeur augmente lorsqu'ils peuvent être reliés à la personne, à l'identité et aux données impliquées.

Pour un SOC, cela implique de ne pas se limiter à se demander ce qui s'est passé sur un terminal précis. Une investigation plus judicieuse cherchera à savoir qui était impliqué, ce qui a précédé l'activité, quelles informations ont été exposées et si une activité liée est apparue ailleurs.

La précision n'est pas un pourcentage unique qui s'applique à tous les systèmes de détection des menaces par IA. La performance dépend du cas d'utilisation, de la qualité des données, du contexte disponible, de la conception du modèle et de la manière dont une entreprise définit un vrai positif ou un faux positif. Une évaluation crédible commence donc par l'objectif en matière de sécurité que l'entreprise doit améliorer.

Pour de nombreux SOC, les faux positifs sont le problème le plus visible, car ils monopolisent le temps des analystes. Cependant, réduire les faux positifs en rendant un détecteur moins sensible peut créer un autre problème dès lors que la sécurité passe à côté des menaces. Le but poursuivi est d'améliorer la précision sans perdre les signaux pertinents.

Le contexte aide à distinguer l'inhabituel du risqué

Une connexion depuis un nouvel emplacement est inhabituelle. Elle n'est pas automatiquement malveillante. L'interprétation change si le même compte a récemment reçu un message de phishing d'identifiants de connexion, s'authentifie depuis un terminal inconnu, puis accède à des données qu'il utilise rarement.

C'est pourquoi l'IA contextuelle est plus utile que le score d'anomalie isolé. Elle procure au modèle et à l'analyste des preuves supplémentaires sur la personne, l'activité environnante et l'impact potentiel.

Le comportement humain ajoute une couche que les indicateurs techniques ne peuvent pas fournir

Les indicateurs techniques décrivent des systèmes et des événements. Le comportement humain explique comment ces systèmes sont utilisés. Pour les menaces impliquant des identités compromises, l'ingénierie sociale ou une activité interne, cette distinction peut déterminer si un événement suspect est correctement compris.

L'analyse comportementale est la plus solide lorsqu'elle reste explicable. Les analystes devraient être capables de comprendre quels changements étaient importants et quelles preuves ont contribué à l'évaluation des risques.

L'ajustement continu contribue à la précision

Les modèles peuvent perdre leur pertinence à mesure que l'entreprise évolue. Les nouvelles applications, réorganisations, fusions, déplacements récurrents et pratiques de travail sont autant de facteurs qui peuvent modifier les caractéristiques de la « normalité ». Les acteurs malveillants s'adaptent également. Un programme qui ne tient pas compte de ces changements peut devenir plus bruyant ou moins efficace au fil du temps.

Les équipes doivent examiner régulièrement les faux positifs, les détections manquées, les verdicts des analystes et les changements dans l'environnement. L'objectif n'est pas un renouvellement constant du modèle, mais une validation disciplinée qui maintient la logique de détection alignée sur les conditions d'exploitation réelles.

La vitesse est importante dans les opérations de sécurité, mais la vitesse sans précision peut générer un risque accru. L'action automatisée doit être liée à la confiance, à l'impact et à la gouvernance. La finalité est d'aider les analystes à prendre des décisions plus rapides et mieux informées.

La détection crée de la valeur lorsqu'elle conduit à une réponse rapide. L'IA améliore la réponse du SOC en triant les alertes, en enrichissant les investigations, en recommandant des actions et en orchestrant les workflows pour tous les contrôles de sécurité.

Tri automatisé des incidents

L'IA peut regrouper les alertes connexes, identifier l'utilisateur ou l'actif affecté, extraire le contexte pertinent et séparer les incidents probables du bruit de faible valeur. Les outils Proofpoint Satori DLP Triage Agent et Abuse Mailbox Agent peuvent effectuer des tâches de révision répétitives pour les analystes et accélérer le tri à grand volume.

Priorisation basée sur les risques

La priorisation basée sur les risques classe les alertes en fonction de la probabilité et de l'impact. Un événement suspect impliquant un utilisateur à privilèges, une boîte email de direction, un ensemble de données sensibles ou une campagne de phishing active doit se démarquer du bruit de fond habituel.

Workflows de réponse orchestrés

L'automatisation du SOC peut déclencher des workflows cohérents tels que la mise en quarantaine, la notification des utilisateurs, la création de tickets, les mises à jour de la liste de blocage, la correction de la boîte email ou l'escalade vers la réponse aux incidents. CTR peut s'intégrer ici dans les environnements qui utilisent les capacités de Threat Response de Proofpoint pour l'enrichissement, l'orchestration et le confinement.

L'IA renforce l'efficacité des opérations de sécurité lorsqu'elle est appliquée délibérément. Elle n'élimine pas la nécessité d'une architecture de sécurité solide, de données fiables ou du jugement humain.

Dépendance excessive vis-à-vis de l'automatisation

Il n'est jamais conseillé d'automatiser toutes les décisions. Les entreprises doivent définir :

• Les actions qui peuvent s'exécuter automatiquement
• Les actions qui nécessitent l'approbation d'un analyste
• Les événements qui nécessitent un examen plus approfondi
• Les contrôles qui ont le potentiel de perturber l'activité métier

Les décisions à fort impact bénéficient de chemins d'approbation et d'escalade clairs.

Données médiocres ou incomplètes

Les modèles d'IA dépendent des signaux dont ils disposent. Une télémétrie incomplète, des étiquettes inadéquates ou un manque de connexion entre les systèmes de sécurité peuvent conduire à des conclusions inexactes.

Les programmes de détection doivent valider la qualité des données et déterminer si les systèmes pertinents fournissent une visibilité suffisante pour une corrélation fiable.

Contexte intersystème manquant

Un système de détection qui ne voit qu'une partie d'une attaque peut manquer des relations importantes.

Les systèmes de protection de la messagerie, des identités, du cloud, des endpoints et des données doivent fournir suffisamment de contexte pour permettre de reconstituer une activité significative tout au long du chemin d'attaque.

Dérive du modèle

La performance de détection peut changer à mesure que le comportement normal, les applications et les techniques des attaquants évoluent. Les entreprises doivent surveiller les sorties des modèles et ajuster les systèmes lorsque les performances changent.

Explicabilité

Les analystes doivent comprendre pourquoi une alerte a été priorisée.

Un système de détection performant doit fournir les preuves et les signaux contextuels qui sous-tendent une recommandation ou un score. L'explicabilité aide les analystes à valider les résultats et à prendre des décisions de réponse plus éclairées.

L'évaluation la plus exploitable commence par les résultats opérationnels, et non par le nombre de fonctionnalités d'IA dans une description de produit. Les équipes de sécurité doivent définir où la détection échoue aujourd'hui, puis tester si une solution proposée améliore sensiblement ce workflow.

Par exemple, un SOC qui éprouve des difficultés avec le tri du phishing pourrait se préoccuper en priorité de la qualité de l'analyse des messages, du contexte utilisateur, de l'activité après la remise et de l'intégration de la réponse. Une équipe de sécurité des données pourrait s'intéresser en priorité à la visibilité des données sensibles, au comportement des utilisateurs et à la capacité à distinguer la collaboration légitime des mouvements risqués.

Évaluer la visibilité avant l'intelligence

Demandez quelles sources de données la solution peut analyser, la rapidité avec laquelle ces signaux sont disponibles et si le produit peut connecter les activités entre les systèmes. Un modèle sophistiqué avec une visibilité limitée peut toujours produire une image incomplète.

Rechercher un contexte comportemental clair pour les analystes

Les lignes de base comportementales, les comparaisons par les pairs et l'analyse des relations peuvent être précieuses, mais elles doivent mener à des preuves qu'un analyste peut examiner. L'évaluation doit montrer ce qui a changé, pourquoi c'est important et quels autres signaux soutiennent la conclusion.

Mesurer la précision dans le workflow pertinent

Les métriques utiles comprennent le taux de faux positif, le taux de faux négatif, la conversion alerte-incident, la durée d'investigation, le délai moyen de détection et le délai moyen de réponse. Aucune métrique n'est suffisante à elle seule. Une réduction du volume d'alertes, par exemple, n'est intéressante que si le système identifie toujours les menaces que l'entreprise doit détecter.

Tester l'intégration avec le SOC existant

La détection doit s'adapter aux outils et aux processus que les analystes utilisent déjà. L'intégration avec la gestion des cas, le SIEM, le SOAR, l'email, les contrôles d'identité et de sécurité des données peut déterminer si la capacité IA améliore les opérations quotidiennes ou introduit seulement une console supplémentaire à surveiller.

Questions à poser à un fournisseur

• Pourquoi cette alerte a-t-elle été priorisée, et quels signaux ont contribué à cette décision ?
• Quelles sources de données sont nécessaires pour que le système fonctionne comme prévu ?
• Comment le système distingue-t-il une anomalie d'un risque significatif ?
• Quelles actions de réponse peuvent être automatisées et où les points de validation humaine peuvent-ils être appliqués ?
• Comment les analystes peuvent-ils fournir des retours, et comment ces retours sont-ils utilisés ?
• Comment la performance du modèle est-elle surveillée lorsque l'environnement change ?
• Quelles métriques démontrent une amélioration dans le flux de production propre au client ?

Une stratégie efficace commence par une analyse de risques, et non par une liste de fonctionnalités d'IA. Commencez par identifier les vecteurs d'attaque, les utilisateurs et les données qui présentent le plus grand potentiel d'impact, puis déterminez où les contrôles existants manquent de contexte ou de capacité de réponse.

Commencer par les vecteurs d'attaque pertinents pour l'entreprise

Pour de nombreuses entreprises, les vecteurs d'attaque prioritaires comprennent le phishing débouchant sur la compromission de compte, le piratage de la messagerie en entreprise, l'activité interne malveillante et le mouvement de données sensibles. Les priorités exactes doivent refléter l'environnement de l'entreprise, et non une liste de menaces générique.

Connecter l'email, l'identité et le contexte des données

Les attaques traversent souvent les limites de sécurité. Un message peut conduire au vol d'identifiants ; l'identité compromise peut alors accéder à des informations sensibles. Une stratégie de détection qui relie ces étapes donne aux analystes une meilleure chance de comprendre la séquence complète avant que l'impact métier ne s'aggrave.

Utiliser l'IA pour étayer le jugement, pas le remplacer

L'automatisation doit éliminer les tâches répétitives et accélérer les actions bien comprises. Les personnes doivent rester responsables des décisions qui sont ambiguës, perturbatrices ou dépendantes du contexte métier.

Mesurer l'amélioration du programme

Un programme mature doit être capable de montrer si les analystes examinent un plus petit nombre d'alertes de faible valeur, prennent des décisions plus rapidement et apportent des réponses plus cohérentes. Ces améliorations opérationnelles sont plus significatives que le nombre total d'événements qu'un modèle peut évaluer.

Comment mesurer le succès de la détection des menaces par IA

La valeur de la détection des menaces par IA doit se refléter dans la capacité du SOC à identifier et à intervenir en cas de risques significatifs. Les mesures utiles comprennent la réduction des faux positifs, la conversion alerte-incident, la durée d'investigation, le délai moyen de détection, le délai moyen de réponse et la part des tâches de tri répétitives qui peut être automatisée en toute sécurité.

Les responsables de la sécurité doivent également dépasser le facteur vitesse. Un workflow qui ferme les alertes plus rapidement, mais passe à côté d'un contexte important, ne constitue pas un progrès. L'approche la plus pertinente prend en compte l'efficacité, la qualité de détection et les conséquences des incidents.

La détection des menaces par IA s'oriente progressivement vers un rôle de soutien à la décision plus riche en contexte et coordonné.

Trois évolutions sont particulièrement importantes.

Détection prédictive et comportementale

Les systèmes de détection continueront de dépasser le critère des indicateurs individuels pour évaluer les changements de comportement, de relations et de risque au fil du temps.

L'objectif est une reconnaissance plus précoce des schémas suspects, et non simplement un traitement plus rapide des alertes connues.

Le risque lié aux utilisateurs comme contexte de détection

L'identité seule ne fournit pas suffisamment d'informations au SOC concernant le risque.

De plus en plus, les équipes de sécurité doivent comprendre comment les personnes interagissent avec les emails, les données, les applications cloud et d'autres utilisateurs.

Un modèle de sécurité centré sur les personnes peut ajouter ce contexte à la détection et à la priorisation.

Agents d'IA dans les opérations de sécurité

Les agents d'IA peuvent accomplir des tâches d'examen et de tri définies plutôt que de simplement générer des recommandations.

Proofpoint Satori utilise déjà l'IA agentique pour les workflows des opérations de sécurité, y compris le tri des alertes DLP et l'examen des emails signalés par les utilisateurs.

Le principe important reste le même : l'automatisation doit étendre la capacité de traitement des analystes, tout en préservant un contrôle humain approprié.

Pour être efficace, la détection des menaces par IA nécessite plus que des indicateurs techniques. Elle doit disposer de contexte sur les personnes qui interagissent avec les systèmes, les applications et les données.

Une approche centrée sur les personnes aide les équipes de sécurité à comprendre :

• Qui est impliqué
• Ce qu'ils font normalement
• Ce qui a changé
• Quelles informations sont à risque
• Quels signaux sont liés
• Quelle réponse est appropriée

Ce contexte peut aider les analystes à réduire le bruit et à se concentrer sur les menaces qui créent une exposition métier significative. Proofpoint connecte la threat intelligence pilotée par l'IA via Proofpoint Nexus, l'automatisation des opérations de sécurité via Proofpoint Satori, la protection de la messagerie, la gestion des risques liés aux utilisateurs et la sécurité des données. Ensemble, ces capacités soutiennent une approche centrée sur les personnes dans le but de détecter, de comprendre et de répondre aux menaces visant les utilisateurs et les données.