Durant la conférence ElasticON 2025 à Paris, nous avons rencontré Yannick Fhima, responsable en charge des solutions architectes d’Elastic pour l'Europe du Sud. Il anime la communauté en charges des architectures pour les clients de l’éditeur.
François Tonic (Programmez!) : Nous allons parler d’IA et notamment de l’IA dans la cybersécurité, quels sont les usages que l’on peut voir quand nous combinons sécurité et IA ?
Yannick Fhima (Elastic) : Il y a plusieurs approches aujourd'hui qui apparaissent. Il y a d'une part l'IA du côté défensif. Effectivement, beaucoup de clients s'équipent de l'IA pour pouvoir réagir aux nouvelles attaques. On voit bien que les nouveaux challenges sont liés au fait que la surface d'attaque est beaucoup plus large, que les assets se retrouvent de plus en plus dans le cloud, mais qu’elle reste aussi hybride. Il est donc important de pouvoir avoir une couverture étendue sur l’ensemble du système d’information (SI).
Côté défenseur, l’IA a un intérêt : elle va permettre, sous la forme d’un assistant IA, d’accompagner les analystes du côté du SOC pour les rendre plus productifs. Je m’explique : jusqu’à présent, les analystes recevaient un rapport contenant une liste de failles et d'alertes, et ils devaient partir à la chasse de chacune des alertes pour les évaluer. C’est-à-dire : étaient-elles réelles ou des faux-positifs. L’IA va pouvoir, dans un premier temps, grâce à Attack Discovery, relier le contexte du client, avec un RAG embarqué chez nous, entre l'attaque et la connaissance du client, et ainsi réduire rapidement le nombre d'alertes potentielles, passant d'une centaine à une quinzaine. Cela permettra à l’analyste de se focaliser sur les plus importantes.
L’assistant va aussi pouvoir aider à la résolution de ces alertes. Dans Elastic Security, nous avons intégré l’IA à la plateforme. Le SOC analyste dispose d’un chat sur lequel il peut poser des questions. De plus, nous avons une base de connaissances. Quand notre analyste pose une question dans le chat, ce n’est pas ChatGPT qui répond en s’appuyant sur des données publiques. Nous relions la question au contexte du client, ce qui fait que la réponse est personnalisée et surtout reliée à l’environnement unique de chaque client.
Si une attaque est détectée, la plateforme fournit des préconisations pour créer un playbook plus évolué. Par exemple, si vous disposez d’un référentiel GitHub où les incidents sont déclarés, l’assistant pourra s’y référer.
Rappelons que l’IA ne profite pas seulement aux défenseurs, mais aussi aux attaquants. Nous constatons que les attaques sont de plus en plus sophistiquées, notamment grâce à l’IA.
L’assistant IA dans vos solutions de sécurité est-il conçu pour effectuer ce tri ?
Yannick Fhima : C’est exactement ça. L’assistant est là pour guider l’analyste. Ainsi, sur une liste d’alertes potentielles, nous allons lui demander de se focaliser sur le top 5 ou le top 10 de celles qui ont réellement du sens. L’assistant les signale mais fournit aussi des remédiations. Il va tout d’abord résumer l’attaque. Cette remédiation est proposée selon le contexte : savoir quel utilisateur a chargé telle DLL, savoir quel processus a accédé à tel fichier ou quel processus a envoyé des données vers telle adresse externe.
Sommes-nous dans du proactif ou du réactif ?
Yannick Fhima : Nous faisons les deux. Elastic Security, au-delà de l’IA qui est finalement un terme générique, intègre beaucoup de machine learning. Pour alimenter ce dernier, nous avons beaucoup de processus qui tournent tout le temps. Ils vont détecter les anomalies, remonter les données supervisées ou non-supervisées, et faire de l’alerte en temps réel. Et ces alertes en temps réel seront prises en compte par notre IA intégrée.
On pourra être proactif et réactif, car l’IA nous dira : "J’ai détecté des éléments anormaux et voici les possibles remédiations sur lesquelles les équipes pourront s’appuyer."
Est-ce que vous interrogez aussi des références telles que les CVE, les vulnérabilités ou les bugs connus dans les langages ou dans des frameworks afin de compléter ce que votre IA aura analysé de mon système ?
Yannick Fhima : Oui, nous avons sur Elastic Security la possibilité d’intégrer de la Threat Intelligence ou encore tout ce qui concerne les indicateurs de compromission. Tout cela s'intègre dans la base de connaissances utilisée par notre IA. On enrichit le contexte client à partir de ses propres données mais aussi en intégrant des données externes.
Quand on déploie Elastic Security, un millier de règles de sécurité sont déployées. Ces règles de détection sont mappées sur le framework MITRE ATTACK. Cela signifie que l’équipe n’est jamais seule, elle est toujours accompagnée. L’IA aide les équipes qui maîtrisent la sécurité, mais elle aide aussi ceux qui ne sont pas experts en sécurité.
Si je suis développeur, est-ce que l’outil s’intègre facilement avec ma toolchain ou mon IDE ?
Yannick Fhima : Tout à fait. Nous l’avons montré récemment à Microsoft BUILD, par exemple, dans Visual Studio Code. Nous avons intégré le RAG et l’assistant dans la console de l’environnement. Il peut aussi s’intégrer avec Copilot.
Il faut savoir que nous mettons en avant l’Open Security. Nous avons des labs qui publient beaucoup de contenus sur ce qu’ils détectent et analysent. Ce référentiel est public et la communauté sécurité y participe aussi. Et n’oublions pas que notre code est ouvert, ce qui signifie que le code de nos assistants IA est accessible.
À qui s’adresse votre IA ?
Yannick Fhima : À tous les utilisateurs d’Elastic Security. Vous pouvez être une entreprise avec deux personnes, vous pourrez passer de 10 alertes à 4. Si vous êtes une équipe plus nombreuse, vous passez de 100 alertes à une vingtaine. Vous avez des entreprises qui ont externalisé la sécurité, notamment avec des MSSP. Ces MSSP utilisent nos solutions pour créer leur SOC (Security Operations Center).
Revenons aux alertes. Comment découvrir et gérer les faux positifs ? Aujourd’hui, c’est une question sensible, non ?
Yannick Fhima : Totalement. C’est une vraie question. L'IA est un premier moyen d'aider à cela. Parce qu'effectivement, elle est là pour réduire, pour justement affiner l'entonnoir et mieux détecter les menaces. Cependant, il y a l'IA, il y a l'investigation, parce que le threat hunting est un moyen de détection, mais il n'y a pas de magie. On aura toujours un peu de faux positifs, quoi que l'on puisse dire.
Est-ce que cela passe par de meilleurs modèles ?
Yannick Fhima : Tous les modèles ne se valent pas. Ils peuvent être externes, comme Llama, GPT, etc. Nous avons une fonctionnalité qui est le Playground. Dans un modèle RAG, le Playground, avec des données, permet de tester les LLM en temps réel. Cela permet de tester la pertinence des réponses générées. Ainsi, on peut choisir le modèle le plus performant.
Connexion
