1. Automatisation
De nombreux administrateurs informatiques ont évité les réponses automatisées aux attaques, en particulier dans les environnements conservateurs tels que les soins de santé, qui sont réticents aux faux positifs. Malheureusement, la vitesse d’attaque de l’IA signifie que les temps de réponse au niveau humain ne sont plus suffisants. Automatisez autant que possible pour réduire la latence de réponse.
Un facteur clé de succès ici est de fixer des limites à la réaction des agents IA aux attaques : dans quelles conditions un compte peut-il être désactivé ? Un point final mis en quarantaine ? Un serveur retiré du réseau ou bloqué au niveau du pare-feu ?
Les plans de réponse aux incidents doivent permettre des actions automatisées. Les plans doivent énumérer les types d’attaques qui nécessitent une action immédiate et automatisée. Heureusement, les outils d’IA peuvent être beaucoup plus intelligents, dynamiques et nuancés en termes d’attaque et d’atténuation des risques que les anciens systèmes de cybersécurité, ce dont les responsables de la santé devraient profiter pour leurs plans de réponse aux incidents.
2. Commentaires et formation
Laisser les agents de l’IA répondre aux attaques ne signifie pas accepter leurs conseils comme étant parfaits et ne pas être remis en question. Les analystes humains doivent être au courant des actions à fort impact. Les plans de réponse aux incidents doivent reconnaître cette double voie : des actions à faible risque prises automatiquement, qui seront approuvées ou rejetées ultérieurement, et des actions à haut risque nécessitant l’approbation et la validation par un analyste.
L’automatisation des tâches simples permet aux analystes de se pencher en profondeur sur les attaques à haut risque. Isoler des segments de réseau, déconnecter la confiance fédérée, révoquer les informations d’identification administratives : ces actions à fort impact devraient faire partie du plan, mais seulement après qu’un humain a donné son accord.
Les retours aux contrôleurs et agents IA sont tout aussi importants : de temps en temps, vous devez dire à vos outils : « Votre recommandation était erronée ou non prise en charge ». La formation aux outils d’IA doit faire partie du plan de réponse aux incidents, afin que les leçons apprises ne soient pas rapidement oubliées.
3. Détection des anomalies
Les systèmes de prévention des intrusions identifiant les indicateurs de compromission constituaient autrefois la référence en matière de protection des réseaux. La nature imprévisible des attaques basées sur l’IA a désormais changé la donne. Lâcher l’IA sur les quantités massives de données de télémétrie disponibles sur les réseaux, les middlebox et les serveurs pour identifier les comportements anormaux est le meilleur moyen de détecter une attaque jamais vue auparavant. Il est désormais temps d’ajouter la détection des anomalies basée sur l’IA aux plans de réponse aux incidents en tant qu’indicateur principal d’attaque ou de compromission.