L’IA transforme la cybersécurité et la façon dont les équipes cyber travaillent. Avec des volumes de données et une complexité croissante, les experts cyber sont de plus en plus sollicités, tandis que les environnements pilotés par l’IA exigent des analyses et des réponses plus rapides. Les organisations doivent donc elles-mêmes tirer parti de l’IA pour suivre le rythme et concentrer le temps de leurs experts là où il compte le plus.

Chez Wavestone, nous transformons ce changement en action. Notre approche human-led, AI-accelerated associe l’expertise cyber à une gamme croissante de solutions internes conçues autour de problématiques opérationnelles concrètes. Déjà testées et déployées sur des missions de cybersécurité, elles aident les équipes à travailler plus vite, à approfondir leurs analyses et à améliorer la qualité de leurs livrables, tout en laissant les experts aux commandes.

Conçues pour s’adapter à tout environnement client, ces solutions peuvent se connecter à des plateformes d’IA existantes ou à des modèles locaux, sans dépendre d’une infrastructure ou d’un LLM spécifique.

Dans cet article, nous présentons sept agents et la valeur qu’ils apportent aux équipes cybersécurité. Nous ne nous contentons pas de parler d’IA : nous la construisons, la testons et la mettons en œuvre.

Security Advisory Mate (SAM) : assistant Security-by-Design et revue d’architecture

Les équipes Security-by-Design peuvent consacrer beaucoup de temps à des tâches répétitives et à faible valeur ajoutée. Security Advisor Mate, ou SAM, automatise une partie de cette charge de travail tout en laissant la main aux experts cyber. Il accompagne les équipes projet et cyber tout au long du cycle de vie, prépare les revues de sécurité, analyse les rapports de tests et évalue les livrables clés.

Concrètement, SAM examine les documents d’architecture du client, évalue leur qualité et leur exhaustivité, et vérifie leur conformité aux référentiels de sécurité propres au client ou du marché. Il signale les écarts potentiels et les points de non-conformité pour validation par un expert. Il peut également analyser les scans de vulnérabilités, les tests pré-mise en production et les preuves des jalons sécurité, tout en s’adaptant aux processus et aux standards d’architecture de chaque client.

SAM facilite le passage à l’échelle du Security-by-Design. Les équipes peuvent gagner jusqu’à un tiers de leur temps tout en améliorant la cohérence et l’exhaustivité des revues de sécurité. Les experts cyber peuvent ainsi concentrer leur attention sur les projets et les décisions où leur jugement est le plus déterminant. Déjà testé dans des environnements clients réels, SAM peut être déployé en moins d’une journée, fonctionne avec des LLM cloud ou locaux, et coûte moins de 2 $ par projet, de l’initialisation au décommissionnement.

Smart Identity Analyzer : amélioration de la qualité des données IAM

Les projets IAM commencent souvent par l’analyse de volumineux jeux de données d’identités, aux formats hétérogènes, comportant des doublons et des règles de transformation complexes. Préparer manuellement ces informations pour des campagnes de recertification, des migrations ou des programmes IAM plus larges est à la fois lent et source d’erreurs. Smart Identity Analyzer examine les fichiers d’identités, cartographie leur structure, détecte les incohérences et les doublons, et identifie et valide les règles de transformation entre systèmes.

Plutôt que de s’appuyer uniquement sur l’IA générative, il combine algorithmes déterministes, data science et IA générative pour analyser les tendances, les relations et les anomalies dans les données. Les équipes obtiennent une vision claire des écarts à corriger avant qu’ils n’affectent l’ensemble du programme IAM. La solution s’exécute en local, sans appel à une API externe ni conservation des prompts et des résultats.

En pratique, cela permet de réduire l’analyse de structure d’une journée à une demi-journée par fichier d’identités, et les contrôles récurrents de qualité des données d’une journée à environ deux heures, soit des gains de temps allant respectivement jusqu’à 50 % et 80 %. L’équipe projet peut ainsi se concentrer sur l’amélioration de la qualité plutôt que sur sa seule mesure.

KoVex : conseiller en role mining

Une fois les données d’identité fiabilisées, KoVex passe à l’étape suivante : transformer les données d’accès en risques mesurables et en décisions de role mining.

Sur des milliers d’identités, d’applications et de droits d’accès, même les questions simples deviennent complexes : qui a accès à quoi, cet accès est-il justifié, et quelles combinaisons génèrent un risque ? KoVex exploite les propres données d’identités, d’applications et d’accès du client pour identifier les conflits de séparation des tâches, les droits inhabituels ou dormants, et construire des modèles de rôles à partir des schémas d’accès réels.

Pour chaque rôle proposé, les équipes peuvent évaluer la couverture, les droits excédentaires et les accès résiduels avant de décider de le conserver ou de l’ajuster. Les calculs apportent la preuve. L’IA assiste. Les humains décident. Le role mining repose sur des calculs reproductibles, tandis que l’IA n’est utilisée que de manière ciblée, là où l’interprétation de texte apporte de la valeur, comme l’amélioration de la qualité des données ou le nommage des rôles. La décision finale reste humaine et traçable.

KoVex peut réduire l’effort de role mining de plus de 50 %, ramenant un exercice type portant sur 20 000 identités d’environ 30 jours à 5 jours, d’après notre expérience projet. Il atteint également l’optimum publié sur 7 des 8 jeux de données publics de role mining, avec 100 % de couverture et zéro droit excédentaire, et peut s’exécuter entièrement sur le serveur du client sans exposer les identités à un modèle de langage.

Booster RM : accélérateur d’analyse de risques

Transformer les échanges lors d’ateliers en analyses structurées et en livrables prêts à être remis au client est l’une des étapes les plus chronophages d’une analyse EBIOS RM. Booster RM accélère ainsi l’ensemble de la méthode EBIOS RM grâce à des agents dédiés à chaque étape.

À partir des comptes rendus d’ateliers, des transcriptions et des e-mails, il préremplit les fichiers de travail EBIOS RM, des besoins métier et événements redoutés jusqu’aux scénarios stratégiques et opérationnels, chemins d’attaque et plans d’action. Lorsque des informations manquent, Booster RM demande un complément de contexte avant de poursuivre.

La solution vise une réduction de 30 % du temps de rédaction, offrant aux experts risques davantage de temps pour analyser les scénarios et challenger les résultats. Elle est également conçue pour s’adapter à d’autres méthodes d’analyse de risques, y compris des approches propres au client.

Web Recon Accelerator : Assistant déterministe pour les tests d’intrusion

L’exposition de la cible, la cartographie réseau, le durcissement du serveur web et les contrôles de chiffrement sont des vérifications essentielles mais très répétitives, qui accaparent un temps précieux au détriment des tests à fort impact. Or, les plateformes de pentest dites « autonomes » par IA peuvent manquer des vulnérabilités ou en inventer, sortir du périmètre autorisé, et imposent l’envoi de données de sécurité critiques à des tiers.

Web Recon Accelerator automatise ces tâches de reconnaissance tout en laissant les auditeurs aux commandes. Tous les tests sont exécutés par un script déterministe : l’IA analyse les résultats mais ne décide jamais de la manière dont la cible est testée, ce qui empêche les erreurs ou hallucinations du modèle d’avoir un impact sur l’application. Elle qualifie ensuite les constats et pré-rédige les vulnérabilités du rapport, que les auditeurs peuvent relire et modifier via une interface web. Toutes les données sont traitées par des LLM fonctionnant directement sur le poste de l’auditeur, sans aucun appel externe, conformément aux exigences de notre SMSI. Le script teste. L’IA analyse. L’auditeur valide.

En pratique, Web Recon permet d’économiser en moyenne 5 heures par pentest, que les auditeurs peuvent réinvestir dans la recherche de vulnérabilités à fort impact, comme les failles de contrôle d’accès ou les injections de code. Déjà utilisé sur de nombreuses missions client et adopté par nos auditeurs, il fonctionne entièrement en local et n’engendre aucun coût de tokens.

CrisisMaker : studio de création de stimuli pour exercices de crise

Un bon exercice de crise cyber se prépare bien avant la simulation elle-même. Les équipes doivent construire le scénario, concevoir des stimuli réalistes, coordonner les participants et préparer le retour d’expérience. CrisisMaker accompagne l’ensemble du cycle de vie de l’exercice, de la conception au débriefing.

À partir du contexte client, des objectifs pédagogiques, des grandes étapes du scénario et des participants, il aide les consultants à construire la chronologie et à générer des stimuli modifiables : e-mails, messages, appels ou publications sur les réseaux sociaux. Il peut également analyser un exercice existant (couverture, rythme, équilibre entre les acteurs et réalisme), enrichir des chronologies existantes et transformer le scénario final en débriefing interactif ou vidéo.

CrisisMaker réduit considérablement le temps de préparation, en divisant par quatre à cinq le temps nécessaire à la création des stimuli. Les consultants passent moins de temps à produire et mettre en forme des contenus, et davantage à concevoir le bon scénario, à challenger les participants et à tirer des enseignements pertinents.

CyberBench Orchestrator : amplificateur d’insights pour entretiens et analyses

Le CyberBenchmark, l’une des publications phares de Wavestone, fournit des comparaisons de marché selon les piliers du NIST. Les entretiens menés pour alimenter ce benchmark génèrent des informations précieuses, mais les transformer en résultats cohérents et actionnables représente un autre défi. CyberBench Orchestrator réunit l’ensemble du processus dans un espace de travail unique doté d’IA, des transcriptions d’entretiens jusqu’aux livrables client.

Il remplit en outre le questionnaire d’évaluation, vérifie les règles métier, la cohérence des données, et analyse les résultats. Les scores et benchmarks peuvent ensuite être explorés de manière dynamique et exportés dans différents formats (Excel, CSV, PowerPoint, etc.).

Le processus peut passer d’une journée et demie de travail à quatre heures, tout en générant cinq fois plus d’insights. Les équipes passent ainsi plus rapidement de la consolidation des données à l’identification des forces, des faiblesses et des priorités du client.

Faire passer l’IA en cybersécurité à la vitesse supérieure

Il n’existe pas de point de départ universel pour l’IA en cybersécurité. Le bon point d’entrée se situe là où un enjeu opérationnel concret rencontre une valeur mesurable. Wavestone a développé un cadre pour identifier, prioriser, mettre en œuvre et déployer les cas d’usage les mieux adaptés à vos besoins.

Les solutions présentées ici ne sont que des exemples de la manière dont l’IA peut accélérer des processus existants et aider les équipes à travailler mieux et plus vite. Mais tirer pleinement parti du potentiel de l’IA implique d’aller plus loin. L’étape suivante consiste à dépasser les cas d’usage isolés en connectant les capacités d’IA entre elles, pour évoluer progressivement vers un modèle opérationnel plus intégré, augmenté par l’IA.

Rencontrez nos experts en cybersécurité et en IA, découvrez nos solutions en action et explorez par où commencer, où accélérer, et jusqu’où l’IA peut mener votre organisation.

Cet article Plateformes d’IA pour la cybersécurité : nos sept solutions maison, au service d’un impact concret  est apparu en premier sur RiskInsight.

Bien que les principes fondamentaux d’identification des enjeux, des risques et des actions de remédiation demeurent, la méthode s’illustre par son appel à des scénarios d’attaque complexes tirant partie de vulnérabilités multiples, à la manière d’attaques réelles comme celle contre les systèmes de connexion à SWIFT de la Banque Centrale du Bangladesh en 2016 ou contre Sony Pictures en 2014… Autre évolution majeure, l’apparition d’une analyse approfondie des attaquants potentiels, de l’écosystème et des parties prenantes du périmètre étudié.

Ce changement de posture permet à EBIOS RM de répondre spécifiquement aux problématiques posées par des attaquants toujours plus professionnalisés qui étudieront méthodiquement les vulnérabilités d’une cible ainsi que l’ensemble de son écosystème pour parvenir à leurs fins. Elle vient ainsi remplir une zone de vide dans l’espace des méthodologies d’analyse de risques.

Néanmoins, malgré cette approche réellement innovante et comme nous allons l’étayer ci-dessous, EBIOS RM ne doit pas forcément être considérée comme la nouvelle démarche globale d’analyse des risques mais plutôt comme une nouvelle corde à l’arc méthodologique du RSSI pour traiter les scénarios d’attaque les plus complexes.

S’appuyant sur nos premiers retours d’expérience de l’application concrète de cette méthode, nous présenterons en détail les évolutions qu’elle apporte ainsi que leurs implications sur la gouvernance plus générale des risques SSI.

EBIOS RM, une nouvelle méthodologie pour mieux appréhender les risques complexes de cybersécurité

Depuis bientôt 10 ans, EBIOS 2010 propose une méthode centrée sur la notion de menaces unitaires tirant partie de vulnérabilités et de prévention de leurs impacts sur des processus métiers. Cette méthode, qui remettait à l’époque le métier au centre de l’analyse de risques, n’est cependant pas conçue pour identifier et traiter des menaces complexes. Ces menaces, composées de rebonds de l’attaquant d’une vulnérabilité à une autre pour atteindre ses fins, constituent pourtant aujourd’hui une part majeure de l’univers des risques SSI et ont été mises à l’ordre du jour de nombreux comités exécutifs à la suite des dernières attaques majeures comme NotPetya ou WannaCry.

EBIOS RM vise à compléter ce manque par une approche intégrant dans un premier temps de l’étude poussée des intentions des attaquants potentiels, puis la prise en compte formelle de l’écosystème et enfin l’identification de scénarios d’attaque complexes de type kill chain. L’objectif final de cette étude n’est plus l’alignement des mesures de sécurité à des failles unitaires comme pour EBIOS 2010 mais bien la capacité à maîtriser des risques aux facettes multiples.

En préalable, mener un travail préparatoire concernant les vulnérabilités

EBIOS RM propose dans un premier temps la mise place d’une étude structurée du niveau de sécurité du périmètre analysé par une revue de conformité. Cette vérification permet d’identifier un premier panel de vulnérabilités, comme le ferait un attaquant en testant par exemple la version des infrastructures ou les vulnérabilités de l’OWASP.

Contrairement à ce qui est proposé dans la méthode EBIOS 2010, la principale finalité de cette approche n’est pas de remédier à des vulnérabilités unitaires mais bien d’alimenter la définition des scénarios d’attaque complexes en identifiant les potentiels points de rebond de l’attaquant.

Ensuite, mieux prendre en compte l’écosystème et les sources d’attaque

Par ailleurs, afin d’adapter l’analyse des risques à la réalité des SI contemporains et de l’univers de menace, EBIOS RM intègre une innovation majeure sous la forme de la revue systématique de l’écosystème du périmètre étudié, depuis les tiers de confiance connectés à celui-ci jusqu’aux tiers présumés hostiles tels que des concurrents, des états voire des activistes.

L’étude des tiers de confiance met en lumière leurs interactions avec le périmètre étudié, trop souvent acquises comme sûres, qui constituent un vecteur d’attaque idéal pour un attaquant contournant ainsi les défenses périmétriques voire les mesures de gestion des accès internes.

L’étude des tiers hostiles place quant à elle la notion d’intentionnalité de la malveillance au cœur de l’étude. EBIOS RM propose donc de les identifier précisément et d’analyser les objectifs possiblement visés. Ce changement d’angle de vue sert de base au développement de scénarios d’attaque complexes dans la suite de la démarche.

Cette nouvelle approche vise notamment à faire face aux attaques par water-holing ou encore des conséquences de la compromission d’un SI tiers comme les fuites de données de l’enseigne américaine Target en 2013.

Enfin, un travail itératif de construction des scénarios d’attaque

Sur la base de cette connaissance approfondie du contexte, la démarche EBIOS RM vise à réaliser une étude préliminaire et plus fonctionnelle des évènements pouvant survenir sous la forme de scénarios stratégiques, puis un zoom plus technique sous la forme de scénarios opérationnels détaillés. L’objectif est que ces deux visions s’alimentent tout au long de l’étude dans une réflexion itérative.

EBIOS RM demande tout d’abord de définir de 3 à 5 scénarios stratégiques combinant source d’attaque, objectif visé et principaux moyens utilisés pour atteindre cet objectif. Cette vision de haut niveau et aux aspects techniques très limités, atout clef pour présenter les risques cyber aux métiers voire aux instances dirigeantes d’une organisation, permet également de préciser le périmètre de la réflexion plus technique qui sera réalisée au travers de 10 à 15 scénarios opérationnels.

Ces scénarios opérationnels racontent un fil détaillé d’évènements qui, combinés, mènent à un impact majeur. EBIOS RM structure ce cheminement au travers de quatre phases. Tout d’abord, la prise de connaissance par l’attaquant du SI ciblé, de son fonctionnement et de ses acteurs. Ensuite, la phase d’entrée dans ce SI au travers d’actions comme le phishing ou l’exploitation d’une backdoor. Puis vient la phase de recherche des données ou du SI critique que l’attaquant souhaite compromettre. Enfin, c’est la phase d’exploitation de cette cible via par exemple l’exfiltration de données ou l’implantation d’une bombe logique.

Chaque scénario d’attaque opérationnel aura donc sa propre histoire à raconter, sa propre kill chain, dont la vraisemblance sera déterminée. Cette spécificité est une des forces de l’étude, facilitant sa restitution, mais lui permettant également d’alimenter la réflexion d’un SOC concernant la définition de scénarios de corrélation à implémenter dans un SIEM.

Cette hauteur d’analyse en fait d’ailleurs un outil de choix pour l’étude des risques des périmètres les plus critiques d’une entreprise, comme par exemple les SI d’importance vitale.

Un outil ambitieux dont il faut cadrer l’utilisation

EBIOS RM présente des atouts séduisants par la prise en compte des motivations et méthodes des attaquants, de l’étude approfondie des tiers de confiance comme potentiels vecteurs d’attaque ou encore par sa capacité à produire des scénarios d’attaques complexes mais capables de convaincre des publics non-initiés.

L’une des principales qualités d’EBIOS RM, imposer réflexion et créativité pour définir les scénarios stratégiques et opérationnels pertinents, a néanmoins un revers notable : EBIOS RM ne pourra ainsi pas, exception faite de l’étude du socle et des acteurs menaçants, faire l’objet d’une industrialisation poussée des outils associés sans craindre une perte de créativité et donc une perte de qualité dans ses résultats. Cette logique s’écarte donc de celle en vigueur pour EBIOS 2010 qui rendait par exemple possible une revue exhaustive des menaces, permise par la complexité très souvent limitée de celles-ci.

En l’absence de cadre largement outillé et afin d’éviter que la subjectivité des participants n’y fasse son lit, EBIOS RM va ainsi exiger de son pilote un éventail de compétences qui reste rare sur le marché : des connaissances techniques pointues et orientées test d’intrusion pour déterminer ce que serait capable de réaliser un attaquant selon son niveau d’expertise, de la créativité, une capacité au story telling, à la synthèse et à la pédagogie, afin de définir des scénarios d’attaques qui auront à la fois suffisamment d’impact et de pertinence pour convaincre à la fois les équipes métiers et techniques tout en illustrant avec justesse et moins de quinze scénarios opérationnels toutes les facettes remarquables de la situation étudiée.

Ces différentes qualités renforceront par ailleurs la légitimité du pilote de l’étude, indispensable pour animer et recadrer efficacement les différents groupes de travail demandés par la méthodologie, afin d’éviter les discussions sans fin qu’elle peut risquer d’entraîner par ses aspects subjectifs. Il faut en outre garder à l’esprit que par son aspect itératif et les nombreux groupes de travail qu’elle implique, EBIOS RM sera une démarche significativement plus coûteuse en temps qu’EBIOS 2010. De plus, ses résultats seront difficilement réutilisables d’une étude à l’autre, en cela qu’elle se concentre justement sur les spécificités des périmètres étudiés.

Les sources accidentelles écartées

Dernier point d’attention, EBIOS RM, en plaçant l’intentionnalité au cœur de sa démarche, écarte les sources accidentelles. Pourtant, celles-ci se produisent régulièrement, qu’il s’agisse d’un coup de pelleteuse, d’une corruption d’une base de données ou de l’erreur d’un administrateur. Par ailleurs, le cœur de la démarche EBIOS RM, en générant un nombre limité de scénarios opérationnels, ne vise pas à l’exhaustivité qui était une des forces d’EBIOS 2010. La réponse de la démarche à ce biais méthodologique est l’étape d’étude du socle, mais celle-ci n’est qu’une revue de conformité. Si on imagine appliquer la démarche à un périmètre existant présentant de nombreux axes d’améliorations et qu’on utilise un référentiel de conformité suffisamment exhaustif (les 42 règles de l’ANSSI ou ISO27002), on pourra se retrouver avec une liste à la Prévert des mesures correctives à mettre en œuvre, sans moyen rigoureux de les prioriser, sauf à faire appel à EBIOS 2010 qu’EBIOS RM visait à remplacer…

Vers une refonte de la gouvernance de la gestion des risques

EBIOS RM est donc une démarche qui nécessite un temps de mise en œuvre certain ainsi que des expertises à la disponibilité souvent déjà limitée, et dont les résultats seront difficiles à réutiliser. En tenant également compte de ses priorités méthodologiques, nous pensons préférable de concentrer l’application de cette démarche aux systèmes présentant des enjeux forts et dont le niveau de sécurité a déjà un certain niveau de maturité, par exemple parce qu’ils seront passés par l’étape EBIOS 2010. Il nous semble également préférable d’utiliser EBIOS RM pour des ensembles cohérents de SI (exemple : une voiture ou les activités marketing) afin de conserver un périmètre d’étude suffisamment important pour permettre des attaques avancées. Enfin, sur des ensembles cohérents de SI appartenant à des acteurs différents, il est possible d’appliquer la méthode jusqu’aux scénarios stratégiques afin de fixer des priorités d’étude pour les analyse de risques plus détaillées qui seront mises en œuvre par chaque entité sur ses périmètres propres. EBIOS RM sera dans ces cas d’autant plus pertinente qu’elle se concentrera uniquement sur des scénarios au plus proche des pratiques métiers.

EBIOS RM, une brique dans l’offre de services d’analyse de risque

L’arrivée d’EBIOS RM, démarche novatrice quoique à utiliser avec mesure, et qui finalement complète plus qu’elle ne remplace EBIOS 2010, participe donc à créer ce qu’on pourrait appeler une offre de service EBIOS. Les ressources et les compétences nombreuses qu’elle nécessite pour être mise en œuvre la réserveront ainsi à des périmètres spécifiques, fortement exposés ou porteurs d’enjeux majeurs comme par exemples les SI d’importance vitale, ayant déjà fait l’objet d’un socle de mesures d’hygiène SSI.

Tout ceci plaide en faveur de la mise en œuvre, en amont des projets, d’une démarche de gouvernance des risques, transverse à l’entité, qui permettra de déterminer rapidement les enjeux, l’exposition et la maturité sécurité de ses périmètres fonctionnels et applicatifs, puis de décider en fonction quelle méthodologie de sécurisation mettre en place : simple revue de conformité à un socle minimal de règles de sécurité, étude EBIOS 2010 plus ou moins approfondie ou enfin, sur les périmètres à la fois sensibles et matures, étude EBIOS RM.

Cet article EBIOS (2010) est mort, vive EBIOS (RM) ? est apparu en premier sur RiskInsight.