Pourquoi l’évaluation des risques est essentielle à l’ère de la recherche de vulnérabilités pilotée par l’IA

Jay KelleyResponsable senior du marketing produit | F5

Debrup GhoshChef de produit principal | F5

Il y a une éternité, semble-t-il, les équipes de sécurité craignaient que des attaquants ne testent manuellement les applications à la recherche de vulnérabilités à exploiter.

En l’espace de quelques mois à peine, cette façon d’exploiter les vulnérabilités paraît désormais presque désuète, n’est-ce pas ?

Avec l’application de modèles d’IA de pointe et de projets comme Claude Mythos au code applicatif et aux écosystèmes open source, la découverte de vulnérabilités est devenue, en très peu de temps, exponentiellement plus rapide, infiniment plus évolutive et même beaucoup moins coûteuse. Il en va de même pour l’exploitation potentielle des vulnérabilités ainsi découvertes.

Au lieu qu’un seul chercheur découvre un bug, l’IA analyse rapidement les dépôts de code, repère les pratiques non sécurisées et aide à élaborer des scénarios d’exploitation. Il en résulte une nouvelle réalité : davantage de vulnérabilités seront découvertes plus tôt et transformées plus rapidement en armes.

Pour les applications web et les API, ainsi que pour les millions d’organisations à travers le monde qui les développent et les utilisent, la question n’est plus : « Assisterons-nous à des tentatives d’exploitation ? » Elle est désormais : « Quelles exploitations sont les plus préoccupantes, et pouvons-nous les bloquer à temps ? »

Le problème : noyés sous le bruit du WAF tandis que les exploitations s’accélèrent

Les pare-feu d’applications web (WAF) constituent un dispositif de sécurité essentiel pour bloquer les attaques courantes. Cependant, les WAF traditionnels imposent souvent un choix radical : autoriser ou refuser l’accès à une application ou à une API. Vos équipes de sécurité peuvent alors se retrouver prises dans un cycle laborieux et chronophage, confrontées à un trop grand nombre d’alertes, notamment des faux positifs et des événements de faible priorité, qui nécessitent des ajustements manuels (autrement dit, lents) réalisés par des experts afin de réduire le bruit sans bloquer le trafic légitime, alors même que ces experts se font plus rares (ce qui creuse le déficit de compétences et de connaissances).

Pendant ce temps, les attaquants assistés par l’IA ne ralentiront pas sous prétexte que votre liste de tâches en attente est pleine. En réalité, ils comptent sur le fait que vos équipes SecOps sont surchargées, sollicitées à l’excès et, dans certains cas, tout simplement à bout.

Passer des « alertes » aux « priorités »

C’est pourquoi l’évaluation des risques est devenue essentielle.

La méthode actuelle, qui consiste à accorder la même importance à chaque signal provenant d’un WAF, génère trop d’alertes, ce qui entraîne une lassitude face aux alertes au sein de vos équipes déjà surchargées. Elle produit également trop de faux positifs, susceptibles de frustrer les utilisateurs de votre application.

Les équipes SecOps doivent constamment trouver le juste équilibre : ajuster en permanence les signatures du WAF afin de maintenir une protection robuste tout en réduisant au minimum les faux positifs. Le réglage manuel du WAF est complexe et nécessite souvent une coordination chronophage entre les équipes de sécurité, de développement et d’exploitation, qui sont généralement déjà surchargées. Lorsque les décisions impliquent des compromis entre rapidité, précision et efforts de coordination entre les équipes, la remédiation ralentit et l’exposition aux risques perdure. C’est pourquoi des fonctionnalités WAF plus avancées, basées sur l’IA, sont plus que jamais nécessaires et essentielles.

Au lieu de traiter tous les signaux du WAF de la même manière, un modèle fondé sur les risques répondra à la véritable question opérationnelle : « Sur quoi devons-nous agir en priorité pour réduire au maximum les risques ? »

Un modèle fondé sur les risques pour les applications fournit un score de risque qui traduit des données de sécurité complexes et exploite de nombreux signaux et paramètres pour produire des indicateurs quantifiables. Ce score évalue l’exploitabilité d’une vulnérabilité, son importance pour l’activité et la sensibilité des données concernées. L’application de ce niveau de contexte aux vulnérabilités des applications modernise et simplifie la hiérarchisation des correctifs, permet d’allouer efficacement les ressources et comble l’écart, qui se réduit rapidement, entre le risque technique et l’impact sur l’activité.

L’évaluation du risque lié aux vulnérabilités permet d’éviter la lassitude face aux alertes en identifiant les menaces critiques les plus urgentes, afin que les équipes de sécurité puissent corriger — ou corriger virtuellement — les vulnérabilités susceptibles de causer le plus de dommages à l’organisation et à ses utilisateurs. La notation des risques permet de contextualiser et de hiérarchiser les mesures de protection, et contribue à normaliser les éléments attestant d’une approche de la sécurité fondée sur les risques, ce qui facilite le respect des réglementations en matière de conformité.

WAF de F5 optimisé par l’IA

Dans un article de blog publié plus tôt cette année, « Sécuriser les applications web sans complexité : comment le WAF optimisé par l’IA de F5 transforme la sécurité des WAF », nous avons expliqué comment les fonctionnalités de WAF optimisées par l’IA intégrées à F5 Distributed Cloud WAF représentaient une avancée majeure pour la protection des applications web, en renforçant la sécurité tout en réduisant les faux positifs et en allégeant la charge liée aux ajustements manuels continus pour les équipes SecOps. Le WAF optimisé par l’IA transforme la manière dont les décisions relatives à la sécurité des applications sont prises, permettant aux équipes de délaisser une gestion des règles exigeant de nombreuses configurations au profit d’une sécurité axée sur les résultats.

Au lieu d’ajuster sans cesse des centaines, voire des milliers de signatures, les équipes peuvent s’appuyer sur une évaluation dynamique des menaces qui cible les comportements réellement malveillants tout en laissant passer le trafic légitime sans entrave. Les entreprises peuvent ainsi passer plus rapidement en mode blocage et bénéficier d’une protection immédiate, avec un risque nettement moindre de perturber les utilisateurs réels.

Les fonctionnalités basées sur l’IA de Distributed Cloud WAF peuvent désormais attribuer un score numérique unique et intuitif afin de quantifier la gravité d’une menace. Ce principe est très proche de l’équation déjà utilisée par de nombreuses équipes de sécurité, à savoir « Risque = Probabilité × Impact », simplement transposée en un score numérique unique que les équipes peuvent évaluer instantanément.

Le score numérique comprend un score de probabilité, qui mesure la probabilité qu’un événement de sécurité se transforme en attaque réelle plutôt que de correspondre à un trafic légitime ou à un faux positif.

Il comprend également un score d’impact, qui quantifie la gravité de la situation si l’événement de sécurité probable se transformait en attaque réussie. Ce score s’appuie sur des indicateurs correspondant aux conséquences réelles, telles que la confidentialité, l’intégrité et la disponibilité, ainsi que sur des signaux comme l’Exploit Prediction Scoring System (EPSS) et la maturité du code d’exploitation.

Pourquoi est-ce important face à l’exploitation des vulnérabilités pilotée par l’IA ?

À mesure que les outils d’IA élargissent le champ de la recherche sur les vulnérabilités, les analyses, les tentatives d’intrusion et les « quasi-attaques » vont se multiplier. Le risque est de consacrer le peu de temps disponible pour traiter les menaces réelles à de fausses alertes de sécurité, au point qu’une exploitation à fort impact échappe à la vigilance de vos équipes surchargées, mobilisées sur de mauvaises pistes.

L’évaluation des risques permet de :

• Réduire la fatigue liée aux alertes afin que les équipes se concentrent sur les menaces réellement dangereuses.
• Prenez plus rapidement des décisions éclairées quant à la nécessité d’examiner, de bloquer ou d’ignorer une menace potentielle.
• Réduisez les ajustements manuels en utilisant des signaux quantitatifs plutôt qu’en modifiant sans cesse les règles, afin de faire gagner un temps précieux aux équipes de sécurité déjà surchargées et en sous-effectif.
• Permettre aux équipes SecOps de taille réduite de travailler efficacement, en donnant aux nouvelles recrues les moyens d’agir sur la base d’un score clair plutôt que de connaissances informelles.

L’essentiel

L’IA de pointe réduit le délai entre « une vulnérabilité existe » et « elle est exploitée dans la nature ». Dans ce contexte, la sécurité ne peut pas se résumer à une accumulation d’alertes indifférenciées. L’évaluation des risques permet de faire le tri dans le bruit généré par le WAF, afin de hiérarchiser les menaces réelles et d’empêcher l’exploitation des vulnérabilités avant qu’elle ne provoque des incidents.

Pour en savoir plus, consultez notre communiqué de presse ainsi que nos pages produit consacrées aux solutions WAF de F5.

Demandez un essai gratuit ou échangez avec un expert dès aujourd’hui

À propos des auteurs

Jay KelleyResponsable senior du marketing produit | F5

Autres articles de Jay Kelley

Debrup GhoshChef de produit principal | F5

Autres articles de Debrup Ghosh