Par Oluwapelumi BankoleChercheuse, Systèmes d'information et cybersécurité, Université du Nevada, Las Vegas
Chaque matin, des millions d'Américains se réveillent dans des maisons remplies d'appareils connectés. Le thermostat sait quand vous partez. La caméra de sonnette surveille votre rue. L'hôpital au bout de la rue fait fonctionner des pompes à perfusion, des moniteurs de patients et des systèmes HVAC qui communiquent sur la même catégorie de réseau que votre réfrigérateur intelligent. Et presque aucun de ces appareils n'est correctement protégé.
Nous avons construit une infrastructure extraordinaire de machines connectées, et nous la défendons avec des outils conçus pour une autre époque.
Ce n'est pas un problème de sensibilisation. La cybersécurité est une priorité fédérale majeure. La Cybersecurity and Infrastructure Security Agency (CISA) publie des avis chaque semaine. Des milliards de dollars sont investis dans les pare-feu d'entreprise, la protection des points de terminaison et les centres d'opérations de sécurité. Et pourtant, la surface d'attaque continue de croître. En 2024, le réseau électrique américain héberge à lui seul plus de 2,3 millions d'appareils IoT connectés, dont beaucoup fonctionnent avec des micrologiciels obsolètes sans calendrier de correction et sans surveillance en place.
L'écart ne se situe pas entre ce que nous savons et ce que nous craignons. L'écart se situe entre les systèmes de sécurité que nous avons construits et les environnements dans lesquels ces systèmes doivent réellement fonctionner.
Le laboratoire ne ressemble en rien au monde réel
Les systèmes de détection d'intrusion, les logiciels conçus pour signaler les activités malveillantes sur un réseau, se sont considérablement améliorés au cours de la dernière décennie. Les modèles d'apprentissage automatique et d'apprentissage profond peuvent désormais identifier les modèles d'attaque avec une précision remarquable dans les environnements de recherche. Les architectures Transformer empruntées au traitement du langage naturel, les réseaux de mémoire à court et long terme formés sur des données de trafic séquentielles, les modèles d'ensemble combinant plusieurs classificateurs : la littérature académique regorge de systèmes atteignant une précision de 98 ou 99 pour cent.
Ces chiffres sont souvent trompeurs.
Le chiffre de précision provient généralement d'un ensemble de données de laboratoire, collecté dans des conditions contrôlées, avec des distributions de trafic relativement propres, et testé sur le même type de données sur lesquelles le modèle a été formé. Les réseaux IoT réels ne ressemblent pas à cela. Ils sont désordonnés, hétérogènes et en constante évolution. Les appareils d'une douzaine de fabricants envoient des données dans différents formats. Les modèles de trafic changent lorsque quelqu'un installe un nouvel appareil, modifie une routine ou s'absente simplement pendant une semaine. Et de manière critique, les attaques réelles sont des événements rares dans une mer de trafic normal.
Lorsqu'un modèle est formé sur un ensemble de données où les attaques représentent 40 pour cent des enregistrements, puis déployé sur un réseau où les attaques représentent 0,1 pour cent du trafic réel, le comportement du modèle change complètement. Il n'a jamais appris à quoi ressemble une véritable rareté. Le résultat est un système qui manque les menaces mêmes qu'il a été construit pour détecter, tout en générant suffisamment de fausses alarmes pour submerger les analystes qui doivent les examiner.
Le problème du déséquilibre des classes n'est pas une note de bas de page
Dans la communauté de recherche, l'inadéquation entre les données d'entraînement et les conditions du monde réel porte un nom technique : le déséquilibre des classes. Il est bien compris, activement étudié et constamment sous-estimé par les organisations déployant ces systèmes.
Voici le problème central. Un système de détection d'intrusion réseau doit classer chaque paquet ou flux de trafic comme normal ou malveillant. En réalité, la grande majorité du trafic est normale. Le trafic d'attaque est la classe minoritaire, représentant parfois moins d'un pour cent de tous les événements observés. Les modèles d'apprentissage automatique standard, optimisés pour maximiser la précision globale, apprennent rapidement que la meilleure stratégie consiste simplement à classer presque tout comme normal. Cette stratégie produit d'excellents scores de précision. Elle produit des résultats catastrophiques dans le monde réel.
Un système qui manque 80 pour cent des attaques parce qu'il a été formé pour favoriser la classe majoritaire n'est pas un système de sécurité. C'est une case à cocher de conformité.
La recherche sur des techniques comme Adaptive SMOTE, qui génère des exemples synthétiques d'attaques de classe minoritaire pour aider les modèles à apprendre à quoi ressemblent les menaces rares, a montré de réelles promesses. Mais ces approches doivent être mises en œuvre de manière réfléchie, testées sur des ensembles de données qui reflètent réellement les conditions de déploiement, et évaluées selon les bonnes métriques. Le rappel, le pourcentage d'attaques réelles que le système détecte réellement, compte beaucoup plus que la précision globale lorsque les conséquences d'une détection manquée sont une infection par ransomware dans un hôpital ou une fausse injection de données dans le système de contrôle d'un service public.
Le problème multidimensionnel que personne ne veut résoudre
Il existe un problème connexe qui reçoit encore moins d'attention : comment décider si un système de détection d'intrusion est suffisamment bon pour être déployé.
La plupart des évaluations choisissent une ou deux métriques et les optimisent. La précision est courante. Le score F1 est populaire dans les articles académiques. Mais un déploiement IoT dans le monde réel nécessite de faire des compromis entre au moins quatre dimensions concurrentes simultanément : précision de détection, efficacité informatique, taux de faux positifs et adaptabilité aux nouveaux types d'attaques.
Un système qui détecte 99 pour cent des attaques connues mais consomme plus de puissance de traitement que l'appareil IoT qu'il protège n'est pas un système déployable. Un système qui fonctionne efficacement mais génère dix fausses alarmes pour chaque menace réelle crée une fatigue d'alerte si grave que les analystes cessent d'enquêter. Un système optimisé pour la taxonomie d'attaque actuelle qui ne peut pas s'adapter lorsque les adversaires changent de tactique est un système avec une date d'expiration connue.
L'absence d'un cadre d'évaluation multidimensionnel partagé signifie que les organisations achetant ou déployant des systèmes de détection d'intrusion ne peuvent pas faire de comparaisons significatives. Un fournisseur peut revendiquer des taux de détection leaders du secteur tout en optimisant discrètement une métrique qui a l'air bien dans une démo et échoue en production.
Ce qui doit changer
La voie à suivre nécessite de réduire la distance entre ce que les chercheurs construisent et ce que les opérateurs déploient réellement.
Premièrement, la communauté de recherche doit évaluer les systèmes de détection d'intrusion par rapport à des distributions de trafic réalistes, pas seulement des ensembles de données de référence équilibrés. Les tests avec CIC-IDS2017 ou NSL-KDD avec des configurations par défaut produisent des chiffres qui sont essentiellement fictifs par rapport à ce à quoi ressemble un véritable réseau hospitalier ou un réseau intelligent.
Deuxièmement, les organisations déployant ces systèmes doivent exiger des preuves de performance multidimensionnelles avant l'achat. Le taux de détection seul ne suffit pas. Demandez les taux de faux négatifs sur les catégories d'attaques rares. Demandez les données de performance sous des budgets informatiques limités. Demandez comment le système fonctionne six mois après le déploiement, lorsque les modèles de trafic ont changé.
Troisièmement, et de manière plus urgente, les agences fédérales responsables de la protection des infrastructures critiques doivent établir des normes d'évaluation minimales pour la détection d'intrusion basée sur l'IA. CISA et NIST ont produit d'excellents cadres. La traduction de ces cadres en critères de performance spécifiques et testables pour les systèmes de sécurité IoT est la prochaine étape.
Les appareils connectés ne vont pas disparaître. Les attaquants qui les sondent ne vont nulle part non plus. La question est de savoir si les systèmes que nous construisons pour les protéger sont réellement construits pour le monde dans lequel ces systèmes fonctionneront, ou le monde dans lequel nous souhaitions vivre lorsque nous avons écrit les données d'entraînement.
Oluwapelumi Bankole est chercheuse en systèmes d'information et cybersécurité à l'Université du Nevada, Las Vegas, où ses travaux se concentrent sur la détection d'intrusion pilotée par l'IA pour les réseaux IoT et cloud. Elle détient un double master en systèmes d'information de gestion et en cybersécurité.
