Technologie : réseau de capteurs et IA
Comment NetProtector collecte des données à partir d'un réseau mondial de capteurs et s'appuie sur plusieurs niveaux d'IA pour détecter, qualifier et contrer les attaques.
Le réseau de capteurs
NetProtector collecte des données là où les attaques deviennent visibles : chez les clients eux-mêmes, aux grands points d'échange d'Internet, dans des leurres déployés de manière ciblée et chez des partenaires.
Sont notamment analysés :
- la Deep Packet Inspection sur les couches 2 à 7 du modèle OSI,
- les flux NetFlow/IPFIX pour l'analyse du trafic,
- les requêtes et réponses DNS (DNS passif),
- les métadonnées des établissements de connexion TLS et SSH – sans déchiffrement,
- les données Syslog et journaux d'événements.
L'ensemble représente des millions d'événements par seconde. Aucun être humain ne peut examiner un tel volume – c'est précisément là qu'intervient l'IA.
Analyse par l'IA en quatre niveaux
L'analyse se déroule en plusieurs étapes, chacune combinant différentes méthodes d'apprentissage automatique. La masse des événements se réduit ainsi à quelques alertes priorisées et à des règles de protection concrètes.
Niveau 1 – Détection d'anomalies
Des autoencodeurs apprennent sans règles prédéfinies (de manière non supervisée) à quoi ressemble un trafic normal. Les schémas normaux se compressent et se reconstruisent efficacement ; les anomalies, elles, se démarquent. Des réseaux LSTM (Long Short-Term Memory) analysent les séquences temporelles et détectent des schémas suspects sur plusieurs heures ou jours – par exemple la phase de reconnaissance progressive d'une attaque APT (Advanced Persistent Threat).
Niveau 2 – Classification
Des méthodes d'ensemble telles que Random Forest et Gradient Boosting associent les anomalies détectées à des types d'attaques : DDoS, communication de malwares avec des serveurs de Command-and-Control, Lateral Movement ou exfiltration de données. Des modèles Transformer analysent les journaux et les messages d'erreur en contexte – à la manière dont les modèles de langage comprennent les textes, mais spécialisés ici dans les événements de sécurité.
Niveau 3 – Fusion de Threat Intelligence
Un Graph Neural Network modélise les relations entre adresses IP, domaines, échantillons de malwares et attaquants sous forme de graphe de connaissances. L'IA identifie ainsi des liens qui restent invisibles pour les humains ou les bases de données classiques – par exemple, que plusieurs attaques apparemment indépendantes émanent du même groupe.
Niveau 4 – Corrélation et décision
La Correlation Engine regroupe les signaux de tous les capteurs et évalue chaque événement selon sa probabilité, les dommages potentiels et son urgence. Il en résulte des alertes priorisées et des règles de protection, qui sont distribuées à toutes les appliances.
Apprendre sans divulguer de données
Grâce au Federated Learning, l'IA apprend également à partir des réseaux des clients – sans que des contenus sensibles ne quittent le réseau concerné. Seules les améliorations apprises par le modèle sont partagées. L'expérience acquise sur le terrain profite ainsi à la protection de tous.
L'humain reste au cœur de la boucle d'apprentissage
Là où de nombreux signaux sont évalués, des faux positifs apparaissent aussi. C'est pourquoi des analystes en sécurité confirment ou corrigent les évaluations de l'IA (Supervised Learning) ; dans les cas incertains, le système les sollicite de manière ciblée (Active Learning). Les nouveaux modèles sont testés de façon contrôlée avant leur déploiement. L'objectif : un taux d'erreur en baisse constante et des prédictions toujours plus précises.
Pour savoir comment NetProtector s'intègre à votre réseau et à vos outils, consultez Intégration & exploitation.