IA et analyse de journaux : ce qui marche, ce qui coûte cher pour rien

L’analyse de journaux est le terrain où l’intelligence artificielle est le plus vendue en cybersécurité, et celui où les déceptions sont les plus fréquentes. Non pas parce que la technologie ne fonctionne pas, mais parce qu’on lui demande de compenser une collecte défaillante.

Voici, usage par usage, ce qui tient en production.

Ce qui marche bien

La détection d’anomalies sur les comportements de comptes

C’est le cas d’usage le plus solide. Le modèle apprend le comportement habituel d’un compte — horaires, machines accédées, volumes, applications — et signale les écarts.

Il fonctionne parce que la donnée d’entrée est structurée, peu volumineuse, et que la notion de normalité y a un sens. C’est aussi le signal le plus utile en pratique : les phases de reconnaissance et d’élévation de privilèges produisent exactement ce type d’écart.

La corrélation et la reconstitution de chronologie

Regrouper des dizaines d’alertes isolées en un incident unique, avec un ordre et un fil narratif. Le gain de temps analyste est réel et mesurable.

Le résumé et la mise en forme

Transformer une séquence technique en compte rendu lisible, proposer une première rédaction de rapport d’incident, traduire un enchaînement d’événements en langage compréhensible par une direction.

Usage modeste, mais c’est celui qui fait gagner le plus d’heures au quotidien — et le moins risqué, puisqu’un humain relit.

L’enrichissement

Rattacher automatiquement une observation à une technique MITRE ATT&CK, associer un contexte d’actif, proposer une criticité en fonction de l’exposition.

Ce qui déçoit

La détection « sans configuration »

La promesse d’un outil qui apprend seul et détecte tout sans réglage ne résiste pas au contact d’un environnement réel. Un modèle a besoin d’une période d’apprentissage, d’un contexte métier, et d’un ajustement continu par des humains qui connaissent le système.

La détection sur les journaux applicatifs non structurés

Du texte libre, sans horodatage normalisé ni identifiant de corrélation, produit des résultats médiocres quelle que soit la technologie. Normaliser avant d’analyser reste le préalable.

La substitution à l’analyste

Aucun modèle ne décide seul d’isoler un poste de production. La décision engage l’entreprise, elle doit être explicable et assumée. L’IA propose, l’humain tranche — et cette répartition n’est pas près de bouger sur les actions à impact.

Le problème qui rend tout le reste inopérant

C’est le volume d’alertes. Un modèle avec un taux de faux positifs de 1 % appliqué à dix millions d’événements quotidiens produit cent mille fausses alertes par jour.

C’est le paradoxe du taux de base : quand les événements malveillants sont extrêmement rares rapportés au volume total, même un excellent taux d’erreur noie le signal. La conséquence observée est toujours la même — on desserre les seuils jusqu’à ce que le volume devienne tenable, et on ne détecte plus grand-chose.

La sortie n’est pas un meilleur modèle. C’est de réduire le volume en amont : ne collecter que ce qui répond à une question d’enquête, comme détaillé dans notre article sur ce qu’il faut collecter.

Les préalables qui déterminent le résultat

1. Des horloges synchronisées. Sans référence de temps commune, aucune corrélation entre équipements n’est fiable. C’est l’objet de la mesure 8.17 d’ISO/IEC 27002:2022.
2. Une couverture connue. Savoir quels systèmes envoient des journaux et lesquels n’en envoient pas. Un modèle entraîné sur un périmètre troué apprend une normalité fausse.
3. Un inventaire des actifs. Sans savoir ce qu’est une machine et ce qu’elle héberge, aucune priorisation contextuelle n’est possible.
4. Des données normalisées. Format commun, champs identifiés, identifiants de corrélation.

Ces quatre points représentent l’essentiel de l’effort d’un projet de détection. L’algorithme est la partie facile.

Les questions à poser à un fournisseur

• Quelle durée d’apprentissage avant que le système soit exploitable ?
• Quel taux de faux positifs mesuré, sur quelle volumétrie, dans un environnement comparable ?
• Comment une alerte est-elle expliquée à l’analyste qui devra la défendre ?
• Que se passe-t-il quand un comportement légitime nouveau apparaît — une migration, une nouvelle application ?
• Les données sont-elles traitées chez nous ou envoyées à l’extérieur, et dans quelle juridiction ?

Cette dernière question rejoint les enjeux traités dans notre article sur les assistants IA en entreprise : une plateforme d’analyse qui exporte vos journaux hors de l’Union européenne pose un problème distinct de son efficacité technique.

Sources

• MITRE ATT&CK
• NIST AI Risk Management Framework
• ISO/IEC 27002:2022, mesures 8.15 à 8.17
• ANSSI — recommandations sur la journalisation

Aller plus loin

La collecte, la normalisation et la détection constituent le cœur de notre infogérance SOC. L’évaluation de votre couverture actuelle relève de l’audit 360.