L'impact des fausses alertes sur les analystes en cybersécurité

Les organisations utilisent des systèmes appelés systèmes de détection d'intrusions (IDS) pour repérer des activités nuisibles dans les réseaux informatiques. Ces systèmes déclenchent des alarmes quand ils détectent des comportements suspects. Les Analystes en cybersécurité sont chargés de vérifier ces alarmes pour déterminer si elles indiquent de vraies menaces ou si ce sont des fausses alarmes. Malheureusement, beaucoup d'alarmes générées par les IDS sont fausses, ce qui entraîne un taux élevé de fausses alarmes.

Cet article examine comment le taux de fausses alarmes des IDS impacte la performance des analystes humains, notamment leur capacité à identifier les vraies menaces, leur taux de Précision lorsqu'ils escaladent des alarmes, et le temps qu'ils passent sur ces tâches.

#Le défi des fausses alarmes

Les fausses alarmes posent un vrai problème pour les analystes. Des études montrent qu’elles peuvent représenter jusqu'à 99% des alarmes. Ces fausses alarmes augmentent la charge de travail des analystes et peuvent mener à ce qu'on appelle le burnout. Quand les analystes doivent sans cesse gérer des fausses alarmes, ils commencent à se méfier du système, ce qui complique leurs prises de décision.

Le taux d'alarmes dépend de la configuration de l'IDS. La plupart des IDS génèrent un nombre élevé de fausses alarmes. Cette situation peut embrouiller les analystes car le ratio de vraies menaces par rapport aux activités inoffensives est très bas. Donc, les IDS doivent être très précis pour être efficaces.

Des études ont montré que quand les gens sont informés sur la fiabilité d'un système d'alarme, leur comportement change. Par exemple, s'ils savent que le système n'est pas très fiable, ils ont tendance à questionner les alarmes. Quand ils doutent du système, ils passent plus de temps à vérifier les alarmes, ce qui les ralentit. Dans certains cas, ils peuvent faire confiance aveuglément au système ou l'ignorer complètement pour avancer plus vite dans leur travail.

#Recherches précédentes

Certaines recherches se sont penchées sur la performance des analystes dans des tâches de cybersécurité, notamment en ce qui concerne les emails de phishing. À mesure que le nombre d'emails nuisibles diminue, la capacité à identifier les emails malveillants baisse aussi. Dans d'autres études, des analystes ayant des connaissances spécifiques sur le réseau se sont révélés plus performants que ceux ayant seulement des connaissances générales en cybersécurité.

Une étude a consisté à faire évaluer des alarmes IDS simulées par des participants. Ceux qui avaient été formés avec un pourcentage plus élevé d'alarmes vraies s'en sortaient mieux que ceux formés avec un plus faible ratio lors de l'évaluation d'alarmes avec un taux mixte d'alarmes vraies.

Cet article vise à mieux comprendre comment la performance des analystes est influencée par le taux de fausses alarmes. L'étude explore trois idées principales :

1. Plus le taux de fausses alarmes augmente, moins les analystes peuvent détecter de vraies menaces.
2. Plus le taux de fausses alarmes augmente, moins la précision des décisions des analystes est élevée.
3. Plus le taux de fausses alarmes augmente, plus le temps que les analystes passent à évaluer les alarmes augmente.

#Conception de l'étude

Au total, 52 bénévoles provenant de domaines liés à l'informatique ont participé à l'étude. Comme compensation, les participants pouvaient participer à une tombola ou recevoir des crédits supplémentaires pour leurs cours, peu importe leurs performances.

On a dit aux participants qu'ils étaient des analystes juniors en cybersécurité dans une entreprise et leur tâche était de déterminer si une série d'alarmes de l'IDS nécessitait une enquête plus approfondie ou pouvait être considérée comme une activité normale.

Les alarmes simulées présentées dans l'étude étaient basées sur un scénario où un utilisateur semblait se connecter de deux lieux impossibles à atteindre dans le délai imparti. Ce scénario est simple et correspond à de vraies enquêtes.

L'étude comportait 30 alarmes vraies et 43 fausses. Chaque alarme contenait des détails comme les emplacements géographiques des tentatives de connexion, le nombre de connexions réussies et échouées, et d'autres informations pertinentes qui pourraient déclencher une alarme dans un système réel.

L'expérience a été conduite via une application web qui guidait les participants à travers les tâches. Elle incluait une formation sur la manière d'évaluer les alarmes et un "Playbook de Sécurité" fournissant des principes d'évaluation.

Les participants ont été répartis en deux groupes : un groupe voyait des alarmes avec un taux de fausses alarmes de 50%, tandis que l'autre faisait face à un taux de 86%. L'idée était que le taux de 50% est plus gérable pour les analystes, tandis que le taux de 86% reflète un scénario plus réaliste qu'ils pourraient rencontrer.

#Résultats

L'étude a trouvé que la précision et le temps passé par les analystes variaient fortement entre les deux groupes. Les analystes du groupe avec le taux de fausses alarmes plus élevé (86%) étaient beaucoup moins précis, avec une précision inférieure de 47% par rapport à ceux du groupe avec le taux de fausses alarmes moins élevé (50%). Ils prenaient aussi environ 40% de temps supplémentaire pour accomplir leurs tâches.

Fait intéressant, les deux groupes avaient des niveaux de Sensibilité similaires, ce qui signifie que les deux réussissaient à identifier efficacement les vraies alarmes. Cette constatation suggère que la sensibilité n'est pas aussi négativement affectée par des taux de fausses alarmes plus élevés que ce qui était pensé auparavant.

Cependant, comme prévu, la précision de la prise de décision a diminué à mesure que le taux de fausses alarmes augmentait. Les analystes dans le groupe à taux de fausses alarmes plus élevé ont escaladé plus d'alarmes que nécessaire, probablement par crainte de manquer une vraie menace.

De plus, les analystes du groupe à taux de fausses alarmes plus élevé prenaient plus de temps pour évaluer chaque alarme, indiquant qu'ils étaient plus prudents et incertains quant à leurs décisions. Ils avaient souvent besoin de revérifier les détails avant d'arriver à une conclusion.

#Implications

L'étude souligne certains points importants pour améliorer la performance des analystes en cybersécurité :

1. Un taux de fausses alarmes d'environ 50% peut conduire à une bien meilleure précision de prise de décision comparé à un taux plus élevé de 86%. Cela montre qu'un taux de 50% peut sembler élevé, mais il peut considérablement améliorer l'efficacité des analystes.

2. Étant donné que les analystes du groupe avec 50% de fausses alarmes pouvaient travailler plus rapidement et avec plus de précision, les organisations devraient viser ce taux de fausses alarmes pour réduire la charge de travail inutile et améliorer les temps de réponse.

3. Les résultats indiquent aussi qu'avoir un nombre élevé de fausses alarmes ne ralentit pas seulement les analystes mais affecte également la qualité de leurs décisions. Cela peut mener à des enquêtes inutiles et à une perte de temps.

4. L'étude met en lumière la nécessité de mener d'autres enquêtes en utilisant des groupes plus importants, des tâches plus variées et différents niveaux d'expérience parmi les participants.

#Conclusion

En cybersécurité, gérer les fausses alarmes est crucial. Les analystes doivent se sentir confiants dans leurs systèmes pour réduire le stress et améliorer leurs performances. Cette étude illustre l'impact significatif des taux de fausses alarmes sur la sensibilité, la précision et la gestion du temps des analystes. En trouvant des moyens de réduire les taux de fausses alarmes, les organisations peuvent aider leurs analystes en cybersécurité à travailler plus efficacement, améliorant ainsi les mesures de sécurité globales.