IA en cybersécurité : sortir du « pré-incident »

En 2025, le délai moyen mondial pour identifier et contenir une violation atteint 241 jours, et il faut 181 jours en moyenne pour simplement l’identifier. Deux chiffres qui devraient faire grincer des dents n’importe quel DSI, RSSI ou dirigeant. Parce qu’entre-temps, l’attaquant ne “tente” pas une intrusion : il s’installe, observe, prépare, et choisit son moment.

J’aime bien une image pour décrire cette situation : l’entreprise ressemble au chat de Schrödinger. Tant qu’on n’ouvre pas la boîte, on ne sait pas si le chat est vivant… ou mort. En cybersécurité, tant qu’on n’a pas de visibilité réelle (télémétrie exploitable, détection comportementale, investigation), l’organisation est à la fois compromise et non compromise. Et ce flou coûte cher.

Dans notre série « Intelligence artificielle dans la cybersécurité », cet article s’attaque à une idée simple mais souvent mal digérée : la sécurité “préventive” seule ne suffit plus. La sortie de cette “boîte” passe par la détection continue, l’analyse rapide… et, très concrètement, par l’IA appliquée à la détection et à la réponse.

Le « pré-incident » : votre état par défaut

Réponse directe : si vous n’avez pas une capacité solide de détection et d’investigation, votre posture réelle est un état de pré-incident permanent.

Le mythe le plus tenace, c’est celui du périmètre : « on a de bons pare-feu, des MFA, des antivirus, donc on est tranquilles ». La réalité opérationnelle est plus tordue. Les intrusions modernes passent par :

• l’ingénierie sociale (vol d’identifiants, contournement via helpdesk, fatigue MFA)
• les accès légitimes détournés (comptes admin, tokens, sessions)
• le “living off the land” : l’attaquant utilise des outils déjà présents (PowerShell, RDP, scripts, outils d’admin)

Dans ce contexte, parler de “pré-incident” est utile : cela force un changement de posture. L’objectif n’est plus seulement d’« empêcher », mais de voir, comprendre, réagir.

Pourquoi l’attaquant attend (et pourquoi ce n’est pas “aléatoire”)

Réponse directe : les attaques “explosent” rarement par hasard ; elles sont déclenchées au moment le plus rentable.

L’analogie quantique a une limite : dans l’expérience de Schrödinger, le déclencheur est aléatoire. En cybercriminalité, il est souvent planifié. Les groupes organisés maximisent l’impact en choisissant des périodes de sous-effectif, de surcharge métier, ou de forte dépendance aux SI (vacances, soldes, clôtures, pics logistiques, lancements produits).

Ça explique une chose : même si vous “tenez” aujourd’hui, l’attaque peut être déjà là, en phase de préparation. Et quand elle se déclenche, ce n’est pas un simple incident : c’est un scénario.

Les « gros cadenas » ne suffisent pas (et parfois rassurent à tort)

Réponse directe : renforcer uniquement la prévention, c’est acheter un cadenas plus gros alors que l’attaquant vise… les clés.

Les entreprises investissent encore beaucoup dans des contrôles visibles : appliances, durcissement, audits. Tout ça est nécessaire, mais insuffisant si votre modèle mental reste : « on bloque, donc on est protégés ». Les attaques par identité montrent l’inverse :

• Un employé trompé “donne” l’accès.
• Un prestataire se fait phisher, et l’accès est déjà “légitime”.
• Un helpdesk réinitialise un mot de passe après un scénario socialement crédible.

Le résultat est brutal : le SI peut être compromis sans alerte évidente, parce que l’activité ressemble à de l’administration classique.

Phrase à garder en tête : une défense qui ne voit pas ce qui se passe est une défense qui espère.

SOC interne, EDR/XDR… et le mur de la réalité

Réponse directe : déployer EDR/XDR sans capacité d’analyse, c’est créer un bruit énorme qui masque le signal.

Beaucoup d’organisations ont la bonne intuition : « ouvrons la boîte ». Elles déploient un EDR ou un XDR. Bonne décision sur le papier, mais elle déclenche vite un problème très concret :

1. Trop d’alertes, trop peu de temps
2. Des équipes qui passent leur journée à trier, corréler, douter
3. Des règles “assouplies” pour réduire le bruit
4. Une dérive : on croit surveiller… alors qu’on a surtout désactivé ce qui dérange

Le SOC : efficace, mais rarement “simple”

Réponse directe : un SOC 24/7 solide est une machine lourde : budget, recrutement, process, astreintes, outillage, gestion de crise.

Mon expérience : ce n’est pas l’achat des outils qui coince, c’est l’exploitation. Un SOC, c’est :

• une couverture horaire (nuit, week-ends, jours fériés)
• des analystes formés (N1/N2/N3)
• des playbooks, de la chasse aux menaces, des exercices
• de la remédiation coordonnée avec l’IT et la production

Et en 2025, la pénurie de compétences cybersécurité reste un facteur bloquant pour beaucoup de PME/ETI… et même pour des grands groupes.

Où l’IA change vraiment la donne : visibilité + vitesse

Réponse directe : l’IA en cybersécurité est surtout utile pour réduire l’incertitude et accélérer la détection et la réponse.

On vend parfois l’IA comme un gadget. Je ne suis pas d’accord. Bien employée, elle joue un rôle précis : elle transforme la surveillance continue en capacité opérationnelle, en particulier quand les équipes sont petites.

1) Détection comportementale : repérer l’anomalie, pas seulement la signature

Réponse directe : l’IA permet de mieux détecter les attaques “discrètes” qui n’ont pas de signature connue.

Les modèles d’analyse comportementale (UEBA, détection d’anomalies, corrélation multi-sources) sont efficaces sur des signaux faibles :

• connexion inhabituelle à 03:12 depuis un pays “rare”
• création d’un compte admin juste après une réinitialisation helpdesk
• exfiltration progressive sur un protocole banal
• usage anormal d’outils d’administration à haute fréquence

L’intérêt : réduire la dépendance aux indicateurs “classiques” et attraper les phases préparatoires.

2) Triage des alertes : moins de bruit, plus de priorisation

Réponse directe : l’IA sert à classer, regrouper et contextualiser les alertes pour qu’un humain décide vite.

Dans une vraie journée SOC, le problème n’est pas “l’absence d’alertes”. C’est l’excès. L’IA aide à :

• regrouper 40 signaux en un seul incident corrélé
• proposer une probabilité de malveillance (scoring)
• enrichir avec le contexte (asset critique, identité, historique)

Ça ne remplace pas l’analyste. Ça lui évite de passer 70% de son temps à faire du tri.

3) Réponse assistée : passer de la détection à l’action

Réponse directe : la valeur arrive quand la détection déclenche une réponse rapide, guidée par des playbooks.

Les meilleures approches combinent IA + automatisation (SOAR) :

• isoler un poste suspect
• révoquer une session, forcer une rotation de mots de passe
• bloquer un domaine, couper une communication latérale
• ouvrir un ticket IT avec les preuves déjà rassemblées

Le point clé : la vitesse. Si vous réduisez la fenêtre de manœuvre de l’attaquant, vous réduisez l’impact.

MDR + IA : la voie pragmatique pour beaucoup d’organisations

Réponse directe : un service MDR (Managed Detection and Response) combine outillage, expertise et surveillance 24/7, avec une exploitation souvent renforcée par l’IA.

Tout le monde n’a pas besoin (ni les moyens) d’un SOC interne complet. Le MDR apporte :

• surveillance continue (y compris la nuit et le week-end)
• chasse aux menaces proactive
• investigation et recommandations de remédiation
• parfois une remédiation opérée (selon contrat)

Et il y a une raison très terre-à-terre pour laquelle ce sujet accélère : les exigences des assureurs cyber et de la conformité. Beaucoup de polices demandent désormais des capacités avancées (EDR, supervision, journalisation, gestion des accès). Sans exploitation efficace, ces contrôles deviennent une façade.

Check-list “anti boîte fermée” (actionnable en 30 jours)

Réponse directe : vous pouvez réduire l’incertitude rapidement avec quelques décisions claires.

1. Mesurez votre MTTD/MTTR (même approximatif) : combien de temps pour détecter et contenir un incident ?
2. Centralisez les journaux critiques (authentification, endpoints, messagerie, VPN, admin) dans un SIEM/XDR.
3. Définissez 10 scénarios prioritaires (identité compromise, ransomware, exfiltration, admin abuse, etc.) et des playbooks.
4. Testez votre helpdesk : procédures de reset, vérifications d’identité, résistance à l’ingénierie sociale.
5. Simulez : une fois, puis régulièrement (table-top + tests techniques).
6. Décidez du modèle d’exploitation : SOC interne, hybride, ou MDR.

Résoudre le paradoxe : “ouvrir la boîte” sans se noyer

La meilleure lecture de Schrödinger côté cybersécurité, ce n’est pas “tout est incertain”. C’est plutôt : l’incertitude est un choix, souvent subi, parce qu’on n’a pas investi dans la visibilité et la réponse.

L’IA en cybersécurité aide précisément à ça : réduire l’angle mort, accélérer la qualification, et rendre la supervision réaliste même avec des équipes limitées. Mais elle ne fait pas de magie : elle doit s’inscrire dans un système (journaux, EDR/XDR, playbooks, processus d’escalade).

Si votre stratégie repose surtout sur des “cadenas”, vous êtes peut-être déjà dans cet état de pré-incident. La question utile, en 2025, n’est pas « est-ce que je serai attaqué ? », mais : à quelle vitesse saurai-je que quelque chose se passe — et à quelle vitesse pourrai-je agir ?