Comment l’IA et la recherche contextuelle renforcent la cybersécurité défensive

Dans le domaine actuel de la défense, les informations abondent, mais il est souvent difficile d’en tirer des enseignements. Alors que les données affluent de chaque système connecté, de chaque périphérique edge et de chaque point de contact numérique, les équipes de sécurité passent encore trop de temps à assembler des entrées fragmentées, à rechercher des signaux et à naviguer entre les silos pour simplement répondre à des questions élémentaires.

Dans le domaine de la cybersécurité défensive, chaque minute passée à fouiller dans des logs déconnectés peut être mise à profit par des personnes malveillantes. Chaque corrélation manquée ou réponse tardive sape la confiance des dirigeants, augmente les risques et érode l’avantage opérationnel.

Les opérations de sécurité d’aujourd’hui sont tenues de surveiller des volumes de données en croissance exponentielle sur des systèmes fragmentés, souvent sans disposer du temps, du contexte ou du personnel nécessaires pour convertir ces informations en actions. Alors que les menaces se perfectionnent et évoluent à la vitesse des machines, les processus de recherche et d’analyse traditionnels deviennent un handicap. Les enquêtes prennent trop de temps. Les alertes ne sont pas triées. Et les décisions sont prises sur la base de données incomplètes, mettant les missions et les équipes en danger.

Des processus manuels à la visibilité instantanée

Pour les équipes de sécurité opérant dans le domaine de la défense, maintenir le statu quo est totalement exclu. Les alertes arrivent par milliers, les outils conçus pour aider les analystes génèrent souvent plus de complexité que de clarté, et la corrélation des événements entre les réseaux, les appareils, les domaines et les limites de classification reste chronophage et fragile.

Ce n’est pas seulement le volume des données, c’est aussi leur fragmentation. La plupart des enquêtes obligent les analystes à basculer entre différents systèmes, à rédiger des requêtes complexes, et à reconstituer manuellement les chronologies à partir des logs, des alertes, et de la télémétrie. C’est inefficace, et pire encore, cela signifie que les informations clés arrivent trop tard pour influencer les résultats.

Le ministère de la Défense britannique (MOD) et ses partenaires en sont conscients. Et comme les menaces évoluent à la vitesse des machines, l’impératif n’a jamais été aussi clair : les décideurs ont besoin de réduire le délai entre détection et action. Cela implique de repenser la manière dont on accède aux renseignements, et pas seulement les données qui sont collectées.

Un renseignement qui parle la langue de la mission

La nouvelle génération d’opérations de sécurité ne repose pas sur l’ajout de tableaux de bord supplémentaires. Elle repose sur le renseignement contextuel : des systèmes qui ne se contentent pas de renvoyer des résultats de recherche, mais qui fournissent des réponses. Des technologies telles que la génération augmentée de récupération (RAG) et la recherche en langage naturel impulsent cette transformation.

Au lieu d’obliger les analystes, voire le personnel non technique, à rassembler des signaux provenant de plusieurs plateformes, la RAG permet aux systèmes de récupérer les données pertinentes directement à partir de référentiels de confiance. Elle fonde les informations sur des renseignements en temps réel, sans hallucinations ni logique de boîte noire. Cela réduit la fatigue liée aux alertes et permet aux équipes de se concentrer sur les menaces vérifiées, et non sur les faux positifs.

Vous souhaitez connaître le point de départ d’une faille de sécurité ? Savoir quels systèmes ont été affectés ? S’il s’agit d’une activité anormale ou de routine ? Le système ne se contente pas de récupérer les logs, il synthétise l’historique pour les équipes.

Ces capacités ne sont pas hypothétiques. Elles sont déjà utilisées et aident des équipes réelles au sein du MOD, dans des environnements réels, à trier plus efficacement, à réduire la fatigue liée aux alertes et à faire passer le rôle d’analyste d’enquêteur à facilitateur de décision.

L’IA en tant que facilitateur, et non substitut

Dans les milieux de la défense, on craint souvent que l’IA ne remplace l’expertise humaine sur laquelle repose la réussite des missions. Cependant, la véritable force de l’IA dans le domaine de la sécurité ne réside pas dans la substitution. Elle réside dans l’amplification.

L’IA contextuelle ne remplace pas le jugement humain, elle le renforce. Elle allège la charge du triage manuel, met en évidence les liens cachés entre les événements et signale les menaces émergentes plus rapidement que les processus manuels. Il ne s’agit pas de faire davantage confiance à la machine qu’à l’humain, mais de donner à ce dernier plus de temps pour réfléchir, réagir et diriger.

Chatbots et langage naturel : un renseignement accessible

Les capacités de langage naturel permettent au personnel de défense d’interagir avec les données de sécurité d’une manière entièrement nouvelle. Il n’est plus nécessaire de maîtriser une syntaxe complexe pour effectuer des requêtes. Le personnel peut enquêter sur les menaces à l’aide de chatbots et d’un langage simple. Des requêtes telles que « Afficher toutes les tentatives d’authentification échouées provenant d’adresses IP externes au cours des dernières 24 heures » donnent des résultats immédiats et pertinents. Le ministère de la Défense britannique explore déjà le potentiel des chatbots,1 et le Defence Science and Technology Laboratory met actuellement au point des assistants numériques destinés aux utilisateurs militaires tactiques sur le terrain. Ceux-ci permettent aux soldats d’avoir des conversations textuelles avec des systèmes de données afin de trouver les informations et les réponses dont ils ont besoin pour mener à bien leur mission.

Les chatbots alimentés par l’IA, tels qu’Elastic AI Assistant for Security, guident les analystes tout au long de leurs enquêtes en traduisant les questions de sécurité en requêtes appropriées, en fournissant le contexte des alertes et en suggérant les étapes suivantes sur la base des bonnes pratiques. Cela rend chaque utilisateur autorisé plus efficace et élargit la participation à la prise de décision en matière de sécurité. Les commandants sur le terrain et le personnel non technique peuvent interroger directement les systèmes de sécurité en cas de besoin, sans avoir recours à des intermédiaires hautement spécialisés. Les barrières techniques qui isolaient auparavant les données de sécurité au sein d’équipes spécialisées sont réduites. Les analystes SOC de niveau 1 peuvent travailler plus rapidement, avec peu de formation.

Grâce aux grands modèles de langage (LLM) qui apportent une compréhension contextuelle, accélèrent les investigations, et réduisent les temps de réponse, la prise de décision peut être distribuée. La Security Intelligence peut être déployée partout où elle est nécessaire.

WEBINAR

Sécurité plus intelligente : comment l’IA transforme la détection des menaces et les workflows des analystes

Cet épisode explore comment l’IA, l’automatisation et l’orchestration réduisent la charge de travail manuelle et permettent aux analystes de se concentrer sur ce qui compte le plus.
Regarder maintenant

Un renseignement de sécurité éprouvé sur le terrain, pas seulement sur le papier

Les capacités de sécurité d’Elastic ont été testées de manière rigoureuse lors de l’exercice Locked Shields de l’OTAN, l’une des plus grandes simulations de cybersécurité en conditions réelles au monde. Au cours de cet événement, des Blue Teams (c’est-à-dire des unités de cybersécurité chargées de la défense) ont déployé une architecture de sécurité complète intégrant plusieurs sources de données : logs d’événements du système d’exploitation, logs PowerShell, données de pare-feu/IPS/IDS, flux de renseignements sur les menaces et capacités de détection et de réponse aux endpoints. L’environnement reproduisait des opérations de défense réelles, Elastic Common Schema (ECS) normalisant les sources de données disparates pour simplifier les workflows de détection. Les équipes Security ont obtenu une visibilité unifiée sur l’ensemble de leur patrimoine numérique grâce à des tableaux de bord préconfigurés qui ont simplifié les tâches d’analyse complexes.

Les capacités de protection comprenaient la prévention contre les malwares et les ransomwares, l’analyse des comportements malveillants, la protection contre les menaces dans la mémoire, et le renforcement des identifiants. Toutes les règles de détection étaient mappées au framework MITRE ATT&CK,2 permettant aux équipes de comprendre les tactiques et les techniques adverses, tout en mesurant la couverture défensive. L’exercice a également testé la résilience défensive. Les Red Teams, simulant des pirates sophistiqués dotés de capacités persistantes avancées, ont activement tenté de désactiver les outils de sécurité. Des fonctionnalités comme la protection des agents contre les manipulations garantissaient que le monitoring restait intact, même en cas d’attaque directe : une capacité essentielle dans les environnements hostiles.

De la détection à la décision : plus rapide, plus intelligent, ensemble

En définitive, une défense moderne exige des renseignements modernes. Pas seulement une meilleure visibilité, mais de meilleurs résultats. Pas plus de données, mais les bonnes réponses, au bon moment.

La recherche basée sur l’IA n’est pas simplement une mise à niveau technologique, c’est un changement de posture. Elle crée un environnement dans lequel les analystes passent moins de temps à naviguer entre les outils, et plus de temps à prendre des décisions stratégiques. Où les commandants peuvent agir en toute confiance, sachant que les informations sous leurs yeux sont opportunes, pertinentes et fiables.

La défense a désormais accès à des capacités de renseignement de sécurité au sein des murs de son château. Plus besoin de choisir entre la puissance de l’IA et la souveraineté des données. En intégrant des modèles de langage sensibles au contexte au sein des périmètres de sécurité, les équipes transforment des volumes de données considérables en avantages décisionnels qui parlent votre langue.

Envie d’en savoir plus ? Découvrez comment la recherche contextuelle, la détection des menaces basée sur l’IA et le contrôle souverain des données transforment la prise de décision des responsables de la sécurité dans le secteur de la défense. Participez à nos échanges dans le cadre de la série de webinaires Avantage de la mission : conversations stratégiques avec les dirigeants de la défense.

Participerez-vous au DSEI UK 2025 ?

Profitons-en pour garder le contact !

Nous avons quelque chose de passionnant en réserve pour l’évènement, et nous serions ravis de le partager avec vous.
En savoir plus

Consultez les autres articles de cette série sur la cybersécurité défense :

• Partie 1 : Comment le MOD peut obtenir une supériorité décisionnelle face aux cybermenaces
• Partie 2 : Comment le MOD peut réduire les coûts tout en augmentant la protection grâce au maillage de données
• Partie 3 : Briser les silos en matière de cybersécurité : favoriser la collaboration en matière de données de défense
• Partie 4 : Mettre en œuvre la stratégie de gestion des données de défense du MOD grâce à un accès intelligent aux données
• Partie 5 : Libérer du temps pour les analystes : des enquêtes plus intelligentes grâce à l’IA dans la défense
• Partie 6 : Transformer l’analyse défensive grâce à l’IA générative

Regardez notre série de webinars : entretiens stratégiques avec des dirigeants de la défense

• Épisode 1 : Décisions à grande vitesse : comment les leaders de la défense unifient les données pour des informations en temps réel
• Épisode 2 : Combler le fossé — Comment les compétences en cybersécurité influencent la préparation opérationnelle
• Épisode 3 : Gestion dès la conception : comment les dirigeants de la défense harmonisent l’innovation en matière d’IA avec la conformité

Pour aller plus loin :

• Livre blanc : L’avenir de la cybersécurité dans le domaine de la défense : plus intelligente, plus rapide, plus résiliente
• Livre blanc : Sécuriser la collaboration en matière de défense : comment l’IA et la visibilité des données inter-agences accélèrent la préparation à la cyberdéfense
• Ancrez vos LLM via la RAG avec Elasticsearch

Sources :
1. UK Defence Journal, « Ministry of Defence using AI to improve productivity », 2024.
2. TechTarget, « Qu’est-ce que le framework Mitre ATT&CK ? », 2024.

La publication et la date de publication de toute fonctionnalité ou fonction décrite dans le présent article restent à la seule discrétion d’Elastic. Toute fonctionnalité ou fonction qui n’est actuellement pas disponible peut ne pas être livrée à temps ou ne pas être livrée du tout.

• Dans cet article de blog, nous sommes susceptibles d’avoir utilisé ou mentionné des outils d’IA générative tiers appartenant à leurs propriétaires respectifs qui en assurent le fonctionnement. Elastic n’a aucun contrôle sur les outils tiers et n’est en aucun cas responsable de leur contenu, de leur fonctionnement, de leur utilisation, ni de toute perte ou de tout dommage susceptible de survenir à cause de l’utilisation de tels outils. Veuillez faire preuve de prudence lorsque vous utilisez des outils d’IA avec des informations personnelles, sensibles ou confidentielles. Toute donnée que vous soumettez peut être utilisée pour l’entraînement de l’IA ou à d’autres fins. Vous n’avez aucune garantie que la sécurisation ou la confidentialité des informations renseignées sera assurée. Vous devriez vous familiariser avec les pratiques en matière de protection des données personnelles et les conditions d’utilisation de tout outil d’intelligence artificielle générative avant de l’utiliser.*

Elastic, Elasticsearch et les marques associées sont des marques commerciales, des logos ou des marques déposées d’Elasticsearch N.V. aux États-Unis et dans d’autres pays. Tous les autres noms de produits et d’entreprises sont des marques commerciales, des logos ou des marques déposées appartenant à leurs propriétaires respectifs.