Détection et investigation en temps réel de la menace interne

La menace interne, définie comme l'exploitation malveillante ou négligente d'accès légitimes aux systèmes d'information, constitue un défi majeur pour les organisations modernes, avec des coûts croissants et des délais de détection importants. Face à l'inefficacité des approches traditionnelles, centrées sur les menaces externes, ce mémoire propose une solution hybride et dynamique pour la détection et l'investigation en temps réel des scénarios de menace interne. Cette solution s'appuie sur une architecture innovante combinant des techniques avancées d'apprentissage automatique non supervisé et une approche multi-agents, conçue pour répondre aux exigences opérationnelles des centres de sécurité. Plus spécifiquement, la méthodologie développée s'articule autour de deux modules complémentaires opérant en flux continu. Le premier module assure une détection d'anomalies en temps réel sur les flux d'événements, et filtre les flux, ne gardant que les évènements anormaux. Le second module, dédié à l'investigation, repose sur un système multi-agents propulsé par des LLM. Ces agents collaborent pour construire le scénario autour des alertes, exploiter le contexte des actions utilisateurs pour caractériser les anomalies et les positionner au sein d'une chaîne d'attaque adaptée à la menace interne. La validation expérimentale de cette approche, menée sur le jeu de données de référence CERT r4.2, démontre la pertinence du couplage entre détection statistique et raisonnement multi-agentique. Les résultats indiquent que si la détection statistique seule peut générer des faux positifs, l'ajout de la couche d'investigation automatisée permet de comprendre les alertes pour filtrer efficacement non pertinentes tout en qualifiant avec précision les scénarios malveillants avérés, tels que l'exfiltration de données ou le sabotage. En définitive, ce travail pose les bases d'une approche proactive qui dépasse la simple levée d'alerte. En fournissant une analyse contextuelle et intelligible quasi-instantanément, la solution proposée offre aux analystes des centres opérationnels de sécurité un outil pour réduire les délais d'investigation et anticiper les incidents critiques avant qu'ils ne causent des dommages irréversibles.