Les traditionnels « tests d’intrusion annuels s’avèrent de moins en moins efficaces à mesure que les organisations étendent rapidement leurs environnements cloud, hybrides et pilotés par l’IA, qui évoluent bien plus vite que ne peuvent suivre les cycles d’évaluation annuels.
Selon Lydia Zhang, présidente et cofondatrice de Ridge Security, les infrastructures, applications, API et chaînes de dépendances modernes évoluent en permanence, créant des surfaces d’attaque constamment changeantes que les modèles de test statiques peinent à évaluer avec précision.
« Le délai entre la découverte d’une vulnérabilité et son exploitation s’est considérablement réduit », a expliqué Zhang lors d’un entretien par e-mail avec eSecurityPlanet.
Elle a ajouté : « Les tests annuels laissent le champ libre aux acteurs malveillants pour découvrir ces vulnérabilités zero-day et les exploiter. »
Points clés sur les tests d’intrusion
- Les tests d’intrusion annuels s’avèrent de moins en moins efficaces dans des environnements cloud, hybrides et pilotés par l’IA en rapide évolution.
- Les organisations s’orientent vers une validation continue de la sécurité afin d’identifier en temps réel les expositions exploitables.
- L’IA transforme la sécurité offensive grâce aux tests autonomes, à l’analyse des exploits et aux processus de remédiation.
- Les équipes de sécurité sont invitées à privilégier l’exploitabilité réelle et l’impact métier plutôt que le simple nombre de vulnérabilités.
- La supervision humaine reste essentielle à mesure que les outils de sécurité offensive pilotés par l’IA continuent d’évoluer.
Pourquoi la validation continue remplace les tests périodiques
Zhang a indiqué que les organisations s’orientaient de plus en plus vers une validation continue de la sécurité, car la traditionnelle gestion des vulnérabilités submerge souvent les équipes de sécurité sous un grand nombre de résultats difficiles à hiérarchiser.
La validation de l’exposition vise plutôt à identifier les vulnérabilités réellement exploitables dans un environnement donné et à les relier au risque métier.
Les évolutions rapides des infrastructures accélèrent également cette transition.
De nouveaux déploiements applicatifs, des mises à jour de configuration et des ressources cloud peuvent rapidement introduire de nouvelles voies d’exposition après la réalisation d’un test d’intrusion.
Les organisations sont également exposées en continu aux régressions de remédiation : des vulnérabilités précédemment corrigées peuvent réapparaître en raison d’une dérive de configuration ou de modifications du code.
La direction et les pressions réglementaires contribuent également à l’adoption de modèles d’évaluation continue.
Zhang a souligné que des référentiels tels que NIS2 et PCI DSS 4.0 mettent de plus en plus l’accent sur la validation continue et sur la collecte permanente de preuves de la posture de sécurité, plutôt que sur des évaluations ponctuelles.
L’IA redéfinit la sécurité offensive
L’intelligence artificielle transforme également la manière dont les équipes rouges et les spécialistes des tests d’intrusion travaillent.
Selon Zhang, l’IA fait passer la sécurité offensive des tests d’intrusion manuels à des processus de validation autonomes capables de fonctionner en continu et à grande échelle.
« L’IA ne se contente pas d’automatiser les tests d’intrusion : elle transforme les processus pour permettre des tests de sécurité et une remédiation autonomes », a déclaré Zhang.
Les systèmes d’IA sont de plus en plus capables d’apprendre à connaître les environnements, d’identifier les actifs exposés, d’analyser les relations entre les composants d’une infrastructure et d’adapter dynamiquement les stratégies d’attaque.
Zhang a indiqué que l’IA pouvait reconnaître des indicateurs tels que des jetons d’autorisation exposés et étendre de manière autonome les tests aux infrastructures et applications associées.
La technologie améliore également les processus de reporting et de remédiation en transformant les résultats techniques en tâches de développement exploitables, en organisant les preuves de conformité et en synthétisant les données de sécurité pour les décideurs.
La supervision humaine reste essentielle
Si l’IA peut considérablement améliorer la rapidité et l’échelle des opérations, Zhang a souligné que l’expertise humaine restait essentielle dans les domaines faisant appel au jugement, à l’éthique, aux décisions d’autorisation et aux simulations d’attaques à haut risque.
Elle a expliqué que l’IA était performante pour des tâches telles que la découverte d’actifs, l’exploration du Web, le reporting et la reconnaissance, mais que des activités plus sensibles comme l’enchaînement d’exploits et l’ingénierie sociale nécessitaient encore des garde-fous plus stricts et une supervision humaine.
Zhang a également averti que de nombreux produits de sécurité commercialisés comme des solutions de « sécurité IA » se contentaient d’automatiser des processus existants au lieu d’offrir de véritables capacités de raisonnement autonome.
Selon elle, l’automatisation améliore l’efficacité, tandis que l’autonomie transforme fondamentalement la manière dont les décisions sont prises lors des opérations de sécurité offensive.
Privilégier l’exploitabilité au nombre de vulnérabilités
Zhang a déclaré que les organisations accordaient souvent trop d’importance au simple nombre de vulnérabilités au lieu de privilégier l’exploitabilité réelle et l’impact métier.
Des vulnérabilités de gravité moyenne peuvent représenter un risque opérationnel plus important que des vulnérabilités critiques si elles offrent des chemins accessibles vers des systèmes sensibles ou des actifs essentiels à l’activité.
« Les organisations doivent toujours se concentrer sur l’exploitabilité réelle et l’impact métier plutôt que sur le nombre de vulnérabilités », a déclaré Zhang.
Les systèmes d’IA sont de plus en plus utilisés pour analyser l’exploitabilité, identifier les failles de logique métier et cartographier la manière dont les vulnérabilités se connectent à des actifs de valeur dans des environnements complexes.
Cela permet aux équipes de sécurité de hiérarchiser les expositions en fonction de leur facilité d’exploitation et de leur impact opérationnel, plutôt que de s’appuyer exclusivement sur des scores de gravité.
L’avenir de la sécurité offensive
À l’avenir, Zhang s’attend à ce que les tests d’intrusion continuent d’évoluer vers une discipline continue, directement intégrée aux processus DevOps et de gestion des mises en production.
La validation de la preuve d’exploitation, la remédiation automatisée et l’analyse de la chaîne de frappe devraient gagner en importance à mesure que les organisations s’adaptent aux environnements de menaces pilotés par l’IA.
Dans le même temps, les acteurs malveillants devraient tirer parti des mêmes capacités d’IA, accélérant la reconnaissance, le développement d’exploits et l’enchaînement des attaques.
Zhang a déclaré que le défi à long terme pour les organisations serait de savoir à quelle vitesse les équipes de sécurité pourraient adopter des technologies de sécurité autonomes afin de suivre le rythme de menaces toujours plus automatisées.
« Les perspectives d’avenir se résument à une situation où il y a une bonne et une mauvaise nouvelle », a déclaré Zhang. « Les acteurs malveillants auront accès aux mêmes technologies, ce qui signifie que la bataille se jouera sur la vitesse à laquelle les équipes de sécurité pourront adopter les nouvelles technologies de sécurité. »