Les LLM interprètent désormais les journaux de cyberattaques via CAM-LDS

Au-delà des chatbots : comment les grands modèles de langage interprètent les manifestations de cyberattaques dans les journaux système

Les grands modèles de langage (LLM) révolutionnent la cybersécurité grâce au framework CAM-LDS, un ensemble de données spécialisé conçu pour l'interprétation automatique des journaux système et des alertes de sécurité. Développé par les chercheurs Max Landauer, Wolfgang Hotwagner et Thorina Boenke, ce framework comble l'« écart sémantique » critique de l'informatique légale en fournissant une ressource étiquetée qui permet à l'IA de comprendre l'intention et les mécanismes derrière les manifestations de cyberattaques. Cette avancée facilite la transition d'une simple correspondance de motifs vers un raisonnement sophistiqué, proche de celui de l'humain, des preuves forensiques.

Qu'est-ce que le CAM-LDS en cybersécurité ?

CAM-LDS est un framework et un ensemble de données complet intitulé Cyber Attack Manifestations for Automatic Interpretation of Logs, conçu pour aider les grands modèles de langage à identifier et à expliquer les événements de journaux résultant de cyberattaques. Il comprend sept scénarios d'attaque couvrant 81 techniques distinctes à travers 13 tactiques, collectées à partir de 18 sources différentes dans un environnement reproductible. Cela permet aux outils de sécurité de passer d'une simple détection à une compréhension sémantique des actions spécifiques d'un intrus.

Le Cyber Attack Manifestation Log Data Set a été créé pour remédier à la rareté des données étiquetées de haute qualité nécessaires à l'entraînement de l'IA pour les tâches forensiques. En extrayant les événements de journaux qui résultent directement de l'exécution d'attaques, Landauer et son équipe ont permis une analyse plus approfondie de l'observabilité des commandes, des fréquences d'événements et des mesures de performance. Cette méthodologie permet une interprétation des journaux agnostique au domaine, ce qui signifie que l'IA peut analyser des données provenant d'écosystèmes logiciels divers sans qu'un humain n'ait à rédiger des règles personnalisées pour chaque nouvel outil ou système d'exploitation.

Pour garantir une haute fidélité, les chercheurs ont utilisé un environnement de test entièrement open-source et reproductible. Cet environnement simule des réseaux d'entreprise complexes, permettant la collecte de données hétérogènes, notamment des appels système, du trafic réseau et des journaux au niveau applicatif. L'ensemble de données CAM-LDS se concentre spécifiquement sur les manifestations — les empreintes numériques laissées lors d'une intrusion — permettant aux grands modèles de langage de lier des entrées de journaux apparemment sans rapport en un récit cohérent d'une attaque en cours.

Quels sont les défis de l'analyse manuelle des journaux en forensique ?

L'analyse manuelle des journaux en informatique légale est principalement entravée par le volume massif de données non structurées et la grande variété de formats d'événements qui submergent rapidement les experts humains. Les analystes doivent souvent passer au crible des millions de lignes de télémétrie pour trouver une seule commande malveillante, un processus qui est non seulement chronophage mais aussi sujet à des oublis critiques. À mesure que les systèmes d'entreprise gagnent en complexité, l'hétérogénéité des formats de journaux rend presque impossible pour un humain de maintenir une expertise sur toutes les sources de données.

Le « goulot d'étranglement des données de logs » est un phénomène bien documenté où la vitesse de génération des données dépasse la capacité humaine d'interprétation. Dans la cybersécurité moderne, les systèmes de détection d'intrusion (IDS) peuvent signaler des milliers d'alertes quotidiennement, dont beaucoup sont des faux positifs ou du « bruit ». Lorsqu'une véritable intrusion se produit, les preuves sont souvent dispersées à travers plusieurs sources, telles que :

• Les journaux d'événements Windows (Windows Event Logs) et les entrées Syslog Linux.
• Les captures de trafic réseau (PCAP) et les données de flux (flows).
• Les journaux spécifiques aux applications provenant de serveurs web ou de bases de données.
• Les alertes d'orchestrateurs de sécurité qui manquent de métadonnées contextuelles approfondies.

De plus, l'analyse manuelle nécessite de relier des événements disparates à une chronologie d'intrusion unique. Cela exige une compréhension sémantique — savoir qu'un événement de « fichier créé » dans un journal et un événement de « processus démarré » dans un autre sont en réalité deux étapes d'une même technique de mouvement latéral. Sans automatisation, les enquêteurs forensiques peinent à atteindre la rapidité nécessaire pour atténuer une menace active avant que l'exfiltration de données ne se produise.

Comment fonctionne l'analyse automatisée des journaux avec les grands modèles de langage ?

L'analyse automatisée des journaux exploitant les grands modèles de langage fonctionne en traitant les journaux système comme un langage naturel, permettant à l'IA d'interpréter le « sens » des événements système plutôt que de simplement faire correspondre des signatures prédéfinies. En utilisant l'ensemble de données CAM-LDS, ces modèles apprennent à extraire les manifestations pertinentes et à fournir des explications causales pour les alertes de sécurité. Cette approche permet la détection de nouvelles variantes d'attaques que les systèmes traditionnels basés sur des règles pourraient manquer, car le LLM comprend la logique sous-jacente de la technique d'attaque.

L'automatisation conventionnelle repose souvent sur des analyseurs de journaux (parsers) conçus manuellement et des règles de détection définies par des experts. Ces systèmes sont intrinsèquement fragiles ; un léger changement dans une version de logiciel ou un format de journal peut rendre une règle de détection inutile. En revanche, les grands modèles de langage fournissent une couche d'intelligence agnostique au domaine. Ils ne nécessitent pas d'ingénierie manuelle de caractéristiques (feature engineering) car ils peuvent ingérer du texte brut ou semi-structuré et utiliser leurs poids linguistiques internes pour identifier les anomalies et les intentions malveillantes à travers 13 tactiques distinctes du MITRE ATT&CK.

L'efficacité de cette approche a été démontrée dans une étude de cas menée par Landauer, Hotwagner et Boenke. En appliquant un LLM aux données CAM-LDS, les chercheurs ont constaté que :

• Les techniques d'attaque correctes ont été prédites parfaitement pour environ 33 % des étapes d'attaque.
• Les prédictions étaient « adéquatement » précises pour 33 % supplémentaires, identifiant la catégorie générale de la menace.
• Le modèle a souligné avec succès l'observabilité des commandes, montrant quels journaux étaient les plus utiles pour la reconstruction forensique.

L'avantage sémantique et l'avenir de l'IA dans la défense

Le principal avantage de l'intégration des grands modèles de langage dans le SOC (Security Operations Center) est la capacité à fournir des explications causales. Les outils de sécurité traditionnels peuvent alerter un analyste qu'une adresse IP spécifique est suspecte, mais un système propulsé par LLM peut expliquer *pourquoi* cette IP est dangereuse en corrélant son activité avec des manifestations spécifiques dans les journaux système. Cela réduit la charge cognitive des analystes et permet une prise de décision rapide et éclairée lors de la réponse à un incident.

Pour l'avenir, les chercheurs soulignent que le CAM-LDS sert de ressource fondamentale pour mettre à l'échelle les capacités de défense. À mesure que les cyberattaques deviennent plus sophistiquées et multi-étapes, les systèmes de défense doivent être capables de suivre le « fil » d'une attaque à travers un océan de bruit numérique. L'avenir de l'informatique légale réside dans cette synergie entre des ensembles de données de haute qualité et les capacités de raisonnement de l'IA générative, orientant l'industrie vers un avenir où les systèmes de détection d'intrusion ne sont plus seulement réactifs, mais interprétatifs.

La suite de ces recherches implique l'extension de l'ensemble de données CAM-LDS pour inclure des environnements encore plus diversifiés, tels que les architectures cloud-natives et les écosystèmes IoT. En fournissant un banc d'essai reproductible et open-source, Landauer et ses collègues ont invité la communauté mondiale de la cybersécurité à perfectionner davantage ces grands modèles de langage. L'objectif est d'atteindre un niveau d'automatisation où l'IA peut non seulement détecter et interpréter une attaque, mais aussi recommander des étapes de remédiation précises en temps réel, neutralisant efficacement les menaces dès qu'elles se manifestent dans les journaux.