Évaluation systématique de l'alerte basée sur le risque (RBA)

Source : Uetz, R., Bönninghausen, P., Hackländer-Jansen, L., & Henze, M. (2026). Can risk-based alerting mitigate cybersecurity alert fatigue? arXiv.

Sommaire : La fatigue des alertes dans les SOC exige de remplacer le triage binaire par une priorisation continue basée sur le risque (RBA). Une évaluation systématique via le framework CATS démontre qu'un pipeline RBA optimisé surpasse nettement la priorisation classique par sévérité, faisant passer l'AUROC de 0,72 à 0,92. La performance repose sur la combinaison des modules de variété (diversité des règles) et d'accumulation spatio-temporelle, tandis que la rareté et l'apériodicité s'avèrent peu fiables. Outre son efficacité de détection dans les environnements saturés, le RBA offre une exécution rapide (413 alertes/s), une explicabilité totale pour les analystes et une grande résilience face aux tactiques d'évasion.

1. Introduction : Le triage comme problème de priorisation continue

Dans l'écosystème actuel des Security Operations Centers (SOC), la fatigue des alertes n'est plus une simple nuisance opérationnelle, mais un risque systémique. L'imprécision inhérente aux règles de détection, couplée au faible taux de base des attaques réelles, sature les capacités d'analyse humaine. Traditionnellement, ce triage est traité comme un problème de décision binaire (déclenchement ou non d'une alerte selon un seuil fixe), ce qui s'avère inefficace face à la volatilité des menaces modernes.

L'approche Risk-Based Alerting (RBA) propose un changement de paradigme : transformer le triage en un problème de priorisation continue. En s'appuyant sur des « risk rules » (pour le score individuel) et des « risk incident rules » (pour la corrélation), le RBA permet de classer dynamiquement les événements par score de risque. Ce document synthétise les résultats de la première évaluation systématique du RBA, démontrant comment cette méthode peut servir de fondation robuste à l'efficacité opérationnelle.

2. Évaluation critique des 5 hypothèses de risque

L'architecture RBA repose sur cinq hypothèses fondamentales destinées à discriminer l'activité malveillante du bruit de fond. Cependant, notre analyse quantitative révèle une disparité significative dans la validité de ces hypothèses :

1. Niveau de règle (Rule Level) : Corrélation entre la sévérité initiale définie par l'auteur de la règle et le risque. Bien qu'utilisé comme standard industriel, ses performances sont médiocres et instables (μ = 0,72, σ = 0,21).
2. Accumulation spatio-temporelle : Postule qu'un volume élevé d'alertes sur une entité (hôte/utilisateur) dans une fenêtre courte (ex: 1 minute) indique une attaque. C'est l'un des prédicteurs les plus fiables pour les phases d'intrusion brute.
3. Variété (Variety) : Mesure la diversité des règles déclenchées sur une fenêtre de temps (1h à 1j). Cette hypothèse est la plus performante, car elle capture la nature multi-étapes des cyberattaques.
4. Rareté (Rarity) : Identifie les alertes atypiques par rapport à l'historique. Note critique : Les tests montrent que cette hypothèse peut être trompeuse. Dans certains scénarios de rafales d'attaques, elle a produit une priorisation inversée (AUROC < 0,50), les alertes d'attaque devenant localement « fréquentes ».
5. Apériodicité (Aperiodicity) : Distingue les tâches automatisées périodiques des activités humaines irrégulières. À l'instar de la rareté, ce module n'a pas dépassé de manière significative le niveau du hasard et s'avère fragile face aux attaques automatisées modernes.

3. Méthodologie et robustesse : La suite CATS

L'évaluation a été réalisée via la suite CATS (Cybersecurity Alert Triage Exploration and Evaluation System), un framework permettant de modéliser des pipelines de risque modulaires. Un pipeline combine plusieurs modules via des opérateurs (moyenne pondérée ou géométrique).

Pour garantir la validité statistique, l'étude a utilisé huit jeux de données hétérogènes (DEDALE, ERPCorp, AIT-ADS, SOCBED, APT29S2). Cette diversité permet de tester le système dans des conditions extrêmes, notamment sur le jeu AIT-ADS Suricata, caractérisé par un taux de base de 1 % (le syndrome de « l'aiguille dans la botte de foin »).

4. Analyse des performances : Au-delà du standard industriel

Les résultats démontrent qu'une combinaison optimisée surpasse largement la priorisation par sévérité (Rule Level). L'utilisation de l'AUROC (Area Under the ROC Curve) permet d'évaluer la qualité du classement indépendamment des ressources spécifiques du SOC.

L'optimisation des fenêtres temporelles est cruciale : l'accumulation est maximale sur 1 minute, tandis que la variété atteint son apogée sur des fenêtres de 1 heure à 1 jour, capturant ainsi la progression latérale de l'adversaire.

5. Métriques avancées et calibration du risque

Outre l'AUROC, la précision absolue des scores est mesurée par l'Inverse Balanced Brier Score (IBBS) :

IBBS = 1 - ½ × (MSET + MSEF)

(Où MSET et MSEF sont les erreurs quadratiques moyennes pour les alertes vraies et fausses).

Il est impératif de noter que pour l'IBBS, le niveau « sans compétence » (no-skill) se situe à 0,75, et non à 0,50. Cela rend cette métrique extrêmement exigeante pour valider la calibration d'un pipeline. Dans le scénario complexe d'AIT-ADS Suricata, le pipeline optimisé a identifié la quasi-totalité des vraies alertes dès les premiers 10 % du flux examiné, prouvant sa capacité à isoler les menaces dans des environnements à très faible taux de base.

6. Considérations opérationnelles et limites

D'un point de vue de chercheur senior, le RBA offre trois avantages stratégiques :

• Efficience Computationnelle : Le pipeline atteint un débit moyen de 413 alertes par seconde sur matériel standard. Cette charge est négligeable comparée aux infrastructures requises pour des modèles de langage (LLM).
• Explainability (Explicabilité) : Contrairement aux modèles ML « black box », le RBA est totalement transparent. L'affichage des scores par module permet à l'analyste de comprendre la logique de priorisation, condition sine qua non de la confiance envers l'outil.
• Résilience face à l'évasion : Les adversaires peuvent tenter une Évasion Temporelle (attaques « low and slow » pour contourner les fenêtres d'accumulation) ou un Mimétisme de Motif (simuler une périodicité). Toutefois, la corrélation multi-règles (Module Variety) rend ces manœuvres complexes et coûteuses pour l'attaquant.

7. Conclusion et recommandations stratégiques

L'évaluation systématique confirme que le Risk-Based Alerting constitue une solution pragmatique et hautement performante pour réduire la fatigue des alertes.

Recommandations :

1. Baseline de référence : Le RBA doit être adopté comme baseline obligatoire avant tout investissement dans des méthodes plus complexes ou coûteuses (LLM, Deep Learning).
2. Transparence : Intégrez l'affichage détaillé des scores par module dans l'interface de triage pour favoriser l'adoption par les analystes.
3. Hygiène des données : Priorisez les modules « Variety » et « Accumulation », tout en restant critique sur les modules « Rarity » et « Aperiodicity », qui nécessitent des fenêtres historiques longues pour être fiables.

En conclusion, le RBA permet d'optimiser l'efficacité du SOC de manière substantielle sans investissement massif en infrastructure, tout en offrant une base de détection explicable et robuste.