Fortinet étend FortiAI pour accélérer l’analyse des alertes de cybersécurité

Les équipes de cybersécurité font face à une difficulté très concrète : elles doivent trier, comprendre et traiter un flux important d’alertes, sans perdre de temps lorsqu’une menace sérieuse se présente. Le 7 novembre 2024, Fortinet annonce deux nouvelles intégrations de son assistant d’IA générative FortiAI. Elles concernent la détection de menaces dans le cloud et la protection des environnements applicatifs cloud natifs.

L’annonce ne consiste pas à confier la sécurité d’une entreprise à un agent autonome. Fortinet présente plutôt FortiAI comme une couche d’assistance destinée aux analystes : l’outil doit les aider à rechercher des informations, à interpréter le niveau de risque d’une alerte et à préparer les étapes de réponse. Dans un centre opérationnel de sécurité, ou SOC, cette promesse répond à un enjeu central : réserver le temps des spécialistes aux décisions qui exigent réellement leur jugement.

Deux intégrations pour deux moments de la réponse aux menaces

Les nouveautés annoncées par Fortinet visent deux produits aux rôles distincts. FortiAI pour FortiNDR Cloud s’adresse à la recherche de menaces, tandis que FortiAI pour Lacework FortiCNAPP vise l’analyse et le traitement des alertes dans les environnements cloud.

Le sigle NDR désigne la détection et la réponse au niveau du réseau. Dans ce contexte, l’objectif est d’identifier des comportements ou des activités susceptibles de signaler une menace. Le terme CNAPP, pour Cloud Native Application Protection Platform, renvoie quant à lui à une plateforme de protection des applications conçues et déployées dans le cloud. Ces deux domaines génèrent des données et des alertes qui peuvent être nombreuses, techniques et difficiles à prioriser.

Le point commun de ces intégrations est l’usage de requêtes en langage naturel. Plutôt que de maîtriser immédiatement la totalité des syntaxes, filtres et interfaces d’un outil de sécurité, un analyste peut formuler une demande et obtenir une réponse contextualisée par le produit. Cette simplicité apparente ne remplace toutefois pas l’analyse d’un professionnel : une alerte, une recommandation ou une procédure proposée doivent toujours être rapportées au contexte technique et métier de l’organisation.

Ce que FortiAI apporte à FortiNDR Cloud

Avec FortiAI pour FortiNDR Cloud, Fortinet entend faciliter le travail des chercheurs de menaces. L’intégration est conçue pour leur donner accès rapidement à des détections et à des observations correspondant à leurs requêtes spécifiques. Une telle fonction répond à une tâche fréquente dans un SOC : relier des signaux techniques dispersés à une question opérationnelle précise.

Fortinet indique que les analystes peuvent évaluer la couverture fournie par FortiNDR Cloud face à plusieurs éléments : les menaces émergentes, les tactiques employées par les attaquants et des vulnérabilités particulières. En pratique, l’intérêt consiste à éviter que l’analyste ne doive parcourir manuellement de multiples écrans ou résultats avant de déterminer ce que l’outil a observé et détecté sur un sujet donné.

Cette approche peut aussi aider à mieux répartir l’attention. Toutes les alertes ne présentent pas le même niveau d’urgence, et toutes les recherches ne débouchent pas sur un incident. Disposer plus vite des éléments pertinents permet théoriquement aux équipes de concentrer leur travail sur les menaces critiques et d’accélérer leur réaction lorsqu’une investigation doit être ouverte.

Fortinet met ainsi l’accent sur une rationalisation de la recherche de menaces. L’enjeu n’est pas seulement la vitesse. Il est aussi de permettre à des équipes confrontées à une forte complexité technique de poser des questions plus directement liées à leur mission : quelles détections concernent une vulnérabilité donnée ? Quelles observations correspondent à une tactique d’attaque ? Quelle visibilité l’outil offre-t-il sur un risque précis ?

Lacework FortiCNAPP : interpréter une alerte et préparer la remédiation

La deuxième intégration annoncée, FortiAI pour Lacework FortiCNAPP, cible plus directement le traitement des alertes par les équipes SOC. Fortinet explique que l’outil doit améliorer à la fois la rapidité et la précision avec lesquelles ces équipes interprètent les signaux remontés par la plateforme.

Lorsqu’une alerte concerne une compromission potentielle, une partie importante du travail consiste à comprendre ce qu’elle signifie : quel système est concerné, quel risque est envisagé, quels éléments doivent être vérifiés et quelle réponse est appropriée. FortiAI pour Lacework FortiCNAPP doit fournir des indications claires sur le risque des alertes, y compris dans de possibles scénarios de compromission.

L’intégration propose également des instructions pour l’investigation et la réponse aux problèmes. Fortinet met notamment en avant la possibilité, pour les équipes SOC, d’utiliser le langage naturel afin de clarifier les détails d’une alerte et d’accéder à des étapes de remédiation syntaxiquement correctes. Cette dernière précision est importante dans les environnements techniques : une instruction mal formulée ou inadaptée peut ralentir l’intervention, voire produire un résultat différent de celui attendu.

L’objectif affiché est donc de raccourcir le passage entre un signal initial et une action de réponse documentée. La responsabilité du choix de cette action reste cependant du côté des équipes de sécurité. Elles doivent notamment vérifier que la remédiation proposée correspond aux systèmes concernés, à leurs procédures internes et aux conséquences possibles sur les applications en production.

Pourquoi le langage naturel change le travail des analystes

La cybersécurité ne souffre pas seulement d’un manque d’outils. Elle se heurte souvent à la multiplication des consoles, des formats de journaux, des règles de détection et des procédures. Une IA générative intégrée à ces environnements cherche à réduire la friction entre une question posée par un analyste et les données déjà disponibles dans l’outil.

Dans cette logique, le langage naturel peut servir à trois étapes :

• Rechercher, en demandant des détections ou observations liées à une menace, une tactique ou une vulnérabilité.
• Comprendre, en obtenant une explication plus accessible du risque associé à une alerte ou d’un scénario de compromission potentiel.
• Agir, en consultant des étapes d’investigation et de remédiation structurées avant de les valider et de les appliquer.

La valeur de l’assistant dépend donc d’abord de la qualité des informations auxquelles il est relié et de la façon dont les analystes l’emploient. Dans une activité où les faux positifs, les configurations propres à chaque entreprise et les conséquences d’une intervention sont déterminants, l’IA générative doit être considérée comme une aide à la décision et à l’exécution, non comme une autorité infaillible.

Sept produits Fortinet intégrant l’IA générative

Ces deux ajouts s’inscrivent dans une stratégie plus large. John Maddison, Chief Marketing Officer de Fortinet, souligne que l’IA générative est, au moment de l’annonce, intégrée à sept produits du portefeuille de l’entreprise.

Outre FortiNDR Cloud et Lacework FortiCNAPP, Fortinet cite cinq intégrations existantes : FortiAI pour FortiAnalyzer, FortiManager, FortiSIEM, FortiSOAR et FortiDLP. Les noms de ces produits reflètent différentes tâches de sécurité, de l’analyse des informations et événements à l’orchestration des réponses, en passant par la prévention des pertes de données.

Le communiqué détaille plus précisément trois usages déjà proposés. Selon Fortinet, FortiAI pour FortiAnalyzer fournit une analyse des menaces en temps réel et une réponse automatisée. FortiAI pour FortiManager simplifie la configuration du réseau tout en automatisant la remédiation des vulnérabilités. FortiAI pour FortiSIEM apporte, de son côté, une intelligence contextuelle destinée à l’investigation des alertes de sécurité.

Cette présence dans plusieurs produits traduit une volonté de proposer une expérience plus cohérente à travers les différentes opérations de sécurité. Elle illustre aussi une tendance du secteur : plutôt que de limiter l’IA générative à un assistant généraliste isolé, les éditeurs cherchent à l’intégrer au plus près des interfaces, données et gestes quotidiens des équipes.

SASE et souveraineté : le cadre plus large de l’offre

Fortinet inscrit également ces développements dans une approche plus globale de ses solutions de sécurité, notamment autour du SASE, pour Secure Access Service Edge. Cette architecture associe des fonctions de réseau et de sécurité fournies depuis le cloud afin de sécuriser les accès des utilisateurs, des sites et des applications.

L’entreprise évoque aussi des options souveraines dans ses solutions SASE. La souveraineté répond à un besoin de contrôle accru des organisations sur leurs données et leurs opérations de sécurité. Pour certaines entreprises et administrations, la localisation, l’administration et les conditions d’accès aux données sont des critères aussi importants que les fonctions techniques elles-mêmes.

L’intégration de l’IA générative dans un portefeuille de cybersécurité soulève donc plusieurs questions concrètes : quelles données sont utilisées pour alimenter l’assistant, dans quel cadre sont-elles traitées, qui valide les recommandations produites et comment les organisations conservent-elles une traçabilité de leurs décisions ? L’annonce de Fortinet met surtout en avant le gain opérationnel, mais ces questions doivent faire partie du déploiement de tout assistant IA dans un SOC.

Ce qu’il faut surveiller dans les usages de FortiAI

À court terme, les organisations qui évaluent ces intégrations devront regarder au-delà de la seule qualité apparente des réponses formulées en langage naturel. Le bénéfice réel se mesurera dans la capacité à accélérer les recherches, à mieux qualifier les alertes et à proposer des étapes de réponse utiles dans les conditions de travail d’un SOC.

Il faudra aussi vérifier l’articulation avec les processus existants : droits d’accès, gestion des incidents, procédures de validation, journalisation et formation des analystes. Un assistant peut réduire le temps consacré à retrouver une information ou à reformuler une consigne, mais il ne dispense pas d’une gouvernance claire.

Pour Fortinet, l’annonce du 7 novembre 2024 marque une extension de l’IA générative à sept produits. Pour ses clients, l’enjeu sera de déterminer si cette intégration apporte une amélioration concrète de la détection et de la réponse aux incidents, tout en préservant le contrôle humain indispensable à toute opération de cybersécurité.