04. Automatisation & IA
AIOps : moins d’alertes, et les bonnes
Comment on passe de milliers d’alertes quotidiennes ignorées à une détection exploitable, et ce que l’automatisation ne doit jamais décider seule.
L’essentiel
- Le problème d’une infrastructure critique n’est pas le manque d’alertes : c’est leur nombre.
- Une alerte que personne ne traite est pire qu’une absence d’alerte : elle donne l’illusion de la surveillance.
- Les seuils appris sur le comportement réel remplacent avantageusement les seuils fixés à la main.
- Toute remédiation automatique s’exerce dans un périmètre validé, et chaque action est journalisée.
Ajouter un outil de supervision ne règle rien
Vos incidents vous sont signalés par les utilisateurs avant de l’être par la supervision, alors que vous payez déjà pour des outils qui alertent. Le problème n’est pas le manque d’alertes mais leur nombre : au-delà d’un certain volume, les équipes filtrent mentalement et tout se noie.
Un outil supplémentaire produit des alertes supplémentaires, sur les mêmes événements vus sous un autre angle. Le travail consiste donc à réduire, pas à ajouter : corréler les événements qui décrivent la même cause, supprimer ceux qui ne déclenchent aucune action, et faire remonter ce qui a une conséquence pour un service rendu.
Le test est simple et impitoyable : si une alerte ne déclenche jamais d’action, elle ne doit pas exister.
Le rapport signal sur bruit se gagne par la corrélation
On regroupe les événements qui décrivent un même incident, on remplace les seuils fixés à la main par des seuils appris sur le comportement réel, et on supervise des services rendus plutôt que des équipements.
- La corrélation. Un lien qui tombe produit des dizaines d’événements sur autant d’équipements. Ils décrivent un seul incident et doivent remonter comme tel.
- Les seuils appris. Un seuil fixé à la main est arbitraire : la même charge est normale sur un lien et anormale sur un autre. Un seuil appris sur plusieurs semaines tient compte des cycles d’activité.
- La supervision par service. « Le lien vers le site B est saturé » n’appelle aucune décision de direction. « L’application de facturation est inutilisable depuis le site B » en appelle une.
- La suppression. L’étape la moins pratiquée et la plus rentable. Toute alerte qui n’a déclenché aucune action depuis des mois se supprime, ou se transforme en indicateur.
L’automatisation s’exerce dans un périmètre écrit à l’avance
Une remédiation automatique s’exerce dans un périmètre écrit, quelles actions, sur quels équipements, dans quelles conditions, et chaque exécution est journalisée avec son déclencheur, sa règle et son résultat. Toute action hors périmètre exige une validation humaine.
Cette contrainte n’est pas un excès de prudence, c’est une exigence d’auditabilité : il faut pouvoir expliquer après coup pourquoi une action a eu lieu, et démontrer qu’elle relevait d’un cadre décidé.
Elle protège aussi de l’effet le plus coûteux d’une automatisation mal bornée, l’action corrective qui aggrave l’incident. Redémarrer un service, isoler un équipement ou bloquer un flux sont des gestes utiles, et destructeurs s’ils s’appliquent au mauvais moment. Nous commençons donc par les remédiations réversibles et à faible portée.
Ces analyses ne consomment que des données d’infrastructure
Télémétrie, journaux d’équipements, flux réseau, états de configuration : rien d’autre n’y entre. Aucune donnée personnelle n’y entre sans encadrement contractuel explicite et sans évaluation préalable des facteurs relatifs à la vie privée.
La distinction compte, parce que les journaux d’une infrastructure contiennent parfois des identifiants d’utilisateurs, des adresses ou des noms de fichiers. Les traiter comme de simples données techniques serait une erreur de qualification.
Nous établissons donc, avant tout déploiement, ce qui est collecté, pour quelle finalité et pendant combien de temps. La question de l’endroit où ces traitements s’exécutent se pose dans les mêmes termes : c’est l’objet de notre approche d’IA souveraine.
Ce que nous observons sur le terrain
Ce que révèle le premier mois de mesure
Sur les infrastructures que nous instrumentons, le premier mois produit régulièrement un constat inattendu : une part des alertes existantes ne correspond à aucune action possible. Certaines signalent un état normal pour cette infrastructure, d’autres proviennent d’équipements retirés du service mais restés déclarés, d’autres encore dupliquent une alerte voisine.
Le second constat porte sur les incidents réels : beaucoup étaient détectables dans les données déjà collectées, mais noyés. L’information était là, personne ne pouvait la voir. Tendances observées dans nos mandats, pas statistique.
Questions fréquentes
L’IA remplace-t-elle l’analyse humaine ?
Non. Elle réduit le volume à examiner en isolant, parmi un très grand nombre d’événements, ceux qui méritent un regard. La qualification, la décision et la réponse restent humaines et documentées, ce qui est aussi une exigence d’auditabilité dans les secteurs réglementés. Ce qui change, c’est le temps disponible pour l’analyse.
Comment garantissez-vous l’auditabilité des décisions automatisées ?
Chaque action automatisée est journalisée avec son déclencheur, la règle appliquée et son résultat. Le périmètre des remédiations autorisées est écrit et validé avec vous avant activation, et toute action en dehors de ce périmètre exige une validation humaine. Ce cadre se relit et se modifie : il n’est pas figé au déploiement.
Faut-il remplacer notre supervision existante ?
Rarement. La plupart des outils en place collectent déjà bien plus de données qu’ils n’en exploitent. Le travail porte d’abord sur la corrélation, la suppression des alertes inutiles et le changement d’unité d’observation, trois chantiers qui ne nécessitent aucun nouvel outil.
Combien de temps avant que les seuils appris soient fiables ?
Il faut couvrir les cycles d’activité réels de l’organisation, ce qui varie selon les métiers : une clôture mensuelle, une saison, un pic de production. Nous ne fixons pas de durée à l’avance. Pendant cette période, les seuils manuels restent en place : l’apprentissage s’observe avant de remplacer quoi que ce soit.
Ce niveau de supervision a-t-il un sens pour une PME ?
Le principe oui, l’outillage non. Une PME n’a pas des milliers d’alertes quotidiennes, elle a le problème inverse : rien ne remonte du tout. Le travail consiste alors à instrumenter l’essentiel, sauvegardes, accès, disponibilité des services critiques, plutôt qu’à filtrer un flux existant.
Savoir ce que votre supervision montre réellement
Un premier échange permet d’établir ce qui remonte aujourd’hui, ce qui est ignoré, et ce qui n’est pas mesuré du tout.
Sources
- Centre canadien pour la cybersécurité · orientations sur la journalisation et la détection
- CIS Critical Security Controls · contrôles relatifs à la gestion des journaux d’audit
- Commission d’accès à l’information du Québec · encadrement des traitements comportant des renseignements personnels
Pour aller plus loin
Réseau & connectivité
La supervision se déploie sur une architecture qu’on maîtrise.
IA souveraine
Où s’exécutent les traitements, et sous quel droit.
SIRIS
La surveillance appliquée à l’échelle d’une PME.
Votre infrastructure est-elle prête pour la prochaine menace ?
Un appel de découverte, sans engagement, pour comprendre votre réalité avant de recommander quoi que ce soit.