Le Cerveau de l'Analyste : L'Ennemi Caché de la Cybersécurité

Dans le monde de la réponse aux incidents, nous avons tendance à nous concentrer sur les outils : SIEM, EDR, Threat Intel. Pourtant, l'outil le plus critique — et souvent le plus défaillant — reste le cerveau humain. L'analyse de sécurité exige de transcender des informations incomplètes par l'exercice du jugement, mais notre esprit est mal équipé pour gérer l'incertitude.

Les 4 Cavaliers de l'Erreur Analytique

1. Le Biais de Confirmation

C'est l'erreur la plus dangereuse en analyse. Nous formulons une hypothèse initiale (« C'est un faux positif » ou « C'est juste un scan ») et ne cherchons ensuite que les preuves qui la confirment, tout en ignorant les informations contradictoires. Conséquence : la clôture prématurée des tickets et des intrusions manquées.

2. L'Effet d'Ancrage

L'ancrage est la tendance à se fier trop lourdement à la première information reçue. Si une alerte IDS arrive avec la description « Scan générique », l'analyste reste ancré sur cette idée. Même si des preuves ultérieures montrent un comportement ciblé, il aura du mal à changer son modèle mental pour voir l'attaque complexe en cours.

3. Le Satisficing

Combinaison de « satisfy » et « suffice », ce terme décrit la tendance à choisir la première réponse acceptable plutôt que la meilleure. Dans un SOC sous pression, on s'arrête à la première cause identifiée (« l'utilisateur a cliqué sur un lien ») sans chercher la cause racine profonde ni l'étendue réelle du compromis.

4. L'Heuristique de Disponibilité

Les analystes s'appuient sur leurs expériences passées ou ce qui est facilement remémorable pour juger une nouvelle situation. Un analyste expérimenté peut rater une nouvelle variante d'attaque parce qu'elle ressemble superficiellement à un incident bénin traité mille fois auparavant. Si nous n'avons qu'un marteau, tout ressemble à un clou.

La Contre-Mesure : L'Analyse des Hypothèses Concurrentes (ACH)

L'ACH, développée par Richards Heuer (ex-CIA), repose sur le principe de falsification de Karl Popper : on ne peut jamais prouver qu'une hypothèse est vraie, on ne peut que réfuter les fausses.

• Étape 1 : Identifier toutes les hypothèses possibles (Faux positif, Attaque opportuniste, APT, Erreur interne).
• Étape 2 : Lister toutes les preuves factuelles (logs, observations).
• Étape 3 : Créer une matrice hypothèses × preuves.
• Étape 4 : Évaluer la « diagnosticité ». Une preuve cohérente avec toutes les hypothèses n'a aucune valeur discriminante.
• Étape 5 : Réfuter plutôt que confirmer. L'hypothèse gagnante est celle avec le moins de preuves contre elle.

Étapes Concrètes pour Muscler votre Pensée Critique

• Analyse Pre-Mortem : Imaginez que votre analyse s'est révélée fausse. Demandez-vous : « Comment avons-nous échoué ? »
• Avocat du Diable : « Quelle preuve manque ? », « Ai-je ignoré une donnée contradictoire ? », « Une déception est-elle possible ? »
• Brainstorming d'alternatives : Générez systématiquement plusieurs explications au début de chaque investigation.
• Cherchez l'absence : « Si l'hypothèse X était vraie, que devrais-je voir que je ne vois pas ? »