Sophos propose une nouvelle méthode pour classer les commandes avec moins de faux positifs
Selon Sophos (news.sophos.com), présenté à Black Hat USA ’25, des chercheurs dévoilent une approche de classification de sécurité des lignes de commande qui repense la place de la détection d’anomalies afin de réduire les faux positifs sans dégrader les capacités de détection. L’idée clé consiste à ne plus utiliser la détection d’anomalies pour identifier directement le malveillant, mais à s’en servir pour découvrir une grande diversité de comportements bénins. Ces comportements sont ensuite étiquetés automatiquement (benin/malveillant) par un LLM afin d’augmenter les données d’entraînement. Résultat: l’apprentissage supervisé s’en trouve nettement amélioré, avec des gains d’AUC jusqu’à 27,97 points sur de la télémétrie de production portant sur 50 millions de commandes quotidiennes, tout en réduisant les faux positifs et en maintenant la détection. 📈 ...