Deep Engine
Le Deep Engine est l’un des moteurs d’Intelligence Artificielle propriétaires développés par GLIMPS.
Il repose sur un modèle combiné qui exploite cinq moteurs d’IA, chacun spécialisé dans l’analyse d’une dimension différente d’un fichier binaire. Une méta-IA consolide ensuite leurs résultats pour produire un verdict unique à haute confiance.
Au cœur de cette architecture se trouve la conceptualisation de code, une approche scientifiquement reconnue fondée sur le Deep Learning. Contrairement aux méthodes de détection traditionnelles qui s’appuient sur les signatures ou les métadonnées des fichiers, cette technologie analyse directement le code binaire au niveau assembleur pour en extraire la sémantique fonctionnelle.
Comment fonctionne le Deep Engine ?
Le Deep Engine combine cinq moteurs d’Intelligence Artificielle qui analysent simultanément différentes dimensions d’un fichier binaire :
Le moteur de conceptualisation de code, fondé sur le Deep Learning, décompose le code exécutable pour en identifier les « concept-codes », c’est-à-dire les portions de code qui portent la logique fonctionnelle du programme. Deux modèles de Machine Learning spécialisés classifient les exécutables Windows et Linux en s’appuyant sur leurs métadonnées structurelles. Un modèle dédié analyse les chaînes de caractères et les tables d’imports/exports présentes dans le binaire. Enfin, un modèle custom de détection de séquences d’octets malveillantes, examine le contenu brut du fichier.
Une méta-IA consolide l’ensemble de ces analyses pour produire un verdict unique. Cette approche multi-angles réduit significativement le taux de faux positifs, puisqu’un fichier doit présenter des signaux convergents sur plusieurs dimensions pour être qualifié de malveillant.
Concrètement, un attaquant peut modifier la signature d’un malware en le recompilant différemment, en changeant ses métadonnées ou en appliquant des techniques d’obfuscation. En croisant cinq approches complémentaires, le Deep Engine maintient sa détection même lorsqu’une ou plusieurs de ces dimensions ont été altérées.
Le Deep Engine fonctionne en analyse statique, sans exécution du fichier, ce qui permet un temps d’analyse moyen de 3 secondes.
Quels types de menaces le Deep Engine détecte-t-il ?
Grâce à la corrélation de cinq angles d’analyse, le Deep Engine est conçu pour identifier des menaces que les approches par signatures ne couvrent pas : les variants de malwares connus, y compris lorsque le code a été modifié ou recompilé, ainsi que les menaces zero-day, c’est-à-dire des fichiers malveillants qui n’ont jamais été observés auparavant.
Les résultats du Deep Engine affichent les capacités estimées des fonctions corrélées dans le fichier analysé.
Cette visibilité accélère les investigations des analystes et facilite le travail de rétro-ingénierie des équipes CSIRT, en offrant une compréhension immédiate de ce que le malware est conçu pour faire.
Lorsqu’un malware est détecté, le Deep Engine peut également générer automatiquement une règle YARA correspondante. Cette règle est ensuite exploitable pour effectuer du retrohunt (recherche dans l’historique de soumissions) ou pour être exportée vers les outils de sécurité tiers du client (EDR, SIEM, NDR).
Avec la génération de règle YARA, le Deep Engine permet d’accélèrer le reverse engineering en mettant en évidence les « Top fonctions » malveillantes du binaire et en donnant leur adresse virtuelle afin de les retrouver dans IDA/Ghidra. Cela permet à un ingénieur de ne pas passer 1 à 1 dans 200 fonctions mais seulement une sélection de quelques unes, avec une réelle plus-value.
Dans quelles solutions GLIMPS retrouve-t’on le Deep Engine ?
Le Deep Engine intervient dans chaque analyse de fichier réalisée par les produits GLIMPS Malware, quel que soit l’environnement protégé : sécurité réseau, applications métiers, postes de travail, pipelines CI/CD, espaces collaboratifs, messagerie.
Le modèle combiné avec ses cinq moteurs d’IA et sa méta-IA de consolidation est exploité dans GLIMPS Malware Expert, la console d’investigation destinée aux SOC et CSIRT, où il offre également une interface dédiée à l’explicabilité des verdicts rendus par les modèles d’IA. GLIMPS Fortress, la plateforme d’analyse massive et de constitution de Data Lake sécurisé, bénéficie elle aussi de l’ensemble des modèles du Deep Engine.