ARDASSISTÉ PAR IA/MLCONFIANCE INDÉPENDANTE DES COMPTES
Dockfield ARD
Détecter les comportements anormaux.
Protéger la décision de reprise.
ARD est la couche intelligente de détection et de preuves de Dockfield pour une reprise tenant compte des rançongiciels. Elle observe les comportements dans le temps, compare des signaux d’anomalie indépendants, calibre la confiance et fournit des preuves explicables à une politique de reprise déterministe.
ObserverSignaux AWS et de reprise
→
DétecterAnomalies comportementales
→
CalibrerConfiance dans les preuves
→
DéciderPolitique et explicabilité
→
QuarantainePérimètre non fiable
→
RestaurerParcours validé
Architecture IA/ML de haut niveau
Des preuves indépendantes d’abord. De la complexité uniquement si sa valeur est mesurable.
Détection temporelle auto-superviséeModélise le contexte comportemental normal dans le temps et souligne les séquences qui ne correspondent plus au fonctionnement appris.
Détection statistique indépendanteLes écarts aux références, les pics et les changements constituent une seconde famille d’anomalies interprétable.
Caractéristiques multi-résolution optionnellesL’ondelette en chapeau mexicain et d’autres caractéristiques multi-échelles peuvent contribuer si la densité de télémétrie le justifie ; elles ne constituent pas une vérité universelle.
Pourquoi le chapeau mexicain ? Ce concept peut révéler un changement local par rapport à son contexte à différentes échelles. Dockfield utilise ce traitement du signal comme preuve complémentaire optionnelle, et non comme fondement de la classification des rançongiciels.
Fusion des preuves
Une anomalie ne déclenche pas à elle seule une reprise automatique.
COMPORTEMENTMotifs temporels et changements de séquence.
STATISTIQUESPreuves indépendantes d’écarts et de changements.
SÉCURITÉSignaux de l’environnement de sécurité, lorsqu’ils sont disponibles et fiables.
RécupérationIntégrité, provenance et fiabilité des points de reprise candidats.
Preuves calibréesLes signaux d’échelles différentes sont normalisés en une vue de confiance comparable, tout en conservant leur provenance.
→
Décision explicableLe système consigne les changements, les preuves utilisées et la politique déterministe autorisant l’action suivante.
→
Politique de sécurité déterministeLes actions finales de reprise sont soumises à une politique explicite et auditable, plutôt qu’au score d’un seul modèle.
Où se situe ARD
Sans supposer que le compte de sécurité survivra toujours.
Environnement de sécurité et de charges de travailUne source de preuves importante, mais jamais l’unique ancrage de confiance. Les comptes de sécurité peuvent eux-mêmes devenir suspects.
→
ARD / plan de décision de résilienceCorrèle des preuves indépendantes et vérifie en continu si le plan de contrôle actuel reste digne de confiance.
→
Périmètre de reprise isoléLa quarantaine, la validation et la reprise peuvent sortir du domaine de confiance affecté, y compris vers un nouveau compte ou une organisation indépendante.
Compte de sécurité affectéLes preuves de sécurité deviennent dégradées ou non fiables ; des preuves indépendantes restent accessibles au processus de décision de résilience.
Plusieurs comptes affectésLa sélection de reprise et la quarantaine s’orientent vers un périmètre de reprise isolé.
Organisation existante non fiableUne reprise dans un nouveau compte ou une organisation indépendante peut être choisie lorsque l’autorité de reprise et les preuves protégées restent disponibles.
Aucune dépendance à un seul compte. ARD sépare les comptes de charges de travail, de sécurité et de reprise en domaines de confiance distincts. En cas de compromission grave, l’environnement AWS existant peut être traité comme une source de preuves à examiner, plutôt que comme l’autorité approuvant sa propre reprise.
ARD + Intelligent Recovery
La détection est utile uniquement si elle améliore la décision de reprise.
Dockfield relie directement les preuves d’anomalie à la quarantaine, à la validation et aux modèles de reprise isolée, tout en conservant une politique de sécurité finale explicite.