Le pare-feu IA est une couche de sécurité intégrée à Hermetry. Il collecte les signaux de sécurité de chaque partie de la plateforme (connexions, clés d’API, membres, appareils, modifications de paramètres et plus encore), évalue ce que fait chaque acteur, regroupe les activités suspectes en incidents et explique chacun d’eux. Cette page décrit ce que vous voyez et ce que vous pouvez configurer.
Vous avez besoin du rôle Admin. Les pages sont AI firewall (adresse /admin/ai-firewall), Incidents de sécurité (adresse /admin/ai-firewall/incidents) et Paramètres > AI firewall (adresse /admin/settings/ai-firewall).
Ce qui est surveillé
Le pare-feu écoute les signaux que les modules enregistrent, par exemple : connexions échouées ou inhabituelles, verrouillages de comptes, autorisations refusées, échecs et anomalies des clés d’API, changements d’adhésion et de rôle, modifications de paramètres, changements d’identifiants d’appareils, connexions d’appareils refusées et leurres touchés. Chaque signal a une gravité et un poids initial. Signaux sur la page AI firewall répertorie chaque type produit par votre organisation, avec sa gravité, les types d’acteurs concernés et les données personnelles que portent ses attributs.
Les détecteurs et les règles évaluent chaque acteur (une personne, une clé d’API, un appareil, une adresse) par rapport à son propre comportement habituel. Lorsque le score est suffisamment élevé, un incident s’ouvre.
Incidents de sécurité
Ouvrez Incidents de sécurité : « Ce que le pare-feu IA a remarqué, acteur par acteur. Il se contente d’observer : rien n’est traité tant qu’une personne n’a pas décidé. »
Chaque ligne correspond à l’incident d’un acteur, avec sa gravité, son statut, ses détecteurs, son type d’acteur et sa dernière activité. Filtrez par statut, gravité, détecteur, acteur et trafic ; recherchez ; choisissez les colonnes.
| Gravité | Score maximal |
|---|---|
| Faible | inférieur à 40 |
| Moyenne | de 40 à 59 |
| Élevée | de 60 à 79 |
| Critique | 80 et plus |
La gravité est celle du score maximal et ne baisse jamais tant que l’incident est actif.
Ouvrez une ligne pour voir :
- Pourquoi il a été signalé : les détecteurs qui se sont vérifiés, avec leur description, leur force et leurs preuves, ainsi que les contributions les plus importantes, sous forme de phrases simples avec leurs points.
- La chronologie du score.
- Les événements de l’acteur. Historique de l’acteur affiche les autres incidents de l’acteur et ses événements des 7 derniers jours (avec les adresses, pour les membres autorisés à lire les événements de sécurité).
Traiter un incident
| Action | Effet |
|---|---|
| Accuser réception | Vous vous en occupez. Si la gravité augmente ensuite, il se rouvre. |
| Résoudre | « L’incident se ferme et son alerte est résolue. Une détection ultérieure du même acteur ouvre un nouvel incident ; vous pouvez rouvrir celui-ci depuis sa ligne. » |
| Fausse alerte | Le ferme et indique au pare-feu que ce schéma était inoffensif ici. |
| Rouvrir | Rouvre un incident clos. |
« Était-ce une vraie attaque ? » Votre verdict sert d’exemple dont le pare-feu tire des enseignements et qu’il utilise pour ajuster ses seuils pour votre organisation. Un incident qui reste calme pendant un jour, ou qui a plus de 7 jours, se ferme avec la mention « Inactif ».
Chaque changement de statut est consigné dans le journal d’audit (ai_firewall.incident_status_changed).
Leurres
Hermetry place des leurres dans chaque organisation : une fausse clé d’API, de faux identifiants de membre et d’enregistrement de clé, et d’anciens chemins d’administration plausibles. Personne de légitime ne les utilise, et ils n’apparaissent dans aucune liste, aucun compteur ni aucun export. Toucher l’un d’eux répond exactement comme un élément absent et déclenche un signal critique concernant l’appelant. Leurres sur la page AI firewall les répertorie.
Actions et modes
La page AI firewall répertorie les Actions que le pare-feu pourrait entreprendre, comme mettre fin à une session, suspendre une adhésion ou désactiver une clé d’API. « Chaque action se contente d’observer tant que vous ne décidez pas autrement. » Pour chaque action, vous choisissez un mode :
| Mode | Signification |
|---|---|
| Observer | Enregistre ce que l’action aurait fait. Le mode par défaut de chaque action. |
| Suggérer | Chaque exécution attend qu’une personne l’approuve. |
| Auto | S’exécute seule, dans les limites de son délai et de son budget horaire, et peut être annulée. Chaque passage en Auto demande une confirmation. |
Règles toujours appliquées :
- Une action qui ne peut pas être annulée ne s’exécute jamais en mode Auto : « Une personne approuve chaque exécution de cette action ; elle ne peut pas s’exécuter seule. »
- Les actions sur les appareils commencent en Suggérer. La révocation des identifiants d’un appareil, la fin de sa connexion et la révocation de son certificat sont réservées au mode Suggérer. La désactivation d’un appareil (elle peut être annulée) ne s’exécute seule que si vous la réglez sur Auto.
- Certaines actions concernent l’ensemble du compte (verrouiller un compte, bannir une adresse, oublier les appareils de confiance, imposer un nouveau mot de passe). Leur mode est choisi par Hermetry pour toute la plateforme, et non par organisation.
En cours de développement : l’exécution des actions (la file d’approbation pour Suggérer, les exécutions automatiques, l’annulation et leurs notifications). Aujourd’hui, le pare-feu observe et enregistre les incidents ; le choix d’un mode prépare la manière dont il agira.
Paramètres
Paramètres > AI firewall (Paramètres du pare-feu IA : « Ce que le pare-feu peut faire seul, et combien de temps il conserve les événements de sécurité ») :
| Paramètre | Par défaut | Signification |
|---|---|---|
| Arrêter les actions du pare-feu dans cet espace de travail | Désactivé | « Lorsqu’il est activé, le pare-feu se contente d’observer ici : il ne propose rien et n’exécute rien seul. » Les événements de sécurité sont toujours enregistrés, et les verrouillages et bannissements habituels continuent de fonctionner. |
| Mode d’une action que vous n’avez pas configurée | Observer | Observer ou Suggérer. Les exécutions automatiques s’activent une action à la fois, jamais par défaut. |
| Conserver les événements de sécurité (jours) | 90 | De 7 à 365. « Les événements de sécurité stockés, les incidents clos et les actions terminées plus anciens que cela sont supprimés chaque nuit. » |
| Autoriser le pare-feu à bloquer les inscriptions depuis un réseau | Désactivé | Désactivé : la protection des inscriptions reste souple (vérification par e-mail, contrôle de sécurité, examen par un administrateur). Activé : le pare-feu peut aussi refuser les inscriptions depuis un réseau. |
Toute modification d’un mode ou d’un paramètre est auditée ; un passage en Auto est une ligne d’audit de gravité élevée.
Confidentialité
Le pare-feu traite les données de sécurité sur la base de l’intérêt légitime. Les compteurs et les références utilisent des empreintes à clé, et non des noms. Un incident conserve l’identifiant de l’acteur afin qu’une personne puisse agir. Les chronologies et explications d’incidents ne contiennent que des noms de fonctionnalités et des chiffres. Les adresses sont conservées avec les événements et supprimées à l’expiration de la durée de conservation. Lorsque les données d’une personne sont effacées, ses incidents perdent l’acteur et se ferment avec la mention « La personne a été effacée », et sa référence est supprimée. Les incidents font partie de l’export de l’organisation. Voir Confidentialité et effacement des données.