PyGraphistry : analyse de graphes pour la détection des menaces dans les données d’entreprise

Les chercheurs ont publié un flux de travail complet sur PyGraphistry — un outil d'analyse de graphes open-source — pour détecter les anomalies et enquêter sur les incidents dans les données d'accès d'entreprise. Le pipeline s'exécute directement dans Colab et ne nécessite pas d'infrastructure complexe.

D'où proviennent les données

Au cœur du flux de travail se trouve un ensemble de données synthétique qui imite un environnement d'entreprise réel. Il contient cinq entités: utilisateurs, appareils, adresses IP, services et rôles — marqués en outre avec la géolocalisation. À partir de ces données, un graphe est construit: utilisateur → appareil → IP → service forme une chaîne de nœuds et d'arêtes. L'ensemble synthétique permet au pipeline d'être testé sans utiliser de données d'entreprise réelles. Cependant, la structure est intentionnellement proche de ce que l'on trouve dans les systèmes SIEM d'entreprise et les journaux Active Directory.

Que se passe-t-il avec le graphe

Après la construction de la structure de base, le graphe est enrichi de plusieurs couches d'analyse:

• Scores de risque — évaluation numérique du danger pour chaque nœud en fonction de ses propriétés et connexions
• Métriques de centralité — PageRank, centralité d'intermédiarité et autres indicateurs du poids des nœuds dans le réseau
• Détection de communauté — l'algorithme regroupe automatiquement les nœuds en clusters
• Isolation Forest — algorithme d'apprentissage automatique pour détecter les nœuds anormaux: ceux qui sont les plus difficiles à isoler dans un arbre aléatoire obtiennent un score d'anomalie élevé
• Disposition UMAP — réduction de dimensionnalité non linéaire qui place de manière compacte des objets similaires à proximité

Chaque couche ajoute un attribut aux nœuds et arêtes et est visible dans la visualisation interactive en tant que couleur, taille ou infobulle.

Trois modes de visualisation

PyGraphistry avec PyVis crée trois vues du même graphe. Le graphe complet affiche l'intégralité du réseau d'interconnexions — appareils, utilisateurs, services et adresses IP — et est utilisé pour l'aperçu initial. L'analyste voit immédiatement quels nœuds forment des clusters denses et lesquels se distinguent.

Le graphe d'ego se concentre sur un nœud spécifique et son entourage immédiat. C'est le mode clé pour l'enquête: quand le soupçon tombe sur un utilisateur ou une adresse IP spécifique, le graphe d'ego affiche toutes les connexions directes et indirectes de l'objet sans bruit supplémentaire. La vue haut risque filtre uniquement les nœuds avec des scores de danger élevés — ceux où Isolation Forest a détecté un écart par rapport à la norme. Cela réduit l'espace d'enquête par des ordres de grandeur: au lieu de milliers d'objets, l'analyste travaille avec des dizaines.

Pourquoi l'approche graphique est importante pour la sécurité

L'analyse traditionnelle dans SIEM fonctionne avec des tableaux d'événements plats: ligne par ligne, événement par événement. Cela rend difficile la détection des attaques complexes multi-étapes car chaque événement individuel semble inoffensif. Le graphe inverse la logique: au lieu d'une séquence temporelle, l'analyste voit la structure du réseau. Un chemin d'attaque — une chaîne de nœuds avec des connexions anormales — devient visuellement évident. Combiné avec Isolation Forest, l'anomalie est visible non seulement comme un point aberrant numérique, mais comme un nœud visuellement isolé ou excessivement connecté sur le graphe.

Ce que cela signifie

L'analyse de graphes pour la cybersécurité est restée longtemps le domaine des plates-formes commerciales coûteuses. Un flux de travail ouvert sur PyGraphistry abaisse le seuil d'entrée: les petites équipes de sécurité obtiennent un outil prêt à l'emploi qui peut être adapté aux journaux Active Directory réels ou CloudTrail.