PyGraphistry : l'analyse de graphes pour détecter les menaces dans les données d'entreprise

Des chercheurs ont publié un workflow complet reposant sur PyGraphistry, un outil open source d'analyse de graphes, pour détecter des anomalies et enquêter sur des incidents dans les données d'accès d'entreprise. Le pipeline s'exécute directement dans Colab et ne nécessite pas d'infrastructure complexe.

D'où viennent les données

Le workflow repose sur un jeu de données synthétique qui imite un environnement d'entreprise réel. Il comprend cinq entités : utilisateurs, appareils, adresses IP, services et rôles, avec en plus des géolocalisations annotées. Le graphe est construit à partir de ces données : utilisateur → appareil → IP → service forment une chaîne de nœuds et d'arêtes.

Ce jeu synthétique permet de rôder le pipeline sans recourir à de vraies données d'entreprise. Sa structure est volontairement proche de celle des systèmes SIEM d'entreprise et des journaux Active Directory.

Ce qui arrive au graphe

Une fois la structure de base construite, le graphe est enrichi de plusieurs couches d'analyse :

• Scores de risque — une note numérique de dangerosité pour chaque nœud, fondée sur ses propriétés et ses liens
• Métriques de centralité — PageRank, betweenness centrality et autres indicateurs du poids d'un nœud dans le réseau
• Détection de communautés — un algorithme regroupe automatiquement les nœuds en clusters
• Isolation Forest — algorithme de ML pour repérer les nœuds anormaux : ceux qui sont les plus difficiles à isoler dans un arbre aléatoire reçoivent un score d'anomalie élevé
• Disposition UMAP — réduction de dimensionnalité non linéaire qui place les objets similaires à proximité les uns des autres de façon compacte

Chaque couche ajoute un attribut aux nœuds et aux arêtes et apparaît dans la visualisation interactive sous forme de couleur, de taille ou d'infobulle.

Trois modes de visualisation

PyGraphistry, avec PyVis, crée trois vues d'un même graphe. Le graphe complet montre tout le réseau de relations entre appareils, utilisateurs, services et adresses IP, et sert à la vue d'ensemble initiale. L'analyste voit tout de suite quels nœuds forment des clusters denses et lesquels restent à l'écart.

L'ego-graphe se concentre sur un nœud précis et son voisinage immédiat. C'est le mode clé de l'enquête : quand les soupçons se portent sur un utilisateur ou une adresse IP, l'ego-graphe affiche toutes les connexions directes et indirectes de l'objet, sans bruit superflu.

La vue à haut risque ne filtre que les nœuds au score de dangerosité élevé, ceux pour lesquels Isolation Forest a relevé un écart par rapport à la norme. L'espace d'investigation est ainsi réduit de plusieurs dizaines de fois : au lieu de milliers d'objets, l'analyste en traite quelques dizaines.

Pourquoi l'approche par graphes compte pour la sécurité

L'analyse SIEM traditionnelle travaille sur des tables d'événements à plat : ligne après ligne, événement après événement. Les attaques complexes en plusieurs étapes sont alors difficiles à repérer, car chaque événement pris isolément semble anodin.

Le graphe renverse la logique : au lieu d'une séquence temporelle, l'analyste voit la structure du réseau. Le chemin de l'attaque, une chaîne de nœuds aux liens anormaux, devient visible. Associée à Isolation Forest, l'anomalie apparaît non seulement comme une valeur aberrante numérique, mais aussi comme un nœud visuellement isolé ou excessivement connecté.

Ce que cela signifie

L'analyse de graphes pour la cybersécurité est longtemps restée l'apanage de plateformes commerciales coûteuses. Un workflow ouvert sur PyGraphistry abaisse le seuil d'entrée : les petites équipes de sécurité obtiennent un outil prêt à l'emploi, adaptable à de vrais journaux Active Directory ou CloudTrail.