L’algorithme d’apprentissage et de diagnostic d’Akheros est déployé sur chaque nœud du réseau. Cette défense autonome et décentralisée évite qu’une prise de contrôle centralisée soit opérée avec des privilèges excessifs, et permet de rapidement isoler des pans de réseaux en cas d’attaque.

Cette technique permet de créer un système résilient capable d’identifier de façon autonome, sans apprentissage externe, et si nécessaire, sans aucune connexion réseau viable, les points critiques de sa propre vulnérabilité comportementale, en son sein, ou au cœur des réseaux qui l’avoisine. Les alertes de vulnérabilité sont instantanées, et la connaissance comportementale est capitalisée en chaque point. Cela permet des interventions beaucoup plus rapides, et de « ne plus jamais partir d’une page blanche ». Akheros, à partir du point de réseau détecté, peut retracer l’origine de l’attaque en identifiant les machines qui ont interagi de façon incongrue avec la machine cible (traçabilité).

L’apprentissage se porte uniquement sur les composants de réseaux et les interactions machine-à-machine. Akheros n’enregistre pas les données personnelles des utilisateurs, pas plus qu’il n’enregistre et surveille les comportements humains. Plus qu’un principe éthique — auquel nous tenons –, l’accumulation de données sur les utilisateurs est une source de vulnérabilités supplémentaires car elle concentre en des points contrôlés par des volontés humaines des privilèges d’accès pouvant être dévoyés par des attaques avancées. Nous préférons faire abstraction du privilège de l’attaquant, et nous concentrer uniquement sur l’intelligence comportementale du réseau, des attaques et de sa « vie interne ». Ceci est particulièrement important dans la détection de compromission de réseaux, qui est généralement perpétrée une fois que l’attaquant a obtenu des privilèges administrateurs ou a usurpé une identité. Comme Akheros mesure l’incongruité relative des comportements (et non pas nominale ou normative), elle n’est pas sensible aux techniques de noyade des attaques. Un comportement incongru sera détecté pour sa valeur intrinsèque (sa distorsion vis-à-vis du comportement prévisible), et non pas pour sa valeur statistique (outlier ou fréquence). Cela permet à Akheros d’être particulièrement efficace dans la détection des attaques marginales ou de signaux faibles.