Détection d'intrusion réseau par apprentissage machine : un problème temporel, déséquilibré et en constante évolution

Learning-Based Network Intrusion Detection : an Imbalanced, Constantly Evolving and Timely Problem

• Auteur / Autrice : Nicolas Sourbier
• Direction : Maxime Pelcat
• Type : Thèse de doctorat
• Discipline(s) : Signal, Image, Vision
• Date : Soutenance le 29/09/2022
• Etablissement(s) : Rennes, INSA
• Ecole(s) doctorale(s) : École doctorale Mathématiques et sciences et technologies de l'information et de la communication (Rennes)
• Partenaire(s) de recherche : Laboratoire : Institut d'Électronique et de Télécommunications (Rennes)
• Jury : Président / Présidente : Gilles Grimaud
• Jury : Examinateurs / Examinatrices : Maxime Pelcat, Gilles Grimaud, Isabelle Chrisment, Malcolm Heywood, Peggy Cellier, Gregory Blanc
• Jury : Rapporteur / Rapporteuse : Isabelle Chrisment, Malcolm Heywood

Mots clés

Mots clés contrôlés

Apprentissage automatique

Réseaux d'ordinateurs -- Mesures de sûreté

Programmation génétique (informatique)

Systèmes de détection d'intrusion (informatique)

Mots clés libres

Détection d'intrusion

Programmation génétique

Securité reseau

Apprentissage desequilibré

Apprentissage incrementiel

TPG

Intrusion detection

Genetic programming

Network security

Unbalanced learning

Incremental learning

TPG

Résumé

Les systèmes de détection d’intrusion réseau (NIDS) observent le trafic réseau et essayent d’en extraire les intrusions : des compromissions de l’intégrité, la disponibilité ou la confidentialité des services et des données fournies par ce réseau. Il existe deux types de NIDS. 1) Les systèmes de détection d’intrusion par signature identifient les intrusions connues en se référant à une base de connaissance existante. 2) Les systèmes de détection d’intrusion par anomalie qui qualifient les intrusions en se basant sur un modèle du trafic réseau normal, généralement appris par des techniques d’apprentissage machine. La détection d’intrusion dans les réseaux, en évolution constante, comporte des verrous pour être déployée. Premièrement, la collecte de données réseau représentatives et correctement étiquetées est complexe et coûteuse. Ces données sont également fortement déséquilibrées, les attaques étant des événements rares. Enfin, le portage opérationnel d’un AIDS appris peut entraîner une chute des taux de détection de par la différence entre le contexte d’apprentissage et le contexte d’inférence. Ce manuscrit explore les apports des TPGs au domaine de la détection d’intrusions par anomalies et montre que les TPG sont prometteurs pour la levée des verrous du domaine.

Network Intrusion Detection Systems (NIDS) observe a network environment and aim to identify intrusions: malicious behaviors that compromise integrity, confidentiality or availability of either the network data or the systems. NIDS can be classified into signature-based NIDS, that identify known intrusions by comparing the traffic with a knowledge base and anomaly-based NIDS (AIDS) that aim to qualify the unknown intrusion traffic, from a model of normal traffic, mostly based on Machine Learning techniques. Performing detection of rare events such as intrusions in an ever-changing network environment using learned AIDS is a challenge bound to several big issues. Firstly, gathering representative network data with accurate label information is costly. These data are also highly imbalanced as intrusions are rare events. Finally, there is no guarantee that a learned AIDS on a network intrusion detection dataset is useful for real NIDS inference. This thesis explores the capabilities of the TPG framework to act as an AIDS probe. TPG is a form of machine learning based on genetic programming that offers lightweight and versatile learning capabilities.