Apprentissage automatique pour l'automatisation de la surveillance et l'inférence des cybermenaces

Machine Learning for the Automation of Cyber-threat Monitoring and Inference

• Auteur / Autrice : Mehdi Zakroum
• Direction : Isabelle Chrisment, Mounir Ghogho
• Type : Thèse de doctorat
• Discipline(s) : Informatique
• Date : Soutenance le 11/07/2023
• Etablissement(s) : Université de Lorraine en cotutelle avec Université Internationale de Rabat (@Université Internationale de Rabat)
• Ecole(s) doctorale(s) : École doctorale IAEM Lorraine - Informatique, Automatique, Électronique - Électrotechnique, Mathématiques de Lorraine (1992-....)
• Partenaire(s) de recherche : Laboratoire : Laboratoire lorrain de recherche en informatique et ses applications
• Jury : Président / Présidente : Hanan El Bakkali
• Jury : Examinateurs / Examinatrices : Isabelle Chrisment, Mounir Ghogho, Nur Zincir-Heywood, Ramin Sadre, Marc-Oliver Pahl, Mohammed Boulmalf, Jérôme François
• Jury : Rapporteurs / Rapporteuses : Nur Zincir-Heywood, Ramin Sadre

Mots clés

Mots clés contrôlés

Réseaux neuronaux (informatique)

Architecture dataflow

Apprentissage automatique

Apprentissage profond

Systèmes informatiques -- Mesures de sûreté

Cyberdéfense

Mots clés libres

Apprentissage profond

Apprentissage automatique

Science des données

Réseaux de neuronnes de graphes

Cyber-Securité

Deep learning

Machine learning

Data science

Graph neural networks

Cybersecurity

Résumé

Au cours des dernières décennies, les cyber-menaces ont connu une augmentation significative et continuent de croître de façon exponentielle. Les opérateurs de réseau et les praticiens de la sécurité s'efforcent constamment d'automatiser leurs stratégies de défense contre les cyberincidents à grande échelle et les événements particuliers à plus petite échelle ciblant leurs réseaux. Améliorer la surveillance des événements de sécurité et détecter les attaques à un stade précoce sont des éléments clés pour prévenir des éventuels dommages ou au moins atténuer leurs impacts. Le trafic enregistré par les capteurs réseau tels que les télescopes réseau, également connus sous le nom de darknets, constitue une riche source de renseignements sur la cybersécurité. Les données enregistrées par ces capteurs incluent différents types de trafic allant du trafic bénin comme les analyses régulières effectuées par les organisations à des fins statistiques, aux cyber-incidents malveillants tels que la propagation de vers, les analyses de vulnérabilité et les paquets de rétrodiffusion en relation avec les attaques par déni de service. Ces données pourraient être exploitées pour automatiser et améliorer les solutions de surveillance des cyber-menaces ainsi que pour modéliser et prédire les attaques. Pour cela, cette thèse combine des travaux de recherche sur les sujets saillants de la surveillance des cyber-menaces et de la classification et de la prévision des cyber-attaques.

Over the past few decades, cyber-threats have known a significant increase and continue to grow exponentially. Network operators and security practitioners are constantly striving to automate their defense strategies against large-scale cyber incidents and smaller-scale peculiar events targeting their networks. Improving the monitoring of security events and detecting attacks at an early stage are key features to prevent against eventual damages or at least alleviate their impact. The traffic captured by network sensors such as network telescopes, also known as darknets, constitute a rich source of cybersecurity intelligence. The data recorded by such sensors include different types of traffic ranging from benign traffic like regular scans performed by organizations for statistical purpose, to malicious cyber incidents like worms spread, vulnerability scans, and backscatter packets that come as a side effect spoofed source of Denial of Service attacks. These data could be leveraged to automate and improve cyber-threat monitoring solutions and attack modeling and prediction. To this end, this thesis combines research works on the salient topics of cyber-threat monitoring and cyber-attack classification and forecasting.