Détection d'intrusion basée sur les Graph Neural Networks pour la sécurisation des réseaux en périphérie

Graph neural network-based intrusion detection for secure edge networks

• Auteur / Autrice : Hamdi Friji
• Direction : Frédéric Lehmann, Mireille Sarkiss
• Type : Thèse de doctorat
• Discipline(s) : Informatique, données, IA
• Date : Soutenance le 10/12/2024
• Etablissement(s) : Institut polytechnique de Paris
• Ecole(s) doctorale(s) : École doctorale de l'Institut polytechnique de Paris
• Partenaire(s) de recherche : Laboratoire : Télécom SudParis (Evry ; 2012-....) - Institut Polytechnique de Paris / IP Paris - Communications, Images et Traitement de l'Information / CITI - Information, Signal et Technologies des Communications / ISTeC-SAMOVAR
• Partenaire(s) de recherche : Etablissement opérateur d'inscription : Télécom SudParis (Evry ; 2012-....)
• Jury : Président / Présidente : Rida Khatoun
• Jury : Examinateurs / Examinatrices : Erol Gelenbe, Imed Romdhani, Fabrice Rossi, Pierre-François Gimenez, Maxime Labonne
• Jury : Rapporteurs / Rapporteuses : Erol Gelenbe, Imed Romdhani, Fabrice Rossi

Mots clés

Mots clés contrôlés

Systèmes informatiques -- Mesures de sûreté

Intelligence artificielle

Mots clés libres

Intelligence Artificielle

Détection d'intrusion

Cybersécurité

Artificial Intelligence

Intrusion Detection

Cybersecurity

Adversarial Attacks

Résumé

Face à l'escalade de la complexité et à la fréquence des cyberattaques, cette thèse propose des approches innovantes pour la détection d'intrusion dans les réseaux, en exploitant les capacités avancées des réseaux de neurones en graphe (Graph Neural Networks, GNNs) et de nouvelles représentations sous forme de graphes. Nous commençons par une analyse critique des jeux de données et des représentations de réseaux actuels, en abordant des questions clés sur leur efficacité. Nous introduisons une nouvelle représentation des flux de communication sous forme de graphes, offrant une plus grande robustesse face aux manipulations de type attaques adversariales (adversarial attacks).Nous présentons ensuite l'un des premiers systèmes de détection d'intrusion utilisant notre représentation en graphe basée sur les GNNs. Ce système permet d'évaluer les comportements malveillants en capturant des motifs complexes souvent ignorés par les méthodes traditionnelles. Les résultats montrent que notre approche surpasse largement les solutions existantes basées sur l'apprentissage automatique et les GNNs en termes de précision et de robustesse.Pour relever les défis de la scalabilité et de l'efficacité dans les environnements à grande échelle, nous introduisons G-DEMIS (« Graph-based DEcentralized Multi-agent Intrusion detection System »), un système multi-agent décentralisé exploitant les GNNs pour une détection rapide des activités malveillantes. En agrégeant les informations locales à travers le réseau, G-DEMIS améliore la détection en temps réel tout en réduisant la consommation d'énergie de 58 % et le temps de réponse de 17,13 % par rapport aux approches centralisées. Enfin, nous proposons un algorithme innovant pour tracer les chemins de propagation des attaques, aidant à identifier les machines compromises dans le contexte des menaces persistantes avancées. Les travaux de cette thèse permettent non seulement de faire progresser l'état de l'art en matière de détection d'intrusions, mais ouvrent également la voie à de nouvelles avancées en cybersécurité.

In light of the escalating complexity and frequency of cyberattacks, this thesis presents innovative approachs to network intrusion detection that leverages the advanced capabilities of Graph Neural Networks (GNNs) and novel graph-based representations. To lay the foundation for our research, we first conduct a critical review of existing intrusion detection datasets and network representations, focusing on their effectiveness in addressing key research challenges. This thesis presents our insights and analysis of two widely used datasets: ToN IoT and CICIDS 2017, highlighting their strengths and limitations. Our approach introduces a new flow-based graph representation of communication flows, which enhances existing solutions by increasing robustness against adversarial attacks.First, we present one of the pioneering GNN-based intrusion detection systems, which utilizes our graph representation and GNN algorithms to compute maliciousness scores. This system captures complex relational patterns that traditional methods often overlook. Our findings demonstrate that this framework significantly outperforms the current state-of-the-art machine learning and GNN-based solutions in terms of both accuracy and robustness. Additionally, we propose a three-stage intrusion detection system inspired by the Lockheed Martin cyber kill chain, designed to detect advanced multi-step attacks. This system achieved an average F1-score of 94% on the ToN IoT dataset, surpassing traditional random forest models and demonstrating its effectiveness for real-world applications.To address scalability and efficiency challenges in large-scale environments, we introduce G-DEMIS, a Graph-based DEcentralized Multi-agent Intrusion detection System that enhances the use of GNNs for a fast detection of malicious activities. G-DEMIS employs a collaborative approach in which multiple agents monitor different network segments, aggregating local graph information to form a comprehensive view of the network. This framework not only enhances real-time detection capabilities but also reduces energy consumption by 58.08% and detection time by 17.13% compared to centralized models.Finally, we tackle the challenge of defending against Advanced Persistent Threats (APTs) by proposing a novel algorithm for reconstructing attack propagation paths. This algorithm assists engineers in identifying compromised machines following an APT attack by detecting and analyzing anomalous behaviors in the network, tracing the progression of the attack, and providing a detailed understanding of the attack paths.This thesis not only advances the current state of intrusion detection but also lays the foundation for future innovations in cybersecurity.