Enhancing detection and explainability in cybersecurity : a shift from machine learning to graph learning

Amélioration de la détection et de l'explicabilité en cybersécurité : un passage de l'apprentissage automatique à l'apprentissage par graphes

• Auteur / Autrice : Amani Abou Rida
• Direction : Pierre Parrend, Aline Deruyver
• Type : Thèse de doctorat
• Discipline(s) : Informatique
• Date : Soutenance le 24/01/2024
• Etablissement(s) : Strasbourg
• Ecole(s) doctorale(s) : École doctorale Mathématiques, sciences de l'information et de l'ingénieur (Strasbourg ; 1997-....)
• Partenaire(s) de recherche : Laboratoire : Laboratoire des sciences de l'ingénieur, de l'informatique et de l'imagerie (Strasbourg ; 2013-....)
• Jury : Président / Présidente : Cristel Pelsser
• Jury : Examinateurs / Examinatrices : Cristel Pelsser, Marc-Oliver Pahl, Anne Jeannin, Martin Husak
• Jury : Rapporteur / Rapporteuse : Hervé Debar, Valeria Loscri

Mots clés

Mots clés contrôlés

Apprentissage profond

Internet des objets

Systèmes informatiques -- Mesures de sûreté

Mots clés libres

Apprentissage par graphes

Explicabilité

Cybersécurité

Apprentissage machine

IoT

Benchmarking

Graphes d'attaque connectés

Graphes d'événements

Métriques d'explicabilité

Graph learning

Explainability

Cybersecurity

Machine learning

IoT

Benchmarking

Connected attack graphs

Event graphs

Explainability metrics

Résumé

Cette thèse examine la transition de l'apprentissage machine (ML) traditionnel à l'apprentissage par graphes (GL) en cybersécurité, se concentrant sur la complexité des connexions de données dans les cyberattaques. Le défi principal est de rendre les processus GL compréhensibles pour renforcer la confiance parmi les analystes de sécurité. Elle introduit un processus de benchmarking utilisant le workflow ComGLSec, comparant diverses méthodes GL à travers un modèle de représentation de graphes pour la classification de nœuds dans les cyberattaques. Les résultats soulignent la supériorité des réseaux neuronaux graphiques inductifs (GNNs) en termes de performance et d'inductivité par rapport à d'autres méthodes, plaidant pour une exploration plus poussée de l'explicabilité. Les défis de l'extension de l'explicabilité du ML au GL sont discutés, soulignant le besoin de nouvelles métriques d'évaluation pour l'explicabilité dans le GL. La thèse propose le cadre XAIMetrics pour évaluer de manière complète l'explicabilité dans le ML, potentiellement extensible au GL, soulignant des avancées significatives dans le domaine.

This thesis explores the transition from traditional machine learning (ML) to graph learning (GL) in cybersecurity, focusing on the complexity of cyberattack data connections. The core challenge is making GL processes comprehensible to enhance trust among security analysts. It introduces a benchmarking process using the ComGLSec workflow, comparing various GL methods through a graph representation model for node classification in cyberattacks. Findings emphasize the superiority of inductive Graph Neural Networks (GNNs) in performance and inductivity over other methods, advocating further exploration into explainability. Challenges in extending explainability from ML to GL are discussed, highlighting the need for new evaluation metrics for explainability in GL. The thesis proposes the XAIMetrics Framework to assess explainability comprehensively in ML, potentially extendable to GL, underscoring significant advancements in the field.