Apprentissage faiblement supervisé pour l’analyse du trafic des botnets et l’évaluation de la robustesse aux attaques adversariales

Weakly-Supervised Learning for Botnet Traffic Analysis and Adversarial Robustness Assessment

• Auteur / Autrice : Hélène Orsini
• Direction : Valérie Viêt Triêm Tông, Yufei Han, David Lubicz
• Type : Thèse de doctorat
• Discipline(s) : Informatique
• Date : Soutenance le 06/03/2025
• Etablissement(s) : CentraleSupélec
• Ecole(s) doctorale(s) : École doctorale Mathématiques et sciences et technologies de l'information et de la communication (Rennes)
• Partenaire(s) de recherche : Laboratoire : Institut de recherche en informatique et systèmes aléatoires (Rennes)
• Jury : Président / Présidente : Ludovic Mé
• Jury : Examinateurs / Examinatrices : Ludovic Mé, Isabelle Chrisment, Emiliano De Cristofaro, Jilles Vreeken
• Jury : Rapporteurs / Rapporteuses : Isabelle Chrisment, Emiliano De Cristofaro
• DOI : 10.70675/7fca9424za1b4z4c54zb725zda40a7d71b66

Mots clés

Mots clés contrôlés

Apprentissage automatique

Systèmes informatiques -- Mesures de sûreté

Mots clés libres

Cybersécurité

Botnet

Apprentissage automatique semi-supervisé

NIDS

Analyse comportementale

Attaques adversariale

Cybersecurity

Botnet

Semi-supervised learning

NIDS

Behavioral analysis

Adversarial attack

Résumé

Cette thèse se concentre principalement sur les systèmes de détection d’intrusion au niveau réseau avec des techniques de machine leanring ML faiblement supervisées et dignes de confiance. Elle aborde les principaux défis liés aux données de réseau pour les techniques ML basées sur le comportement pour l’analyse du trafic des botnets, en particulier le manque de données étiquetées et l’évolution du comportement du réseau. La recherche comprend quatre contributions principales. Premièrement, le pipeline DYNAMO optimise l’échantillonnage des données actives, réduisant ainsi les besoins d’annotation tout en améliorant la précision de l’attribution des attaques. Deuxièmement, le projet PoneyPot rassemble des données actuelles et représentatives afin d’analyser le comportement de botnet dans des scénarios réels. Troisièmement, le cadre ABACUS offre une solution adaptative pour identifier les comportements évolutifs des réseaux, en enrichissant une base de connaissances sur les modèles de trafic au fil du temps. Enfin, le cadre AdvCat évalue la robustesse du modèle face aux risques adverses. Les résultats montrent des améliorations significatives des performances des systèmes de détection d’intrusion, renforçant leur fiabilité et leur résilience face à des menaces complexes et évolutives.

This thesis primarily focuses on behavior-based Network-based Intrusion Detection System (NIDS) with weakly- supervised and trustworthy Machine Learning (ML) techniques. It addresses key network data challenges for ML-based NIDS for botnet traffic analysis, particularly the lack of labeled data and evolving network behavior. The research comprises four main contributions. Firstly, the DYNAMO pipeline optimizes active data sampling, reducing annotation needs while enhancing attack attribution accuracy. Secondly, the PoneyPot project gathers current, representative data to analyze botnet behavior in real-world scenarios. Thirdly, the ABACUS framework offers an adaptive solution for identifying evolving network behaviors, enriching a knowledge base of traffic patterns over time. Finally, the AdvCat framework assesses model robustness against adverse risks. The results show significant performance improvements in intrusion detection systems, boosting their reliability and resilience against complex, evolving threats.