Détection d'anomalies par raisonnement synergétique sur des graphes de connaissance : application à la gestion des réseaux et à la cybersécurité

Anomaly detection using knowledge graphs and synergistic reasoning : application to network management and cyber security

• Auteur / Autrice : Lionel Tailhardat
• Direction : Ulrich Finger, Yoan Chabot, Raphaël Troncy
• Type : Thèse de doctorat
• Discipline(s) : Sciences de l'ingénieur
• Date : Soutenance le 30/09/2024
• Etablissement(s) : Sorbonne université
• Ecole(s) doctorale(s) : École doctorale Informatique, télécommunications et électronique de Paris (1992-...)
• Partenaire(s) de recherche : Laboratoire : Institut EURECOM (Sophia-Antipolis, Alpes-Maritimes)
• Jury : Président / Présidente : Adlen Ksentini
• Jury : Examinateurs / Examinatrices : Anastasia Dimou
• Jury : Rapporteur / Rapporteuse : Oscar Corcho, Olivier Festor

Mots clés

Mots clés contrôlés

Apprentissage automatique

Web sémantique

Ontologies (informatique)

Gestion des données (systèmes d'information)

Représentations de graphes

Mots clés libres

Détection d'anomalies

Graphe de connaissance

Graphes sémantiques

Logique

Apprentissage automatique

Anomaly detection

Knowledge graph

Semantic graph

Logic

Machine learning

Résumé

La gestion des incidents sur les réseaux informatiques et télécoms, qu'il s'agisse de problèmes d'infrastructure ou de cybersécurité, nécessite la capacité de traiter et d'interpréter simultanément et rapidement un grand nombre de sources d'information techniques hétérogènes en matière de format et de sémantique. Dans cette thèse, nous étudions l'intérêt de structurer ces données dans un graphe de connaissances, et étudions en quoi cette structure permet de maîtriser la complexité des réseaux, notamment pour des applications en détection d'anomalies sur des réseaux dynamiques et de grande taille. À travers une ontologie (un modèle des concepts et relations pour décrire un domaine d'application), les graphes de connaissances permettent en effet de donner un sens commun à des informations différentes en apparence. Nous introduisons pour commencer une nouvelle ontologie permettant de décrire les infrastructures réseaux, les incidents, et les opérations d'exploitation. Nous décrivons de même une architecture pour transformer les données des réseaux en un graphe de connaissance organisé selon cette ontologie, en utilisant les techniques du Web Sémantique pour favoriser l'interopérabilité. Le graphe de connaissance résultant permet d'analyser le comportement des réseaux de façon homogène. Nous définissons ensuite trois familles de techniques algorithmiques pour utiliser les données du graphe, et montrons comment ces techniques peuvent être utilisées pour détecter des comportements anormaux des systèmes et aider les équipes d'exploitation dans le diagnostic d'incidents. Enfin, nous présentons une architecture logicielle pour simplifier les interactions des exploitants avec le graphe de connaissance et les algorithmes d'aide au diagnostique par l'intermédiaire d'une interface graphique spécialisée. Chaque proposition a été testé de manière indépendante par des expérimentations et démonstrations, ainsi que par un panel d'utilisateurs experts depuis l'interface graphique spécialisée dans le cadre d'une solution intégrée.

Incident management on telecom and computer networks, whether it is related to infrastructure or cybersecurity issues, requires the ability to simultaneously and quickly correlate and interpret a large number of heterogeneous technical information sources. In this thesis, we study the benefits of structuring this data into a knowledge graph, and examine how this structure helps to manage the complexity of networks, particularly for applications in anomaly detection on dynamic and large-scale networks. Through an ontology (a model of concepts and relationships to describe an application domain), knowledge graphs allow different-looking information to be given a common meaning. We first introduce a new ontology for describing network infrastructures, incidents, and operations. We also describe an architecture for transforming network data into a knowledge graph organized according to this ontology, using Semantic Web technologies to foster interoperability. The resulting knowledge graph allows for standardized analysis of network behavior. We then define three families of algorithmic techniques for using the graph data, and show how these techniques can be used to detect abnormal system behavior and assist technical support teams in incident diagnosis. Finally, we present a software architecture to facilitate the interactions of support teams with the knowledge graph and diagnostic algorithms through a specialized graphical user interface. Each proposal has been independently tested through experiments and demonstrations, as well as by a panel of expert users using the specialized graphical interface within an integrated solution.