Prédiction des intrusions réseau par apprentissage fédéré et interprétable des anomalies dans un environnement distribué.

Prediction of network intrusions through federated and explainable learning of anomalies in distributed environment.

• Auteur / Autrice : Maya Mouhamad
• Direction : Didier Verna
• Type : Projet de thèse
• Discipline(s) : Sciences et technologies de l'information et de la communication
• Date : Inscription en doctorat le 01/03/2024
• Etablissement(s) : Sorbonne université
• Ecole(s) doctorale(s) : École doctorale Informatique, télécommunications et électronique de Paris (1992-....)
• Partenaire(s) de recherche : Laboratoire : Laboratoire de recherche et développement de l'EPITA (Le Kremlin-Bicêtre, Val-de-Marne)

Mots clés

Mots clés libres

Système de détection d'intrusion

Apprentissage automatique

Apprentissage fédéré

Apprentissage explicable

Apprentissage interprétable

IA; Cybersécurité; Data Center.

Intrusion detection system

Machine learning

Federated learning

Explainable learning

Interpretable learning

AI; cybersecurity; data center.

Résumé

Le projet de thèse vise à développer une approche novatrice d'apprentissage fédéré pour la détection d'attaques informatiques dans les environnements Cloud, en se concentrant sur les couches IaaS (Infrastructure-as-a-Service) et PaaS (Platform-as-a-Service). Les attaques cherchent à se dissimuler sous les couches de virtualisation, nécessitant une détection multicouche intégrant les traces d'intrusion au niveau des machines virtuelles, des hyperviseurs, et des comportements physiques du datacenter. Le partenariat entre APL Datacenter et l'EPITA combine leur expertise en systèmes bas-niveau, virtualisation, et apprentissage automatique pour proposer un modèle de détection multicouches. Les données, de type non-IID (non Indépendantes et non Identiquement Distribuées), présentent des déviations de paramètres, des différences statistiques d'un site à l'autre, et des variations temporelles. L'objectif de la thèse est de développer une approche d'apprentissage fédéré répondant aux critères d'effectivité, efficacité, respect des données privées, autonomie, et interprétabilité des alertes. L'expérience de l'EPITA en algorithmes frugaux contribuera à une solution performante et peu consommatrice de ressources. La méthodologie de la thèse inclut l'étude, la proposition, la réalisation, et l'évaluation d'une solution pour chacun des trois verrous scientifiques identifiés ci-après. Un prototype logiciel cohérent intégrera les différentes composantes du projet. Les enjeux applicatifs comprennent la détection des anomalies liées aux attaques de cybersécurité, renforcement de l'explicabilité des alertes, et le partage sécurisé des alertes entre utilisateurs du datacenter et du Cloud. Les trois verrous scientifiques identifiés sont : 1. Détection d'attaques au niveau des systèmes physiques cloud, répondant à un besoin fort d'APL Datacenter. 2. Apprentissage fédéré efficace sur des données multicouches tout en respectant la confidentialité des données. 3. Extraction de connaissances pour le partage d'alertes entre tiers non liés par une relation de confiance, accélérant la détection, automatisant la réaction, et facilitant les analyses forensiques en augmentant l'explicabilité. Le projet contribuera à la sécurité des infrastructures de bas-niveau dans le Cloud, au partage des capacités de détection d'attaques, et à l'automatisation des réponses aux alertes, tout en garantissant la confidentialité des données.

The thesis project aims to develop an innovative federated learning approach for detecting cyber-attacks in Cloud environments, with a focus on IaaS and PaaS layers. Attacks attempt to conceal themselves under virtualization layers, necessitating a multi-layer detection approach that integrates intrusion traces at the levels of virtual machines, hypervisors, and physical behaviors within the data center. The partnership between APL Datacenter and EPITA combine their expertise in low-level systems, virtualization, and machine learning to propose a multi-layer detection model. The non-IID data (Non-Independently and Non-Identically Distributed) , exhibit parameter deviations, statistical differences from one site to another, and temporal variations. The thesis's objective is to develop a federated learning approach that meets effectiveness, efficiency, privacy, autonomy, and alert interpretability criteria. EPITA's experience in frugal algorithms will contribute to a high-performing and resource-efficient solution. The thesis methodology includes the study, proposal, implementation, and evaluation of a solution for each of the three identified scientific challenges below. A coherent software prototype will integrate the various components of the project. Application challenges include detecting anomalies related to cybersecurity attacks, enhancing the explainability of alerts, and securely sharing alerts among data centers and Cloud users. The three identified scientific challenges are 1. Detection of attacks at physical cloud systems level, addressing a strong need for APL Datacenter. 2. Efficient federated learning on multilayered data while respecting data confidentiality. 3. Knowledge extraction for sharing alerts among non-trust-related third parties, speeding up detection, automating response, and facilitating forensic analyses by increasing explainability. The project will contribute to the security of low-level infrastructure in the Cloud, the sharing of attack detection capabilities, and the automation of alert responses while ensuring data confidentiality.