Système de détection d'intrusion non supervisé fédéré

Les organisations à travers le monde subissent une menace croissante pour leur sécurité informatique. En effet, le marché de la cybercriminalité connaît un développement intense. Pour se protéger, les entreprises constituent des équipes de cyberdéfense. Parmi la panoplie d’outils de défense, on trouve les Systèmes de Détection d’Intrusion (IDS). Ces logiciels alertent en cas de comportement suspect dans le système informatique. Un tel comportement pourrait donc relever d’une intrusion d’un acteur malveillant. Ces IDS assistent les analystes en sécurité informatique et leur indiquent quelle communication sur le réseau inspecter. Ces outils facilitent ainsi le travail des équipes de sécurité. Les IDS fonctionnent typiquement par signature. Pour créer ce genre d’IDS, il faut d’abord générer une base de données d’attaques déjà identifiées. Ensuite, l’IDS renvoie une alerte lorsqu’il reconnaît un pattern (signature) présent dans sa base d’attaques. Pour tenter de mieux prédire les cyberattaques, la recherche se tourne vers les IDS à base d’apprentissage automatique. Or, la plupart des outils développés dans ce cadre sont supervisés. Cela signifie que les données étudiées doivent être étiquetées pour entraîner le modèle. Toutefois, les entreprises génèrent de grandes quantités de données. Il semble ainsi irréaliste de demander à des analystes d’étiqueter chaque logs ou chaque communications sur le réseau comme étant suspecte ou non. C’est pourquoi, au cours de ce projet, nous utilisons de l’apprentissage non supervisé. En effet, les données n’ont pas besoin d’être étiquetées pour pouvoir entraîner un modèle de ce type. Le modèle détermine les ressemblances entre les données par lui-même. Les données observées par les IDS sont en général critiques puisqu’elles décrivent les actions et les ressources d’un système informatique. Ainsi, les entreprises sont réticentes à dévoiler ces informations pour collaborer les unes avec les autres. Or, les attaques subies par les unes pourraient être menées contre les autres. Il semble donc important de collaborer malgré la sensibilité des données. C’est pourquoi l’IDS proposé dans ce mémoire utilise l’apprentissage fédéré. De cette manière, les données restent chez les participants du protocole et ne sont pas dévoilées tout en coopérant.