Open-Set Anomaly Detection using Transformers: A Case Study on Anomaly Detection in J1939 CAN Bus

RÉSUMÉ À mesure que les cyberattaques continuent d’évoluer, la détection des nouvelles menaces devient de plus en plus difficile. Ces menaces inconnues apparaissent dans des conditions ouvertes, où de nouveaux comportements d’attaque peuvent surgir à tout moment et ne peuvent être anticipés à l’avance. En revanche, les approches traditionnelles à ensemble fermé partent du principe que tous les types d’attaques possibles sont connus à l’avance et classifient souvent de manière erronée les comportements inédits ou ont du mal à gérer l’interaction entre les modèles opérationnels et les seuils de détection, ce qui entraîne des performances instables et des taux de faux positifs élevés. Par conséquent, les menaces inconnues doivent être traitées comme des anomalies, car tout écart par rapport au comportement opérationnel établi peut indiquer une activité malveillante. L’analyse actuel de la détection des anomalies révèle qu’aucune solution ne peut réellement anticiper un ensemble ouvert de comportements d’attaque futurs. Par conséquent, une dé-tection efficace des anomalies doit non seulement se concentrer sur l’apprentissage des com-portements normaux dans des conditions ouvertes, mais aussi préserver l’interprétabilité, afin de permettre aux opérateurs humains de comprendre et de confirmer les anomalies signalées. Pour remédier à ces limites, cette thèse présente un cadre de fusion de décisions multimod-èle pour les anomalies, dans lequel chaque modèle spécifique à une modalité capture une perspective comportementale différente et produit un indicateur d’anomalie interprétable. En fait, cette conception sépare explicitement les indices comportementaux en modalités distinctes, qu’elles soient temporelles, structurelles, sémantiques ou contextuelles, afin que chacune puisse être modélisée clairement plutôt que d’être cachée dans une architecture monolithique. Nos modèles permettent de comprendre de manière fiable le comportement normal du système sans aucune connaissance préalable des menaces spécifiques. Chaque modèle exploite le mécanisme d’attention des Transformers pour extraire des modèles com-portementaux solides. Les scores d’anomalie sont calculés par rapport à une limite de déci-sion SVDD (Support Vector Data Description) entraînée sur un comportement normal afin d’éviter la subjectivité des seuils statiques et d’aligner les décisions directement sur l’espace de représentation appris. La fusion des résultats entre les modalités renforce la robustesse face aux menaces invisibles et en constante évolution, tout en maintenant la transparence opérationnelle. Le bus CAN (Controller Area Network), un système de communication largement utilisé dans les véhicules, a constitué un banc d’essai idéal pour notre approche. Sa combinaison de complexité structurelle et de comportement dynamique crée un environnement difficile pour l’évaluation de notre cadre. Le trafic du bus CAN se décompose naturellement en deux modalités dominantes: le comportement temporel et l’évolution des données utiles. Un modèle apprend les régularités temporelles, tandis que l’autre capture la sémantique des données utiles et la dynamique des séquences de messages, reflétant ensemble l’enveloppe opérationnelle réelle des systèmes embarqués dans les véhicules. Entraîné sur un ensemble de données CAN Bus J1939 réel, le cadre détecte de manière fiable les anomalies invisibles avec un taux de faux positifs proche de zéro, atteignant ainsi un objectif essentiel dans la détection des anomalies automobiles. En combinant la séparation des modalités, la notation SVDD alignée sur la représentation et la fusion des décisions interprétables, ce travail offre une stratégie pratique et fiable pour détecter les anomalies inconnues dans les réseaux automobiles modernes.