Détection d’anomalies robuste et non-supervisée : Appliquée à la supervision du trafic réseau

Robust unsupervised anomaly detection : Application to network traffic monitoring

• Auteur / Autrice : Naji Najari
• Direction : Stefan Duffner, Christophe Garcia
• Type : Thèse de doctorat
• Discipline(s) : Maths info
• Date : Soutenance le 13/12/2022
• Etablissement(s) : Lyon, INSA
• Ecole(s) doctorale(s) : École doctorale en Informatique et Mathématiques de Lyon (2009-....)
• Partenaire(s) de recherche : Entreprise : France Telecom Orange labs (2007-2012)
• Partenaire(s) de recherche : Laboratoire : LIRIS - Laboratoire d'Informatique en Image et Systèmes d'information (Rhône ; 2003-....) - Laboratoire d'InfoRmatique en Image et Systèmes d'information / LIRIS
• Partenaire(s) de recherche : Membre de : Université de Lyon (2015-....)
• Partenaire(s) de recherche : Equipe de recherche : imagine - Extraction de Caractéristiques et Identification
• Jury : Examinateurs / Examinatrices : Stefan Duffner, Christophe Garcia, Philippe Owezarski, Nicole Vincent, Stéphane Mallat, Thierry Chateau, Emilie Devijver
• Jury : Rapporteurs / Rapporteuses : Philippe Owezarski, Nicole Vincent

Mots clés

Mots clés contrôlés

Internet des objets

Mots clés libres

Détection d’Anomalies

Supervision des Equipements Connectés

Analyse du Trafic Réseau

Apprentissage Automatique

Apprentissage Robuste et Non-Supervisé

Apprentissage Auto-Supervisé

Réseaux de Neurones Artficiels

AutoEncodeurs

Autoencodeurs Variationnels

Normalizing Flows

Transformeurs

Seuillage Unimodal

Théorie des Valeurs Extrêmes

Anomaly Detection

IoT Devices Monitoring

Network Traffic Analysis

Machine Learning

Robust and Unsupervised Learning

Self-Supervised Learning

Artificial Neural Networks

Autoencoders

Variational Autoencoders

Normalizing Flows

Transformers

Unimodal Thresholding

Extreme Value Theory

Résumé

Cette thèse étudie la détection non-supervisée et robuste des anomalies à partir du trafic réseau des équipements connectés (Internet of Things, IoT). On explore en particulier l’apprentissage de représentations pour la modélisation de la norme à l’aide des réseaux de neurones artificiels, et en particulier l’architecture autoencodeurs. Les approches autoencodeur classiques apprennent à reconstruire les données nominales uniquement. Comme les nouvelles observations anormales sont structurellement différentes, leur traitement est accompagné d’une perte d’information significative, avec une large erreur de reconstruction. Toutefois, la constitution d’une base d’apprentissage sans anomalie est coûteuse, chronophage, et même parfois infaisable pour des anomalies encore inconnues des experts. Ainsi, nous avons cherché à développer des autoencodeurs robustes, i.e., capables de modéliser la norme même si la base d'apprentissage est contaminée par des anomalies. En particulier, nous proposons trois contributions. Dans un premier temps, nous proposons RADON (Robust Autoencoder with Dynamic Outlier filteriNg), qui s’appuie sur une auto-supervision. Nous estimons dynamiquement des anomalies de l’ensemble d’apprentissage par seuillage de l’histogramme de reconstruction. Nous les exploitons ensuite pour renforcer le potentiel de discrimination du modèle. Dans un deuxième temps, nous proposons GRAnD (Generative Robust autoencoder for unsupervised Anomaly Detection), en exploitant la puissance des autoencodeurs variationnels et des normalizing fows pour améliorer le processus d'estimation des anomalies. Le critère de seuillage sur l’histogramme des scores de reconstruction est remplacé par une modélisation statistique grâce à la théorie des valeurs extrêmes. Enfin, nous proposons RESIST (Robust transformEr developed for unSupervised tIme Series anomaly deTection), qui s’appuie sur les modèles sequence-to-sequence, et en particulier les Transformeurs, pour modéliser les dépendances temporelles entres les tokens d’une séquence de flux réseaux et détecter toute déviation contextuelle et collective. L’impact des contaminants lors de l’apprentissage est significativement atténué grâce à une architecture Siamoise et la fonction objective robuste Geman-McClure.

With the advent of the Internet of Things (IoT), connected devices are becoming ubiquitous and progressively introduced into domestic networks. These heterogeneous constrained objects, are potential targets for a wide spectrum of anomalies, e.g., software and hardware dysfunctions and malicious attacks. Orchestrating such fleet of devices, ensuring their nominal operation, and diagnosing anomalous activities are becoming a primordial asset for Telecommunication operators and service providers.The present thesis explores the problem of unsupervised and robust anomaly detection based on network traffic analysis, and applied to Internet of Things (IoT) device monitoring. The principle is to firstly model the nominal behavior of a connected device using a set of metadata extracted from its network traffic. Then, any atypical behavior, i.e., any significant deviation from the nominal behavior expected by the model, is considered as an anomaly. In particular, we explore the topic of representation learning with artificial neural networks, and specifically the autoencoder architecture. To model the norm, classical anomaly detection approaches train an autoencoder to reconstruct the nominal data, minimizing an error criterion between the initial data and the output of the network. As the new anomalous observations are structurally different, their reconstruction is accompanied by a significant loss of information, with a large reconstruction error. However, the constitution of a training dataset devoid of non-nominal data remains costly, time-consuming, and most of the time infeasible, as experts cannot updatedomain knowledge with new anomalies exactly as they arise. Thus, we strove to develop robust autoencoders, which are able to model the norm, even if the training dataset is contaminated by an unknown ratio anomalies.In particular, we propose three contributions. The first two contributions focus on the robust detection of punctual anomalies and the third one extends the scope of our study to contextual and collective anomaly detection in time series.First, we propose to analyze the distribution of reconstruction scores in order to perform a self-supervision. We dynamically estimate thresholds from the reconstruction histogram to identify potential anomalies in the training set. Then, we leverage them to enhance the discriminative potential of the model. This contribution has been realized with RADON (Robust Autoencoder with Dynamic Outlier filteriNg).In a second step, we propose to harness the power of variational autoencoders and normalizing flows to improve the anomaly estimation process. The thresholding criterion on the reconstruction error histogram is replaced by a statistical modeling thanks to the Extreme Value Theory (EVT). The combination of these contributions leads to our model GRAnD (Generative Robust autoencoder for unsupervised Anomaly Detection).Finally, we propose a third contribution, RESIST (Robust transformEr developed for unsupervised tIme Series anomaly deTection), which relies on sequence-to-sequence models, and in particular Transformers, to model the temporal dependencies between tokens network flow sequence and detect any contextual and collective deviation. The impact of contaminants during learning is significantly mitigated thanks to a Siamese architecture and a robust objective function.Indeed, infrequent and atypical observations have less weight than common data and have less influence on the optimization of our model parameters.We demonstrate the advantage of our methods over classical approaches of the literature, and complete the performance characterization with ablation and sensitivity studies. These experimental analyses are based on 4 public datasets, NSL-KDD, MedBIoT, CICIDS17, and TON-IoT, including network traffic metadata from real IoT devices.