Utilisation de techniques d'Intelligence Artificielle pour reconstituer et expliquer des attaques cyber à partir d'anomalies réseaux

Use of Artificial Intelligence techniques to reconstruct and explain cyber attacks from network anomalies

• Auteur / Autrice : Céline Minh
• Direction : Philippe Owezarski, William Ritchie
• Type : Projet de thèse
• Discipline(s) : Informatique et Télécommunications
• Date : Inscription en doctorat le 20/07/2021
• Etablissement(s) : Université de Toulouse (2023-....)
• Ecole(s) doctorale(s) : École doctorale Mathématiques, informatique et télécommunications
• Partenaire(s) de recherche : Laboratoire : LAAS - Laboratoire d'Analyse et d'Architecture des Systèmes
• Partenaire(s) de recherche : établissement délivrant conjointement le doctorat : Institut national des sciences appliquées (Toulouse ; 1961-....)

Mots clés

Mots clés libres

Sécurité

Évaluation expérimentale

Monitoring

Apprentissage automatique

Intelligence artificielle

Security

Experimental evaluation

Monitoring

Machine learning

Artificial intelligence

Résumé

La sécurité dans les réseaux de communication est un besoin de plus en plus fort face à la recrudescence des tentatives d'intrusion ou de déni de service perpétrées par des pirates de plus en plus inventifs et ayant accès à de grandes quantités de machines corrompues pour ce faire (botnets). La tendance dans la recherche en sécurité des réseaux informatiques consiste à s'appuyer de plus en plus sur des techniques d'intelligence artificielle, comme des moteurs d'inférence ou des techniques d'apprentissage automatique (Machine Learning). L'utilisation et surtout l'exploitation des outils d'apprentissage automatique restent cependant délicates : les outils d'apprentissage donnent des réponses variables pour des contextes proches, le choix de leurs paramètres de configuration optimum est souvent flou, ce qui rend ces techniques si prometteuses en théorie souvent très décevantes dans la pratique. L'objectif général de cette thèse est d'investiguer les techniques d'IA pour la cybersécurité. On cherche ici à développer des mécanismes permettant d'améliorer la confiance dans les résultats fournis par ces techniques. On considérera ces techniques d'IA comme des boîtes plus ou moins noires et d'identifier des approches permettant d'en améliorer l'explicabilité et la transparence, en inférant des propriétés sur leur nature et/ou leur comportement à partir d'observations partielles de ce comportement. L'idée fondatrice de ce travail de thèse est de proposer une méthode générique pour choisir parmi toutes les réponses des outils d'IA celle qui est pertinente. L'approche originale de cette thèse va consister à analyser les résultats des outils d'IA selon une approche boite noire, c'est-à-dire sans entrer dans la complexité des algorithmes d'IA et d'apprentissage automatiques des outils de détections d'attaque existants dans l'état de l'art. Pour cela, l'approche envisagée est statistique, notamment en utilisant des techniques d'apprentissage non supervisées pour apprendre du comportement des outils de détection basés IA face aux caractéristiques du trafic. La confiance que l'on pourra octroyer au système ainsi étendu dépendra de la qualité de l'explicabilité du choix de la décision après cette nouvelle phase d'apprentissage.

Security in communication networks is a growing need due to the increasing number of intrusion or denial of service attempts perpetrated by hackers who are more and more inventive and who have access to large quantities of potentially corrupted machines (botnets). To overcome this problem, the trend in network security research is to rely more and more on artificial intelligence techniques, such as inference engines or machine learning techniques. However, implementing machine learning tools remains difficult: they give variable answers for close contexts, the choice of their optimal configuration parameters is often unclear, and they often require large amounts of well-annotated data which makes these techniques so promising in theory often very disappointing in practice. The general objective of this thesis is to investigate AI techniques for cybersecurity. We intend to develop mechanisms to improve trust in the results provided by these techniques. We will consider these AI techniques as more or less black boxes and identify approaches to improve their explainability and transparency, by inferring properties about their nature and/or their behavior from partial observations of this behavior. The founding idea of this thesis is to propose a generic method to choose among all the answers of AI tools the one that is relevant. The original approach of this thesis will consist in analyzing the results of the AI tools using a black box approach, i.e. without entering into the complexity of the AI and machine learning algorithms of the existing state-of-the-art attack detection tools. For this, the approach considered is statistical, in particular by using unsupervised learning techniques to learn from the behavior of AI-based detection tools with respect to traffic characteristics. The trust that can be given to the extended system will depend on the quality of the explainability of the decision after this new learning phase.