Post-doctoral en Visualisation pour l'explicabilité des systèmes de détection d'intrusion - CDD 24 mois

La détection anticipée de certains événements causant des intrusions permettra à des opérateurs de prédire l’émergence d’attaques et de les prévenir ou de les mitiger plus rapidement. La capacité à corréler et agréger un grand nombre d’événements hétérogènes à différents niveaux (caractéristiques, causalité, temporalité) permettent également aux opérateurs de concentrer leur attention sur les événements les plus importants ou plus pertinents, permettant un traitement plus efficace, passant à l’échelle.

Dans ce projet, nous souhaitons assister un opérateur humain dans la prise de décision et la réponse à incident. Nos approches de visualisation permettront de 1) caractériser les anomalies pour les traiter de manière plus précise/efficace voire les anticiper, en connaissant les événements ou les paramètres qui les ont générés ; 2) agréger et corréler des anomalies afin de réduire la charge de travail, en connaissant les liens temporels ou de causalité ; 3) expliquer les erreurs de détection par l’analyse a posteriori des échantillons.

Activités
Il existe de nombreux outils de visualisation des caractéristiques de modèle dont les plus connus permettent de faire de la corrélation, permettant de réduire le nombre de ces caractéristiques, mais aussi d’évaluer leur influence (analyse en composante principale, analyse discriminante linéaire, algorithme t-SNE). Combiner ces différentes approches (statistiques et visuelles) devraient permettre de mieux appréhender les approches comportementales en apprentissage profond et de les exploiter pour des cas où les intrusions sont parfois plus discrètes.

Des approches plus récentes comme SHAP permettront de déterminer les éléments d’une alerte ou d’une anomalie qui a donné lieu à sa (mauvaise) classification. Des mécanismes d’attention peuvent également permettre de souligner certaines relations de causalité, de corrélation ou d’influence.

Les résultats de ce projet permettront de fournir un canevas explicable aux détecteurs comportementaux basés sur l’apprentissage profond afin d’augmenter les différentes phases d’apprentissage (de la collecte de données, à la validation d’un modèle représentatif des données normales, en passant par la représentation des données sous forme de caractéristiques robustes et l’entraînement du modèle de détection).