Détection anomalies réseaux - Cours PDF (Avancé)
Détection d’anomalies et sécurité des réseaux : Ce qu'il faut savoir. Discipline qui regroupe les méthodes statistiques, probabilistes et procédurales permettant d'identifier des activités réseau déviantes ou malveillantes par rapport à un comportement attendu. L'enjeu opérationnel est de réduire le temps de détection et d'atténuer les trajectoires d'attaque (Cyber Kill Chain) tout en priorisant les ressources selon la criticité des actifs. Ce document est disponible au format PDF et peut être consulté ou télécharger gratuitement.
🎯 Ce que vous allez apprendre
- Diagnostic et prévention (EBIOS Risk Manager, CKC) — Comprendre l'usage d'EBIOS Risk Manager pour cartographier les risques et appliquer la Cyber Kill Chain (CKC) afin d'identifier les étapes d'une intrusion. Vous saurez prioriser des mesures de prévention et relier des scénarios d'attaque aux chemins vulnérables identifiés par des scores CVSS.
- Collecte et traitement des journaux d'événements — Maîtriser la collecte, la structuration et la fenêtre temporelle d'analyse des logs et flux réseau pour produire des séries temporelles exploitables. Le document détaille les formats, les métriques (paquets, octets, ports, protocoles) et les procédures d'agrégation nécessaires pour alimenter des détecteurs statistiques et ML.
- Construction de la base Data ISO‑MA — Apprendre la méthodologie de construction d'une base d'actifs (Data ISO‑MA), l'extraction d'attributs et le calcul de pertinence pour chaque actif support. Ces étapes servent à créer des jeux de données réalistes pour l'évaluation des détecteurs et pour l'identification de chemins d'attaque.
- Détection de chemins vulnérables et scénarios stratégiques — Savoir formaliser un chemin vulnérable, évaluer la force d'un attaquant et repérer la CKC la plus critique pour un objectif donné. Le PDF propose une méthode de sélection de chemins (appuyant la remédiation) et des scénarios stratégiques illustrés par résultats expérimentaux.
- Modèles de Markov et GLRT pour la détection — Appréhender la modélisation de flux par chaînes de Markov, l'estimation paramétrique des états et l'utilisation du GLRT (Generalized Likelihood Ratio Test) pour le test d'hypothèses. Vous serez capable de calibrer un seuil (p-value r0) et de comparer des modèles selon leurs performances sur données synthétiques et réelles.
📑 Sommaire du document
- Introduction Générale
- État de l’art
- Système de diagnostic et de prévention
- Système de détection d’activités suspectes
- Data ISO-MA
- Détection de chemins vulnérables
- Modèle Markovien et GLRT
- Détection d’anomalie
💡 Pourquoi choisir ce cours ?
Ce manuscrit de Mamadou Kasse, soutenu comme thèse et disponible sur HAL, articule une démarche recherche‑opérationnelle : de l'analyse de risque (EBIOS) jusqu'à l'évaluation statistique des détecteurs. La force du document réside dans la combinaison méthodologique (CKC + CVSS pour la priorisation) et technique (modèles de Markov et GLRT) accompagnée d'expérimentations sur des données simulées et la base Data ISO‑MA. Les résultats comparatifs et les scénarios stratégiques fournissent des éléments concrets pour déployer ou tester des dispositifs en centre opérationnel (SOC).
👤 À qui s'adresse ce cours ?
- Public cible : ingénieurs sécurité et analystes SOC, doctorants ou chercheurs en cybersécurité et responsables de la gestion des risques souhaitant formaliser et évaluer des trajectoires d'attaque sur des réseaux d'entreprise.
- Prérequis : solides notions en réseaux IP et protocoles, statistique/probabilités (séries temporelles), connaissance des concepts CKC et CVSS, et familiarité avec l'analyse de logs/flux pour pouvoir implémenter et évaluer les modèles proposés.
❓ Foire Aux Questions (FAQ)
Comment la GLRT est‑elle utilisée pour détecter une anomalie sur des séries de flux ? La GLRT compare la vraisemblance des observations sous l'hypothèse nulle (comportement normal) et l'hypothèse alternative (anomalie) en estimant les paramètres via maximum de vraisemblance; le ratio obtenu est comparé à un seuil calibré (p‑value r0) pour déclencher une alerte. Cette approche permet d'incorporer explicitement l'incertitude liée à l'estimation des paramètres du modèle de Markov.
Comment sont estimés et utilisés les modèles de Markov dans ce document ? Les chaînes de Markov sont définies par un espace d'états lié aux zones comportementales des flux; les paramètres de transition sont estimés par fréquence empirique sur fenêtres temporelles. Une fois entraînés, ces modèles servent à prédire la distribution normale des métriques et à détecter les écarts via des tests d'hypothèses et comparaison de modèles (2 états vs 3 états, etc.).
