Chaque jour, des milliards d'appareils échangent des données à travers Internet, créant un vaste réseau invisible de communication. La majeure partie de ce trafic est inoffensive, s'écoulant comme un fleuve régulier de requêtes et de réponses de routine. Cependant, dissimulés au sein de ce flux, des acteurs malveillants tentent de forcer les systèmes, de voler des informations ou de perturber des services. Débusquer ces intrus est un défi constant pour les équipes de sécurité car les attaquants sont habiles ; ils changent fréquemment de tactiques et imitent souvent un comportement normal pour éviter la détection. Les outils de sécurité traditionnels reposent sur la connaissance précise de ce à quoi ressemble une attaque, comparant le nouveau trafic à une bibliothèque de menaces connues. Cette approche fonctionne bien pour les dangers familiers, mais échoue lorsqu'un nouveau type d'attaque, jamais vu, apparaît. Pour résoudre ce problème, des chercheurs ont commencé à se tourner vers une stratégie différente : apprendre aux ordinateurs à comprendre si précisément ce qu'est la « normalité » que toute déviation devienne immédiatement frappante, un peu comme un agent de sécurité qui connaît le rythme régulier d'un bâtiment et remarque instantanément quelqu'un qui se déplace d'une manière inhabituelle.

Dans une étude récente, une équipe de chercheurs français a proposé un nouveau système appelé GraphIDS pour s'attaquer à ce problème. Au lieu d'essayer de mémoriser des schémas d'attaque spécifiques, leur système apprend la structure naturelle du trafic réseau sain. Ils traitent le réseau non pas comme une liste de messages isolés, mais comme une carte vivante où les ordinateurs sont les lieux et les données circulant entre eux sont les routes. En étudiant cette carte, le système peut voir comment les appareils communiquent habituellement entre eux. Les chercheurs ont découvert qu'en combinant deux types puissants d'intelligence artificielle, ils pouvaient construire un modèle capable d'apprendre ce comportement normal sans avoir besoin d'exemples d'attaques pour l'entraînement. Le système fonctionne en essayant de recréer les motifs du trafic normal qu'il a observés. Lorsqu'il rencontre un fragment de trafic étrange ou suspect, il éprouve des difficultés à le recréer, et cette difficulté signale une menace potentielle.

Le cœur de cette nouvelle méthode réside dans la manière dont les chercheurs ont organisé les données. Ils ont pris les enregistrements bruts du trafic réseau, connus sous le nom de données NetFlow, et les ont transformés en un graphe. Dans ce graple, chaque ordinateur du réseau est un point, et chaque connexion entre deux ordinateurs est une ligne. Chaque ligne porte des détails sur la conversation, tels que le nombre de paquets envoyés ou le type de données transférées. La première partie de leur système, un réseau de neurones graphiques (graph neural network), agit comme un observateur local. Il examine une connexion spécifique et observe les voisins immédiats des ordinateurs impliqués. Il pose des questions telles que : « Avec qui cet ordinateur parle-t-il en ce moment ? » et « Cette conversation est-elle typique pour ce groupe ? ». Cela permet au système de comprendre le contexte local d'un flux de données unique, capturant les modèles à petite échelle qui définissent le comportement de routine.

Une fois que le système a compris ces détails locaux, il transmet l'information à une seconde partie, un moteur basé sur les « transformers », qui observe la vue d'ensemble. Ce composant regroupe de nombreuses connexions et analyse la manière dont elles sont liées les unes aux autres à travers l'ensemble du réseau. Il apprend les habitudes globales du système, par exemple quels groupes d'ordinateurs ont tendance à communiquer fréquemment ou comment le trafic circule habituellement lors de différentes périodes. Pour enseigner ce système, les chercheurs ont utilisé une technique appelée auto-encodeur masqué (masked autoencoder). Imaginez que vous montriez au système une image complète du trafic normal, puis que vous en cachiez de petites parties. Le travail du système est de deviner à quoi devraient ressembler les parties cachées en se basant sur le reste de l'image. Parce qu'il est entraîné uniquement sur un trafic sûr et normal, il devient très performant pour prédire l'apparence d'une connexion saine. Il apprend si bien les règles du jeu qu'il peut combler les lacunes pour n'importe quel flux normal qu'il rencontre.

La véritable puissance de cette approche se révèle lorsque le système rencontre quelque chose de nouveau. Si un flux malveillant apparaît, il brise les règles que le système a apprises. Lorsque le système tente de prédire ce à quoi ce flux étrange devrait ressembler sur la base de son entraînement, il échoue. La prédiction est médiocre, et la différence entre ce que le système attendait et ce qui s'est réellement passé est importante. Les chercheurs appellent cette différence une erreur de reconstruction. Lors de leurs tests, ils ont constaté que cette erreur était un signal fiable d'intrusion. Les flux faisant partie d'une attaque produisaient systématiquement des erreurs élevées, tandis que le trafic normal produisait des erreurs faibles. Cela a permis au système de signaler les menaces potentielles sans même avoir été confronté à un seul exemple d'attaque lors de sa phase d'entraînement.

L'équipe a testé son système sur deux grands ensembles de données réels contenant des millions de flux réseau provenant d'environnements différents. Un ensemble de données provenait d'un réseau plus petit, tandis que l'autre représentait une infrastructure beaucoup plus grande et complexe. Dans les deux cas, le système a obtenu des résultats d'une précision remarquable. Sur le plus petit ensemble de données, il a correctement identifié la quasi-totalité des attaques tout en maintenant un taux très bas de fausses alertes. Sur le plus grand ensemble de données, plus complexe, il a tout de même surpassé les méthodes existantes par une marge significative, atteignant des scores proches de la perfection sur certaines mesures. Les chercheurs ont comparé leur travail à d'autres systèmes avancés qui tentent également de détecter des anomalies sans données d'attaque étiquetées. Leur système s'est classé systématiquement plus haut, prouvant que la combinaison de la vue locale du réseau de neurones graphiques et de la vue globale du transformer était plus efficace que l'utilisation de l'une ou l'autre approche seule.

L'une des découvertes les plus importantes fut que le système n'avait pas besoin qu'on lui dise ce qu'était une attaque pour apprendre à en repérer une. En se concentrant entièrement sur la reconstruction du comportement normal, le modèle a naturellement appris à rejeter tout ce qui ne correspondait pas. C'est un avantage crucial car, dans le monde réel, les attaquants inventent constamment de nouvelles ruses, et les équipes de sécurité ne disposent souvent pas de suffisamment de données étiquetées pour apprendre à un ordinateur chaque variation possible d'une menace. Le système GraphIDS contourne ce problème en apprenant la forme de la sécurité. Si le trafic semble sûr, le système peut le recréer facilement. S'il semble dangereux, le système trébuche, et ce trébuchement est l'alarme.

Les chercheurs ont également exploré ce qui se passait si l'on retirait certaines parties de leur système. Lorsqu'ils ont supprimé la composante graphique pour ne fournir au système que les données brutes, ses performances ont chuté, particulièrement sur le réseau le plus grand et le plus complexe. Cela a montré que la compréhension des connexions entre les appareils était essentielle pour détecter les attaques subtiles. De même, lorsqu'ils ont remplacé le moteur transformer avancé par un plus simple, le système fonctionnait toujours bien, mais était moins cohérent et légèrement moins précis. Ces tests ont confirmé que le contexte local et les modèles globaux étaient tous deux nécessaires pour que le système atteigne son plein potentiel. L'étude suggère que la meilleure façon de détecter les intrusions est de construire un modèle qui comprend profondément la structure et les habitudes du réseau, plutôt que de simplement mémoriser une liste de mauvais comportements.

Bien que les résultats soient prometteurs, les chercheurs reconnaissent qu'aucun système n'est parfait. Leur modèle suppose que le réseau se comporte de manière relativement constante dans le temps. Si le réseau change radicalement, par exemple lors d'une mise à niveau majeure ou d'un changement soudain du comportement des utilisateurs, le système pourrait être confus et déclencher de fausses alertes. Ils suggèrent que les travaux futurs pourraient consister à apprendre au système à s'adapter continuellement à mesure que le réseau évolue, plutôt que de nécessiter un réentraînement complet. Ils ont également noté que dans les scénarios où un seul appareil est surveillé, le système dispose de moins d'informations pour travailler car il ne peut pas voir le contexte plus large du réseau. Malgré ces limites, l'étude représente une étape significative dans la protection des infrastructures numériques. En unifiant l'étude des connexions locales et des modèles globaux, le système GraphIDS offre une méthode robuste et auto-supervisée pour maintenir la sécurité des réseaux, apprenant le rythme de la normalité pour pouvoir entendre la dissonance d'un intrus.