🤖 machine learning

Reliable Hierarchical Operating System Fingerprinting via Conformal Prediction

Cet article introduit et évalue deux stratégies de prédiction conforme structurée, la CP par niveaux (Level-wise CP) et la CP basée sur la projection (Projection-based CP), afin de remédier aux limites de la classification plate dans l'empreinte numérique des systèmes d'exploitation en démontant un compromis fondamental entre les ensembles de prédiction plus serrés et plus compréhensibles pour l'humain de la première, et les ensembles structurellement cohérents et prêts pour l'application de politiques de la seconde.

Auteurs originaux : Rubén Pérez-Jove, Osvaldo Simeone, Alejandro Pazos, Jose Vázquez-Naya

Publié 2026-07-16

📖 7 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Rubén Pérez-Jove, Osvaldo Simeone, Alejandro Pazos, Jose Vázquez-Naya

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez que vous êtes un détective numérique essayant de découvrir quel type d'ordinateur vous parle sur Internet. Est-ce un ordinateur portable Windows, un téléphone Android ou un serveur Linux ? Ce travail de détective s'appelle l'« empreinte digitale de l'OS » (OS fingerprinting). Habituellement, les détectives cherchent de petites particularités uniques dans la façon dont ces ordinateurs envoient des messages — comme la manière spécifique dont ils commencent une poignée de main ou la taille de leurs paquets de données. Mais voici le problème : Internet est un endroit chaotique. Parfois, les indices sont flous et un détective standard peut crier avec assurance : « C'est certainement un Android ! » alors qu'il s'agit en réalité d'un iPhone. Dans la sécurité à enjeux élevés, une erreur aussi confiante peut être désastreuse.

Pour résoudre cela, les scientifiques utilisent un outil mathématique appelé « Prédiction Conforme » (Conformal Prediction). Ne voyez pas cela comme une boule de cristal qui donne une seule réponse, mais plutôt comme un filet de sécurité. Au lieu de dire « C'est X », il dit : « C'est presque certainement l'un de ces trois éléments : X, Y ou Z. » Cela donne une garantie : si vous réglez votre filet de sécurité pour attraper 95 % des cas, il attrapera effectivement 95 % du temps, peu importe la bizarrerie des données. Mais il y a un piège : les systèmes d'exploitation ne sont pas juste une liste plate de noms ; ils sont un arbre généalogique. Windows est le grand-parent, Windows 10 est le parent, et Windows 10 22H2 est l'enfant. Si votre filet de sécurité dit « C'est un Mac » mais aussi « C'est Windows 10 », c'est un désordre logique. Cet article explore comment construire un filet de sécurité qui respecte l'arbre généalogique, garantissant que si vous devinez l'enfant, vous devinez aussi le bon parent.

Le problème de l'arbre généalogique

Dans le monde de la sécurité réseau, identifier un système d'exploitation (OS) revient à essayer d'identifier une personne dans une foule juste au son de ses pas. Vous pourriez entendre une botte lourde (Windows), une basket légère (Linux) ou une chaussure de course de marque spécifique (Android). Traditionnellement, les systèmes de sécurité agissent comme un détective monomaniaque qui pointe une personne du doigt et dit : « C'est le suspect ! ». Mais si le détective se trompe, tout le plan de sécurité échoue.

Les auteurs de cet article ont réalisé que les OS possèdent une hiérarchie naturelle, comme un arbre généalogique. Au sommet, vous avez de grandes familles comme « Windows » ou « Linux ». En dessous, il y a les versions majeures comme « Windows 10 » ou « Ubuntu 20.04 ». Tout en bas, on trouve les versions mineures spécifiques, comme « Windows 10 22H2 ». Le problème est que les méthodes de « filet de sécurité » standard (Prédiction Conforme) traitent généralement chaque OS comme un élément distinct et sans lien sur une liste. Si vous leur demandez de deviner, elles peuvent vous donner une liste qui inclut « Windows 10 » et « Android 11 » mais oublie d'inclure la famille « Windows », ou pire, elles pourraient dire que « Android » est la famille mais que « Windows 10 » est la version spécifique. C'est comme dire : « Cet animal est un chien, mais c'est aussi un chat. » Cela n'a aucun sens.

Deux façons de construire le filet de sécurité

Les chercheurs ont testé deux stratégies différentes pour corriger ce désordre logique, en utilisant un ensemble de données de plus de 100 000 enregistrements de trafic réseau réels provenant d'une université. Ils voulaient voir quelle méthode pouvait donner une liste de possibilités sûre et logique sans être trop vague.

Stratégie 1 : Les devins indépendants (CP par niveau - Level-wise CP)
Imaginez que vous avez trois détectives différents travaillant sur la même affaire. Un détective ne regarde que le nom de la famille, un autre ne regarde que la version majeure, et le troisième ne regarde que la version mineure. Ils ne se parlent pas.

Comment ça marche : Chaque détective construit son propre filet de sécurité de manière indépendante.
Le résultat : Cette méthode est très tranchante. Elle vous donne des listes très petites et spécifiques. Si le détective de la famille est sûr que c'est « Windows », la liste est minuscule.
La faille : Comme ils ne communiquent pas, ils se contredisent parfois. Le détective de la famille peut dire « C'est Linux », tandis que le détective de la version mineure dit « C'est Windows 10 ». Cela crée un « Taux d'incohérence hiérarchique » (HIR) d'environ 30 % à 40 % lors de leurs tests. C'est efficace, mais logiquement défaillant.

Stratégie 2 : Le projecteur ascendant (CP par projection - Projection-based CP)
Maintenant, imaginez que vous n'avez qu'un seul détective qui regarde le plus petit détail (la version mineure) puis remonte l'arbre généalogique.

Comment ça marche : Le détective trouve la feuille spécifique (ex: « Windows 10 22H2 ») et dit ensuite : « D'accord, si c'est cela, alors c'est aussi 'Windows 10' et 'Windows'. » Il projette la réponse vers le haut pour combler les vides.
Le résultat : Cette méthode est parfaitement logique. Le « Taux d'incohérence hiérarchique » est exactement de zéro. Vous n'aurez jamais une famille « Windows » avec un enfant « Android ».
La faille : Elle est un peu plus prudente. Comme elle doit inclure tous les parents possibles d'une prédiction spécifique, les listes au sommet (au niveau de la famille) deviennent plus grandes. Si le détective est incertain sur la version spécifique, toute la branche de l'arbre généalogique est incluse dans le filet de sécurité, rendant la liste moins précise au sommet.

Le grand compromis

La principale découverte de l'article est un compromis fondamental entre être efficace (listes petites et précises) et être cohérent (listes logiquement parfaites).

Si vous avez besoin qu'un humain lise les résultats : Les « Devins indépendants » (Level-wise CP) sont meilleurs. Un analyste humain peut regarder une liste qui dit « Famille : Windows, Version : Android 11 » et réaliser : « Oh, la machine est confuse sur la version, mais c'est définitivement Windows. » Il peut utiliser son cerveau pour corriger l'erreur.
Si vous avez besoin qu'un ordinateur prenne une décision : Le « Projecteur ascendant » (Projection-based CP) est le vainqueur. Les systèmes automatisés ne peuvent pas gérer les contradictions. Si un ordinateur reçoit l'ordre « Bloquer Android » mais que la liste indique « Famille : Windows », l'ordinateur se retrouve bloqué. La méthode de projection garantit que la liste fait toujours sens, même si la liste est un peu plus longue.

Ce qu'ils ont trouvé

Les chercheurs ont testé leurs méthodes 50 fois pour en être sûrs. Ils ont constaté que les deux méthodes réussissaient à capturer la bonne réponse au moins 95 % du temps (lorsqu'elles étaient réglées sur cette cible), prouvant que les filets de sécurité fonctionnent. Cependant, la méthode « Indépendante » produisait des listes environ 10 à 20 % plus petites au niveau de la famille, mais elles étaient logiquement désordonnées. La méthode « Projection » produisait des listes parfaitement logiques, mais les listes au niveau de la famille étaient légèrement plus grandes car elles devaient tenir compte de chaque possibilité.

En fin de compte, l'article suggère qu'il n'existe pas de méthode unique « meilleure ». Cela dépend de qui utilise la réponse. Si un humain effectue le travail de forensique, la méthode désordonnée mais précise convient. Mais si un robot bloque l'accès à un réseau, il a besoin de la liste parfaitement logique, bien que légèrement plus longue, pour éviter de commettre une erreur stupide. Les auteurs ont rendu leur code et leurs données disponibles afin que d'autres puissent tester ces méthodes sur leurs propres réseaux, aidant ainsi à rendre Internet plus sûr en sachant exactement à quoi nous avons affaire.

Résumé Technique : Empreinte de Système d'Exploitation Hiérarchique Fiable via la Prédiction Conforme

Énoncé du Problème
L'identification de l'empreinte (fingerprinting) des systèmes d'exploitation (OS) est une composante critique de la sécurité réseau, de la gestion des actifs et de la réponse aux incidents. Cependant, les méthodes conventionnelles d'identification reposent généralement sur des prédictions ponctuelles (sortant un label d'OS unique), ce qui les rend fragiles dans des conditions de déséquilibre sévère des classes et de nature "open-set" du trafic réseau. Dans des environnements à enjeux élevés comme l'application du BYOD (Bring-Your-Own-Device), une prédiction confiante mais erronée peut conduire à des failles de sécurité. De plus, les approches standards traitent l'identification d'OS comme un problème de classification plat, ignorant la hiérarchie taxonomique inhérente des systèmes d'exploitation (ex: Famille $\to$ Version Majeure $\to$ Version Mineure). Cette simplification ne parvient pas à distinguer la gravité opérationnelle de la confusion entre deux versions d'une même famille d'OS par rapport à une erreur de classification de la famille entière. Enfin, les méthodes existantes manquent de mécanismes formels de quantification de l'incertitude.

Méthodologie
Les auteurs proposent de formuler l'identification d'empreintes d'OS comme un problème de classification hiérarchique et d'appliquer la Prédiction Conforme (CP - Conformal Prediction) pour générer des ensembles de prédiction avec des garanties de couverture marginale. L'étude utilise un ensemble de données de 109 663 enregistrements de flux réseau passifs provenant d'un environnement universitaire, comprenant 112 caractéristiques issues des couches IP, TCP, TLS et HTTP. Les étiquettes de vérité terrain sont structurées en trois niveaux : la famille d'OS, la version majeure et la version mineure.

Le cœur de la méthodologie consiste à entraîner des classifieurs MLP (Perceptron Multicouche) indépendants pour chaque niveau de la hiérarchie et à les envelopper avec deux stratégies de CP structurées distinctes :

CP par niveau (L-CP) : Cette approche applique la Prédiction Conforme de manière indépendante à chaque niveau de la hiérarchie. Chaque niveau (famille, majeur, mineur) est calibré séparément à l'aide de ses propres scores de non-conformité et d'un ensemble de calibration. Cela produit des ensembles de prédiction distincts pour chaque niveau avec des garanties de couverture marginale spécifiques à ce niveau.
CP basée sur la projection (P-CP) : Cette approche applique la CP uniquement au niveau de la feuille (version mineure). L'ensemble de prédiction résultant est ensuite projeté vers le haut vers des niveaux plus grossiers en incluant tous les ancêtres de toute feuille conservée. Cela garantit que les ensembles de prédiction sont hiérarchiquement cohérents et imbriqués (c'est-à-dire qu'un enfant prédit implique que son parent est également prédit).

L'évaluation utilise un cadre rigoureux utilisant 50 itérations de Monte Carlo et introduit une nouvelle métrique, le Taux d'Incohérence Hiérarchique (HIR - Hierarchical Inconsistency Rate), pour quantifier les violations logiques (ex: violations d'« orphelin » où un enfant est prédit sans son parent, ou violations « stériles » où un parent est prédit sans aucun enfant).

Principales Contributions

Première application de la CP hiérarchique : Le papier présente la première application de la Prédiction Conforme à l'identification d'empreintes d'OS, répondant aux défis spécifiques de la cohérence taxonomique et de l'incertitude multi-niveaux.
Stratégies de CP structurées : L'introduction et l'évaluation de L-CP et P-CP, qui offrent des compromis différents entre efficacité locale et cohérence structurelle globale.
Nouvelle métrique d'évaluation : La proposition du Taux d'Incohérence Hiérarchique (HIR) pour mesurer la cohérence logique des prédictions hiérarchiques, allant au-delà des métriques standards de couverture et de taille d'ensemble.
Reproductibilité : La publication d'une implémentation open-source complète du framework et du pipeline expérimental.

Résultats
Les résultats expérimentaux, évalués à travers des niveaux de signification ( $\alpha$ ) de 0,02 à 0,20, révèlent un compromis fondamental entre l'efficacité par niveau et la cohérence structurelle :

Validité : Les deux méthodes satisfont les garanties de couverture marginale. L-CP atteint des taux de couverture proches de la cible nominale ( $1-\alpha$ ). P-CP présente une sur-couverture systématique aux niveaux plus grossiers (ex: atteignant ~96 % de couverture au niveau de la famille alors que la cible est de 90 %) car l'ensemble de la famille est construit comme l'union des ancêtres des feuilles valides.
Efficacité (Taille de l'ensemble) : L-CP produit des ensembles de prédiction plus serrés au niveau de la famille (ex: taille moyenne de l'ensemble $\approx$ 0,92 à $\alpha=0,10$ ) par rapport à P-CP ( $\approx$ 1,06). Les ensembles de L-CP peuvent descendre en dessous de 1,0 en raison de la fréquence des ensembles vides, signalant une incertitude élevée ou des échantillons hors distribution.
Cohérence Structurelle (HIR) : P-CP atteint un HIR de exactement 0,0 pour tous les $\alpha$ , garantissant des ensembles imbriqués et cohérents. En revanche, L-CP souffre de fréquentes violations taxonomiques, avec un HIR culminant autour de 37 % à $\alpha=0,25$ . L'HIR de L-CP est non monotone, piloté par la désynchronisation entre les niveaux (ex: un parent retournant un singleton tandis qu'un enfant retourne un ensemble vide).
Utilisabilité : L-CP atteint des taux de singleton élevés (prédictions précises) au niveau de la famille plus rapidement que P-CP. Cependant, P-CP produit moins d'ensembles vides aux niveaux plus grossiers, car une famille n'est écartée que si tous ses descendants feuilles sont rejetés.

Signification et Implications Opérationnelles
Le papier conclut que le choix entre L-CP et P-CP dépend du scénario de déploiement opérationnel spécifique :

Application de Politiques Automatisées : Les auteurs recommandent P-CP. Les systèmes automatisés nécessitent une cohérence logique pour exécuter des politiques (ex: « Bloquer toutes les versions Android sauf 11+ »). Une sortie L-CP incohérente (ex: prédire « Android 11 » alors que la prédiction de la famille est « Windows ») est inexploitable pour une logique automatisée. La garantie de P-CP d'ensembles imbriqués assure que chaque prédiction correspond à un chemin valide dans la taxonomie de l'OS.
Triage Forensique : Les auteurs suggèrent que L-CP peut être préférable pour les analystes humains. Les analystes privilégient souvent la famille d'OS pour orienter les incidents et peuvent utiliser la connaissance du domaine pour résoudre les incohérences structurelles. Une prédiction de famille plus serrée et calibrée de L-CP est plus précieuse qu'un ensemble gonflé par le bruit du niveau de la feuille, même si les prédictions de la version mineure sont incohérentes.

Ce travail constitue une étape fondamentale vers une visibilité réseau plus fiable en passant de prédictions ponctuelles fragiles à des ensembles hiérarchiques calibrés, permettant aux opérateurs de négocier explicitement la taille de l'ensemble de prédiction contre la fiabilité. Des travaux futurs sont proposés pour atténuer les pertes d'efficacité des méthodes cohérentes via une calibration hybride ou des fonctions de perte hiérarchiques, et pour explorer la CP de type Mondrian pour gérer le déséquilibre extrême des classes.

Le problème de l'arbre généalogique

Deux façons de construire le filet de sécurité

Le grand compromis

Ce qu'ils ont trouvé

Articles similaires