From Detection to Response: A Deep Learning and Retrieval-Augmented Generation Framework for Network Intrusion Mitigation

Résumé Technique : De la Détection à la Réponse

Énoncé du Problème
Bien que les systèmes de détection d'intrusion (IDS) basés sur l'apprentissage automatique aient atteint une haute précision dans la classification des attaques réseau, ils échouent fréquemment à répondre au besoin opérationnel critique des analystes en sécurité : déterminer la réponse appropriée. Les modèles d'apprentissage profond actuels fonctionnent souvent comme des « boîtes noires », fournissant des étiquettes de prédiction sans expliquer la logique de décision. De plus, les techniques existantes d'IA explicable (XAI), telles que SHAP et LIME, identifient les caractéristiques influentes mais n'offrent pas de conseils d'atténuation exploitables. Par ailleurs, les sources de connaissances en cybersécurité faisant autorité (par exemple, les lignes directrices du NIST, MITRE ATT&CK) sont trop vastes pour être consultées manuellement lors d'incidents en temps réel. Cet article comble le fossé entre la détection de menaces à haute précision et la génération de stratégies de réponse structurées, fondées sur des preuves et exploitables.

Méthodologie
Les auteurs proposent un cadre unifié, de bout en bout, qui intègre la détection d'intrusion basée sur l'apprentissage profond à un pipeline de Génération Augmentée par Récupération (RAG). Le système fonctionne à travers cinq étapes modulaires :

1. Acquisition et Prétraitement des Données : Le cadre utilise deux jeux de données de référence, CICIDS2018 et UNSW-NB15. Pour permettre une évaluation inter-jeux de données, un espace de caractéristiques unifié à 66 dimensions est construit. Les caractéristiques catégorielles sont encodées en one-hot, et un remplissage par zéro est appliqué pour combler les écarts dimensionnels. Un dictionnaire d'interprétation des caractéristiques mappe les noms techniques des caractéristiques à des descriptions lisibles par l'homme et à leurs implications en matière de sécurité.
2. Classification DNN Calibrée par la Confiance : Au lieu d'un modèle unique multi-classes, le système emploie un ensemble de trois réseaux de neurones profonds (DNN) binaires entraînés indépendamment, utilisant une stratégie un-contre-tous (Bénin contre Reste, DoS contre Reste, DDoS contre Reste).
   • Architecture : Les modèles utilisent des couches entièrement connectées avec une activation ReLU. Le modèle CICIDS2018 utilise trois couches cachées, tandis que le modèle UNSW-NB15 en utilise quatre, incorporant la normalisation par lots et la régularisation par dropout.
   • Gestion du Déséquilibre des Classes : Pour traiter le déséquilibre sévère des classes (par exemple, le trafic DoS ne représentant que 0,64 % de UNSW-NB15), le système emploie une fonction de perte d'entropie croisée binaire pondérée par les classes, un suréchantillonnage aléatoire, un sous-échantillonnage contrôlé et une sélection de modèle basée sur le score F1.
   • Sortie : L'ensemble produit une classe prédite et un score de confiance scalaire, qui est mappé à un « Niveau de Triage SOC » discret (Très Élevé, Élevé, Moyen, Faible) pour guider la priorisation par l'analyste.
3. Construction de Prompts Sensibles à l'Explication : Après classification, le système extrait les 5 caractéristiques les plus influentes à l'aide d'une attribution basée sur le gradient. Ces caractéristiques sont mappées à des descriptions en langage naturel via le dictionnaire d'interprétation. Un prompt structuré est ensuite assemblé contenant :
   • Le contexte de détection (classe d'attaque, confiance, niveau).
   • Les métadonnées du flux réseau (adresses IP, ports, horodatages).
   • Les indicateurs anormaux (les 5 caractéristiques principales et leurs interprétations).
   • Une instruction de rôle système définissant le LLM comme un analyste senior en cybersécurité avec des exigences explicites de citation.
4. Récupération Hybride RAG : Le prompt est enrichi en récupérant des conseils pertinents dans une base de connaissances construite à partir de 14 documents faisant autorité (incluant les publications spéciales du NIST et MITRE ATT&CK). Le pipeline de récupération utilise une approche hybride :
   • Recherche Lexicale : Classement BM25.
   • Recherche Sémantique : Récupération de vecteurs denses utilisant FAISS et des transformateurs de phrases.
   • Expansion de Requêtes : Un dictionnaire de synonymes spécifique à la cybersécurité élargit les termes (par exemple, « DoS » vers « épuisement des ressources »).
   • Reclassement : Un cross-encoder reclasse les meilleurs candidats pour sélectionner les 5 derniers segments finaux pour le prompt.
5. Génération de Rapports Basée sur LLM : Un modèle LLaMA 3:8B déployé localement (via Ollama) génère un rapport structuré de réponse aux incidents. Le rapport comprend des sections sur la Justification, les Indicateurs Clés, l'Évaluation de la Confiance, l'Évaluation de la Menace et les Recommandations, tous ancrés dans les citations récupérées.

Contributions Clés

1. Stratégie de Prompting Structuré : Une méthode novatrice qui lie le raisonnement du LLM à des preuves de détection concrètes (classe prédite, confiance et 5 caractéristiques anormales principales) plutôt qu'à des requêtes génériques.
2. Pipeline de Récupération Hybride : Un système de récupération combinant la recherche de mots-clés BM25, la recherche de vecteurs denses basée sur FAISS et le reclassement par cross-encoder pour extraire des stratégies d'atténuation pertinentes à partir de sources faisant autorité.
3. Cadre d'Atténuation de Bout en Bout : Un système qui non seulement détecte les attaques mais génère des rapports d'atténuation structurés et ancrés dans des citations, comblant le fossé entre la détection et la réponse.
4. Évaluation Rigoureuse : Un cadre d'évaluation comparant les sorties améliorées par RAG à la vérité terrain rédigée par des experts et aux modèles de base LLM bruts, en utilisant les métriques BERTScore, ROUGE et BLEU.

Résultats

• Performance de Détection : L'ensemble DNN a atteint une précision de 99,84 % sur le jeu de données CICIDS2018 et de 95,30 % sur le jeu de données UNSW-NB15. Notamment, le rappel DoS sur le jeu de données fortement déséquilibré UNSW-NB15 est passé de 0,30 % (référence) à 97,6 % après application d'interventions d'équilibrage.
• Performance de Récupération : Le pipeline de récupération hybride a atteint un taux de réussite de 97 % avec un rang réciproque moyen (MRR) de 0,87 et une latence moyenne de 1,8 seconde.
• Qualité du Rapport : Les rapports améliorés par RAG ont nettement surpassé les sorties de LLM bruts sur toutes les métriques. Par rapport à la référence, le système RAG a montré une amélioration de 4,4 % du score F1 BERTScore, une augmentation de 32,5 % de ROUGE-1, une augmentation de 126,4 % de ROUGE-2 et une augmentation de 244,1 % de BLEU. Les rapports générés ont systématiquement inclus des citations des sources NIST et MITRE (taux de citation respectifs de 93,3 % et 86,7 %).

Signification
L'article affirme que son cadre traite avec succès la limitation persistante dans la recherche sur les IDS où la détection est découplée de la réponse exploitable. En intégrant la détection par apprentissage profond à un pipeline RAG ancré dans des connaissances de cybersécurité fiables, le système produit des rapports d'atténuation qui sont non seulement précis, mais aussi explicables, conscients du contexte et opérationnellement utiles pour les analystes du Centre des Opérations de Sécurité (SOC). Les auteurs soulignent que cette approche réduit le temps entre la détection d'une attaque et la réponse efficace, atténuant ainsi le risque de perturbation prolongée du système. L'utilisation d'un LLM déployé localement répond également aux préoccupations en matière de confidentialité et de réglementation associées au routage de données sensibles sur le trafic réseau vers des API externes.