UNAD+: An Explainable Hybrid Framework for Unknown Network Attack Detection

Résumé technique de UNAD+ : Un cadre hybride explicable pour la détection d'attaques réseau inconnues

Énoncé du problème
La détection fiable d'attaques réseau jamais vues auparavant (zero-day) reste un défi critique pour les systèmes de détection d'intrusion (IDS). Bien que les méthodes d'apprentissage supervisé fonctionnent bien sur des classes d'attaques connues, elles échouent à généraliser à de nouvelles menaces absentes des données d'entraînement. À l'inverse, les méthodes de détection d'anomalies non supervisées, qui apprennent les caractéristiques du trafic bénin pour identifier les déviations, sont mieux adaptées à la détection zero-day mais souffrent souvent de taux de faux positifs (FPR) élevés. Cela limite leur déploiement pratique, car elles génèrent des alertes excessives qui alourdissent la charge des analystes en sécurité. De plus, les systèmes hybrides existants manquent souvent de transparence ; le raisonnement interne des modèles d'ensemble complexes est fréquemment opaque, entravant la confiance des analystes, l'analyse des causes racines et la conformité dans les secteurs réglementés.

Méthodologie
L'article propose UNAD+, un cadre hybride amélioré qui étend le détecteur d'attaques réseau inconnues original (UNAD). UNAD+ intègre trois composants principaux dans un pipeline modulaire :

1. Ensemble non supervisé uniquement sur trafic bénin avec vote majoritaire pondéré (WMV) :

   • La première étape utilise un ensemble hétérogène de 100 apprenants de base (50 modèles Local Outlier Factor et 50 modèles Isolation Forest) entraînés exclusivement sur des sous-ensembles bootstrap de trafic bénin.
   • Contrairement à l'UNAD original, qui utilisait un vote majoritaire simple, UNAD+ emploie un vote majoritaire pondéré. Lors de la validation, chaque apprenant de base se voit attribuer un poids proportionnel à son score F1. Lors de l'inférence, les prédictions sont pondérées par ces scores pour déterminer la sortie finale de l'ensemble. Cette approche réduit l'influence des détecteurs plus faibles et élimine les scénarios de partage de voix qui biaisait auparavant le système original vers des prédictions bénignes.

2. Étape de raffinement supervisé :

   • Pour remédier au FPR élevé de l'étape non supervisée, un classifieur supervisé de deuxième étape est introduit.
   • Les détections initiales de l'ensemble (à la fois les attaques correctement identifiées et les flux bénins) sont converties en pseudo-étiquettes. Celles-ci, combinées aux données bénignes originales, forment un ensemble d'entraînement étendu.
   • Un classifieur Random Forest, sélectionné pour sa robustesse et son interprétabilité, est entraîné sur ces données pseudo-étiquetées. Cette étape apprend des frontières de décision plus précises à partir de motifs de trafic proches du contexte opérationnel de détection, corrigeant efficacement les erreurs résiduelles de la première étape.
   • Un point de contrôle « humain dans la boucle » est proposé entre les étapes pour permettre aux experts du domaine de valider un sous-ensemble de pseudo-étiquettes avant leur utilisation pour l'entraînement supervisé, atténuant ainsi la propagation des erreurs.

3. Couche d'explicabilité a posteriori :

   • Pour renforcer la transparence, le cadre intègre des mécanismes d'explication locaux et globaux.
   • Explicabilité locale : LIME (Local Interpretable Model-Agnostic Explanations) est appliqué au classifieur Random Forest pour générer des explications au niveau des instances, mettant en évidence quelles caractéristiques du trafic (par exemple, longueurs des paquets, octets de flux) ont contribué à des prédictions spécifiques.
   • Explicabilité globale : Un modèle substitut Decision Tree est entraîné pour approximer le comportement du Random Forest. Cela fournit une vue simplifiée et interprétable de la logique de décision globale, incluant les règles dominantes et les interactions de caractéristiques.

Contributions clés

• Architecture hybride : L'article démontre une intégration cohérente de la détection non supervisée uniquement sur trafic bénin, du raffinement supervisé utilisant des pseudo-étiquettes et de l'explicabilité au sein d'un seul cadre.
• Mécanisme de vote pondéré : L'introduction du WMV améliore la prise de décision de l'ensemble en pondérant les apprenants de base selon leur performance, réduisant ainsi l'ambiguïté liée aux partages de voix et le biais vers la classe bénigne.
• Réduction des faux positifs : L'étape de raffinement supervisé s'avère être un mécanisme crucial pour réduire drastiquement les taux de faux positifs inhérents à la détection d'anomalies non supervisée.
• Explicabilité intégrée : Le cadre va au-delà du traitement de l'explicabilité comme un ajout, l'intégrant comme un composant structurel pour soutenir la confiance des analystes et l'audit.

Résultats expérimentaux
Le cadre a été évalué sur deux ensembles de données de référence : CICIDS2017 et NSL-KDD.

• Métriques de performance :
  • Sur CICIDS2017, le cadre complet UNAD+ a atteint un score F1 de 98,31 %, une amélioration significative par rapport à l'UNAD original (75,19 %) et au classifieur supervisé autonome (90,59 %). Le taux de faux positifs (FPR) a été réduit de 11,34 % (ensemble pondéré) à 0,18 % après raffinement.
  • Sur NSL-KDD, le cadre a atteint un score F1 de 98,25 %, surpassant l'UNAD original (93,38 %). Le FPR est passé de 6,37 % à 2,77 %.
• Analyse au niveau des classes : L'étape de raffinement a considérablement amélioré la détection pour des classes d'attaques difficiles ou rares (par exemple, SSH-Patator, DoS Slowhttptest, R2L et U2R). Cependant, les gains de performance étaient limités pour des classes extrêmement rares où la première étape n'a pas réussi à générer suffisamment d'instances pseudo-étiquetées pour que la deuxième étape puisse apprendre.
• Évaluation de l'explicabilité : Les explications locales (LIME) ont été jugées plausibles, mettant en évidence des caractéristiques réseau significatives, et stables lors d'inspections répétées. Les modèles substituts globaux ont démontré une fidélité élevée (>99 %) au classifieur Random Forest, capturant avec succès sa logique de décision dans un format interprétable.

Signification et affirmations
Les auteurs affirment que UNAD+ offre une amélioration substantielle par rapport à la ligne de base UNAD originale, non seulement grâce aux performances prédictives, mais en répondant aux limitations opérationnelles des IDS non supervisés. L'article affirme que la combinaison de la détection par ensemble pondéré et du raffinement supervisé équilibre efficacement le besoin de détection zero-day avec l'exigence de faibles taux de faux positifs. De plus, l'intégration de l'explicabilité est présentée comme essentielle pour un déploiement dans le monde réel, permettant aux analystes d'interpréter les décisions, d'auditer le comportement du système et de déboguer les erreurs du classifieur. L'étude conclut que, bien que le cadre soit hautement efficace, ses performances sur des classes d'attaques extrêmement rares dépendent de la capacité de la première étape à générer des pseudo-étiquettes informatives, et que les travaux futurs devraient relever les défis liés au trafic chiffré.