Hybrid CNN-LSTM Framework for Intelligent Cyber Attack Detection and Prevention in U.S. Critical Digital Infrastructure: A Comparative Machine Learning Evaluation on CSE-CIC-IDS2018

Résumé Technique : Cadre Hybride CNN-LSTM pour la Détection Intelligente des Cyberattaques

Énoncé du Problème
La numérisation accélérée des infrastructures critiques des États-Unis (santé, finance, énergie, transports et gouvernement) a créé une surface d'attaque que les systèmes de détection d'intrusion (IDS) traditionnels, basés sur des signatures, sont mal équipés pour défendre. Les approches héritées échouent face aux exploits de type « zero-day », aux campagnes de déni de service distribué (DDoS), aux botnets et aux attaques d'infiltration furtives car elles reposent sur la reconnaissance de menaces déjà identifiées. De plus, les solutions existantes pilotées par l'IA éprouvent souvent des difficultés face à des taux de faux positifs élevés, une surcharge de calcul dans les environnements en temps réel et un manque d'adaptabilité face à l'évolution des paysages de menaces. L'étude répond au besoin d'un cadre de défense adaptatif et intelligent, capable de détecter et de classifier les cybermenaces en temps réel avec une haute sensibilité et de faibles taux de fausses alarmes.

Méthodologie
L'étude emploie un design expérimental quantitatif utilisant le jeu de données de référence CSE-CIC-IDS2018, un corpus de trafic réseau multi-vecteurs réaliste généré par l'Institut canadien de cybersécurité. La méthodologie se déroule en huit étapes interconnectées :

1. Prétraitement des données : Le jeu de données brut, caractérisé par un déséquilibre de classe sévère (le trafic bénin dépassant largement les attaques) et des problèmes de qualité de données (valeurs manquantes/infinies), a subi un nettoyage systématique. Cela comprenait la suppression des valeurs NaN/infinies, l'élimination des enregistrements dupliqués et l'application d'une normalisation Min-Max. Pour traiter le déséquilibre des classes, une combinaison de suréchantillonnage aléatoire pour les classes d'attaques minoritaires et de sous-échantillonnage pour la classe bénigne dominante a été appliquée exclusivement à l'ensemble d'entraînement, tandis que l'ensemble de test a conservé sa distribution originale pour refléter les conditions réelles.
2. Ingénierie des caractéristiques (Feature Engineering) : Une approche en trois phases a été utilisée : une analyse de corrélation de Pearson pour supprimer les caractéristiques redondantes (corrélation > 0,95), un classement de l'importance des caractéristiques basé sur Random Forest pour exclure les attributs à faible signal, et un test de l'Analyse en Composantes Principales (ACP), qui a finalement été écartée car elle n'offrait que des gains marginaux au détriment de l'interprétabilité. L'ensemble de caractéristiques final comprenait la durée du flux, les statistiques de longueur de paquet, les comptes de paquets directs/indirects (forward/backward), le port de destination, le type de protocole et les intervalles d'arrivée.
3. Développement du Modèle : Cinq architectures ont été systématiquement comparées :
   • Random Forest et XGBoost : Classificateurs d'ensemble classiques servant de bases de référence standards de l'industrie.
   • Machine à Vecteurs de Support (SVM) : Un classificateur à noyau (entraîné sur un sous-échantillon stratifié de 30 % en raison des contraintes de calcul).
   • Réseau de Neurones Convolutifs (CNN) : Conçu pour extraire les interactions spatiales des caractéristiques à partir de matrices de trafic 2D remodelées.
   • Long Short-Term Memory (LSTM) : Conçu pour capturer les séquences temporelles des flux réseau.
   • Hybride CNN-LSTM : Une architecture à double voie où les couches CNN effectuent l'extraction des caractéristiques spatiales, alimentant ensuite les couches LSTM pour la modélisation des séquences temporelles.
4. Architecture du Cadre : Les modèles sont intégrés dans un pipeline de cyberdéfense de bout en bout comprenant des modules de collecte de trafic, de prétraitement, d'extraction de caractéristiques, de détection de menaces basée sur l'IA, de classification d'attaques et de prévention automatisée des menaces.
5. Évaluation : Les modèles ont été entraînés sur une division stratifiée 80/20. La performance a été évaluée via la Précision, le Rappel, le score F1, l'AUC-ROC et le Taux de Faux Positifs (TFP/FPR).

Résultats Clés
Tous les modèles évalués ont atteint une précision de détection supérieure à 96 %, mais le modèle Hybride CNN-LSTM a démontré une performance supérieure sur tous les indicateurs :

• Précision (Accuracy) : Le modèle hybride a atteint 99,1 %, surpassant Random Forest (96,8 %), XGBoost (97,5 %), CNN (98,1 %) et LSTM (98,4 %).
• Précision et Rappel : Le modèle hybride a atteint environ 99,0 % de précision et 98,8 % de rappel, indiquant une véritable amélioration de la capacité de discrimination plutôt qu'un compromis entre les deux.
• Taux de Faux Positifs (FPR) : Le modèle hybride a obtenu le FPR le plus bas à ~2,0 %, une réduction significative par rapport à Random Forest (5,5 %) et XGBoost (4,8 %). Cette réduction est opérationnellement critique pour atténuer la fatigue des analystes face aux alertes dans les environnements à haut volume.
• Importance des Caractéristiques : L'analyse a révélé que la Durée du Flux (0,28 importance), la Longueur du Paquet (0,24) et le Port de Destination (~0,18) étaient les caractéristiques les plus prédictives, comptant collectivement pour environ 70 % du signal de classification.
• AUC-ROC : Le cadre a atteint un AUC de 1,00 sur l'ensemble de test, indiquant une séparabilité quasi parfaite des classes dans les conditions expérimentales.

Signification et Revendications
L'article affirme que le cadre hybride CNN-LSTM offre une amélioration significative et déployable par rapport aux approches conventionnelles d'IDS. La portée de ce travail réside dans la démonstration que l'intégration de l'extraction de caractéristiques spatiales (CNN) avec l'apprentissage de séquences temporelles (LSTM) permet de capturer simultanément les signatures de caractéristiques intra-flux et les séquences comportementales inter-flux, ce que les modèles à architecture unique ne parviennent pas à faire.

Les auteurs soulignent que la capacité du cadre à maintenir une haute sensibilité de détection tout en réduisant drastiquement les faux positifs répond à un goulot d'étranglement opérationnel majeur en cybersécurité : la fatigue des alertes. En atteignant ~99 % de précision et ~2 % de FPR, l'étude suggère que l'apprentissage profond hybride peut fournir une cybersécurité évolutive et à faible taux de fausses alarmes, adaptée à la protection des infrastructures critiques américaines.

Limites et Portée
L'article maintient une position modeste concernant le déploiement opérationnel. Il reconnaît explicitement que :

• Les résultats sont basés sur le jeu de données CSE-CIC-IDS2018, qui ne reflète pas les menaces post-2020 telles que le ransomware-en-tant-que-service, le phishing généré par l'IA ou les intrusions de la chaîne d'approvisionnement.
• L'évaluation a été menée sur du trafic rejoué plutôt que sur des flux réseau en direct, ce qui signifie que la latence d'inférence en temps réel sous des charges de production n'a pas été mesurée.
• Le modèle SVM a été entraîné sur un sous-échantillon, ce qui pourrait sous-estimer sa performance par rapport aux autres modèles.
• L'explicabilité n'a pas été abordée ; les modèles d'apprentissage profond fonctionnent comme des « boîtes noires », ce qui demeure un obstacle à l'adoption dans les industries réglementées.
• L'étude conclut que, bien que le cadre présente de solides promesses empiriques, une validation contre des données d'attaque contemporaines et des flux réseau en direct est nécessaire avant de pouvoir tirer des conclusions opérationnelles.