🔢 mathematics

Hybrid Topological Data Analysis and LSTM Networks for Enhanced Network Intrusion Detection Using CIC-IDS2017 Dataset

Cet article propose un système hybride de détection d'intrusions réseau qui intègre l'analyse de données topologiques avec des réseaux de mémoire à long et court terme afin d'atteindre une précision de détection quasi parfaite (AUC et score F1 de 1,000) sur le jeu de données CIC-IDS2017 en capturant efficacement les caractéristiques topologiques et temporelles du trafic réseau.

Auteurs originaux : Amar Jeet, Bhaskar Ranjan Karn, Dinesh Kumar

Publié 2026-07-01

📖 6 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Amar Jeet, Bhaskar Ranjan Karn, Dinesh Kumar

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez que vous êtes un agent de sécurité essayant de repérer un voleur dans une gare immense et trépidante. La plupart des systèmes de sécurité fonctionnent comme une Affiche de Recherche : ils ont la photo d'un criminel connu (un virus ou un modèle d'attaque connu). Si la personne qui passe correspond à la photo, elle est arrêtée. Mais qu'en est-il si le voleur porte un déguisement, ou s'il s'agit d'un nouveau type de criminel que la police n'a jamais vu auparavant ? Le système de l'« Affiche de Recherche » échoue.

Ce document propose un nouveau type d'agent de sécurité qui utilise deux super-pouvoirs différents pour attraper ces voleurs rusés : le Changement de Forme (Topologie) et le Voyage dans le Temps (LSTM).

Voici comment fonctionne leur nouveau système, décomposé en concepts simples :

1. Les deux super-pouvoirs

Super-pouvoir A : Le détective de la « Forme » (Analyse de données topologiques)
Imaginez regarder une foule de personnes non pas comme des individus, mais comme un nuage de points.

Trafic Normal : Les points peuvent former un nuage lisse et solide.
Une attaque DDoS (Saturation du système) : Les points pourraient se regrouper en une boule dense et serrée.
Un Scan de Ports (Recherche de portes ouvertes) : Les points pourraient s'étendre en une grille éparse et systématique, comme quelqu'un vérifiant chaque porte dans une rue.

Les auteurs utilisent un outil mathématique appelé Analyse de Données Topologiques (TDA) pour observer la « forme » de ces nuages. Ils ne se soucient pas des détails spécifiques de chaque personne ; ce qui les importe, ce sont les boucles, les trous et les connexions dans la foule.

L'analogie : Pensez à une tasse de café et à un donut. Pour un œil normal, ils ont l'air différents. Mais pour un topologue, ils ont la même forme car ils possèdent tous deux exactement un trou. De même, ce système cherche les « trous » et les « boucles » dans le trafic réseau. Même si un hacker tente de déguiser son attaque (en changeant la « couleur » des points), la « forme » fondamentale de l'attaque reste souvent la même. Cela rend la dissimulation très difficile pour les hackers.

Super-pouvoir B : Le détective du « Temps » (Réseaux LSTM)
Le trafic réseau n'est pas seulement un instantané ; c'est un film. Un hacker ne se contente pas de frapper à une porte ; il frappe à 100 portes dans un ordre spécifique sur quelques secondes.

LSTM (Long Short-Term Memory) est un type d'IA qui est très doué pour regarder des films. Il se souvient de ce qui s'est passé un instant auparavant pour comprendre ce qui se passe actuellement.
L'analogie : Si vous voyez quelqu'un marcher normalement, c'est bien. Mais si vous voyez quelqu'un marcher normalement, puis soudainement sprinter, puis s'arrêter, puis sprinter à nouveau selon un motif étrange, le LSTM se souvient de cette séquence et dit : « Cela ne ressemble pas à un trajet normal ».

2. L'union de l'équipe hybride

Le document suggère qu'utiliser uniquement le détective de la « Forme » ou uniquement le détective du « Temps » est bien, mais utiliser les deux ensemble est parfait.

Ils ont construit un système où :

Le Détective de la Forme observe un bloc de trafic et dit : « Cela ressemble à une boule dense de connexions (une attaque DDoS) ! »
Le Détective du Temps observe la séquence et dit : « Et ils l'ont fait selon un motif rapide et répétitif ! »
Ils combinent leurs notes dans un seul rapport.

3. L'essai routier (L'expérience)

L'équipe a testé ce nouveau système sur un ensemble de données célèbre appelé CIC-IDS2017. Considérez cet ensemble de données comme une simulation massive et réaliste d'une gare qui comprend :

Plus de 2,8 millions de « passagers » (connexions réseau).
14 types différents de « voleurs » (attaques telles que DDoS, force brute, botnets, etc.).
Un mélange de personnes normales et de criminels.

Les résultats :
Les résultats ont été incroyablement élevés. Le document affirme que leur système hybride a atteint :

100 % de précision pour distinguer le trafic normal des attaques lors de leurs tests.
Il a battu d'autres méthodes standards (comme les Forêts Aléatoires ou les Forêts d'Isolement) qui avaient des scores légèrement inférieurs.
Même lorsqu'ils l'ont testé sur des types d'attaques spécifiques et rares (comme les « Botnets » ou l'« Infiltration »), il les a tout de même détectés.

4. Pourquoi cela importe (Selon le document)

C'est difficile à tromper : Parce que le système observe la « forme » des données, les hackers ne peuvent pas facilement se cacher en changeant simplement de petits détails. La structure globale de leur attaque les démasque.
Il comprend le temps : Il ne regarde pas seulement un instant T ; il comprend l'histoire de l'attaque au fur et à mesure qu'elle se déroule.
C'est une nouvelle façon de penser : Au lieu de simplement mémoriser des modèles connus, ce système apprend à reconnaître la géométrie et le rythme d'une attaque.

5. Le bémol (Limites mentionnées)

Les auteurs sont honnêtes sur les inconvénients :

C'est lourd : Calculer ces « formes » demande beaucoup de puissance de calcul. C'est comme essayer d'analyser la forme d'un nuage pendant qu'il pleut ; c'est coûteux en termes de calcul.
Cela nécessite un réglage : Vous devez définir les règles avec soin (comme la taille des « fenêtres de temps ») pour qu'il fonctionne de manière optimale.
C'est nouveau : Ils ne l'ont testé que sur un ensemble de données spécifique (CIC-IDS2017). Ils admettent devoir le tester sur d'autres ensembles de données modernes pour s'assurer qu'il fonctionne partout.

Résumé

En bref, ce document dit : « Si vous voulez attraper les hackers réseau, ne regardez pas seulement leurs visages (modèles connus). Regardez la forme de leur foule et le rythme de leurs pas. En combinant un outil mathématique qui voit les formes avec une IA qui se souvient du temps, nous pouvons repérer les intrus avec une précision quasi parfaite. »

Résumé Technique : Analyse de Données Topologiques Hybride et Réseaux LSTM pour une Détection Améliorée des Intrusions Réseau

1. Énoncé du Problème

Les systèmes de détection d'intrusions réseau (NIDS) sont confrontés à des défis importants dans les environnements de cybersécurité modernes, notamment les espaces de caractéristiques de haute dimension, les dépendances temporelles dans le trafic réseau, le déséquilibre des classes entre les opérations normales et malveillantes, et la nécessité d'un traitement en temps réel. Les systèmes traditionnels basés sur les signatures peinent à contrer les exploits "zero-day" et les paysages de menaces dynamiques. Bien que l'apprentissage profond, particulièrement les réseaux Long Short-Term Memory (LSTM), ait montré des promesses dans la modélisation de données séquentielles, les classificateurs statiques échouent souvent à capturer les structures géométriques sous-jacentes du trafic réseau. De plus, les adversaires emploient fréquemment des stratégies d'obfuscation et d'évasion qui peuvent contourner les approches statistiques standards. Cette recherche répond au besoin d'un système capable de capturer simultanément les caractéristiques structurelles (topologiques) et temporelles du trafic réseau afin d'améliorer la détection d'anomalies.

2. Méthodologie

L'article propose une nouvelle architecture hybride qui intègre l'Analyse de Données Topologiques (TDA) avec des réseaux LSTM via un réseau de fusion de type Perceptron Multicouche (MLP). La méthodologie est structurée comme suit :

A. Prétraitement des Données

L'étude utilise le jeu de données CIC-IDS2017, contenant plus de 2,8 millions de flux bidirectionnels étiquetés avec 77 caractéristiques (après prétraitement) et 14 catégories d'attaques (incluant DDoS, Brute Force, Attaques Web, Infiltration et Botnets). Le pipeline de prétraitement comprend :

Le nettoyage des données (suppression des doublons, des valeurs infinies et NaN).
La normalisation Min-Max des caractéristiques numériques.
Un sous-échantillonnage stratifié pour maintenir les ratios de classes tout en gérant les coûts computationnels pour la TDA.
La construction de fenêtres temporelles chevauchantes (taille de fenêtre $w=50$ , pas de $s=25$ ) pour capturer les séquences temporelles.

B. Composante d'Analyse de Données Topologiques (TDA)

Le module TDA extrait les caractéristiques structurelles à partir des fenêtres temporelles des données réseau :

Construction du Nuage de Points : Chaque fenêtre temporelle est traitée comme un nuage de points dans un espace de haute dimension.
Homologie Persistante : Une filtration de Vietoris-Rips est construite en utilisant la distance euclidienne. Cela capture les caractéristiques topologiques (composantes connexes et boucles) qui persistent à travers plusieurs échelles.
Courbes de Betti : Les diagrammes de persistance sont convertis en représentations fonctionnelles connues sous le nom de courbes de Betti ( $\beta_0$ et $\beta_1$ ), qui décrivent la connectivité et les motifs de boucles. Ces courbes sont discrétisées en vecteurs de caractéristiques de longueur fixe (200 points).
Extraction de Caractéristiques : Les vecteurs résultants ( $z_{TDA}$ ) représentent des invariants topologiques qui sont robustes au bruit et aux déformations continues.

C. Composante LSTM

Le module LSTM traite les données réseau séquentielles pour capturer les dépendances temporelles :

Architecture : Deux couches LSTM empilées (6ens 64 et 32 unités cachées) avec dropout (0.2) et normalisation par lots (batch normalization).
Fonction : Le mécanisme de porte des LSTM capture les dépendances temporelles à long terme, résolvant le problème de disparition du gradient commun aux RNN standards.
Sortie : Le module produit une représentation de caractéristique temporelle ( $z_{LSTM}$ ).

D. Fusion Hybride

L'innovation centrale réside dans l'étape de Fusion de Caractéristiques :

Les caractéristiques topologiques ( $z_{TDA}$ ) et les caractéristiques temporelles ( $z_{LSTM}$ ) sont concaténées.
Un réseau de fusion MLP appris traite cette représentation combinée.
La couche de sortie finale utilise une activation Softmax pour la classification binaire (Normal vs Attaque).

3. Principales Contributions

L'article expose quatre contributions majeures :

Architecture Novatrice : Un cadre hybride TDA+LSTM qui intègre l'extraction de caractéristiques topologiques avec la modélisation temporelle profonde pour la détection d'intrusions réseau.
Formulation Mathématique : Une définition rigoureuse de l'extraction des courbes de Betti et de sa fusion avec des modèles d'apprentissage profond, utilisant spécifiquement l'homologie persistante pour générer des caractéristiques résistantes au bruit.
Évaluation Complète : Une évaluation expérimentale approfondie sur le benchmark CIC-IDS2017, incluant des études d'ablation, une validation croisée à 5 plis et des tests de signification statistique.
Analyse des Caractéristiques : Un examen détaillé de la manière dont les caractéristiques topologiques (spécifiquement les courbes de Betti) complètent les représentations temporelles à travers diverses catégories d'attaques.

4. Résultats Expérimentaux

Le modèle proposé a été évalué par rapport à des modèles de référence incluant l'Isolation Forest, TDA+Random Forest, le SVM traditionnel et le LSTM autonome.

Métriques de Performance : Le modèle hybride TDA+LSTM a atteint une AUC de 1.000 et un F1-Score de 1.000 sur le jeu de données CIC-IDS2017.
Validation Croisée : La validation croisée à 5 plis a produit une AUC moyenne de $1.000 \pm 0.000$ et un F1-score moyen de $0.999 \pm 0.001$ .
Analyse Comparative :
- Hybride TDA+LSTM : F1 = 1.000
- TDA + Random Forest : F1 = 0.994
- Isolation Forest : F1 = 0.835
- LSTM Autonome : F1 = 1.000 (Note : l'article précise que le modèle hybride atteint des performances compétitives avec le LSTM autonome mais souligne la valeur ajoutée de l'interprétabilité topologique).
Étude d'Ablation :
- TDA-seul (MLP) : F1 = 0.990
- LSTM-seul : F1 = 1.000
- Hybride : F1 = 1.000
- L'étude démontre que bien que le LSTM seul soit exceptionnellement performant, les caractéristiques topologiques apportent des informations complémentaires, particulièrement pour gérer les déséquilibres de classes et fournir des aperçus géométriques.
Coût Computationnel : Le modèle hybride nécessite un temps d'entraînement plus long (1,4 minute) et plus de mémoire (469 Mo) par rapport à l'SVM traditionnel (<0,1 min, 89 Mo) ou au TDA+RF (0,3 min, 145 Mo), indiquant un compromis entre le surcoût de calcul et la richesse des caractéristiques.

5. Signification et Revendications

L'article affirme que l'approche hybride offre un nouveau paradigme pour la détection d'intrusions réseau en mélangeant la puissance d'apprentissage des réseaux de neurones profonds avec la rigueur mathématique de l'analyse de données topologiques.

Effets Synergiques : La combinaison de la TDA et du LSTM offre des performances robustes, les caractéristiques topologiques offrant une stabilité contre le bruit et les perturbations qui entravent souvent les méthodes statistiques.
Interprétabilité : Contra à les modèles d'apprentissage profond "boîte noire", la composante TDA fournit des aperçus géométriques des schémas d'attaque (par exemple, une connectivité dense pour les attaques DoS contre une exploration éparse pour les PortScans).
Robustesse : Le modèle démontre son efficacité à travers diverses catégories d'attaques, y compris Brute Force, Botnets et Attaques Web, avec une classification parfaite dans les fenêtres testées.
Limites : Les auteurs reconnaissent modestement des limites, notamment un surcoût computationnel accru pour les installations à grande échelle, la sensibilité aux réglages des paramètres (taille de la fenêtre, rayon de filtration), et la nécessité d'une validation supplémentaire sur d'autres jeux de données modernes (ex: CICIoT2023, UNSW-NB15) avant de généraliser leurs affirmations.

En conclusion, la recherche valide que l'intégration des invariants topologiques avec la modélisation de séquences temporelles améliore la détection de complexités d'intrusions réseau, offrant une méthode qui est à la fois hautement précise et structurellement interprétable.