Forensic-Oriented Intrusion Detection Using Synthetic Network Traffic Data and Explainable Artificial Intelligence

Résumé technique : Détection d'intrusions orientée forensique utilisant des données de trafic réseau synthétiques et l'intelligence artificielle explicable

Énoncé du problème
Les investigations numériques de l'intrusion dans les réseaux font face à deux barrières structurelles qui empêchent l'adoption généralisée des pipelines d'apprentissage automatique (ML) : la disponibilité des données et la transparence. Premièrement, les captures de réseaux réels contiennent souvent des informations sensibles et identifiables des utilisateurs qui ne peuvent être utilisées pour l'entraînement en raison des réglementations sur la protection des données (par exemple, le RGPD) ou des exigences de chaîne de causalité interdisant le traitement des preuves originales. Deuxièmement, les modèles de ML de haute performance (par exemple, l'apprentissage profond, les méthodes d'ensemble) fonctionnent souvent comme des « boîtes noires », manquant de justifications au niveau de l'instance requises pour des rapports défendables devant un tribunal. La recherche existante traite ces problèmes indépendamment, mais aucun cadre préalable n'intègre la génération de données synthétiques, la détection d'intrusions et l'explicabilité au sein d'un pipeline unique régi par des normes forensiques établies (ISO/IEC 27037, 27041, 27042 et NIST SP 800-86).

Méthodologie
Les auteurs proposent un cadre orienté forensique qui opérationnalise la séparation stricte entre la preuve numérique originale et les artefacts analytiques dérivés. La méthodologie suit un processus en six étapes :

1. Gestion des preuves : Les ensembles de données originaux (CICIDS2017, UNSW-NB15, Kitsune) sont traités comme des artefacts immuables et en lecture seule avec des empreintes d'intégrité SHA-256. Tout le traitement s'effectue sur des « copies propres » ou des dérivés synthétiques.
2. Génération de données synthétiques : Un pipeline paramétré utilisant le framework Synthetic Data Vault (SDV) avec CTGAN (Conditional Generative Adversarial Networks) génère du trafic réseau synthétique. Cette approche résout le déséquilibre des classes sans les artefacts de suréchantillonnage post-hoc, permettant une expérimentation reproductible sans exposer la preuve originale.
3. Classification : Un classificateur binaire XGBoost est employé pour la détection d'intrusions. XGBoost est sélectionné pour sa haute performance sur les données tabulaires et sa compatibilité avec SHAP (SHapley Additive exPlanations) TreeExplifier, qui fournit des attributions de caractéristiques exactes au niveau de l'instance plutôt que des approximations.
4. Explicabilité : Le cadre intègre SHAP pour générer à la fois des résumés globaux (classement de l'importance des caractéristiques) et des graphiques en cascade locaux (décomposition des prédictions individuelles). Cela cartographie les prédictions statistiques sur des comportements réseau observables (par exemple, la durée du flux, les taux de paquets) adaptés au reporting forensique.
5. Protocole d'évaluation : L'étude utilise un protocole TSTR (Train-on-Synthetic, Test-on-Real / Entraînement sur synthétique, test sur réel) pour simuler des scénarios légalement contraints où la preuve originale ne peut être utilisée pour l'entraînement. Trois scénarios sont comparés : Réel-vers-Réel (R→R), Synthétique-vers-Réel (S→R) et Mixte-vers-Réel (M→R).
6. Validation : La fidélité statistique est évaluée via le test de Kolmogorov–Smirnov (KS) pour s'assurer de la préservation de la confidentialité (distinguabilité par rapport aux données originales) tout en maintenant l'utilité opérationnelle.

Contributions clés

• Pipeline de séparation Preuve-Artefact Forensique : La première intégration de données synthétiques, de détection par ML et d'explicabilité au sein d'un flux de travail explicitement régi par ISO/IEC 27037, 27041, 27042 et NIST SP 800-86. Cela opérationnalise l'exigence selon laquelle la preuve originale reste non modifiée tandis que les artefacts analytiques sont dérivés de données synthétiques ou de copies contrôlées.
• Validation empirique TSTR : Démontre que des modèles entraînés entièrement sur des données synthétiques peuvent atteindre une haute performance de détection sur le trafic réel. Sur CICIDS2017, le scénario S→R a atteint un F1-macro de 0,96, soit une valeur proche de la variance de validation croisée de la base R→R (0,97).
• Couche d'interprétation forensique : L'étude cartographie les attributions SHAP à des indicateurs forensiques spécifiques pour les attaques de type Brute Force, Port Scan et Déni de Service (DoS). Elle confirme que l'entraînement synthétique préserve les « empreintes d'attaque » nécessaires au témoignage d'expert.
• Aperçu méthodologique sur le mélange de données : Le document identifie que le mélange de données réelles et synthétiques sans contrôle strict de la distribution des classes (M→R) entraîne une dégradation de la performance (F1-macro 0,87) due au biais de classe, renforçant la nécessité d'un contrôle paramétré dans l'augmentation de données.
• Conditions limites opérationnelles : La validation sur différents jeux de données révèle que l'efficacité de l'entraînement uniquement sur synthétique dépend fortement de la dimensionnalité de l'espace des caractéristiques. L'approche est efficace avec des données de haute dimension (ex. CICIDS2017 avec 78 caractéristiques), mais se dégrade significativement avec des jeux de données de faible dimension (ex. Kitsune avec 7 caractéristiques), établissant une limite pratique d'environ 30 caractéristiques numériques de niveau flux pour l'entraînement uniquement sur synthétique.

Résultats

• Performance : Sur CICIDS2017, le modèle S→R a atteint un F1-macro de 0,96, contre 0,97 pour R→R et 0,87 pour M→R. XGBoost a surpassé Random Forest (0,95) et SVM (0,92) dans le scénario R→R.
• Fidélité statistique : Le test KS a confirmé que les données synthétiques sont statistiquement distinguables des données originales (moyenne |KS| = 0,38 pour CICIDS2017), satisfaisant les exigences de préservation de la confidentialité tout en conservant les caractéristiques de distribution nécessaires à la classification binaire.
• Cohérence de l'explicabilité : Les attributions SHAP pour les attaques Brute Force, Port Scan et DoS étaient cohérentes entre les instances réelles et synthétiques, validant que les données synthétiques préservent les schémas comportementaux requis pour l'analyse forensique.
• Impact de la dimensionnalité : Sur UNSW-NB15 (45 caractéristiques), la performance S→R est tombée à un F1-macro de 0,52. Sur Kitsune (7 caractéristiques), elle est tombée à 0,24. Cependant, le scénario M→R a permis de récupérer la performance à des niveaux proches de la base (0,98 et 0,96, respectivement) dans ces cas de faible dimension.

Signification
L'article affirme que sa principale importance ne réside pas seulement dans la précision de la détection, mais dans la création d'un flux de travail défendable, reproductible et auditable pour la forensique assistée par l'IA. En séparant strictement la preuve originale des artefacts analytiques et en utilisant des modèles explicables, le cadre répond à la « barrière de la transparence » qui a historiquement entravé l'admissibilité juridique du ML dans les investigations forensiques. Le travail démontre que les données synthétiques peuvent servir de substitut fonctionnel au trafic réel dans les scénarios d'entraînement où les contraintes de confidentialité ou de chaîne de causalité interdisent l'utilisation des preuves originales, à condition que l'espace des caractéristiques soit suffisamment riche et que le processus de génération soit strictement paramétré. Les auteurs soulignent que le cadre positionne les sorties du ML comme des indicateurs analytiques destinés à soutenir le jugement d'expert plutôt que comme des preuves indépendantes d'une intention malveillante, s'alignant ainsi sur les limites épistémologiques de l'attribution statistique.