💻 computer science

Cyber Dynamics I: Finite Macrostates for Behavioral Anomaly Detection in Network Telemetry

Cet article propose un cadre de macro-états à dimension finie pour la télémétrie de réseau qui dépasse les mesures d'entropie scalaire pour modéliser les transitions d'espaces d'états comportementaux, améliorant ainsi la discrimination entre la dérive de charge de travail bénigne et la réorganisation adversaire tout en offrant une détection d'anomalies plus interprétable.

Auteurs originaux : Abdul Rahman, Eranga Bandara, Sachin Shetty

Publié 2026-07-09

📖 5 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Abdul Rahman, Eranga Bandara, Sachin Shetty

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez que vous essayiez de détecter un voleur dans un immeuble de bureaux très fréquenté.

L'ancienne méthode (Entropie uniquement)
Pendant longtemps, les agents de sécurité ont utilisé une méthode simple : ils comptent combien de personnes circulent dans un couloir. Si le couloir est habituellement calme et que soudainement 50 personnes s'y précipitent, l'alarme se déclenche. Ou, si le couloir est habituellement chaotique et qu'il devient soudainement parfaitement immobile, l'alarme retentit.

Dans le monde des réseaux informatiques, cela s'appelle l'entropie. Elle mesure le « désordre ». Si le trafic de données semble inhabituellement désordonné ou inhabituellement organisé par rapport à la normale, le système signale une anomalie.

Le problème
Le problème est que cette méthode est trop simple.

Imaginez un exercice incendie programmé. Soudain, 500 personnes sortent du bâtiment. Le compteur de « désordre » du garde grimpe en flèche, mais ce n'est pas un voleur ; c'est juste un événement normal.
À l'inverse, imaginez un voleur qui est très discret. Il ne se précipite pas ; il marche simplement lentement d'un bureau à l'autre, volant des dossiers. Le compteur de « désordre » reste normal car la foule ne bouge pas de manière désordonnée. Le voleur s'échappe parce qu'il n'a pas créé de « désordre ».

L'ancienne méthode regarde le bruit (le chaos) mais rate l'histoire (qui fait quoi, et comment ils sont connectés).

La nouvelle méthode (Dynamique cybernétique et Macrostats)
Ce document propose une nouvelle façon d'observer le bâtiment. Au lieu de simplement compter les gens, le système de sécurité crée un « Macroétat ».

Considérez un Macroétat comme un instantané de l'« ambiance » ou de la « personnalité » du bâtiment sur une courte période (comme une fenêtre de 60 secondes). Cet instantané ne se contente pas de compter les personnes ; il capture un profil complet :

Activité : Que se passe-t-il ? (Le bâtiment est-il plein ou vide ?)
Désordre : Le mouvement est-il chaotique ou ordonné ? (L'ancienne partie sur l'entropie).
Structure : Qui parle à qui ? (Est-ce que tout le monde discute avec tout le monde, ou est-ce qu'une personne chuchote à quelques personnes spécifiques ?)
Volatilité : Le mouvement est-il saccadé et soudain, ou fluide ?
Persistance : Est-ce que les mêmes personnes empruntent le même chemin de manière répétée ?
Déviation : Comment cette ambiance se compare-t-elle à ce qui est considéré comme « normal » ?

L'analogie : L'orchestre

L'ancienne méthode n'écoute que le volume. Si l'orchestre devient trop fort ou trop faible, une alarme retentit.
La nouvelle méthode écoute la musique. Elle remarque si les violons se mettent soudainement à jouer de la batterie, ou si le chef d'orchestre chuchote des instructions à la section des contrebasses pendant que le reste de la troupe joue une berceuse. Même si le volume (l'entropie) reste le même, la structure de la musique a changé. Ce changement de structure est l'anomalie.

Comment cela fonctionne en pratique
Les chercheurs ont testé cela sur de réelles données réseau (comme les journaux de trafic des ensembles de données UNSW-NB15 et CIC-IDS2017). Ils ont comparé leur nouveau système de « Macroétat » aux anciens systèmes basés sur l'« entropie seule ».

Les résultats

Meilleure détection : Le nouveau système était bien plus efficace pour repérer les « voleurs discrets » (des attaques qui semblent organisées plutôt que chaotiques) et pour ignorer les « exercices incendie » (des périodes d'activité normale qui semblent chaotiques).
Le point d'équilibre des « 60 secondes » : Ils ont découvert qu'observer les données par blocs de 60 secondes fonctionnait le mieux. Observer par tranches de 30 secondes était acceptable, mais observer par tranches de 5 minutes était trop flou pour voir les détails.
Il s'agit de l'histoire, pas seulement du bruit : Les expériences ont montré qu'en ajoutant la « Structure » (qui parle à qui) et l'« Activité » (à quel point c'est chargé) au score de « Désordre », le système devenait beaucoup plus intelligent. L'ancienne méthode basée uniquement sur l'entropie revenait à essayer de comprendre un film en regardant seulement la luminosité de l'écran ; la nouvelle méthode suit l'intrigue.

Ce qu'il ne fait pas (encore)
Le document est honnête sur ses limites.

Il se concentre sur le trafic réseau (les couloirs du bâtiment), et non sur ce qui se passe à l'intérieur des ordinateurs (les bureaux) ou sur qui possède les clés (l'identité).
Il n'a pas encore pleinement maîtrisé l'art de prédire l'étape suivante. Bien que le système soit excellent pour décrire l'« ambiance » actuelle, prédire exactement comment l'« ambiance » changera dans la seconde suivante est encore un travail en cours.

L'essentiel
Ce document dit : « Arrêtez de simplement compter le chaos. Commencez à comprendre l'histoire. » En transformant les données réseau brutes en un profil de personnalité riche et multidimensionnel du système, nous pouvons repérer les acteurs malveillants qui tentent de se cacher à la vue de tous, même lorsqu'ils ne font pas beaucoup de bruit.

Résumé Technique : Cyber Dynamics I : États Macroscopiques Finis pour la Détection d'Anomalies Comportementales dans la Télémétrie Réseau

1. Énoncé du Problème

La cyberdéfense moderne opère dans des environnements dynamiques et hétérogènes où distinguer la variabilité opérationnelle bénigne (ex: sauvegardes programmées, mise à l'échelle automatique du cloud) de la réorganisation adverse (ex: mouvement latéral d'une APT, staging coordonné) constitue un défi central. Les méthodes de détection d'anomalies existantes, particulièrement celles basées sur l'entropie, traitent souvent la télémétrie réseau comme des événements isolés ou des vecteurs de caractéristiques étroits. Ces approches calculent généralement l'entropie comme une statistique scalaire sur des distributions marginales (ex: adresses IP sources, ports).

L'article soutient que cette approche par « entropie scalaire » présente deux limitations critiques :

Représentation Étroite : Elle réduit le comportement du système à des mesures de désordre, échouant à capturer l'organisation structurelle, la persistance ou les modèles de coordination.
Vision Statique : Elle traite les anomalies comme des distributions inhabituelles à un instant T, ignorant la trajectoire temporelle et les transitions de régime qui caractérisent souvent les attaques sophistiquées.

Par conséquent, la dérive de la charge de travail bénigne peut imiter l'instabilité induite par une attaque, et les attaques organisées peuvent préserver les distributions marginales tout en modifiant fondamentalement la structure du système, entraînant des faux positifs ou des non-détections.

2. Méthodologie : Le Cadre des États Macroscopiques Finis

L'article propose un cadre d'états macroscopiques de dimension finie instancié sur le Substrat de Télémétrie de Sécurité Canonique (CSTS - Canonical Security Telemetry Substrate). Cette approche déplace l'analyse des enregistrements d'événements isolés vers des états comportementaux de granularité grossière.

A. Construction Formelle
Le cadre opère à travers trois niveaux :

Micro-états : L'unité atomique est un événement réseau typé $e = (\tau, src, dst, svc, proto, dir, attrs)$ , représentant une interaction localisée temporellement entre des entités persistantes.
Micro-ensembles Fenêtrés : Les événements sont agrégés dans des fenêtres temporelles $W_t$ pour former un multiensemble d'événements $E_t$ . Cela capture le contexte comportemental local plutôt que des points isolés.
Carte de l'État Macroscopique ( $\Phi$ ) : Une fonction de grossissement (coarse-graining) mappe chaque ensemble $E_t$ $E_{t}$ vers un vecteur de dimension finie $X_t \in \mathbb{R}^d$ $X_{t} \in R^{d}$ . Ce vecteur est composé de sept familles d'observables interprétables :
- Activité ( $A_t$ ) : Charge et occupation (ex: nombre de flux, entités uniques).
- Désordre ( $H_t$ ) : Dispersion distributionnelle (entropie de Shannon, de Rényi ou de Tsallis sur les rôles, services, protocoles).
- Ordre Structurel ( $S_t$ ) : Topologie d'interaction (densité du graphe, concentration de degré, comptage de motifs).
- Volatilité Temporelle ( $V_t$ ) : Instabilité et caractère saccadé (burstiness) à court horizon.
- Persistance ( $P_t$ ) : Récurrence des arêtes, des chemins ou des motifs à travers les fenêtres.
- Couplage ( $C_t$ ) : Dépendances entre les composantes comportementales (omises dans le premier passage empirique par souci de simplicité).
- Déviation ( $D_t$ ) : Distance par rapport aux lignes de base bénignes (ex: divergence de Jensen-Shannon).

B. Analyse Dynamique
Le cadre traite le comportement cyber comme une trajectoire $\{X_t\}$ à travers l'espace macroscopique. La détection d'anomalies est définie via deux mécanismes :

Anomalie d'État : L'état macroscopique actuel $X_t$ se situe en dehors de l'ensemble du régime bénin $\mathcal{B}$ .
Anomalie de Transition : Le passage de $X_t$ à $X_{t+1}$ dévie de l'opérateur de transition nominal $T$ , qui modélise l'évolution bénigne attendue. Cela permet la détection d'un mouvement anormal même si les états individuels semblent bénins.

C. Justification Théorique
L'article fournit des propositions formelles démontrant que :

Les cartes macroscopiques sont bien définies et invariantes par permutation.
Les macro-états basés uniquement sur l'entropie sont structurellement incomplets ; des micro-ensembles distincts peuvent avoir la même entropie mais une organisation structurelle différente.
Une analyse multi-échelle est nécessaire, car la visibilité de l'anomalie dépend de la résolution temporelle (taille de la fenêtre).

3. Conception Expérimentale

Le cadre a été évalué sur des jeux de données de télémétrie réseau de référence : UNSW-NB15 et CIC-IDS2017.

Prétraitement : Les événements ont été normalisés vers un schéma unifié, les rôles ont été mappés, et les données ont été ordonnées chronologiquement pour préserver la structure temporelle.
Fenêtrage : Les expériences ont utilisé plusieurs échelles ( $\Delta \in \{30s, 60s, 300s, 900s\}$ ) avec des pas de recouvrement (strides).
Lignes de Base : Des comparaisons ont été faites contre :
- Des détecteurs basés uniquement sur l'entropie (seuillage, régression logistique sur des vecteurs d'entropie).
- Des détecteurs d'anomalies standards (Isolation Forest, One-Class SVM, Autoencodeurs) sur des caractéristiques agrégées.
Ablation : L'étude a testé systématiquement la contribution de chaque famille de macro-variables (Activité, Désordre, Structure, Volatilité, Persistance, Déviation).

4. Résultats Clés

A. Supériorité des États Macroscopiques sur l'Entropie Seule
Sur les deux jeux de données, la représentation macroscopique complète a systématiquement surpassé les lignes de base basées uniquement sur l'entropie.

UNSW-NB15 : À l'échelle de 60s, le macro-état complet a atteint un AUPRC de 0,9730, surpassant significativement la meilleure ligne de base d'entropie seule (One-Class SVM à 0,9631).
CIC-IDS2017 : Le macro-état complet (AUPRC ~0,7917) a surpassé le meilleur vecteur d'entropie (AUPRC ~0,7672) à 60s.

B. Valeur des Variables Structurelles et Temporelles
Les études d'ablation ont révélé que les gains ne provenaient pas simplement d'une augmentation de la dimensionnalité, mais de composantes comportementales spécifiques :

L'ajout de l'Activité au Désordre a apporté un gain clair, contextualisant l'entropie.
L'ajout de l'Ordre Structurel a produit l'amélioration la plus significative, confirmant que les attaques se manifestent souvent comme une reconfiguration organisée plutôt que comme une simple augmentation du désordre.
La Persistance et la Déviation ont apporté un gain final, plus faible mais positif.

C. Sensibilité à l'Échelle
La « meilleure » composition macroscopique variait selon l'échelle temporelle. Par exemple, sur CIC-IDS2017, la configuration intermédiaire $A+H+V$ (Activité, Désordre, Volatilité) était la plus forte à 30s, tandis que le macro-état complet était le meilleur à 60s. Cela soutient la thèse théorique selon laquelle la visibilité de l'anomalie est dépendante de l'échelle.

D. Limitations du Scoring de Transition
Contrairement à la promesse théorique, le scoring sensible à la transition (fusion état + transition) n'a pas surpassé le scoring basé sur l'état seul dans les expériences initiales. Les auteurs attribuent cela à la simplicité des opérateurs de transition nominaux utilisés (ex: persistance naïve, régression linéaire), suggérant que le plein bénéfice dynamique nécessite une modélisation de trajectoire plus sophistiquée dans les travaux futurs.

5. Signification et Revendications

L'article se positionne comme la première étape empirique d'un programme plus large de « cyber-dynamique ». Ses principales contributions et revendications sont :

Passage du Scalaire à l'État : Il démontre que la détection d'anomalies cyber est mieux formulée comme un problème de construction d'espace d'états comportementaux plutôt que comme une détection d'irrégularité scalaire.
L'Entropie comme Coordonnée, non comme Solution : Il prouve que si l'entropie est une composante utile, elle est insuffisante comme descripteur autonome pour des comportements cyber complexes impliquant une réorganisation structurelle.
Interprétabilité : Le cadre macroscopique fournit une représentation compacte et interprétable (activité, structure, volatilité, etc.) qui permet aux analystes de raisonner sur le pourquoi un état est anormal, plutôt que de simplement constater qu'il est anormal.
Substrat Fondateur : En instanciant le cadre sur le CSTS, l'article établit une fondation canonique portable à travers la télémétrie réseau, endpoint et hétérogène, préparant le terrain pour de futurs travaux sur la stabilité, la récupération et l'analyse multi-modale.

Les auteurs notent explicitement des limitations : les résultats du scoring de transition sont préliminaires, la fusion multi-échelle n'est pas encore supérieure au meilleur modèle à échelle unique, et l'évaluation actuelle est centrée sur le réseau. Celles-ci sont présentées non comme des échecs, mais comme la limite définie de « Papier I » et la feuille de route pour « Cyber Dynamics II et III ».