Applying JEPA-Style Predictive Learning to JA4-Derived Network Fingerprints

Imaginez que vous essayez d'identifier un voyageur mystérieux dans une gare bondée. Habituellement, les agents de sécurité vérifient simplement une carte d'identité unique (une « empreinte digitale ») par rapport à une liste géante de visages connus. Si la carte correspond, tant mieux ; sinon, ils ne savent pas quoi faire. C'est ainsi que la plupart des réseaux informatiques identifient actuellement le trafic : ils regardent un code court (comme une empreinte JA4) et disent : « Oh, c'est un navigateur web », ou « C'est un serveur ». C'est rapide, mais c'est rigide. Cela ne comprend pas vraiment le voyageur ; cela se contente de vérifier un badge nominatif.

Maintenant, imaginez un nouveau genre de détective qui ne se contente pas de vérifier une liste. Au lieu de cela, ce détective examine quelques indices différents que porte le voyageur — un chapeau, une chaussure, un billet et un sac à dos. Même si le voyageur manque d'un chapeau ou que le détective ne peut pas voir le sac à dos, le détective essaie de deviner à quoi les indices manquants devraient ressembler en fonction de ceux qu'il peut voir. Si la supposition correspond à la réalité, le détective apprend quelque chose de profond sur le style du voyageur.

C'est exactement ce que les chercheurs de l'Université de Lucerne ont fait avec un nouveau système qu'ils ont appelé JA4-JEPA.

Le puzzle de la « pièce manquante »

L'équipe a pris une collection massive de « cartes d'identité » de réseau (environ 397 000 échantillons) provenant de deux sources différentes. Ces cartes comprenaient quatre sections différentes :

1. JA4 : L'identifiant de base du client (comme un passeport).
2. JA4H : La façon dont le client communique avec un site web (comme une conversation).
3. JA4S : La façon dont le serveur répond (comme une réponse).
4. JA4X : Les détails sur les certificats numériques (comme un visa).

Voici la partie délicate : aucune carte d'identité unique dans leur pile ne possédait les quatre sections. Certains manquaient de la conversation, d'autres de la réponse. C'était comme essayer d'apprendre à quoi ressemble une personne en ne voyant que la moitié de son corps sur certaines photos et l'autre moitié sur d'autres.

Les chercheurs ont construit une IA intelligente (un modèle Transformer) pour jouer au jeu de « remplir les blancs ». Ils montraient à l'IA certaines sections de la carte d'identité et lui demandaient de prédire les sections cachées. Au lieu d'essayer de redessiner toute l'image (ce qui est difficile et lent), l'IA apprenait à prédire l'essence ou l'« ambiance » des parties manquantes dans un espace mental caché. Cette approche est appelée JEPA (Joint-Embedding Predictive Architecture), et elle est habituellement utilisée pour les images et les vidéos, pas pour les codes réseau.

Les résultats : Un nouveau genre de super-pouvoir

Après l'entraînement, les chercheurs ont « gelé » le cerveau de l'IA et l'ont testée. Ils lui ont demandé : « Pouvez-vous me dire si ce trafic est un navigateur web (TLS), un système de noms de domaine (DNS) ou un shell sécurisé (SSH) ? »

Les résultats ont été étonnamment solides :

• Les prédictions de l'IA correspondaient aux sections cachées réelles avec une similarité cosinus de 0,9899 (ce qui est presque parfait, comme des jumeaux).
• Lorsqu'elle était utilisée pour classer le trafic en groupes, une méthode simple de vérification de voisinage l'a classé correctement 92,20 % du temps sur 39 416 nouveaux échantillons inédits.

Cela suggère que même avec des données incomplètes, l'IA a appris une représentation riche et utile du trafic réseau. Elle ne se contente plus de faire correspondre un badge nominatif ; elle comprend la structure du trafic.

Le test de l'« anomalie » : Démasquer les imposteurs

Pour voir si cette nouvelle méthode était réellement meilleure que les anciennes, l'équipe a mené un second test sur un ensemble massif de 2,1 millions de paires de trafic réel provenant d'une passerelle d'entreprise. Ils ont créé deux types d'anomalies « fausses » (des ruses) pour voir quel système pouvait les détecter :

1. Le Mélange (The Shuffle) : Mélanger un véritable identifiant avec une conversation aléatoire et sans rapport.
2. Le Faux-Positif Difficile (The Hard-Positive) : Mélanger un véritable identifiant avec une conversation qu'il n'a jamais eue auparavant, bien que les deux parties soient communes.

Ils ont comparé leur nouvelle IA à cinq autres méthodes : comptage de fréquence, recherche de plus proches voisins, auto-encodeurs et clustering.

Les conclusions étaient claires :

• Le modèle JA4-JEPA était le seul à obtenir des performances solides sur les deux types de ruses : il a détecté les imposteurs avec une AUC de 0,922 (un score où 1,0 est parfait) pour le mélange et 0,925 pour le faux-positif difficile.
• Les autres méthodes ont échoué à au moins l'un des tests. Par exemple, les compteurs de fréquence simples étaient totalement aveugles aux nouvelles combinaisons, et les recherches de plus proches voisins devenaient lentes et confuses à mesure que les données augmentaient.
• Vitesse : L'IA pouvait analyser 8 000 paires par seconde sur un CPU standard, et sa vitesse ne ralentissait pas à mesure que la base de données grandissait. En revanche, la méthode du plus proche voisin ralentissait de 3 400 paires par seconde à seulement 250 à mesure que les données s'accroissaient.

Ce que l'article ne dit pas

Il est important de savoir ce que ce tour de magie ne fait pas encore.

• Ce n'est pas une boule de cristal pour les malwares : L'article précise explicitement que, bien qu'il puisse faire la différence entre un navigateur web, un serveur DNS et un SSH, il ne peut pas encore vous dire quelle application spécifique est en cours d'exécution (comme « Chrome » vs « Firefox ») ou si le trafic est malveillant. Les étiquettes dont ils disposaient étaient trop larges pour cela.
• Ce n'est pas parfait pour « tout voir » : Comme les données d'entraînement manquaient de morceaux (aucun échantillon ne possédait les quatre vues), l'IA pourrait s'appuyer fortement sur la pièce qu'elle voit toujours (JA4) pour deviner le reste. Les auteurs suggèrent que, bien que les résultats soient prometteurs, nous ne pouvons pas être sûrs à 100 % que l'IA a appris des connexions profondes entre toutes les vues, car elle n'a jamais vu d'image complète pendant l'entraînement.
• Le « calibrage » est encore un travail en cours : L'IA est très douée pour classer les imposteurs (savoir lequel est le plus suspect), mais définir une « ligne d'alarme » (seuil) spécifique est encore difficile. Avec un budget de fausses alarmes de 5 %, elle n'a capturé que 53 % des anomalies « faux-positives difficiles ». Le classement est fort, mais le réglage précis de l'alarme nécessite encore des travaux.

L'essentiel

L'article suggère qu'enseigner à une IA à « deviner les parties manquantes » des empreintes numériques est une nouvelle façon puissante de comprendre le trafic. Cela crée un système léger, rapide et intelligent, qui est meilleur que les méthodes actuelles pour repérer les combinaisons étranges. Cependant, ce n'est pas encore un problème résolu. Les chercheurs sont prudemment optimistes : la méthode fonctionne pour trier les types de trafic et détecter les anomalies, mais pour en faire un véritable outil de sécurité capable de capturer des virus ou des applications spécifiques, nous avons besoin d'étiquettes plus détaillées et de données où tous les morceaux du puzzle sont réellement présents.

En bref : l'IA a appris à jouer au jeu de « deviner la pièce manquante » si bien qu'elle a commencé à comprendre l'image entière, même quand l'image était déchirée. Mais nous devons encore lui apprendre comment repérer les méchants spécifiques cachés dans la foule.