SECURE Framework for Detecting Integrity Attacks in High-Frequency Trading Systems

Dans le monde numérique, la sécurité est souvent imaginée comme une forteresse dotée de murs conçus pour tenir les intrus à l'extérieur. Cette vision traditionnelle se concentre sur trois piliers principaux : garder les secrets cachés, s'assurer que les systèmes restent en ligne et veiller à ce que l'information à l'intérieur reste exactement telle qu'elle a été envoyée. Si le maintien du secret des données et le maintien du fonctionnement des systèmes sont des défis bien compris, un danger plus subtil passe souvent inaperçu. Il s'agit de la menace pesant sur l'intégrité des données. Contrairement à un virus qui fait planter un système ou à un pirate qui vole un mot de passe, une attaque sur l'intégrité altère discrètement la donnée elle-même. Elle modifie un chiffre ici ou un enregistrement là sans arrêter la machine. Dans les systèmes à mouvement lent, un tel changement mineur peut être sans conséquence, mais dans les environnements où les décisions se prennent des milliers de fois par seconde, un nombre infime et manipulé peut déclencher une cascade de mauvaises actions. Cela est particulièrement vrai pour le trading à haute fréquence, où les ordinateurs achètent et vendent des actions en un clin d'œil sur la base des données qu'ils perçoivent. Si ces données sont légèrement déformées, l'ensemble du marché peut être induit en erreur, alors même que le système continue de fonctionner normalement, cachant la tromperie à la vue de tous.

Les chercheurs S. Malathy et R. Anandhi, du Dwaraka Doss Goverdhan Doss Vaishnav College en Inde, ont proposé une nouvelle façon de débusquer ces manipulations invisibles. Ils appellent leur approche le cadre SECURE, un processus en six étapes conçu pour surveiller, analyser et réagir aux flux de données en temps réel. Le nom correspond à : Surveillance, Examen, Contrôle, Compréhension, Réponse et Amélioration (Surveillance, Examination, Control, Understanding, Response, and Enhancement). Le système commence par surveiller constamment le flux de données entrant, tel une caméra de sécurité qui ne cligne jamais des yeux. Une fois les données collectées, elles passent à l'étape de l'examen, où un programme informatique entraîné à reconnaître des modèles recherche tout ce qui est inhabituel. Les chercheurs ont choisi un type spécifique d'outil de reconnaissance de formes appelé Forêt Aléatoire (Random Forest), qui fonctionne en construisant de nombreux arbres de décision différents et en leur demandant de voter pour déterminer si une donnée est normale ou suspecte. Cette méthode est particulièrement efficace pour gérer la nature bruyante et chaotique des données à mouvement rapide.

Cependant, savoir que quelque chose ne va pas ne suffit pas ; les experts en sécurité doivent savoir pourquoi. Pour résoudre ce problème, les chercheurs ont ajouté une couche d'explicabilité à leur système. Ils ont utilisé une technique appelée SHAP, qui agit comme un projecteur, éclairant les détails spécifiques qui ont poussé l'ordinateur à signaler un événement comme suspect. Au lieu de simplement dire « ceci est mauvais », le système peut pointer le changement de prix ou la taille de l'ordre exact qui a déclenché l'alarme. Cette transparence aide les analystes humains à faire confiance au jugement de la machine. Le cadre passe ensuite au contrôle, où il peut bloquer ou signaler la donnée suspecte, suivi d'une étape de réponse où les alertes sont envoyées et les registres conservés. Enfin, le système entre dans une phase d'amélioration, où il apprend des nouvelles données pour devenir meilleur à la détection des ruses futures.

Pour tester l'efficacité de cette idée, les chercheurs l'ont appliquée à un scénario du monde réel : la bourse. Ils ont utilisé un ensemble de données de carnet d'ordres de niveau 2, qui enregistre chaque ordre d'achat et de vente passé pour une action, incluant le prix, la quantité et le temps. Dans cet environnement, ils ont simulé deux types courants de manipulation de marché connus sous le nom de "spoofing" et de "layering". Le spoofing se produit lorsqu'un trader place un ordre massif sans intention réelle d'achat, juste pour créer un faux sentiment de demande et tromper les autres acheteurs. Le layering consiste à placer de nombreux ordres à différents niveaux de prix pour créer une pression artificielle. Ces deux tactiques modifient les données pour influencer le marché sans réellement perturber le système de trading, ce qui en fait des exemples parfaits d'attaques sur l'intégrité. Les chercheurs ont traité ces manipulations comme les données « mauvaises » et le trading normal comme les données « bonnes », puis ont injecté le tout dans leur cadre SECURE.

Les résultats ont montré que le nouveau système était nettement plus performant pour débusquer ces ruses qu'un modèle informatique standard seul. Lorsque les chercheurs ont testé une version basique de leur outil de reconnaissance de formes sans le cadre complet SECURE, celui-ci identifiait correctement environ 91,84 % des attaques. Mais lorsqu'ils ont ajouté la structure complète SECURE, incluant les étapes spécifiques de contrôle et les outils d'explicabilité, la précision est montée à 96,82 %. Le système est devenu bien plus apte à trouver les véritables attaques tout en commettant moins d'erreurs sur le trading normal. L'analyse des données a révélé que le système prêtait attention aux bons éléments. Il a appris que les changements soudains de mouvement de prix, les quantités inhabituelles d'actions et les pics de volume à des niveaux de prix spécifiques étaient les signaux les plus forts de manipulation. Ce sont exactement les comportements qu'un trader humain rechercherait, prouvant que l'ordinateur ne faisait pas que deviner, mais reconnaissait des modèles logiques.

Ce qui rend ce travail particulièrement précieux, c'est qu'il ne repose pas sur la connaissance exacte de ce que l'attaquant fera ensuite. Au lieu de chercher une liste spécifique de comportements malveillants connus, le système apprend à repérer la forme générale d'un mensonge dans les données. Cela signifie que le cadre n'est pas limité aux seuls marchés boursiers. Les chercheurs suggèrent que la même méthode pourrait être utilisée pour protéger d'autres systèmes à mouvement rapide, tels que les réseaux de capteurs dans une ville intelligente ou les dispositations médicales qui surveillent les patients en temps réel. Dans tout endroit où les données circulent rapidement et où un petit changement peut avoir un impact majeur, la capacité de détecter une manipulation subtile est cruciale. En combinant un outil de reconnaissance de formes rapide avec une méthode qui explique sa propre pensée, le cadre SECURE offre un moyen de maintenir l'honnêteté des systèmes à haute vitesse. Il démontre que, dans la course à la protection des données, la clé n'est pas seulement de surveiller le bruit, mais de comprendre l'histoire que racontent les données.