Résumé technique : Autoencodeurs quantiques pour la détection d'anomalies en cybersécurité

Problématique

La détection d'anomalies en cybersécurité est confrontée à des défis importants dus au déséquilibre extrême entre les événements normaux et anormaux, où les activités normales surpassent largement les attaques. De plus, l'évolution rapide des cybermenaces nécessite des ensembles de données étiquetés de grande taille et de haute qualité pour l'apprentissage supervisé, ce qui est souvent indisponible ou peu pratique à maintenir. Bien que les autoencodeurs classiques (CAE) aient été employés pour apprendre la distribution des données « normales » afin d'identifier les valeurs aberrantes via l'erreur de reconstruction, ils peinent souvent dans les contextes de données limitées. Cette étude examine si les autoencodeurs quantiques (QAE) peuvent offrir une efficacité de données et des performances supérieures pour la détection d'anomalies dans des contextes de cybersécurité, spécifiquement lorsqu'ils sont entraînés sur des échantillons limités de données normales.

Méthodologie

Jeu de données et prétraitement

L'étude utilise le jeu de données BPF-Extended Tracking Honeypot (BETH), une collection réelle de plus de 8 millions d'événements de trafic réseau provenant de serveurs leurres (honeypots) dans le cloud. Ce jeu de données est fortement déséquilibré, les événements anormaux ne constituant qu'une petite fraction des ensembles d'entraînement et de validation (0,2 % et 0,4 %, respectivement), mais dominant l'ensemble de test (90,7 %) pour simuler un scénario de détection réaliste.

• Prétraitement : Les caractéristiques ont été élaborées selon des protocoles établis (Highnam et al.), incluant la cartographie des ID de processus et d'utilisateurs, la gestion des valeurs de retour, et l'application du codage cible (target encoding) pour les caractéristiques catégorielles à haute cardinalité.
• Sélection de caractéristiques : Le jeu de données transformé initial contenait 24 caractéristiques. Les expériences se sont concentrées sur des sous-ensembles de ces caractéristiques, évaluant spécifiquement des modèles avec 8, 16 et 24 caractéristiques selon le schéma d'encodage.

Architecture de l'autoencodeur quantique (QAE)

L'implémentation du QAE, construite avec Qiskit et simulée sur du matériel local et des GPU Google Colab L4, suit une structure conceptuelle à trois couches :

1. Entrée/Encodeur : Encode les données classiques en états quantiques.
2. Goulot d'étranglement (Bottleneck) : Compresse l'état en éliminant les qubits « déchets » (trash qubits).
3. Sortie/Décodeur : Dans cette implémentation spécifique, la reconstruction explicite est contournée. Au lieu de cela, les qubits déchets éliminés sont comparés à des qubits de référence à l'aide d'un test SWAP.

Score d'anomalie :
L'objectif d'entraînement minimise la fonction de coût dérivée du test SWAP, qui mesure la fidélité ($S$) entre les qubits déchets et les états de référence. Le score d'anomalie ($A$) est défini par $A = 1 - S$. Un score de 0 indique une instance normale (haute fidélité), tandis qu'un score de 1 indique une instance maximalement anormale.

Variables expérimentales :

• Techniques d'encodage : L'étude a évalué quatre stratégies d'encodage quantique distinctes :
  1. Encodage d'amplitude (Amplitude Encoding) : Mappe les données aux amplitudes d'état.
  2. Encodage angulaire (Angle Encoding) : Mappe les caractéristiques aux angles de rotation ($R_y$).
  3. Encodage angulaire dense (Dense-Angle Encoding) : Encode deux caractéristiques par qubit en utilisant à la fois des rotations $R_y$ et $R_z$, réduisant ainsi le nombre de qubits requis.
  4. Encodage SU2 efficace (Efficient SU2 Encoding) : Un schéma basé sur l'intrication issu de Qiskit.
• Types d'Ansatz : Des circuits paramétrés, incluant RealAmplitudes et PauliTwoDesign, ont été testés.
• Configuration d'entraînement : Les modèles ont été entraînés uniquement sur des données normales en utilisant l'optimiseur sans gradient COBYLA pour 60 itérations avec une taille de lot (batch size) de 64.

Référence classique (Baseline)

Un autoencodeur classique (CAE) a été implémenté pour servir de référence, entraîné sur les mêmes sous-ensembles de données normales pour comparer les mesures de performance, notamment la précision, le rappel, le score F1 et l'AUROC.

Résultats clés

L'étude démontre que les QAE peuvent surpasser les CAE dans les environnements à données contraintes, les performances dépendant fortement de l'encodage et des stratégies de sélection de caractéristiques.

• Configuration optimale : Le modèle QAE le plus performant utilisait 8 caractéristiques avec un encodage angulaire dense et un ansatz RealAmplitudes.
• Mesures de performance :
  • Dans un contexte de données limitées, le QAE optimal a atteint un score F1 de 0,87.
  • Le CAE correspondant a atteint un score F1 de 0,77.
• Efficacité des données : Le QAE a démontré sa capacité à surpasser son homologue classique même lorsqu'il est entraîné sur nettement moins d'échantillons.
• Impact de l'encodage : Les résultats ont souligné que le choix de l'encodage quantique impacte significativement l'expressivité et la performance du modèle. Par exemple, l'encodage SU2 efficace nécessitait des ensembles de caractéristiques plus larges (16 ou 24 caractéristiques) pour éviter les problèmes de sur-compression survenus avec des ensembles de caractéristiques plus petits.

Signification et affirmations

Les auteurs affirment que ce travail fournit une preuve empirique que les autoencodeurs quantiques offrent des avantages pratiques pour la détection d'anomalies en cybersécurité, particulièrement dans les scénarios caractérisés par des limitations de données.

• Efficacité des données : La principale contribution est la démonstration que les QAE peuvent atteindre une précision de détection plus élevée (score F1) que les CAE tout en utilisant moins d'échantillons d'entraînement. Cela répond au défi critique du maintien de vastes ensembles de données étiquetés face à l'évolution des menaces cybernétiques.
• Sensibilité de l'encodage : L'article souligne que la performance des modèles quantiques est hautement dépendante de la sélection des techniques d'encodage et des stratégies de caractéristiques, suggérant que des optimisations spécifiques au domaine sont nécessaires pour réaliser le plein potentiel de l'apprentissage automatique quantique (QML).
• Applicabilité pratique : En utilisant le jeu de données BETH, qui reflète les conditions de réseau et les schémas d'attaque réels, l'étude soutient que les QAE ne sont pas de simples constructions théoriques, mais des candidats viables pour les défis opérationnels de la cybersécurité où les données anormales sont rares.

Le travail conclut que, bien que les variantes spécialisées de QAE soient encore à un stade précoce de développement, les améliorations observées dans les contextes de données limitées suggèrent une trajectoire prometteuse pour la détection d'anomalies assistée par le quantique.