Learning-Based Network Intrusion Detection : an Imbalanced, Constantly Evolving and Timely Problem
Détection d'intrusion réseau par apprentissage machine : un problème temporel, déséquilibré et en constante évolution
Résumé
Network Intrusion Detection Systems (NIDS) observe a network environment and aim to identify intrusions: malicious behaviors that compromise integrity, confidentiality or availability of either the network data or the systems. NIDS can be classified into signature-based NIDS, that identify known intrusions by comparing the traffic with a knowledge base and anomaly-based NIDS (AIDS) that aim to qualify the unknown intrusion traffic, from a model of normal traffic, mostly based on Machine Learning techniques. Performing detection of rare events such as intrusions in an ever-changing network environment using learned AIDS is a challenge bound to several big issues. Firstly, gathering representative network data with accurate label information is costly. These data are also highly imbalanced as intrusions are rare events. Finally, there is no guarantee that a learned AIDS on a network intrusion detection dataset is useful for real NIDS inference. This thesis explores the capabilities of the TPG framework to act as an AIDS probe. TPG is a form of machine learning based on genetic programming that offers lightweight and versatile learning capabilities.
Les systèmes de détection d’intrusion réseau (NIDS) observent le trafic réseau et essayent d’en extraire les intrusions : des compromissions de l’intégrité, la disponibilité ou la confidentialité des services et des données fournies par ce réseau. Il existe deux types de NIDS. 1) Les systèmes de détection d’intrusion par signature identifient les intrusions connues en se référant à une base de connaissance existante. 2) Les systèmes de détection d’intrusion par anomalie qui qualifient les intrusions en se basant sur un modèle du trafic réseau normal, généralement appris par des techniques d’apprentissage machine. La détection d’intrusion dans les réseaux, en évolution constante, comporte des verrous pour être déployée. Premièrement, la collecte de données réseau représentatives et correctement étiquetées est complexe et coûteuse. Ces données sont également fortement déséquilibrées, les attaques étant des événements rares. Enfin, le portage opérationnel d’un AIDS appris peut entraîner une chute des taux de détection de par la différence entre le contexte d’apprentissage et le contexte d’inférence. Ce manuscrit explore les apports des TPGs au domaine de la détection d’intrusions par anomalies et montre que les TPG sont prometteurs pour la levée des verrous du domaine.
| Origine | Version validée par le jury (STAR) |
|---|