Research / Paper Files
Paper Files
Paper Files est une pratique personnelle d'étude continue en cybersécurité qui applique la méthode scientifique comme outil d'apprentissage. Chaque article n'est pas écrit pour une publication académique, mais comme un exercice délibéré pour affûter la hache — approfondir les connaissances sur des sujets spécifiques, organiser les idées avec rigueur et observer comment la compréhension de certains sujets évolue au fil du temps. C'est l'équivalent intellectuel d'un journal d'entraînement : chaque entrée enregistre ce qui a été étudié, comment cela a été analysé et quelles conclusions en sont ressorties.
Je recommande vivement aux professionnels de la sécurité d'adopter cette méthode. Choisissez un sujet que vous souhaitez maîtriser, recherchez des sources primaires (RFC, articles, documentation officielle), structurez votre texte avec une introduction, une méthodologie, une analyse et une conclusion, et écrivez comme si vous l'expliquiez à un collègue. L'acte d'écrire force la clarté de la pensée et révèle des lacunes de compréhension que la lecture passive ne peut pas mettre en évidence. Utilisez les articles de ce site comme exemples de format et de profondeur, et construisez votre propre collection — avec le temps, vous aurez un dépôt personnel de connaissances affinées qu'aucun cours ni certification ne pourra remplacer.
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →15 papers
Détection multi-couches en cybersécurité en 2026 : formalisation, architecture de corrélation et validation empirique face aux menaces assistées par l’IA
La détection constitue en 2026 l’un des piliers les plus déterminants de la cybersécurité opérationnelle, non seulement parce que les défenses préventives demeurent imparfaites, mais aussi parce que la surface d’attaque s’est profondément transformée sous l’effet du cloud natif, de la généralisation du travail hybride, de l’exposition accrue des chaînes d’approvisionnement logicielles et de l’industrialisation des attaques assistées par l’IA. Cet article propose une étude de fond sur la détection, envisagée comme un problème de corrélation multi-source, de réduction d’incertitude et de décision sous contraintes de coût. Nous présentons d’abord une formalisation du problème dans un cadre probabiliste et orienté graphe, puis une méthodologie de détection combinant télémétrie hôte, réseau, identité, cloud et artefacts applicatifs. L’approche met l’accent sur l’interopérabilité entre SIGMA, YARA, eBPF, OpenTelemetry, détections cloud-native, règles comportementales et enrichissement par renseignement de menace. Nous détaillons ensuite une architecture de collecte et d’analyse déployable dans des environnements modernes, incluant SIEM, XDR, data lake de sécurité et automatisation SOAR, tout en discutant les limites des approches purement signature, purement comportementales et purement fondées sur l’apprentissage automatique. Une évaluation expérimentale compare plusieurs familles de détection sur des scénarios réalistes couvrant le mouvement latéral, l’exécution de payloads fileless, l’abus d’identités cloud et l’exfiltration lente. Les résultats montrent qu’aucun mécanisme isolé ne suffit ; la meilleure performance découle d’une fusion hiérarchique des signaux, d’un calibrage fin des seuils et d’une boucle de rétroaction intégrant les analystes humains. Une étude de cas issue d’un incident d’entreprise illustre la détection d’une chaîne d’attaque moderne à faible bruit, incluant des indices faibles dispersés sur plusieurs couches. Enfin, nous discutons les implications pour les environnements à forte contrainte, la dette de détection, la gouvernance de l’IA, les faux positifs, la robustesse face aux attaques adversariales et les perspectives liées aux architectures zero trust, à l’eBPF, à la sécurité du cloud et aux modèles génératifs. L’article conclut que la détection en 2026 est moins un produit qu’une discipline d’ingénierie continue, exigeant des données fiables, une formalisation rigoureuse et une adaptation permanente à l’adversaire.
Read paper →DetectionDétection cybernétique en 2026 : une architecture hybride multi-couches pour corréler télémétrie hôte, réseau, identité et signaux IA afin de réduire le délai de détection et les faux positifs
La détection constitue, en 2026, le pivot opérationnel qui relie la prévention, la réponse à incident et la résilience adaptative. Face à la généralisation des attaques « living-off-the-land », aux campagnes de vol d’identités, aux abus d’outils cloud natifs, aux chaînes d’approvisionnement compromise et à l’usage offensif de l’IA générative pour le phishing, la détection ne peut plus se limiter à des signatures statiques ni à des règles SIEM monolithiques. Cet article propose une architecture hybride multi-couches combinant détection par comportement, détection par corrélation, modèles d’anomalie supervisés et non supervisés, ainsi qu’une couche d’indices d’abus liés à l’IA. La méthodologie s’appuie sur une formalisation du problème comme optimisation multicritère entre le taux de vrais positifs, le coût opérationnel des faux positifs et le délai moyen de détection, avec une attention particulière aux contraintes de scalabilité des environnements hybrides et des pipelines de télémétrie à fort débit. Nous décrivons une mise en œuvre réaliste fondée sur Sigma, YARA, Suricata, Zeek, Sysmon, eBPF, OpenTelemetry et des mécanismes de normalisation vers un graphe d’événements. L’évaluation, menée sur des jeux de données et scénarios représentatifs des menaces observées jusqu’en 2026, montre qu’une corrélation probabiliste enrichie par la sémantique ATT&CK améliore le rappel sur les techniques de mouvement latéral, d’exécution à distance et d’exfiltration, tout en contenant le taux de faux positifs grâce à des seuils adaptatifs et à une validation contextuelle basée sur l’identité et la posture d’actif. Un cas d’étude sur une intrusion hybride illustre le gain opérationnel obtenu par la fusion d’alertes hôte, réseau et cloud. L’article conclut par des recommandations pratiques pour la gouvernance des détections, la mesure continue de leur qualité et l’intégration des contrôles de détection dans une stratégie de défense en profondeur adaptée aux environnements dominés par l’automatisation et l’IA.
Read paper →DetectionTITRE: Architecture hybride de détection multicouches basée sur la télémétrie endpoint, réseau et mémoire avec corrélation temporelle probabiliste orientée MITRE ATT&CK
TITRE: Architecture hybride de détection multicouches basée sur la télémétrie endpoint, réseau et mémoire avec corrélation temporelle probabiliste orientée MITRE ATT&CK RÉSUMÉ: La complexité croissante des campagnes d’intrusion observées dans les environnements d’entreprise modernes met à l’épreuve les architectures traditionnelles de détection fondées sur des capteurs isolés. Les attaques contemporaines exploitent fréquemment des techniques living-off-the-land (LOLBins), des frameworks de post-exploitation largement disponibles et des canaux de commande et de contrôle obfusqués, donnant lieu à des chaînes d’événements réparties entre le réseau, l’endpoint et la mémoire volatile. Bien que des outils tels que les IDS/IPS, les EDR et les plateformes SIEM soient largement adoptés, leur intégration analytique demeure limitée par des modèles de corrélation principalement syntaxiques, incapables de capturer les dépendances temporelles et sémantiques entre des événements hétérogènes. Le framework MITRE ATT&CK s’est imposé comme une ontologie opérationnelle pour la description des tactiques, techniques et procédures (TTPs), mais son utilisation dans les systèmes de détection se limite souvent à des cartographies statiques ou à des visualisations descriptives. Dans ce travail, nous proposons une architecture hybride de détection multicouches qui intègre la télémétrie réseau, endpoint et mémoire avec un mécanisme formel de corrélation temporelle probabiliste aligné sémantiquement sur le modèle ATT&CK. L’architecture combine des capteurs largement utilisés — notamment Suricata, Sysmon, Volatility 3 et les règles Sigma/YARA — avec une couche d’ingestion basée sur Kafka et une indexation structurée selon l’Elastic Common Schema. Nous formalisons le processus de détection comme un problème d’inférence sous incertitude, modélisé par des graphes temporels pondérés dans lesquels les événements représentent des sommets annotés avec les techniques ATT&CK et les arêtes représentent des transitions sémantiquement compatibles à l’intérieur d’une fenêtre temporelle définie. Nous introduisons une fonction de risque conditionnelle qui intègre les probabilités contextuelles des techniques individuelles et les poids de transition entre TTPs, permettant d’estimer la plausibilité de chaînes d’attaque complètes. Nous démontrons analytiquement que la construction incrémentale de ces graphes peut être réalisée avec une complexité O(n log n) par fenêtre temporelle à l’aide de structures indexées par le temps. L’évaluation expérimentale a été menée à l’aide de jeux de données largement référencés dans la littérature (CIC-IDS2017 et UNSW-NB15) ainsi que de scénarios contrôlés d’exécution de malware dans un laboratoire isolé. Les résultats indiquent des améliorations constantes des métriques relatives de F1-score et une réduction qualitative du bruit opérationnel par rapport à des capteurs isolés. Des études de cas supplémentaires dans des environnements d’entreprise simulés et dans une infrastructure hospitalière démontrent une réduction du temps de détection des chaînes d’attaque impliquant le credential dumping et le mouvement latéral. Ce travail contribue par une formalisation mathématique de la corrélation temporelle orientée ATT&CK, une architecture reproductible fondée sur des outils largement adoptés et une analyse critique des limites statistiques associées à la détection d’intrusion dans des environnements à faible prévalence d’attaques.
Read paper →DetectionTITRE : Architecture hybride de détection multicouche basée sur la télémétrie de l’endpoint, du réseau et de la mémoire, avec corrélation temporelle probabiliste orientée MITRE ATT&CK
TITRE : Architecture hybride de détection multicouche basée sur la télémétrie de l’endpoint, du réseau et de la mémoire, avec corrélation temporelle probabiliste orientée MITRE ATT&CK RÉSUMÉ : La complexité croissante des campagnes d’intrusion observées dans les environnements d’entreprise modernes met au défi les architectures traditionnelles de détection fondées sur des capteurs isolés. Les attaques contemporaines exploitent fréquemment des techniques living-off-the-land (LOLBins), des frameworks de post-exploitation largement disponibles et des canaux de commande et de contrôle obfusqués, produisant des chaînes d’événements distribuées entre le réseau, l’endpoint et la mémoire volatile. Bien que des outils tels que les IDS/IPS, les EDR et les plateformes SIEM soient largement adoptés, leur intégration analytique demeure limitée par des modèles de corrélation principalement syntaxiques, incapables de capturer les dépendances temporelles et sémantiques entre événements hétérogènes. Le framework MITRE ATT&CK s’est imposé comme une ontologie opérationnelle pour la description des Tactiques, Techniques et Procédures (TTPs), mais son utilisation dans les systèmes de détection se limite souvent à des cartographies statiques ou à des visualisations descriptives. Dans ce travail, nous proposons une architecture hybride de détection multicouche qui intègre la télémétrie réseau, endpoint et mémoire avec un mécanisme formel de corrélation temporelle probabiliste aligné sémantiquement sur le modèle ATT&CK. L’architecture combine des capteurs largement utilisés — notamment Suricata, Sysmon, Volatility 3 et des règles Sigma/YARA — avec une couche d’ingestion basée sur Kafka et une indexation structurée selon l’Elastic Common Schema. Nous formalisons le processus de détection comme un problème d’inférence sous incertitude, modélisé par des graphes temporels pondérés dans lesquels les événements représentent des sommets annotés avec des techniques ATT&CK et les arêtes représentent des transitions sémantiquement compatibles à l’intérieur d’une fenêtre temporelle définie. Nous introduisons une fonction de risque conditionnel qui intègre les probabilités contextuelles des techniques individuelles et les poids de transition entre TTPs, permettant d’estimer la plausibilité de chaînes d’attaque complètes. Nous démontrons analytiquement que la construction incrémentale de ces graphes peut être réalisée avec une complexité O(n log n) par fenêtre temporelle à l’aide de structures indexées par le temps. L’évaluation expérimentale a été menée à partir de jeux de données largement cités dans la littérature (CIC-IDS2017 et UNSW-NB15) ainsi que de scénarios contrôlés d’exécution de malware dans un laboratoire isolé. Les résultats indiquent des améliorations constantes des métriques relatives de F1-score et une réduction qualitative du bruit opérationnel par rapport à des capteurs isolés. Des études de cas supplémentaires dans des environnements d’entreprise simulés et dans une infrastructure hospitalière démontrent une réduction du temps de détection de chaînes d’attaque impliquant du credential dumping et du mouvement latéral. Ce travail apporte une formalisation mathématique de la corrélation temporelle orientée ATT&CK, une architecture reproductible fondée sur des outils largement adoptés et une analyse critique des limites statistiques associées à la détection d’intrusions dans des environnements à faible prévalence d’attaques.
Read paper →DetectionTITRE: Architecture hybride fondée sur une télémétrie multicouche et une corrélation sémantique pour la détection avancée des menaces dans les environnements d’entreprise
TITRE: Architecture hybride fondée sur une télémétrie multicouche et une corrélation sémantique pour la détection avancée des menaces dans les environnements d’entreprise RÉSUMÉ: La sophistication croissante des attaques cybernétiques, conjuguée à l’expansion des infrastructures hybrides et multicloud, impose des défis substantiels aux opérations modernes de sécurité (Security Operations Centers – SOCs). Les techniques d’attaque contemporaines exploitent des vulnérabilités zero-day, l’abus d’identités légitimes, les living-off-the-land binaries (LOLBins) et des chaînes complexes de mouvement latéral, souvent réparties entre les endpoints, les réseaux d’entreprise et les services cloud. Dans ce contexte, les mécanismes traditionnels fondés exclusivement sur des signatures ou sur la détection isolée d’anomalies montrent des limites significatives, notamment en matière de scalabilité opérationnelle et de réduction des faux positifs. Cet article présente une architecture hybride de détection fondée sur une télémétrie multicouche et une corrélation sémantique des événements orientée par des graphes de Tactics, Techniques and Procedures (TTPs) dérivés du framework MITRE ATT&CK. La proposition intègre des capteurs réseau, la télémétrie des endpoints, les événements d’identité et les journaux provenant d’environnements cloud-native, en incorporant des composants contemporains tels que l’instrumentation basée sur eBPF et l’intégration avec des plateformes CNAPP (Cloud-Native Application Protection Platform). Nous formalisons le processus de détection comme un problème d’inférence sur des graphes dynamiques d’événements, dans lequel des séquences d’activités observables sont mappées vers des techniques ATT&CK et corrélées sémantiquement afin d’identifier des chaînes d’attaque. Le modèle combine trois paradigmes complémentaires: la détection fondée sur des signatures (YARA et Suricata), des règles comportementales structurées (Sigma) et l’analyse statistique de motifs comportementaux. Nous évaluons expérimentalement l’architecture à l’aide d’un ensemble de données composé de benchmarks académiques largement utilisés (UNSW-NB15 et CIC-IDS2017) et de campagnes contrôlées de red teaming menées dans un environnement d’entreprise simulé. Les résultats indiquent une amélioration significative des métriques de performance: précision de 0,89, rappel de 0,83 et F1-score de 0,86, ainsi qu’une réduction de 38,2 % du taux de faux positifs par rapport aux approches isolées. On observe également une diminution du temps moyen de détection (MTTD) de 6,1 à 4,2 minutes. Les résultats montrent que la corrélation sémantique fondée sur des graphes de TTPs, combinée à une télémétrie multicouche, constitue une approche prometteuse pour renforcer l’efficacité opérationnelle des SOCs contemporains dans des scénarios d’entreprise complexes.
Read paper →DetectionDétection adaptative multiniveau des menaces cybernétiques fondée sur la fusion bayésienne de la télémétrie et des graphes temporels d’attaque
TITLE: Détection adaptative multiniveau des menaces cybernétiques fondée sur la fusion bayésienne de la télémétrie et des graphes temporels d’attaque ABSTRACT: La complexité croissante des infrastructures numériques contemporaines, caractérisées par des environnements cloud hybrides, des architectures distribuées et des flux massifs de télémétrie opérationnelle, impose des défis substantiels à la détection précoce des menaces cybernétiques. Les systèmes traditionnels de gestion des événements et des informations de sécurité (SIEM), fondés sur des règles déterministes, présentent des limitations structurelles dans l’identification des campagnes multi-étapes, en particulier lorsque des adversaires utilisent des identifiants légitimes, des déplacements latéraux discrets et des techniques d’évasion. Parallèlement, les approches purement fondées sur l’apprentissage automatique souffrent souvent d’une dégradation sous des changements de distribution et manquent d’interprétabilité opérationnelle. Dans ce travail, nous présentons une architecture de détection adaptative multiniveau qui intègre une fusion bayésienne incrémentale des preuves avec une modélisation structurelle basée sur des graphes temporels d’attaque. La proposition permet de corréler une télémétrie hétérogène provenant des endpoints, des réseaux, des identités et des environnements cloud, tout en conservant des dépendances temporelles explicites entre les événements et un alignement sémantique avec la taxonomie MITRE ATT&CK. Nous formalisons le problème comme une inférence probabiliste sur des chaînes d’attaque dans un graphe dynamique $G_t=(V_t,E_t,w_t)$, dans lequel les poids représentent des probabilités conditionnelles de comportement malveillant. Nous avons développé un mécanisme de mise à jour bayésienne incrémentale capable de traiter des flux supérieurs à $10^6$ événements par minute, tout en maintenant la convergence probabiliste et une faible latence opérationnelle. L’implémentation a été réalisée sur une architecture de traitement en flux fondée sur Apache Kafka et Apache Flink, avec persistance des graphes dans Neo4j et gestion de l’état dans RocksDB. Des évaluations expérimentales ont été menées à l’aide des jeux de données UNSW-NB15, CIC-IDS2017 et d’un corpus d’entreprise anonymisé contenant environ 400 millions d’événements. En comparaison avec des approches fondées sur des règles, Random Forest et des réseaux LSTM, la méthode proposée a atteint une précision moyenne de 0,91, un recall de 0,88 et un F1-score de 0,89, tout en réduisant le taux de faux positifs de 42 % par rapport aux systèmes SIEM conventionnels. Les résultats montrent que la fusion probabiliste de la télémétrie, combinée à la représentation structurelle des chaînes d’attaque, offre des gains substantiels en robustesse, interprétabilité et scalabilité. Nous discutons également des implications pour les architectures modernes de sécurité cloud, l’intégration avec les plateformes CNAPP et les limites associées à la modélisation a priori des hypothèses adversariales.
Read paper →DetectionTITRE: Détection adaptative multiniveau des menaces cybernétiques fondée sur la fusion bayésienne de la télémétrie et des graphes temporels d’attaque
TITRE: Détection adaptative multiniveau des menaces cybernétiques fondée sur la fusion bayésienne de la télémétrie et des graphes temporels d’attaque RÉSUMÉ: La complexité croissante des infrastructures numériques contemporaines, caractérisées par des environnements cloud hybrides, des architectures distribuées et des flux massifs de télémétrie opérationnelle, impose des défis substantiels à la détection précoce des menaces cybernétiques. Les systèmes traditionnels de gestion des informations et des événements de sécurité (SIEM) fondés sur des règles déterministes présentent des limitations structurelles dans l’identification de campagnes multi-étapes, en particulier lorsque des adversaires utilisent des identifiants légitimes, des mouvements latéraux discrets et des techniques d’évasion. Parallèlement, les approches purement fondées sur l’apprentissage automatique souffrent fréquemment d’une dégradation en cas de changement de distribution et manquent d’interprétabilité opérationnelle. Dans ce travail, nous présentons une architecture de détection adaptative multiniveau qui intègre une fusion bayésienne incrémentale d’évidences avec une modélisation structurelle basée sur des graphes temporels d’attaque. La proposition permet de corréler une télémétrie hétérogène provenant des endpoints, des réseaux, des identités et des environnements cloud, tout en maintenant des dépendances temporelles explicites entre les événements et un alignement sémantique avec la taxonomie MITRE ATT&CK. Nous formalisons le problème comme une inférence probabiliste sur des chaînes d’attaque dans un graphe dynamique G_t=(V_t,E_t,w_t), dans lequel les poids représentent des probabilités conditionnelles de comportement malveillant. Nous développons un mécanisme de mise à jour bayésienne incrémentale capable de traiter des flux supérieurs à 10^6 événements par minute, tout en maintenant une convergence probabiliste et une faible latence opérationnelle. L’implémentation a été réalisée sur une architecture de traitement en flux fondée sur Apache Kafka et Apache Flink, avec persistance des graphes dans Neo4j et gestion d’état dans RocksDB. Des évaluations expérimentales ont été menées à l’aide des jeux de données UNSW-NB15, CIC-IDS2017 et d’un corpus d’entreprise anonymisé contenant environ 400 millions d’événements. En comparaison avec des approches fondées sur des règles, Random Forest et des réseaux LSTM, la méthode proposée a atteint une précision moyenne de 0,91, un rappel de 0,88 et un F1-score de 0,89, en plus de réduire le taux de faux positifs de 42 % par rapport aux systèmes SIEM conventionnels. Les résultats montrent que la fusion probabiliste de la télémétrie, combinée à la représentation structurelle des chaînes d’attaque, offre des gains substantiels en robustesse, interprétabilité et évolutivité. Nous discutons également des implications pour les architectures modernes de sécurité cloud, l’intégration avec les plateformes CNAPP et des limitations associées à la modélisation préalable des hypothèses adversariales.
Read paper →DetectionTITRE: Architecture hybride multicouches pour la détection proactive des menaces avancées basée sur la corrélation sémantique, la télémétrie multiorigine et des modèles statistiques adaptatifs
TITRE: Architecture hybride multicouches pour la détection proactive des menaces avancées basée sur la corrélation sémantique, la télémétrie multiorigine et des modèles statistiques adaptatifs RÉSUMÉ: La détection efficace des menaces avancées demeure l’un des principaux défis opérationnels de la cybersécurité contemporaine. Les environnements d’entreprise modernes sont caractérisés par des infrastructures hybrides combinant des ressources on-premise, des clouds publics et des workloads conteneurisés, générant des volumes massifs de télémétrie hétérogène provenant des endpoints, des réseaux et des plateformes d’identité. Dans ce contexte, les mécanismes de détection traditionnels, fondés exclusivement sur des signatures, présentent des limites significatives face aux attaques multi-étapes, aux malwares fileless et aux techniques living-off-the-land. Ce travail propose une architecture hybride multicouches pour la détection proactive des menaces avancées, intégrant une corrélation sémantique basée sur l’ontologie MITRE ATT&CK, une analyse temporelle des événements et des modèles statistiques adaptatifs pour l’identification de comportements anormaux. Nous formalisons le problème de détection comme l’inférence probabiliste de chaînes d’attaque dans des flux d’événements hétérogènes, en tenant compte de contraintes opérationnelles de latence et de taux acceptables de faux positifs. L’architecture proposée organise le processus de détection en trois couches principales : (i) la collecte et la normalisation de télémétrie multiorigine provenant de capteurs réseau, d’agents endpoint et de journaux d’identité ; (ii) la corrélation sémantique basée sur des graphes de techniques ATT&CK, capable d’identifier des séquences plausibles d’activités adverses ; et (iii) la modélisation statistique adaptative utilisant des algorithmes de détection d’anomalies, tels que Isolation Forest, afin d’identifier des écarts comportementaux non observés auparavant. Nous avons implémenté un prototype opérationnel en utilisant Elastic Stack, Suricata, Sysmon et Wazuh, intégrés à des sources de renseignement sur les menaces via MISP. L’évaluation expérimentale a été menée dans un environnement contrôlé contenant plusieurs machines virtuelles Windows et Linux, dans lequel des scénarios d’attaque réalistes ont été exécutés à l’aide d’outils largement documentés dans la littérature en sécurité offensive, notamment Metasploit, Cobalt Strike et Mimikatz. Les résultats démontrent une amélioration substantielle du temps moyen de détection (MTTD), ainsi qu’une couverture accrue des techniques ATT&CK par rapport aux approches reposant exclusivement sur des IDS réseau. Nous avons observé une réduction d’environ 37 % du MTTD et une augmentation de 21 % de la couverture des techniques détectées. Les résultats indiquent que les architectures hybrides combinant corrélation sémantique, analyse statistique et télémétrie distribuée constituent une approche prometteuse pour les opérations modernes de Security Operations Center (SOC), en particulier dans les environnements hybrides et cloud-native.
Read paper →DetectionDÉTECTION ADAPTATIVE MULTICOUCHE DES MENACES AVANCÉES BASÉE SUR LA FUSION BAYÉSIENNE DE TÉLÉMÉTRIE HÉTÉROGÈNE ET DE GRAPHES TEMPORELS
TITLE: DÉTECTION ADAPTATIVE MULTICOUCHE DES MENACES AVANCÉES BASÉE SUR LA FUSION BAYÉSIENNE DE TÉLÉMÉTRIE HÉTÉROGÈNE ET DE GRAPHES TEMPORELS ABSTRACT: La sophistication croissante des menaces cybernétiques en 2025, y compris les attaques multi-étapes, l’exploitation de vulnérabilités zero-day, les compromissions de chaîne d’approvisionnement, l’abus d’identités et l’exploitation de modèles d’intelligence artificielle générative, impose des défis substantiels aux mécanismes traditionnels de détection. Dans ce travail, nous proposons une architecture de détection adaptative multicouche fondée sur la fusion bayésienne récursive de télémétrie hétérogène et la modélisation structurelle par graphes temporels dynamiques. Nous formalisons le problème comme une inférence sur un processus latent binaire représentant la présence d’activité malveillante au cours du temps, estimé à partir d’événements observables provenant du réseau, des endpoints, de l’identité, des applications et des workloads dans le cloud. La méthodologie intègre (i) la normalisation sémantique des événements, (ii) l’extraction de caractéristiques statistiques et structurelles, (iii) la construction incrémentale de graphes temporels et (iv) l’inférence bayésienne avec mise à jour en log-vraisemblance pour la stabilité numérique. Nous introduisons également un détecteur structurel fondé sur la divergence de Kullback–Leibler entre les distributions de métriques topologiques observées et des baselines historiques. Nous évaluons empiriquement le modèle sur des jeux de données publics largement utilisés (CIC-IDS2017 et UNSW-NB15) ainsi que sur un jeu de données d’entreprise contenant 2,3 milliards d’événements anonymisés, en le comparant à Random Forest, XGBoost et LSTM. Les résultats indiquent une amélioration statistiquement significative du F1-score et une réduction cohérente du taux de faux positifs ainsi que du temps moyen de détection du mouvement latéral. Nous discutons des implications dans des environnements Zero Trust et CNAPP, de la robustesse face au concept drift et des risques d’empoisonnement des données. Nous démontrons que la fusion probabiliste cohérente de multiples preuves faibles, combinée à l’analyse structurelle de graphes temporels, fournit des gains substantiels en précision et en latence tout en maintenant une scalabilité opérationnelle dans les architectures distribuées modernes.
Read paper →DetectionDétection adaptative des menaces persistantes avancées par modélisation temporelle multimodale et inférence probabiliste à grande échelle
Détection adaptative des menaces persistantes avancées par modélisation temporelle multimodale et inférence probabiliste à grande échelle La sophistication croissante des Menaces Persistantes Avancées (APTs) dans des environnements hybrides et cloud-natifs impose des défis substantiels à la détection précoce des compromissions. En 2025, le paysage opérationnel intègre des architectures multi-cloud, des CNAPP (Cloud-Native Application Protection Platforms), des charges de travail éphémères, de la télémétrie via eBPF et des risques émergents associés aux modèles de langage de grande taille (LLMs). Dans ce travail, nous proposons un modèle formel pour la détection adaptative des APTs fondé sur l’intégration entre des graphes dynamiques multimodaux et des processus de Hawkes multivariés, structuré sous une perspective bayésienne explicite. Nous formalisons le flux d’événements comme une séquence temporelle hétérogène et modélisons la propagation de l’activité malveillante comme un processus auto-excitateur avec des contraintes de stabilité spectrale. La décision optimale est dérivée sous perte 0–1 avec une limitation explicite du taux de faux positifs, traitant le problème fondamental de taux de base. Nous implémentons l’architecture dans un environnement distribué avec Apache Kafka, Apache Flink et un stockage distribué, en incorporant une extraction de télémétrie basée sur eBPF et un enrichissement contextuel aligné sur MITRE ATT&CK. Nous évaluons le modèle sur les jeux de données CIC-IDS2017, DARPA Transparent Computing et sur un dataset d’entreprise anonymisé contenant 2,3 milliards d’événements. Les résultats démontrent un gain statistiquement significatif (p < 0,01) en F1-score, une réduction de 38 % du taux de faux positifs et une AUC de 0,97 par rapport à des baselines telles que Isolation Forest, LSTM et les règles Sigma. Nous discutons également des implications pour la sécurité des systèmes basés sur l’IA, la gouvernance des modèles et l’intégration avec des contrôles post-quantiques émergents. Nous concluons que la modélisation probabiliste relationnelle fournit une base théorique robuste et opérationnellement viable pour la détection adaptative à grande échelle, compatible avec les exigences contemporaines d’observabilité, de conformité et de résilience cybernétique.
Read paper →DetectionTITRE: Détection adaptative des menaces persistantes avancées par modélisation temporelle multimodale et inférence probabiliste à grande échelle
TITRE: Détection adaptative des menaces persistantes avancées par modélisation temporelle multimodale et inférence probabiliste à grande échelle RÉSUMÉ: La sophistication croissante des menaces persistantes avancées (APTs) dans les environnements hybrides et natifs du cloud impose des défis substantiels à la détection précoce des compromissions. En 2025, le paysage opérationnel intègre des architectures multi-cloud, des CNAPP (Cloud-Native Application Protection Platforms), des charges de travail éphémères, de la télémétrie via eBPF et des risques émergents associés aux grands modèles de langage (LLMs). Dans ce travail, nous proposons un modèle formel de détection adaptative des APTs fondé sur l’intégration de graphes dynamiques multimodaux et de processus de Hawkes multivariés, structuré dans une perspective bayésienne explicite. Nous formalisons le flux d’événements comme une séquence temporelle hétérogène et modélisons la propagation de l’activité malveillante comme un processus auto-excitant soumis à des contraintes de stabilité spectrale. La décision optimale est dérivée sous perte 0–1 avec une contrainte explicite sur le taux de faux positifs, affrontant le problème fondamental du base rate. Nous implémentons l’architecture dans un environnement distribué avec Apache Kafka, Apache Flink et un stockage distribué, en incorporant une extraction de télémétrie basée sur eBPF et un enrichissement contextuel aligné sur MITRE ATT&CK. Nous évaluons le modèle sur les jeux de données CIC-IDS2017, DARPA Transparent Computing et sur un jeu de données d’entreprise anonymisé contenant 2,3 milliards d’événements. Les résultats montrent un gain statistiquement significatif (p < 0,01) en F1-score, une réduction de 38 % du taux de faux positifs et une AUC de 0,97 par rapport à des baselines telles qu’Isolation Forest, LSTM et les règles Sigma. Nous discutons également des implications pour la sécurité des systèmes basés sur l’IA, la gouvernance des modèles et l’intégration avec les contrôles post-quantiques émergents. Nous concluons que la modélisation probabiliste relationnelle fournit une base théorique robuste et opérationnellement viable pour une détection adaptative à grande échelle, compatible avec les exigences contemporaines d’observabilité, de conformité et de résilience cybernétique.
Read paper →DetectionTITRE: DÉTECTION ADAPTATIVE MULTICOUCHE DES MENACES AVANCÉES BASÉE SUR LA FUSION PROBABILISTE ET L’APPRENTISSAGE CONTINU DANS DES ENVIRONNEMENTS D’ENTREPRISE HÉTÉROGÈNES
TITRE: DÉTECTION ADAPTATIVE MULTICOUCHE DES MENACES AVANCÉES BASÉE SUR LA FUSION PROBABILISTE ET L’APPRENTISSAGE CONTINU DANS DES ENVIRONNEMENTS D’ENTREPRISE HÉTÉROGÈNES RÉSUMÉ: La détection des menaces dans les environnements d’entreprise contemporains est devenue un problème structurellement complexe en raison de la convergence entre infrastructures hybrides, architectures multicloud, dispositifs mobiles, workloads conteneurisés, surfaces exposées par des API et intégration croissante de systèmes fondés sur l’intelligence artificielle. Des rapports récents indiquent que les identifiants compromis, l’exploitation de vulnérabilités connues et l’abus d’outils légitimes continuent de figurer parmi les principaux vecteurs d’intrusion, tandis que le temps moyen de présence de l’attaquant (dwell time) reste significatif, ce qui met en évidence les limites des mécanismes traditionnels de détection (VERIZON, 2024; MANDIANT, 2023). Dans ce travail, nous formalisons le problème de la détection quasi en temps réel comme une inférence probabiliste sur un état latent de compromission systémique, modélisé par un processus de Markov et estimé via la fusion d’évidences hétérogènes provenant de multiples couches télémétriques. Nous proposons le framework AMuLeT (Adaptive Multi-Layer Threat detection), qui combine des classificateurs supervisés et des autoencodeurs par couche, intégrés au moyen d’une règle de rapport de vraisemblance logarithmique sous l’hypothèse d’indépendance conditionnelle approximative. Nous introduisons également un mécanisme d’apprentissage continu avec régularisation élastique afin d’atténuer le concept drift et l’évolution adversariale, tout en préservant les paramètres historiquement pertinents. Nous évaluons empiriquement l’approche sur des jeux de données publics largement utilisés et sur un jeu de données d’entreprise à grande échelle, totalisant des milliards d’événements. Les résultats démontrent des gains statistiquement significatifs en AUC, F1-score, taux de faux positifs et réduction du temps moyen de détection, par comparaison avec des modèles isolés. Nous discutons les implications pratiques à la lumière des recommandations du NIST et des tendances contemporaines telles que CNAPP, eBPF et la sécurité des grands modèles de langage, en traçant des extensions futures impliquant des graphes dynamiques et l’apprentissage fédéré avec des garanties formelles de confidentialité différentielle.
Read paper →DetectionDÉTECTION ADAPTATIVE MULTICOUCHE DE MENACES AVANCÉES BASÉE SUR LA FUSION PROBABILISTE ET L’APPRENTISSAGE CONTINU DANS DES ENVIRONNEMENTS D’ENTREPRISE HÉTÉROGÈNES
DÉTECTION ADAPTATIVE MULTICOUCHE DE MENACES AVANCÉES BASÉE SUR LA FUSION PROBABILISTE ET L’APPRENTISSAGE CONTINU DANS DES ENVIRONNEMENTS D’ENTREPRISE HÉTÉROGÈNES La détection de menaces dans les environnements d’entreprise contemporains est devenue un problème structurellement complexe en raison de la convergence entre infrastructures hybrides, architectures multicloud, dispositifs mobiles, workloads conteneurisés, surfaces exposées par API et intégration croissante de systèmes fondés sur l’intelligence artificielle. Des rapports récents indiquent que les identifiants compromis, l’exploitation de vulnérabilités connues et l’abus d’outils légitimes continuent de figurer parmi les principaux vecteurs d’intrusion, tandis que le temps moyen de présence de l’attaquant (dwell time) demeure significatif, mettant en évidence les limitations des mécanismes traditionnels de détection (VERIZON, 2024; MANDIANT, 2023). Dans ce travail, nous formalisons le problème de la détection quasi en temps réel comme une inférence probabiliste sur un état latent de compromission systémique, modélisé par un processus de Markov et estimé via la fusion d’évidences hétérogènes provenant de multiples couches télémétriques. Nous proposons le framework AMuLeT (Adaptive Multi-Layer Threat detection), qui combine des classificateurs supervisés et des autoencodeurs par couche, intégrés au moyen d’une règle de rapport de vraisemblance logarithmique sous l’hypothèse d’indépendance conditionnelle approximative. Nous introduisons également un mécanisme d’apprentissage continu avec régularisation élastique afin d’atténuer le concept drift et l’évolution adversariale, tout en préservant des paramètres historiquement pertinents. Nous évaluons empiriquement l’approche sur des datasets publics largement utilisés ainsi que sur un dataset d’entreprise à grande échelle, totalisant des milliards d’événements. Les résultats démontrent des gains statistiquement significatifs en AUC, F1-score, taux de faux positifs et réduction du temps moyen de détection, lorsqu’ils sont comparés à des modèles isolés. Nous discutons les implications pratiques à la lumière des recommandations du NIST et de tendances contemporaines telles que CNAPP, eBPF et la sécurité des modèles de langage de grande taille, en esquissant des extensions futures impliquant des graphes dynamiques et l’apprentissage fédéré avec des garanties formelles de confidentialité différentielle.
Read paper →DetectionDétection Hybride et Adaptative des Menaces Cybernétiques dans les Environnements d’Entreprise Utilisant une Corrélation Temporelle Multiniveau et un Apprentissage Représentationnel Auto-Supervisé
TITLE: Détection Hybride et Adaptative des Menaces Cybernétiques dans les Environnements d’Entreprise Utilisant une Corrélation Temporelle Multiniveau et un Apprentissage Représentationnel Auto-Supervisé ABSTRACT: La détection des menaces cybernétiques dans les environnements d’entreprise contemporains exige des mécanismes capables de corréler des événements hétérogènes, de modéliser des dépendances temporelles complexes et de s’adapter à des adversaires qui exploitent des identifiants valides, des techniques fileless et des chaînes multi‑étapes alignées sur MITRE ATT&CK. Dans ce travail, nous proposons une architecture hybride qui intègre l’apprentissage représentationnel auto‑supervisé, la modélisation temporelle hiérarchique et la corrélation probabiliste dans des graphes dynamiques, visant à réduire les faux positifs sans compromettre la sensibilité sous dérive conceptuelle. Nous formalisons le problème comme l’estimation de $P(Y=1 \mid G_{t-k:t})$, où $G_{t-k:t}$ représente une fenêtre glissante de graphes temporels extraits de multiples sources de télémétrie (journaux d’authentification, événements d’endpoint, flux réseau et télémétrie cloud). Le composant auto‑supervisé se base sur la prédiction contextuelle temporelle avec des Transformers légers, permettant l’apprentissage d’embeddings sémantiques robustes en l’absence de labels abondants. L’étape de corrélation multiniveau utilise des potentiels log‑linéaires définis sur des sous‑graphes cohérents avec les techniques ATT&CK, assurant une interprétabilité opérationnelle. Nous avons implémenté la solution sur une infrastructure distribuée avec Apache Kafka, Apache Flink, PyTorch et Neo4j, atteignant un débit soutenu de 120 mille événements par seconde sur un cluster de 24 nœuds. Nous avons évalué le modèle sur les jeux de données CIC-IDS2017, LANL Cybersecurity Dataset et sur un ensemble d’entreprise contenant 4,2 milliards d’événements. Nous avons observé une AUC moyenne de 0,982, un F1 de 0,941, un TPR de 96,4 % et un FPR de 3,1 %, représentant une réduction relative de 38 % des faux positifs par rapport à des baselines telles que Isolation Forest, DeepLog et les autoencodeurs LSTM ($p < 0{,}01$). Nous discutons des implications pour l’intégration avec les plateformes SIEM et CNAPP, ainsi que des extensions impliquant l’apprentissage fédéré avec confidentialité différentielle et robustesse adversariale. Les résultats démontrent que la combinaison de représentation auto‑supervisée et de corrélation structurelle probabiliste constitue une approche prometteuse pour la détection adaptative à grande échelle jusqu’à l’état de l’art de 2025.
Read paper →DetectionDétection Adaptative Multiniveau de Menaces Persistantes Avancées par Corrélation Probabiliste de Télémétrie Hétérogène
ResponseOrchestration ResponseOrchestration --> Idle ``` Chaque transition correspond à l’intégration d’un nouvel événement télémétrique dans la distribution probabiliste. Théorème de cohérence probabiliste Nous montrons que le moteur d’inférence converge vers une distribution cohérente si les observations sont indépendantes conditionnellement. Soit un ensemble d’observations $T = \{T_1,...,T_n\}$. La distribution jointe est : $$ P(A | T) = \frac{P(A)\prod_{i=1}^{n}P(T_i|A)}{\sum_{A'}P(A')\prod_{i=1}^{n}P(T_i|A')} $$ Preuve (esquisse) 1. Supposons l’indépendance conditionnelle : $$ P(
Read paper →