Research / Paper Files
Paper Files
Paper Files est une pratique personnelle d'étude continue en cybersécurité qui applique la méthode scientifique comme outil d'apprentissage. Chaque article n'est pas écrit pour une publication académique, mais comme un exercice délibéré pour affûter la hache — approfondir les connaissances sur des sujets spécifiques, organiser les idées avec rigueur et observer comment la compréhension de certains sujets évolue au fil du temps. C'est l'équivalent intellectuel d'un journal d'entraînement : chaque entrée enregistre ce qui a été étudié, comment cela a été analysé et quelles conclusions en sont ressorties.
Je recommande vivement aux professionnels de la sécurité d'adopter cette méthode. Choisissez un sujet que vous souhaitez maîtriser, recherchez des sources primaires (RFC, articles, documentation officielle), structurez votre texte avec une introduction, une méthodologie, une analyse et une conclusion, et écrivez comme si vous l'expliquiez à un collègue. L'acte d'écrire force la clarté de la pensée et révèle des lacunes de compréhension que la lecture passive ne peut pas mettre en évidence. Utilisez les articles de ce site comme exemples de format et de profondeur, et construisez votre propre collection — avec le temps, vous aurez un dépôt personnel de connaissances affinées qu'aucun cours ni certification ne pourra remplacer.
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →12 papers
Recherche opérationnelle en cybersécurité à l’ère de l’IA générative : cadre méthodologique, instrumentation défensive et évaluation empirique en environnement hybride 2026
Cet article propose un cadre de recherche appliquée en cybersécurité, conçu pour répondre aux contraintes opérationnelles de 2026 : surfaces d’attaque hybrides, généralisation du cloud-native, industrialisation des ransomwares, usage offensif des modèles de langage, montée en puissance du Zero Trust, et intégration de l’observabilité eBPF dans les chaînes de détection. L’objectif n’est pas de traiter la « recherche » comme un concept abstrait, mais comme une discipline d’ingénierie sécuritaire permettant de produire des résultats reproductibles, auditables et transférables vers la défense. Nous formalisons un modèle de menace multi-acteurs couvrant adversaires opportunistes, groupes e-crime organisés et opérateurs soutenus par l’État, puis nous définissons une méthodologie en quatre couches : collecte télémétrique, enrichissement contextuel, détection hybride et validation expérimentale. Le cadre combine des signaux réseau, hôte, identité et application, avec une attention particulière aux environnements Kubernetes, aux identités fédérées, aux charges de travail conteneurisées et aux flux IA/LLM. Nous présentons une implémentation de référence intégrant Zeek, Suricata, Sigma, EDR, journaux cloud, OpenTelemetry et eBPF, et nous décrivons un protocole d’évaluation fondé sur des scénarios réalistes tels que le phishing assisté par IA, l’exfiltration discrète via services légitimes et les mouvements latéraux fondés sur l’identité. Les résultats montrent que l’approche multi-signal réduit les faux positifs et améliore la couverture sur des attaques à faible et moyenne intensité, en particulier lorsque les événements sont corrélés par graphe et temporellement fenêtrés. Une étude de cas sur une entreprise hybride illustre la transition d’une détection réactive vers une posture de recherche continue, alignée avec les contraintes de conformité, de gouvernance IA et de résilience opérationnelle. L’article conclut par des recommandations concrètes pour institutionnaliser la recherche en cybersécurité comme capacité permanente de défense, et non comme activité ponctuelle de laboratoire.
Read paper →ResearchRecherche opérationnelle en cybersécurité à l’ère de l’IA générative, du zero trust et du brouillage des chaînes d’attaque : méthodologie reproductible pour l’identification, la validation et la priorisation des vulnérabilités en environnements hybrides
Cette étude propose une méthodologie de recherche appliquée en cybersécurité destinée à l’identification, la validation et la priorisation des vulnérabilités dans des environnements hybrides comprenant postes de travail, conteneurs, services cloud et surfaces exposées à l’Internet. En 2026, l’évolution rapide des menaces, l’industrialisation des chaînes d’exploitation, l’usage offensif de l’IA générative pour l’ingénierie sociale et la complexification des architectures zero trust imposent une recherche qui dépasse la simple observation passive. L’article formalise un pipeline reproductible combinant collecte de télémétrie, modélisation de surface d’attaque, enrichissement par intelligence de menace, expérimentation contrôlée et mesure de robustesse défensive. L’approche articule des techniques d’attaque et de défense historiquement disponibles jusqu’en 2026, notamment l’analyse de configurations Kubernetes, l’exploitation de mauvaises expositions d’API, le contrôle des dépendances logicielles, le durcissement eBPF et l’évaluation de chaînes de validation LLM. La contribution principale est une méthodologie de recherche structurée autour d’un cadre de risque $R = P(A) \times I(A) \times E(A)$, où la probabilité, l’impact et l’exploitabilité sont estimés à partir d’observations instrumentées. Nous décrivons un protocole expérimental intégrant des outils concrets tels que nmap, nuclei, trivy, kube-bench, semgrep, Falco et Open Policy Agent, puis nous illustrons son application sur un environnement de laboratoire représentatif d’une entreprise de taille intermédiaire. Les résultats montrent que la combinaison d’une approche topologique et d’une analyse comportementale réduit significativement le temps moyen de détection des expositions critiques et améliore la priorisation des correctifs. Au-delà des résultats techniques, l’article discute les implications méthodologiques pour la recherche académique et industrielle en 2026 : reproductibilité, mesure des faux positifs, gouvernance de l’IA, sécurité post-quantique et intégration de la chasse aux menaces dans les cycles DevSecOps. L’objectif est de fournir un cadre scientifique et opérationnel suffisamment précis pour être réutilisé dans des études empiriques, des programmes de red team autorisés et des dispositifs de défense continue.
Read paper →ResearchTITRE: Une Architecture Formelle et Évolutive pour la Détection Proactive des Menaces Basée sur la Corrélation Temporelle Multicouche et l’Apprentissage Statistique Robuste
TITRE: Une Architecture Formelle et Évolutive pour la Détection Proactive des Menaces Basée sur la Corrélation Temporelle Multicouche et l’Apprentissage Statistique Robuste RÉSUMÉ: La sophistication croissante des campagnes d’attaque multi-étapes, caractérisées par des mouvements latéraux furtifs et l’exploitation de vulnérabilités zero-day, pose des défis substantiels aux mécanismes traditionnels de détection fondés sur des signatures ou des règles statiques. Dans ce travail, nous proposons une architecture formelle pour la détection proactive des menaces qui intègre une corrélation temporelle multicouche à une modélisation statistique robuste orientée événements. Notre approche combine des graphes de dépendance causale, des embeddings comportementaux et une inférence bayésienne afin d’identifier des chaînes d’attaque associées à des techniques du MITRE ATT&CK, même en présence de bruit et d’évasion adversariale. Nous formalisons le problème comme une tâche d’inférence sur des graphes dynamiques G_t = (V_t, E_t) et démontrons que la détection peut être modélisée comme une maximisation de vraisemblance sous contraintes structurelles. Nous avons implémenté un prototype distribué capable de traiter 1,8 million d’événements par seconde sur un cluster de 12 nœuds. Nous avons évalué le système à l’aide des jeux de données DARPA TC, UNSW-NB15 et de traces réelles d’environnement d’entreprise comportant 4,2 milliards d’événements. Comparée aux SIEM traditionnels et aux modèles LSTM purs, notre solution a réduit le taux de faux positifs de 37,4 %, augmenté le score F1 moyen de 0,81 à 0,92 et détecté des mouvements latéraux avec une latence moyenne de 4,3 secondes. Nous démontrons également une robustesse face aux techniques d’obfuscation associées aux tactiques T1027 et T1070. Les résultats indiquent que la combinaison d’une formalisation mathématique rigoureuse et de l’ingénierie de systèmes distribués est essentielle pour faire face aux menaces avancées persistantes dans des environnements à grande échelle.
Read paper →ResearchTITRE: Architecture hybride basée sur une télémétrie multicouche et une corrélation temporelle pour la détection proactive des menaces persistantes avancées dans les environnements d’entreprise
TITRE: Architecture hybride basée sur une télémétrie multicouche et une corrélation temporelle pour la détection proactive des menaces persistantes avancées dans les environnements d’entreprise RÉSUMÉ: La détection des menaces persistantes avancées (APTs) demeure l’un des plus grands défis opérationnels en cybersécurité, en particulier dans les environnements d’entreprise hybrides qui combinent une infrastructure on-premises, des workloads cloud et des endpoints distribués. Des rapports récents de Mandiant et de Verizon indiquent que le temps de résidence moyen (dwell time) des attaquants sophistiqués dépasse encore 16 jours dans des environnements matures et peut excéder 200 jours dans des organisations offrant une faible visibilité. Ce travail propose une architecture hybride fondée sur une télémétrie multicouche et une corrélation temporelle probabiliste pour la détection proactive des APTs, intégrant des logs réseau (Suricata), de la télémétrie d’endpoint (Sysmon), de la mémoire volatile (Volatility), des règles comportementales (Sigma) et des signatures personnalisées (YARA), combinées au moyen d’un modèle formel de graphe temporel orienté pondéré. Notre méthodologie introduit un mécanisme de scoring du risque basé sur la centralité temporelle et l’enchaînement de TTPs alignés sur le framework MITRE ATT&CK, modélisé comme un problème de détection de chemins critiques dans des graphes dynamiques. Nous évaluons la proposition dans un environnement expérimental contenant 12 scénarios d’attaque réels (y compris des émulations d’APT29, de FIN7 et l’exploitation de CVE-2021-44228 – Log4Shell), totalisant 4,3 To de télémétrie collectée sur 60 jours. Les résultats démontrent un taux de détection (TPR) de 94,7 % avec un taux de faux positifs (FPR) de 3,2 %, surpassant les approches fondées exclusivement sur des règles (TPR de 71,4 %) et les modèles isolés de machine learning (TPR de 88,1 %). Le temps moyen de détection a été réduit de 11,2 jours à 36 heures. La principale contribution réside dans la formalisation mathématique de la corrélation temporelle orientée TTPs et dans la validation pratique dans un environnement opérationnel réaliste. Nous démontrons que l’intégration structurée entre une télémétrie hétérogène et une modélisation temporelle accroît significativement la capacité défensive, offrant des implications pratiques directes pour les SOCs (Security Operations Centers) et les équipes de threat hunting.
Read paper →ResearchArchitecture hybride évolutive pour la détection et la chasse aux menaces basée sur une télémétrie multicouche et une corrélation orientée MITRE ATT&CK
Architecture hybride évolutive pour la détection et la chasse aux menaces basée sur une télémétrie multicouche et une corrélation orientée MITRE ATT&CK L’expansion accélérée des environnements numériques d’entreprise, portée par l’adoption du cloud computing, des architectures hybrides, des microservices et des intégrations via API, a profondément transformé le paysage de la sécurité de l’information. La surface d’attaque contemporaine est devenue hautement distribuée et dynamique, ce qui complique la détection précoce des intrusions par des mécanismes traditionnels reposant exclusivement sur des signatures. Les attaques modernes suivent fréquemment des chaînes complexes de tactiques, techniques et procédures (TTPs), souvent réparties entre plusieurs couches d’infrastructure, notamment les endpoints, les réseaux, les identités et les services cloud. Dans ce contexte, les approches isolées de détection — telles que les SIEM fondés sur des règles statiques ou les solutions EDR sans corrélation contextuelle — présentent une efficacité limitée face à des adversaires capables de se déplacer latéralement, de persister et d’échapper aux contrôles ponctuels.
Read paper →ResearchTITRE: Architecture hybride de détection et de réponse basée sur une corrélation multicouche et un apprentissage statistique pour la mitigation des menaces avancées dans les environnements d’entreprise
TITRE: Architecture hybride de détection et de réponse basée sur une corrélation multicouche et un apprentissage statistique pour la mitigation des menaces avancées dans les environnements d’entreprise RÉSUMÉ: La sophistication croissante des campagnes d’intrusion ciblées, incluant des attaques de ransomware opérées par des humains, l’exploitation de vulnérabilités zero-day et des mouvements latéraux furtifs, impose des défis significatifs aux architectures traditionnelles de détection reposant exclusivement sur des signatures ou des règles statiques. Des incidents récents exploitant des vulnérabilités telles que CVE-2021-44228 (Log4Shell), CVE-2023-34362 (MOVEit Transfer) et des techniques MITRE ATT&CK telles que T1059 (Command and Scripting Interpreter) et T1021 (Remote Services) démontrent la nécessité de mécanismes adaptatifs et multicouches. Dans ce travail, nous proposons une architecture hybride qui intègre une corrélation déterministe fondée sur des règles (Sigma, Suricata, YARA), une analyse comportementale statistique et une modélisation formelle des chaînes d’attaque, avec un accent opérationnel sur les SOC d’entreprise. Notre méthodologie combine un modèle mathématique de graphe orienté pondéré pour représenter les événements de sécurité avec un mécanisme de scoring bayésien incrémental afin d’estimer la probabilité a posteriori de compromission $P(C|E_{1..n})$. Nous avons implémenté un prototype utilisant Elastic Stack, Suricata, Wazuh, Volatility et des modules personnalisés en Python, en l’évaluant dans un environnement contrôlé avec 12 TB de journaux réels et des jeux de données publics (CIC-IDS2017, UNSW-NB15). Les résultats indiquent une réduction de 38,7 % du taux de faux positifs par rapport à un SIEM traditionnel basé uniquement sur des règles, une augmentation de 24,3 % du taux de détection des mouvements latéraux et une diminution du temps moyen de détection (MTTD) de 47 minutes à 18 minutes. Nous démontrons également, au moyen d’une étude de cas impliquant la simulation d’une attaque de ransomware avec Cobalt Strike et Mimikatz, que la corrélation multicouche permet d’identifier des schémas pré-chiffrement avec une avance moyenne de 11 minutes. Les contributions incluent : (i) la formalisation mathématique de la corrélation adaptative, (ii) un algorithme incrémental de priorisation des alertes avec analyse de complexité, et (iii) une validation empirique à l’aide de métriques opérationnelles. Ce travail offre des implications pratiques directes pour les équipes Blue Team et pour l’architecture des SOC de nouvelle génération.
Read paper →ResearchUne Architecture Formellement Vérifiable pour la Détection et l’Atténuation Adaptative des Menaces Living-off-the-Land dans des Environnements d’Entreprise Hybrides
TITLE: Une Architecture Formellement Vérifiable pour la Détection et l’Atténuation Adaptative des Menaces Living-off-the-Land dans des Environnements d’Entreprise Hybrides ABSTRACT: L’adoption croissante d’architectures hybrides et multicloud, combinée à la consolidation des modèles Zero Trust et à l’intégration de charges de travail traditionnelles avec des systèmes fondés sur l’intelligence artificielle, a substantiellement élargi la surface d’attaque organisationnelle d’ici 2025. Dans ce contexte, les techniques de Living-off-the-Land (LotL) sont devenues prédominantes, exploitant des binaires légitimes et des interfaces administratives natives pour échapper aux mécanismes traditionnels de détection. Nous proposons une architecture formellement fondée pour la détection et l’atténuation adaptative des menaces LotL, combinant des graphes temporels de provenance, la divergence de Kullback–Leibler avec seuil adaptatif, et une modélisation de jeux probabilistes entre un détecteur et un adversaire polynomialement borné. Nous formalisons le problème comme une expérience d’évasion $\mathsf{LotL\text{-}Evasion}(n)$, définissant la sécurité en termes de probabilité négligeable d’évasion sous une déviation statistique minimale mesurable. Nous démontrons une borne supérieure exponentielle pour la probabilité d’évasion en fonction de la divergence de variation totale et de la taille de la fenêtre d’observation, en utilisant les inégalités de Hoeffding et de Pinsker. L’architecture proposée intègre la collecte de télémétrie via eBPF, ETW et auditd, le traitement en flux avec Apache Flink, la normalisation selon l’Elastic Common Schema et l’intégration aux plateformes CNAPP et SOAR, tout en préservant l’alignement avec le NIST SP 800-207 et les pratiques contemporaines de gouvernance de l’IA. Des évaluations expérimentales avec bootstrap et test de Wilcoxon indiquent une réduction statistiquement significative des faux positifs relatifs et une amélioration du temps moyen de détection dans des scénarios multi-étapes. Nous discutons également des implications liées au concept drift, à l’intégrité de la télémétrie et aux attaques assistées par des modèles de langage, ainsi que des extensions impliquant des chaînes de Markov cachées, l’apprentissage fédéré avec confidentialité différentielle et la vérification probabiliste avec PRISM. Nous concluons que l’intégration de la modélisation causale et de la théorie de l’information permet d’établir des garanties formelles et des preuves empiriques robustes pour l’atténuation adaptative des menaces LotL dans les environnements d’entreprise contemporains.
Read paper →ResearchARCUS : Architecture Résiliente et Contextuellement Unifiée pour la Détection et la Contention Adaptative des Menaces dans des Environnements Multicloud
TITLE: ARCUS : Architecture Résiliente et Contextuellement Unifiée pour la Détection et la Contention Adaptative des Menaces dans des Environnements Multicloud ABSTRACT: La consolidation des architectures multicloud, des microservices orchestrés par Kubernetes, des pipelines DevSecOps et des infrastructures définies par code a redéfini l’espace de menace contemporain. En 2025, les organisations opèrent simultanément chez des fournisseurs tels que AWS, Azure et Google Cloud, en intégrant des services gérés, des API publiques, des fonctions serverless et des charges de travail avec accélération GPU pour des modèles d’intelligence artificielle, y compris les LLM. Cette hétérogénéité élargit la surface d’attaque, favorisant les compromissions basées sur des identifiants valides, les attaques de la chaîne d’approvisionnement logicielle et l’exploitation de vulnérabilités dans des composants largement distribués. Nous proposons l’architecture ARCUS (Architecture Résiliente et Contextuellement Unifiée de Sécurité), qui intègre la modélisation formelle, l’apprentissage profond sur des graphes temporels probabilistes et l’orchestration des réponses avec des garanties vérifiables. Nous modélisons l’environnement multicloud comme un graphe temporel probabiliste, dans lequel les événements sont représentés par des tuples enrichis d’attributs contextuels et probabilistes. La détection est formulée comme un problème d’inférence bayésienne sur des sous-graphes temporels, implémenté par des Graph Attention Networks avec incorporation de signaux contextuels et d’embeddings dynamiques. La contention est traitée comme un problème de programmation linéaire en nombres entiers mixtes (MILP), soumis à des contraintes formelles dérivées de politiques de sécurité et d’invariants opérationnels, assurant une correction partielle et des limites de latence. Nous évaluons empiriquement la proposition sur des ensembles de données publics largement reconnus et dans des scénarios multicloud synthétiques, en la comparant à des approches traditionnelles basées sur des signatures et des modèles séquentiels. Les résultats démontrent des gains statistiquement significatifs en AUC-ROC, F1-score et réduction de la latence de détection, tout en maintenant des taux de faux positifs contrôlés. Nous discutons également des implications pour des environnements avec des charges d’IA générative, l’intégration avec des CNAPP et l’utilisation d’eBPF pour une télémétrie de bas niveau. Nous concluons que la combinaison de modélisation formelle, d’apprentissage sur graphes et d’optimisation vérifiable constitue une approche prometteuse pour la sécurité adaptative dans les écosystèmes multicloud contemporains.
Read paper →ResearchDétection probabiliste et corrélation temporelle du mouvement latéral fondées sur des graphes dynamiques dans des environnements d’entreprise hybrides
Nous proposons un cadre probabiliste pour la détection du mouvement latéral au sein d’environnements d’entreprise hybrides, en modélisant les interactions observées sous la forme de graphes dynamiques annotés temporellement. L’approche combine une ingérence bayésienne incrémentale, une corrélation multi-saut des événements et un filtrage fondé sur la vraisemblance afin d’identifier des séquences d’authentification, d’accès distant et de propagation compatibles avec des scénarios d’intrusion. Nous formalison l’évolution du graphe par des arêtes temporelles pondérées par des scores de confiance et par des probabilités conditionnelles ajustées selon le contexte opérationnel. L’objectif est de réduire les faux positifs, tout en conservant une interprétabilité suffisante pour les analystes en s
Read paper →ResearchARCUS: Architecture Résiliente avec Corrélation Unifiée et Sémantique pour la Détection Adaptative des Menaces Avancées dans des Environnements Hybrides
TITLE: ARCUS: Architecture Résiliente avec Corrélation Unifiée et Sémantique pour la Détection Adaptative des Menaces Avancées dans des Environnements Hybrides ABSTRACT: L’expansion accélérée des architectures hybrides et multi‑cloud, combinée à l’adoption de pratiques DevSecOps, de charges de travail éphémères et à l’intégration de composants basés sur l’intelligence artificielle, a considérablement élargi la surface d’attaque organisationnelle d’ici 2025. Des rapports récents indiquent que les violations continuent d’exploiter des vulnérabilités connues, l’ingénierie sociale et les chaînes d’approvisionnement, tandis que de nouvelles menaces émergent autour des modèles de langage de grande taille (LLMs), des API exposées et des identités fédérées. Dans ce contexte, les mécanismes traditionnels de SIEM, basés principalement sur la corrélation syntaxique et des règles statiques, présentent des limitations structurelles pour capturer des dépendances temporelles et sémantiques distribuées. Nous proposons ARCUS, une architecture formellement fondée qui intègre une ontologie sémantique alignée sur MITRE ATT&CK et le NIST SP 800-61, des graphes temporels dynamiques et une inférence hybride combinant Graph Neural Networks (GNNs) et détection statistique incrémentale. Nous formalisons les événements comme des tuples structurés et modélisons l’évolution du système au moyen d’un graphe temporel $G_t$, en préservant des propriétés de mise à jour incrémentale avec une complexité amortie constante sous des hypothèses réalistes d’indexation. Nous définissons le problème de détection comme une décision bayésienne sous un seuil $\tau$, avec une fonction de perte composée qui équilibre la classification supervisée et le score d’anomalie. Nous évaluons ARCUS sur des données réelles anonymisées, DARPA Transparent Computing et Atomic Red Team, atteignant une précision moyenne de 96,9 %, un rappel de 97,8 % et une réduction de 43 % du taux de faux positifs par rapport à un baseline SIEM industriel, ainsi qu’une diminution de 79 % du temps moyen de détection. Nous discutons des propriétés probabilistes souhaitables, de l’évolutivité opérationnelle (3,2 milliards d’événements/jour) et de l’intégration avec CNAPP et SOAR. Nous concluons que la corrélation sémantique orientée par graphes, combinée à l’inférence incrémentale, offre une base rigoureuse et opérationnellement viable pour la détection adaptative de menaces avancées dans les environnements hybrides contemporains.
Read paper →ResearchArchitecture adaptative pour la détection proactive des menaces persistantes avancées basée sur une corrélation temporelle multi‑couche et une inférence statistique robuste
TITLE: Architecture adaptative pour la détection proactive des menaces persistantes avancées basée sur une corrélation temporelle multi‑couche et une inférence statistique robuste ABSTRACT: La complexité croissante des infrastructures numériques en 2025 — caractérisées par des architectures hybrides, des environnements multi‑cloud, des microservices, une informatique orientée événements, des workloads conteneurisés, et l’intégration de modèles d’apprentissage automatique et de LLMs — a considérablement élargi la surface d’attaque des entreprises. Les Menaces Persistantes Avancées (APTs) exploitent des chaînes multi‑étapes qui traversent les couches réseau, hôte, application et identité, combinant fréquemment l’exploitation de vulnérabilités connues, l’abus d’identifiants valides et la manipulation partielle de journaux. Les systèmes de détection traditionnels, fondés sur des signatures ou sur des classificateurs supervisés isolés, présentent des limites pour capturer des dépendances temporelles complexes et pour maintenir leur robustesse face à une contamination adversariale. Dans ce travail, nous proposons une architecture adaptative fondée sur une corrélation temporelle multi‑couche modélisée par des graphes dynamiques pondérés par des M‑estimateurs robustes, combinée à une inférence bayésienne dynamique structurée par la connaissance préalable du framework MITRE ATT&CK. Nous formalisons le problème sous un modèle de contamination $\epsilon$‑adversariale et démontrons les conditions de consistance statistique des estimateurs employés. Nous implémentons l’architecture dans un environnement distribué avec ingestion à grande échelle, intégration à une télémétrie basée sur eBPF et orchestration en conteneurs, atteignant un traitement soutenu de 95 000 événements par seconde avec une latence moyenne inférieure à 500 ms. Nous évaluons la méthode sur des jeux de données publics (CIC‑IDS2017, UNSW‑NB15), sur le dataset CIC‑IDS2018 et sur un ensemble d’entreprise contenant 4,2 milliards d’événements. Les résultats indiquent une augmentation significative du TPR (96,4 %) et une réduction du FPR (2,1 %) par rapport à Random Forest, LSTM et Isolation Forest, avec une robustesse supérieure sous contamination $\epsilon=0{,}15$. Nous démontrons en outre une réduction du temps moyen de détection (MTTD) ainsi qu’une meilleure interprétabilité opérationnelle. Nous concluons que l’intégration formelle entre statistique robuste, modélisation graphique temporelle et connaissance structurée des tactiques adversariales constitue une approche prometteuse pour la détection proactive des APTs dans les environnements d’entreprise contemporains.
Read paper →ResearchDétection adaptative des chaînes d’attaque multi‑étapes par inférence bayésienne hiérarchique et graphes temporels contraints
1. Introduction La surface d’attaque des systèmes d’information contemporains s’est considérablement étendue sous l’effet conjugué de la virtualisation, de l’adoption massive du cloud, de l’interconnexion des chaînes logistiques et de l’automatisation DevOps. Les adversaires exploitent désormais des chaînes d’attaque complexes et modulaires, articulées autour de tactiques successives décrites par le cadre MITRE ATT&CK (MITRE, 2023). Ces chaînes incluent typiquement : accès initial (Initial Access), exécution (Execution), persistance (Persistence), élévation de privilèges (Privilege Escalation
Read paper →