• Langue : Anglais
• Discipline : Mathématiques et leurs interactions
• Identifiant : 2025ULILB041
• Type de thèse : Doctorat
• Date de soutenance : 16/12/2025

Résumé en langue originale

Les attaques cyber se multiplient dans les réseaux industriels, impactant des vies humaines,les économies... En entreprise, les méthodes de détections d'anomalies ont jusqu'ici peu étéutilisées pour détecter des attaques, les méthodes principales reposant sur l'implémentationde signatures, c'est à dire l'a priori sur des marqueurs d'anormalité. Les méthodes de détectiond'anomalies permettent au contraire de détecter de façon plus agnostique toute modificationdu comportement normal. La modélisation sous forme de graphes à ce propos permet de dé-tecter des anomalies dans l'entièreté du réseau. Nous cherchons par conséquent à détecterdes anomalies dans des graphes dynamiques, les réseaux étant naturellement modélisés sousforme de graphes. Dans ce cadre, une adresse IP est un nœud, et il y a autant d'arêtes entredeux nœuds que de messages envoyés entre les deux adresses IP. En pratique, on observe unflux nominal sur une période de temps et les flux nominaux varient au cours du temps, on adonc une suite de graphes différents les uns des autres mais cependant tous caractérisent lecomportement normal. Une originalité de notre approche est de ne pas prendre de compte dedépendance temporelle entre les graphes de différents pas de temps dans nos modèles. Eneffet nous montrons qu'en agrégeant les messages des différents pas de temps, la dépendanceentre les graphes agrégés diminue rapidement. Nous estimons ensuite avec un algorithmeEspérance Maximisation Variationnel (Mariadassou et al. (2010) [104]) (VEM) un modèle àBlocs Stochastiques (Holland et al. (1983) [65]) sur ce pas de temps. Ce modèle sous-jacentcorrespond à la loi des données normales. Cette loi de référence permet de définir un teststatistique sur la vraisemblance complète pour décider si un nouveau graphe observé est nor-mal ou non. Notre test surperforme en puissance l'état de l'art (Paudel et al. (2022)) grâceà sa stabilité et contrairement à l'état de l'art est interprétable. Nous avons également évaluénotre test sur des données réelles collectées par Seckiot.Nous proposons par ailleurs une extension du modèle à Blocs Stochastiques à l'évolution dul'ensemble des nœuds en réinterprêtant les apparitions et disparitions de noeuds dans le cadredu paradigme des données manquantes. Le cadre des données manquantes permet en ef-fet de traiter un nombre variable de nœuds, un noeud qui disparaît étant considéré commemanquant. Cet apport était nécessaire puisque dans les réseaux industriels, des adresses IPpeuvent apparaître et disparaître en régime normal.Enfin et cela est bien commun, l'algorithme pour estimer un modèle à Blocs Stochastiques, leVEM, est très dépendant des initialisations; il peut tomber sur un maxima local si l'initialisationest mauvaise (Biernacki, Celeux, et al. (2003) ). Pour l'initialisation du modèle à blocsstochastiques poissonien, nous conjecturons alors qu'un algorithme spectral basé sur la décom-position en valeurs singulières (Stewart (1990) (SVD) permet de retrouver un modèle àblocs stochastiques poissonien. Nous démontrons en outre que ce même algorithme est robusteaux données manquantes

Résumé traduit

Cyberattacks are proliferating within industrial networks, affecting human lives, economies,and critical infrastructures. In corporate environments, anomaly detection techniques haveso far seen limited application for attack detection. Dominant approaches have relied on theimplementation of signatures, i.e., prior knowledge of specific indicators of abnormality. Bycontrast, anomaly detection methods offer a more agnostic capability to identify any deviationfrom normal behavior.Graph-based modeling in this context enables the detection of anomalies across the entire net-work. Consequently, we aim to detect anomalies in dynamic graphs, as networks are naturallyrepresented in graph form. In this framework, an IP address corresponds to a node, and thenumber of edges between two nodes reflects the number of messages exchanged between therespective IP addresses. In practice, one observes a nominal flow of communications over time;moreover, normal flows evolve, resulting in a sequence of graphs that differ from one another,yet collectively characterize normal behavior. A distinctive aspect of our approach is that we donot explicitly model temporal dependencies across graphs from successive time steps. Indeed,we show that by aggregating messages over time intervals, dependencies between aggregatedgraphs decay rapidly. We then estimate a Stochastic Block Model (SBM) (Holland et al. (1983)[65]) on each time step using a Variational Expectation-Maximization algorithm (Mariadas-sou et al. (2010) [104]) (VEM). This underlying model defines the distribution of normal data.The reference distribution allows us to construct a statistical test based on the complete like-lihood,which determines whether a newly observed graph can be considered normal. Our testoutperforms the state of the art in terms of statistical power (Paudel et al. (2022)) thanksto its stability. And unlike the state of the art, it remains interpretable. We have also validatedour test on real-world datasets collected by Seckiot.In addition, we propose an extension of the Stochastic Block Model to accommodate the evo-lution of the node set by reinterpreting node appearances and disappearances within theparadigm of missing data. The missing data framework naturally handles a variable num-ber of nodes, treating disappearing nodes as unobserved. This contribution was necessary,as in industrial networks, IP addresses may appear and disappear under normal operatingconditions.Finally, as is well known, the VEM algorithm used to estimate Stochastic Block Models ishighly sensitive to initialization and can converge to poor local maxima if initialized inappro-priately (Biernacki, Celeux, et al. (2003)). For initializing the Poisson Stochastic BlockModel, we conjecture that a spectral algorithm based on Singular Value Decomposition (SVD)(Stewart (1990)) can recover an appropriate Poisson SBM structure. Furthermore, wedemonstrate that this algorithm exhibits robustness to missing data.