Prédiction du comportement d'un attaquant à partir de métriques de distances sémantiques dérivées d'un grand darknet

L’analyse et la classification de données réseau est un domaine important de l’informatique et de la sécurisation des infrastructures informatiques d’entreprise. Ces méthodes permettent, aux frontières d’une infrastructure, d’opérer un premier filtrage des données ciblant les machines incluses dans cet architecture. Cette opération, en plus de d’aider à une bonne gestion de la charge sur les machines connectées, permet également de supprimer les tentatives d’attaques réseau les plus simples ou visibles. Au coeur de ces algorithmes de classification de données réseau se trouvent des notions de distances entre les flux ou paquets et c’est dernier sont également comparés via des distances calculées sur leurs caractéristiques. Dans ce travail, nous introduisons plusieurs notions de distance permettant de comparer de façon sémantique les ports réseau utilisés dans des protocoles réseau tels que TCP ou UDP. Ces notions de distances, construitent à l’aide d’algorithmes d’apprentissage automatique et d’algorithmes utilisant la notion de graphes, sont empiriquement comparées afin de vérifier leurs valeurs sémantiques. Deux cas d’utilisation liés à la sécurité sont finalement envisagés afin d’étudier l’avantage d’utiliser ces distances sémantiques dans des algorithmes de classification  de données réseau.

Mots clefs

ports, distance, semantic, security, artificial intelligence, network port, semantic dis- tance, network security, machine learning