Détection d’anomalies dans des logs applicatifs à l’aide de méthodes ensemblistes non-supervisées

Défense de mémoire d'Antoine Van Aelst

Les modèles ensemblistes, ou ensemble models sont une solution peu exploitée dans le paysage actuel de la détection d'anomalies non-supervisée. Cette approche est toutefois utilisée par l'article de Louis-Simon Letourneau afin de traiter des logs applicatifs de l'entreprise Sherweb dans un cadre de cybersécurité. La solution proposée offre une solution satisfaisante à une majorité des challenges imposés par l'absence de labels dans le dataset, cependant, un manque d'étude et de compréhension du dataset pousse à obtenir quelques résultats problématiques. Ce document propose une revue du travail effectué par Letourneau pour ensuite aborder plusieurs axes d'amélioration. Malgré la difficulté à valider les résultats en l'absence de labels, des métriques introduites dans le cadre de la recherche poussent à valider deux améliorations du modèle en place: l'intégration d'une feature supplémentaire basée sur le type d'évènement, ainsi que le remplacement du sous-modèle LOF pour préférer un modèle d'Isolation Forest. Les résultats obtenus s'avèrent encourageants et offrent de nombreuses autres perspectives d'amélioration. 

Contact : Isabelle Daelman - isabelle.daelman@unamur.be
Télecharger : vCal