Brevet FR3142058A1 — publié le 20240517

L’invention concerne un dispositif et un procédé de détection d’intrusion réseau par anomalie basé sur un modèle de trafic normal appris dans une phase d’apprentissage en mode non-supervisé. Le procédé mis en œuvre par un processeur d’un système de détection d’intrusion réseau par anomalie, comprend pendant une phase d’inférence au moins des étapes consistant à déterminer des échantillons de données contenant des données anormales et des échantillons de données contenant des données normales. Le procédé comprend de plus des étapes consistant à : recevoir (302) une notification selon laquelle un échantillon de données En désigné comme contenant des données normales est un faux négatif, et aurait dû être désigné comme contenant des données anormales ; construire (306) un échantillon factice Fn tel que l’échantillon factice Fn est l’opposé dudit échantillon de données En ; et mettre à jour (310) ledit modèle de trafic normal en exécutant (308) au moins une fois une routine d’algorithme d’apprentissage sur faux négatif avec ledit échantillon factice Fn. Figure pour l’abrégé : Fig. 3 Procédé et dispositif de détection d’intrusion réseau par anomalie dans des communications réseau Domaine de l’invention L’invention se situe dans le domaine de la cybersécurité des communications réseau, et concerne un procédé et un dispositif de détection d’intrusion réseau par anomalie basé sur un apprentissage en mode non-supervisé. Etat de la Technique Dans le contexte de la cybersécurité des communications, on distingue deux types de mesures : des mesures préventives (par exemple le chiffrement ou l’utilisation de firewalls) qui ont pour objectif d’empêcher l’accès d’un attaquant à des ressources, et des mesures réactives qui surveillent en continu les ressources afin de détecter d’éventuelles traces d’attaques. La présente invention se situe dans la famille des solutions de surveillance afin de détecter des activités malicieuses sur un trafic. Il existe deux grandes catégories de systèmes de détection d’intrusion ou IDS pour « Intrusion Detection System » selon l’anglicisme consacré, qui sont les détections par signatures et les détections par anomalies. La présente invention se situe dans la catégorie des systèmes de détection par anomalies. De tels systèmes de détection d'intrusion par anomalies, d’acronyme AIDS ou ABNIDS pour « Anomaly-Based Network Intrusion Detection System » selon l’anglicisme consacré, sont chargés de détecter des comportements anormaux lors de l'analyse d’un flux réseau. Pour cela, le système se repose sur deux phases. Une phase d'apprentissage, au cours de laquelle le système étudie et modélise des comportements normaux de flux réseau. La phase d’apprentissage repose sur l’utilisation de techniques d’intelligence artificielle (IA) en mode supervisé ou en mode non-supervisé. Une phase de détection ou d’inférence, où le système analyse le trafic et cherche à identifier les événements anormaux en se basant sur ses connaissances. Dans le cadre de la détection d’anomalies par IA, le mode non-supervisé est un mode dans lequel l’intelligence artificielle a appris le fonctionnement nominal d’un système. Le mode d’apprentissage non-supervisé ne requiert pas, comme son nom l’indique, d’intervention humaine lors de l’apprentissage. Ainsi, à la différence d’un mode supervisé dans lequel des labels pourraient être associés à des échantillons pour apprendre à l’IA à classifier des éléments (par exemple, on apprend à l’IA à reconnaître des animaux sur des photos et il faut donc, pendant la phase d’apprentissage, lui indiquer quel animal se trouve sur chaque photo), l’IA fonctionne en mode non-supervisé de manière autonome, sur des données non labellisées. Elle ne peut donc trouver que des relations entre les éléments. Elle peut ainsi, pour reprendre l’exemple précédent, déterminer que plusieurs photos sont relatives au même animal, mais elle est bien évidemment incapable de dire de quel animal il s’agit. L’IA entrainée peut ensuite identifier, pendant la phase d’inférence, des déviations par rapport à ce fonctionnement nominal. L’importance de ces déviations par rapport au fonctionnement nominal est considéré comme représentative du niveau d’anomalie. Classiquement, une alerte n’est levée que si la déviation dépasse un certain seuil. Tout système de détection d’anomalie par Intelligence Artificielle (IA) présente des défaillances, dans la mesure en particulier où certains événements vont être qualifiés d’anormaux alors qu’ils ne devraient pas l’être. Il s’agit d’une problématique bien connue dite des « faux positifs ». Inversement, des événements dont on sait qu’ils sont anormaux peuvent ne pas être détectés comme tels. Il s’agit alors de la problématique inverse dite des « faux négatifs ». Une solution à ces problèmes dans le cas d’un système de détection d’anomalie basé sur une IA avec un mode d’apprentissage supervisé serait évidente : il suffirait de faire apprendre au système que l’événement ayant conduit au faux négatif devrait être considéré comme anormal. Cependant, en mode non-supervisé, l’IA n’apprend que le fonctionnement nominal du système sur lequel il opère sa détection d’anomalie. De ce fait, il est impossible de désigner un événement comme étant anormal. Des approches intermédiaires existent entre l’apprentissage supervisé et l’apprentissage non-supervisé. Il existe un mode d’apprentissage semi-supervisé où une IA apprend sur un jeu de données partiellement labellisé. Ce mode peut être vu comme un mode dans lequel l’IA va créer des groupes (« clusters » en anglais) d’éléments semblables en raisonnant sur les éléments non labellisés, mais va également tenter de faire en sorte que ces différents clusters coïncident, pour les éléments labellisés, avec les différents labels portés par ceux-ci. Il existe aussi un mode d’apprentissage auto-supervisé (« self-supervised » en anglais) où une IA n’apprend que sur des données non labellisées dans lesquelles elle apprend à identifier des significations. Toutefois ce système ne se prête pas à toutes les données, mais à celles qui ne sont pas totalement indépendantes les unes des autres, de sorte qu’un sens s’y fasse jour et puisse être décelé par le mécanisme d’apprentissage auto-supervisé. Ainsi, ces primitives sont particulièrement efficaces pour l’analyse de langage naturel ou l’analyse d’images. Dans le contexte de la détection d’intrusion réseau, ces primitives n’ont à ce jour pas donné de résultats exploitables. Aussi, il n’existe pas de solution connue pour traiter le problème de la non détection d’anomalies par un système de détection d’intrusion réseau par anomalie basé sur un apprentissage non-supervisé. La présente invention répond à ce besoin en proposant une solution qui permet, lors de la survenue d’un faux négatif affectant un système de détection d’anomalie par IA non-supervisée, de mettre à jour rapidement et efficacement la ou les primitives de l’IA sur laquelle ou sur lesquelles, le système de détection d’anomalie s’appuie, afin qu’aux prochains cycles de détection, des événements similaires soient qualifiés d’anormaux par le système de détection. Un objet de la présente invention est un procédé de détection d’anomalie par intelligence artificielle entrainée en mode non-supervisé, qui permet de faire un apprentissage sur faux négatif afin de faire évoluer le modèle d’IA. Avantageusement le procédé de l’invention, dans le cas d’un faux négatif, i.e. un événement anormal qui n’a pas été remonté comme tel par le dispositif de détection mais qui a été détecté comme anormal par une autre source, permet de déclencher une routine d’algorithme d’apprentissage sur faux négatif de l’IA du dispositif de détection, de manière à ce que l’élément n’ayant pas été détecté comme une anomalie le soit dans les prochains cycles de détection. Le procédé d’apprentissage sur faux négatif de l’invention peut s’apparenter à un apprentissage semi-supervisé dans la mesure où, dans un contexte de données majoritairement non labellisées, il va forcer l’IA à apprendre la manière de classifier des données pour lesquelles une qualification s’apparentant à un label existe. Cependant, le procédé d’apprentissage sur faux négatif de l’invention présente des différences notables par rapport à un apprentissage semi-supervisé. En effet : (1) il peut s’appliquer à un système d’analyse s’appuyant exclusivement, dans sa phase d’apprentissage, sur de l’apprentissage non-supervisé ; (2) il s’applique après la phase d’apprentissage, pendant la phase d’inférence ; (3) il n’a pas pour objectif d’optimiser une classification à plusieurs labels, mais de désigner, dans un processus d’inférence ne distinguant que deux catégories de données (les données normales et les données anormales, l’une étant l’opposée de l’autre), une donnée classée normale de manière à augmenter les chances que la même donnée présentée au système d’analyse ultérieurement soit désignée comme anormale ; (4) il a vocation à être appliqué sur un nombre d’échantillons beaucoup plus faible que le nombre d’échantillons labellisés d’un mode semi-supervisé. Avantageusement, l’invention permet un « apprentissage sur faux négatif », normalement impossible dans la mesure où, par définition, les systèmes de détection par anomalies basés sur un apprentissage non-supervisé ne peuvent apprendre que sur des données « normales », et sont dans l’incapacité d’apprendre quoi que ce soit de données explicitement désignées comme anormales. Les domaines d’application industrielle de l’invention sont multiples. Les applications étudiées touchent directement le domaine de la détection d’intrusion par anomalies sur du trafic réseau (en temps réel ou sur des logs). D’autres sources de données et scénarios peuvent être envisagés, s’ils s’appuient sur un apprentissage non-supervisé et incluent la possibilité, pendant l’inférence, d’être informés par un dispositif tiers d’une désignation erronée d’un échantillon comme « normal ». Les autres sources de données envisageables sont notamment des données caractérisant le fonctionnement d’un processus industriel (données « applicatives ») ou des données caractérisant le fonctionnement d’une plateforme matérielle d’exécution de logiciels. L’invention trouvera aussi des applications auprès d’industriels opérant des réseaux de communication surveillés par plusieurs mécanismes de défense parallèles, i.e. capables de s’informer de leurs défaillances mutuelles, éventuellement via un orchestrateur centralisé. Pour obtenir les résultats recherchés, il est proposé un procédé de détection d’intrusion réseau par anomalie basé sur un modèle de trafic normal appris dans une phase d’apprentissage en mode non-supervisé. Le procédé est mis en œuvre par un processeur d’un système de détection d’intrusion réseau par anomalie et comprend pendant une phase d’inférence au moins des étapes consistant à déterminer des échantillons de données contenant des données anormales et des échantillons de données contenant des données normales. Le procédé comprend de plus des étapes consistant à : recevoir une notification selon laquelle un échantillon de données En désigné comme contenant des données normales est un faux négatif, et aurait dû être désigné comme contenant des données anormales ; construire un échantillon factice Fn tel que l’échantillon factice Fn est l’opposé dudit échantillon de données En ; et mettre à jour ledit modèle de trafic normal en exécutant au moins une fois une routine d’algorithme d’apprentissage sur faux négatif avec ledit échantillon factice Fn. Le procédé peut opérer selon des modes de réalisation alternatifs ou combinés. Ainsi selon différents modes de réalisation : L’étape de recevoir une notification consiste à recevoir par le système de détection d’intrusion réseau par anomalie, une notification d’un système tiers de détection d’intrusion réseau. L’étape de recevoir une notification consiste à recevoir par le système de détection d’intrusion réseau par anomalie, une notification d’un module logiciel de détection de faux négatif intégré au système de détection d’intrusion réseau par anomalie. Le système de détection d’intrusion réseau par anomalie comprend des moyens de détection basés sur une technologie de prédiction, et l’étape de mettre à jour le modèle de trafic normal consiste à exécuter au moins une fois une routine d’algorithme d’apprentissage sur faux négatif avec ledit échantillon factice F n selon la même technologie de prédiction. Le système de détection d’intrusion réseau par anomalie comprend des moyens de détection basés sur une technologie de reconstruction, et l’étape de mettre à jour le modèle de trafic normal consiste à exécuter au moins une fois une routine d’algorithme d’apprentissage sur faux négatif avec ledit échantillon factice F n selon la même technologie de reconstruction. L’étape de construire un échantillon factice F n d’un échantillon E n consiste à inverser chaque valeur des composantes d’un vecteur représentatif de l’échantillon E n . L’étape de construire un échantillon factice F n d’un échantillon E n consiste en une mise à zéro de chaque valeur des composantes d’un vecteur représentatif de l’échantillon E n . L’étape d’exécuter une routine d’algorithme d’apprentissage sur faux négatif consiste à remplacer lors de l’invocation de l’algorithme d’apprentissage, l’échantillon incorrectement reconnu E n par l’échantillon factice F n qui a été construit. L’étape d’exécuter une routine d’algorithme d’apprentissage sur faux négatif est accomplie plusieurs fois. Le procédé comprend après l’étape de réception d’une notification, une étape consistant à récupérer ledit échantillon de données E n . Le système de détection d’intrusion réseau par anomalie met en œuvre plusieurs primitives d’intelligence artificielle pour procéder à l'analyse d'un échantillon, et où les étapes de construction d’un échantillon factice et d’exécution d’une routine d'algorithme d'apprentissage sur anomalie sont répétées au plus autant de fois que le nombre de primitives. L’invention concerne aussi un dispositif de détection d’intrusion réseau par anomalie basé sur un modèle de trafic normal appris dans une phase d’apprentissage en mode non-supervisé, le dispositif comprenant des moyens configurés pour déterminer pendant une phase d’inférence des échantillons de données contenant des données anormales et des échantillons de données contenant des données normales, le dispositif comprenant de plus des moyens pour mettre en œuvre les étapes du procédé de l’invention. Selon des variantes de réalisation du dispositif de l’invention, le modèle de trafic normal a été appris sur un réseau de neurones opérant par prédiction ou sur un réseau de neurones opérant par reconstruction. L’invention concerne aussi un produit programme d’ordinateur qui comprend des instructions de code permettant d’effectuer les étapes du procédé de l’invention, lorsque le programme est exécuté sur un ordinateur. Description des figures D’autres caractéristiques et avantages de l’invention apparaîtront à l’aide de la description qui suit et des figures des dessins annexés dans lesquels : La et la illustrent des variantes d’un environnement d’application de l’invention ; La est un organigramme des étapes générales opérées par un procédé de détection d’intrusion ABNIDS ; La est un organigramme des étapes opérées pour traiter des faux négatifs selon un mode de réalisation de l’invention ; La illustre un mode normal d’invocation d’une routine d’algorithme d’apprentissage pour un algorithme de détection basé sur la prédiction, et la illustre un mode d’invocation d’une routine d’algorithme d’apprentissage sur faux négatif selon l’invention pour un algorithme de détection basé sur la prédiction ; La illustre un mode normal d’invocation d’une routine d’algorithme d’apprentissage pour un algorithme de détection basé sur la reconstruction, et la illustre un mode d’invocation d’une routine d’algorithme d’apprentissage sur faux négatif selon l’invention pour un algorithme de détection basé sur la reconstruction ; La illustre par un exemple, la construction d’un opposé factice selon un mode de réalisation de l’invention ; La est un organigramme d’une variante de réalisation des étapes opérées pour initier une routine d’algorithme d’apprentissage sur faux négatif selon l’invention. Description détaillée de l’invention La et la illustrent des variantes d’un contexte permettant de mettre en œuvre l’invention. Le procédé de l’invention s’applique dans l’environnement d’un réseau de communications composé généralement d’une pluralité de nœuds reliés par des liens de communication sur lesquels circulent du trafic de données. La et la montrent un réseau de communication simplifié pour faciliter la compréhension de la description, mais elles ne sont pas limitatives, et le procédé décrit peut être mis en œuvre sur différents types de réseau (notamment diverses architectures, par exemple en étoile ou en mesh, diverses technologies de transmission filaires ou non-filaires, formés d’un unique ou d’une pluralité de sous-réseaux, etc.), sans limitation du nombre de nœuds du réseau, de liens existants, de la nature des protocoles de communication (parmi ceux-ci on peut citer IP, TCP et UDP). Dans l’exemple simplifié, il est représenté un système de détection d’intrusion réseau par anomalie 110 ou ABNIDS surveillant le trafic circulant sur un réseau 100 comprenant une pluralité de nœuds 102 et de liens de communication 104. Selon son positionnement dans le réseau et sa configuration, l’ABNIDS est en mesure d’analyser le trafic d’un lien ( ) ou d’analyser le trafic d’un ensemble de liens via un nœud ( ). L’ABNIDS a initialement construit, pendant une phase d’apprentissage non-supervisé, un modèle du trafic normal échangé sur le réseau observé. La illustre sur un organigramme les étapes générales opérées par un procédé 200 de détection d’intrusion pour un ABNIDS. Une étape préliminaire 202 consiste en un apprentissage non-supervisé pour construire un modèle de trafic normal. Les systèmes ABNIDS pour lesquels l’invention est mise en œuvre se basent sur un modèle de trafic construit sur des données exemptes d’anomalies. Le modèle de trafic normal est ensuite utilisé en phase d’inférence pour observer le trafic circulant sur le réseau. Selon des variantes de réalisation, l’ABNIDS analyse le trafic soit en temps réel, soit a posteriori en analysant des logs. Ainsi dans une étape d’analyse 204, le procédé permet d’observer des échantillons de données E n pour déterminer si l’échantillon observé est un échantillon normal ou non 206. Si l’échantillon est analysé comme anormal, le procédé permet d’initier un traitement sur données anormales 208 (typiquement, alerter ou enregistrer dans des logs), puis poursuit l’observation d’un prochain échantillon. Si l’échantillon est analysé comme normal, le procédé permet d’initier un traitement sur données normales 210 (typiquement, ne rien faire ou enregistrer dans des logs), puis poursuit l’observation d’un prochain échantillon. Dans le contexte de mise en œuvre du procédé de l’invention, comme illustré sur la ou sur la , un système tiers de détection de cyberattaque 112 analyse le réseau, et peut identifier que des données échangées sur ce réseau sont des données malveillantes, là où l’ABNIDS principal 110 avait désigné ces mêmes données comme normales. Le système de détection tiers permet ainsi de détecter un faux négatif pour l’ABNDIS principal. Le système de détection tiers 112 peut être par exemple tout dispositif de type IDS par signature, IDS par anomalie, IPS (pour « Intrusion Prevention System » en anglais), ou firewall. Le faux négatif détecté par le système de détection tiers peut être signalé comme un échantillon qui pourtant a été catégorisé comme normal par l’ABNIDS principal, alors qu’il a correspondu par le système tiers à la signature d’un IDS par signature ou enfreint une règle d’un firewall, par exemple. Dans une variante de réalisation, la détection de faux négatif peut être faite par un module logiciel intégré à l’ABNIDS principal, sans qu’il soit nécessaire qu’un système tiers de détection externe intervienne. Dans une variante où le système se base sur des primitives de prédiction, la taille m de la fenêtre sur la base de laquelle s’opère la prédiction utilisée dans la routine d’algorithme d’apprentissage sur anomalie, est typiquement la même que celle utilisée pendant l’apprentissage initial non supervisé. Cependant, elle peut être différente. Dans une implémentation, le module interne de détection est configuré pour mettre en œuvre un modèle de prédiction sur série temporelle de type « time-series forecasting » qui analyse le comportement de la série des scores d’anomalie des échantillons. Ce modèle peut ainsi être en mesure de comprendre la tendance, la variation périodique, les points de changement ainsi que les bruits et les variations aberrantes de la série. Dès lors, ce modèle est capable d’identifier les échantillons dont les scores d’anomalie calculés sont inférieurs au score d’anomalie prédit, et éventuellement désigner ceux-ci comme des faux négatifs, par exemple si la différence « score d’anomalie prédit – score d’anomalie calculé » est supérieure à une valeur seuil. Dans une variante d’implémentation, le modèle de prévision du score d’anomalie met en œuvre une modélisation ARIMA (acronyme de « AutoRegressive Integrated Moving Average » en anglais), qui peut détecter des faux négatifs sur les scores d’anomalies quand la série des échantillons observés ne suit plus la tendance prévue par le modèle ARIMA. Lors de la détection de données malveillantes, le système tiers de détection de cyberattaques (externe 112 ou interne) notifie l’ABNIDS de cette détection, en indiquant le ou les échantillons malveillants qui ont été incorrectement reconnus comme normaux par l’ABNIDS. A réception de la notification, l’ABNIDS met en œuvre le procédé de traitement de faux négatif selon l’invention. La montre sur un organigramme les étapes opérées par le procédé 300 de l’invention pour traiter des faux négatifs. Le procédé débute par une étape 302 de réception d’une notification selon laquelle un échantillon E n aurait dû être désigné comme anormal. Le faux négatif qui a été détecté, peut être explicitement signalé par le système de détection tiers ou dans une variante de réalisation, son signalement est à l'initiative d'un dispositif centralisé de gestion de la sécurité, de type SIEM (« Security Information and Event Management » en anglais), capable de confronter les résultats d'analyse de l'ABNIDS principal d'une part et de dispositifs de signalement tiers d'autre part. Le procédé permet dans une étape suivante 304 de récupérer l’échantillon correspondant. Selon des variantes de réalisation, la récupération de l'échantillon erronément reconnu comme normal par l'ABNIDS principal peut être à l'initiative d’un dispositif centralisé, du système de détection tiers ou de l'ABNIDS lui-même, éventuellement sur la base d'informations succinctes permettant son identification (par exemple heure, date, IP source, IP destination...), et son rapatriement peut être fait depuis un cache, une base de données 305 ou des logs. Dans le cas où l’heure est utilisée par un système tiers ou par un système central pour notifier à l’ABNIDS principal une anomalie, il est important qu’un système de synchronisation de leurs horloges avec celle de l’ABNIDS principal existe, de sorte que l’ABNIDS puisse récupérer les bonnes « données observées » (s’il doit le faire lui-même) en vue de reconstruire un échantillon factice de l’échantillon erronément vu comme normal. Dans une étape suivante 306, le procédé permet de construire un échantillon factice Fn qui est l’opposé de l’échantillon En identifié comme malveillant par le système tiers. Le procédé permet ensuite 308 d’initier une routine d’algorithme d’apprentissage sur faux négatif dans laquelle l’échantillon factice Fn qui a été construit, remplace l’échantillon incorrectement reconnu En en au moins une occurrence, lors de l’invocation de l’algorithme d’apprentissage. La routine d’algorithme d’apprentissage sur faux négatif peut être accomplie une seule fois. Cependant, ceci peut ne pas forcément garantir que l’ABNIDS principal sera ultérieurement en mesure de détecter par lui-même l’anomalie de l’échantillon jusqu’alors reconnu erronément comme normal. Aussi, dans une variante de réalisation, l’étape de mise en œuvre de la routine d’algorithme d’apprentissage sur faux négatif est accomplie plusieurs fois ( p > 1). Dans une autre variante de réalisation, la routine d’algorithme d’apprentissage sur faux négatif est invoquée jusqu’à ce que la vérification de la détection effective de l’échantillon par le nouveau réseau de neurones ainsi ré-entrainé soit satisfaite. Ainsi, la routine d’algorithme d’apprentissage sur faux négatif est appelée dans une boucle qui assure la poursuite du « sur-apprentissage » avec l’échantillon factice opposé jusqu’à ce que ce sur-apprentissage réussisse à rendre possible par l’ABNIDS la détection de l’échantillon E n en tant qu’échantillon anormal. Quand la routine d’algorithme d’apprentissage sur faux négatif est terminée, le procédé permet 310 que le modèle de trafic normal initial intègre le nouvel apprentissage (ou sur-apprentissage), afin que l’échantillon En soit reconnu comme échantillon anormal lors des prochains cycles d’observation du trafic (étape 204), et soit traiter comme tel (étape 208). La construction d’un opposé factice Fn dépend de la technologie utilisée par le dispositif de détection par anomalie, i.e. par l’ABNIDS principal. Deux technologies sont principalement connues pour la détection d’intrusion par anomalies : la prédiction et la reconstruction. Dans un mode de réalisation de détection par prédiction, la méthode s’appuie sur des algorithmes opérant sur des séries temporelles (« Time Series » en anglais) tels que l’algorithme LSTM (« Long Short-Term Memory » en anglais). Pendant la phase d’apprentissage, l’algorithme de prédiction se voit présenter des séquences d’échantillons. Il apprend ensuite à prédire, sur la base des échantillons passés, un ou plusieurs échantillons futurs. Cette famille d’algorithmes se prête avantageusement à des prédictions temporelles (évolution des cours de la bourse, par exemple), ou encore à des prédictions relatives au langage (le nième mot d’une phrase dépend des mots qui l’ont précédé). Avantageusement, le procédé de l’invention met en œuvre cette approche pour la détection d’intrusion dans un contexte réseau de communications, où la syntaxe des protocoles réseaux est prédictible car les machines à états qui les sous-tendent sont elles-mêmes déterministes. Certaines machines à états sont même particulièrement limitées pour des protocoles simples. Dans le cadre d’un ABNIDS principal fonctionnant par prédiction, la routine d’algorithme d’apprentissage sur faux négatif consiste à effectuer un apprentissage sur les m échantillons ayant précédé l’échantillon En incorrectement reconnu, suivis non pas de l’échantillon effectivement observé En (comme pour une routine d’algorithme d’apprentissage non-supervisé sur données normales), mais suivis de l’opposé factice Fn de l’échantillon En . La illustre un mode normal d’invocation d’une routine d’algorithme d’apprentissage pour un algorithme de détection basé sur la prédiction sur une série ( E n-m , …, En-1, E n ). La illustre un mode d’invocation d’une routine d’algorithme d’apprentissage sur faux négatif selon l’invention pour un algorithme de détection basé sur la prédiction, où la série ( E n-m , …, En-1, F n ) contient l’opposé factice Fn qui a été construit en lieu de l’échantillon En . Dans un mode de réalisation de détection par reconstruction, le principe est que les échantillons normaux partagent des caractéristiques communes, que l’algorithme d’intelligence artificielle va tenter de reconnaître. Une famille d’algorithmes d’IA couramment utilisés est la famille des autoencodeurs. Un autoencodeur est un réseau de neurones symétrique possédant une couche d'entrée et une couche de sortie qui ont un nombre identique de neurones, et une ou plusieurs couches cachées intermédiaires les reliant qui ont un nombre inférieur de neurones. Un autoencodeur est entraîné à reconstruire la sortie à partir de l’entrée, c’est-à-dire à faire en sorte que le vecteur de sortie soit le plus proche possible du vecteur d’entrée. Le nombre plus faible de neurones dans les couches intermédiaires, qu’on peut apparenter à une compression, complexifie la tâche en forçant le réseau de neurones à trouver dans les données d’apprentissage des relations intrinsèques sur lesquelles s’appuyer pour les reconstruire au mieux. Dans le contexte de l’invention, la routine d’algorithme d’apprentissage sur faux négatif pour un algorithme de reconstruction vise à faire « mal reconstruire » l’échantillon En incorrectement désigné comme normal. Ainsi, au lieu d’alimenter le réseau de neurone en entrée avec En et en sortie également avec En , la routine permet d’alimenter l’entrée du réseau de neurones avec En et en sortie avec l’opposé factice Fn de En . La illustre, un mode normal d’invocation d’une routine d’algorithme d’apprentissage pour un algorithme de détection basé sur la reconstruction, et la illustre un mode d’invocation d’une routine d’algorithme d’apprentissage sur faux négatif selon l’invention pour un algorithme de détection basé sur la reconstruction. La illustre par un exemple, la construction d’un opposé factice selon un mode de réalisation de l’invention, basé sur un mode de détection d’intrusion par prédiction. Sur l’exemple simplifié, il est montré une série d’échantillons considérés sous la forme d’un vecteur dont les composantes ont des valeurs comprises entre 0 et 1, tel que cela est le plus souvent la forme amenée à être utilisée en entrée d’un système ABNIDS. La construction de l’opposé factice F n d’un échantillon E n peut consister par exemple une inversion de chaque valeur des composantes qui constituent le vecteur E n . Ainsi, le vecteur de l’opposé factice s’écrit : ( avec et et ) . Dans une variante, la construction de l’opposé factice F n d’un échantillon E n peut consister en une mise à zéro de chaque valeur des composantes du vecteur En . Le vecteur de l’opposé factice s’écrit : ( . L’exemple est décrit pour un réseau de neurones 602 fonctionnant par prédiction et pour une opération de construction d’un opposé factice Fn s’appuyant sur l’inversion de chaque valeur des éléments qui constituent l’échantillon E n . Dans l’exemple, chaque échantillon E i est un vecteur formé de 5 valeurs normalisées (comprises entre 0 et 1), et la fenêtre de prédiction est composée de quatre échantillons ( E 444 , E 445 , E 446 , E 447 ). La construction de l’opposé factice est décrite pour l’échantillon E 448 qui suit l’échantillon E 447 . Un système tiers a notifié le système de détection d’anomalie principal, que l’échantillon E 448 a été identifié comme étant ‘anormal’ alors que le système de détection principal l’a identifié comme normal (étape 302). L’échantillon E 448 est considéré être un vecteur composé de 5 valeurs telles que . Le procédé selon l’étape 304 indiquée ci-dessus, permet de récupérer les m échantillons (m=4) ayant précédé l’échantillon E 448 incorrectement reconnu. Ainsi, il est retrouvé les quatre vecteurs avec leurs valeurs respectives : , , , et Le procédé met ensuite en œuvre une routine d’algorithme d’apprentissage sur faux négatif pour les quatre échantillons récupérés et l’opposé factice qui est construit sur une inversion des valeurs de l’échantillon anormal E 448 . Lors d’un prochain cycle de prédiction, le modèle de trafic sera en mesure de considérer que l’échantillon E 448 est anormal. L’homme du métier comprend que l’exemple a été pris simplifié, uniquement dans une intention de compréhension de l’invention, mais qu’il n’est pas limitatif sur le nombre d’échantillons observés, leur format, la nature du réseau d’apprentissage non-supervisé, et que toute variante appliquant la construction d’un opposé factice est susceptible d’être mise en œuvre par des moyens appropriés. La présente invention peut être réalisée selon différentes variantes et à différents niveaux de son implémentation. Ainsi, certains systèmes de détection d'intrusion réseau procèdent en analysant des paquets, et d'autres le font par l’analyse de flux. La présente invention peut opérer pour ces deux types de systèmes de détection d'intrusion réseau, dans lesquels les échantillons sont respectivement des paquets ou des flux. Dans un mode de réalisation de l’invention où le système de détection tiers est un IDS par signature, le procédé de l’invention permet de déclencher des reconfigurations de l’IDS par signature à l’initiative de l’ABNIDS principal, et ce dans une optique de maximiser la capacité conjointe de détection d’anomalie des deux systèmes, tout en optimisant les ressources nécessaires au fonctionnement de l’IDS par signature. Dans ce mode de réalisation, l’ABNIDS principal peut mettre en œuvre des étapes supplémentaires consistant à enregistrer (par exemple dans une base de données de signatures), sur réception d’’une notification d’anomalie détectée par l’IDS par signature, la signature correspondante (ou un identifiant, un label, un nom de cette signature), et à incrémenter un compteur à chaque fois qu’une nouvelle notification pour cette même signature est reçue, et que l’ABNIDS principal a lui-même été en mesure de détecter cette anomalie. L’ABNIDS constitue ainsi une base de données des signatures des anomalies détectées conjointement par le système tiers (IDS par signature) et par lui-même, avec pour chaque signature un indicateur (par le compteur) de la fréquence d’occurrence de ces détections communes. Ainsi, lorsque cet indicateur (i.e. compteur) pour une signature donnée dépasse un certain seuil (qui peut être configurable), l’ABNIDS principal peut considérer qu’il est maintenant en mesure de détecter de manière suffisamment fiable l’anomalie correspondant à cette signature (et ce sans l’aide de l’IDS par signature). Il peut alors le notifier à l’IDS par signature afin de décharger ce dernier de la surveillance associée à cette signature. L’IDS par signature voit alors sa charge de travail réduite et donc sa consommation en ressources réduite (par exemple sa consommation CPU). Les ressources ainsi libérées peuvent être réutilisées pour charger de nouvelles signatures complémentaires dans l’IDS par signature (par exemple pour permettre de détecter de nouvelles attaques). Ainsi avantageusement, les capacités de détection d’anomalie conjointe des deux systèmes (l’IDS par signature tiers et l’ABNIDS principal) peuvent être accrues de manière significative, et ce à ressources globales constantes. De manière complémentaire, le système de supervision, en charge de gérer les configurations de ce système conjoint de détection d’anomalie (l’IDS par signature avec l’ABNIDS principal), peut souhaiter configurer de nouvelles signatures au niveau de l’IDS par signature de manière à accroitre ses capacités de détection, sans que cela n’accroissent les ressources consommées par l’IDS par signature (de manière à préserver le bon fonctionnement global des systèmes de détection). Pour ce faire, il peut alors s’appuyer sur la base de données de signatures constituée par l’ABNIDS principal de manière à identifier la ou les signatures les plus fréquemment reconnues conjointement par l’ABNIDS et l’IDS par signature, afin de décharger l’IDS par signature de celles-ci et ainsi gagner les ressources correspondantes permettant de mettre en place les nouvelles signatures. Un mode de réalisation alternatif est décrit en référence à la qui montre sur un organigramme, les étapes 700 opérées pour initier une routine d’algorithme d’apprentissage sur faux négatif. Cette variante de réalisation peut être adaptée pour un ABNIDS principal qui met en œuvre plusieurs primitives d’IA pour procéder à l'analyse d'un unique échantillon. Cela peut par exemple être le cas pour un échantillon de type "paquet" dont l’en-tête IP peut être traité au moyen d'une primitive de reconstruction alors que son entête TCP peut l’être par une primitive de prédiction. Dans ce cas, l’étape de construction de l'opposé factice et l’étape de routine d'algorithme d'apprentissage sur anomalie sont répétées autant de fois qu'il y a de méthodes d'analyse employées pour un même échantillon. Les étapes se trouvent déclinées selon chaque méthode d'analyse. Ainsi, le procédé 700 opéré par un ABNIDS principal, débute par une étape 702 de réception d’une notification selon laquelle un échantillon E n ( E 1 ,n , …, E p,n ) aurait dû être désigné comme anormal, puis par une étape 704 de récupération de cet échantillon (depuis un cache, une base de données 305 ou des logs). Dans une étape suivante 706, le procédé permet d’entrer dans une boucle de traitement (710, 712, 714) tant que toutes les parties E k ,n de l’échantillon En qui ont été incorrectement reconnues comme normales n’ont pas été traitées par une routine d’algorithme d’apprentissage sur faux négatif. Pour reprendre l'exemple du paquet ci-dessus, le procédé sélectionne 710 une partie de l’échantillon, par exemple l’entête IP, pour laquelle il va procéder 712 à la construction d'un opposé factice correspondant à l'en-tête IP, et opérer 714 une routine d'algorithme d'apprentissage sur faux négatif pour une primitive de reconstruction appliquée au sous-échantillon correspondant à l'en-tête IP et à son opposé factice. Le procédé détermine 706 ensuite si toutes les parties de l’échantillon ont été traitées. Si oui, le procédé se termine 708. Si non, le procédé sélectionne 710 une nouvelle partie de l’échantillon, par exemple l’en-tête TCP, procède 712 à la construction d'un opposé factice correspondant à cet en-tête TCP, et opère 714 une routine d'algorithme d'apprentissage sur faux négatif pour une primitive de prédiction appliquée au sous-échantillon correspondant à l'en-tête TCP et à son opposé factice. Dans une sous-variante de ce mode de réalisation, les étapes 712 de construction de l'opposé factice et 714 de routine d'algorithme d'apprentissage sur faux négatif peuvent n'être effectuées que sur le ou les éléments de l'échantillon à l'origine de l'anomalie incorrectement détectée, par exemple sur le seul en-tête IP, si le système de détection tiers permet d'identifier celle-ci. Procédé (300) de détection d’intrusion réseau par anomalie basé sur un modèle de trafic normal appris dans une phase d’apprentissage en mode non-supervisé, le procédé étant mis en œuvre par un processeur d’un système de détection d’intrusion réseau par anomalie et comprenant pendant une phase d’inférence au moins des étapes consistant à déterminer des échantillons de données contenant des données anormales et des échantillons de données contenant des données normales, le procédé comprenant de plus des étapes consistant à : recevoir (302) une notification selon laquelle un échantillon de données E n désigné comme contenant des données normales est un faux négatif, et aurait dû être désigné comme contenant des données anormales ; construire (306) un échantillon factice F n tel que l’échantillon factice F n est l’opposé dudit échantillon de données E n ; et mettre à jour (310) ledit modèle de trafic normal en exécutant (308) au moins une fois une routine d’algorithme d’apprentissage sur faux négatif avec ledit échantillon factice F n . Le procédé selon la revendication 1 dans lequel l’étape de recevoir une notification consiste à recevoir par le système de détection d’intrusion réseau par anomalie, une notification d’un système tiers de détection d’intrusion réseau. Le procédé selon la revendication 1 dans lequel l’étape de recevoir une notification consiste à recevoir par le système de détection d’intrusion réseau par anomalie, une notification d’un module logiciel de détection de faux négatif intégré au système de détection d’intrusion réseau par anomalie. Le procédé selon l’une quelconque des revendications 1 à 3 dans lequel le système de détection d’intrusion réseau par anomalie comprend des moyens de détection basés sur une technologie de prédiction, et l’étape de mettre à jour le modèle de trafic normal consiste à exécuter au moins une fois une routine d’algorithme d’apprentissage sur faux négatif avec ledit échantillon factice F n selon la même technologie de prédiction. Le procédé selon l’une quelconque des revendications 1 à 3 dans lequel le système de détection d’intrusion réseau par anomalie comprend des moyens de détection basés sur une technologie de reconstruction, et l’étape de mettre à jour le modèle de trafic normal consiste à exécuter au moins une fois une routine d’algorithme d’apprentissage sur faux négatif avec ledit échantillon factice F n selon la même technologie de reconstruction. Le procédé selon l’une quelconque des revendications 1 à 5 dans lequel l’étape de construire un échantillon factice F n d’un échantillon E n consiste à inverser chaque valeur des composantes d’un vecteur représentatif de l’échantillon E n . Le procédé selon l’une quelconque des revendications 1 à 5 dans lequel l’étape de construire un échantillon factice F n d’un échantillon E n consiste en une mise à zéro de chaque valeur des composantes d’un vecteur représentatif de l’échantillon E n . Le procédé selon l’une quelconque des revendications 1 à 7 dans lequel l’étape d’exécuter une routine d’algorithme d’apprentissage sur faux négatif consiste à remplacer lors de l’invocation de l’algorithme d’apprentissage, l’échantillon incorrectement reconnu E n par l’échantillon factice F n qui a été construit. Le procédé selon l’une quelconque des revendications 1 à 8 dans lequel l’étape d’exécuter une routine d’algorithme d’apprentissage sur faux négatif est accomplie plusieurs fois. Le procédé selon l’une quelconque des revendications 1 à 9 comprenant après l’étape de réception d’une notification, une étape consistant à récupérer ledit échantillon de données E n . Le procédé selon l’une quelconque des revendications 1 à 10 dans lequel le système de détection d’intrusion réseau par anomalie met en œuvre plusieurs primitives d’intelligence artificielle pour procéder à l'analyse d'un échantillon, et où les étapes de construction d’un échantillon factice et d’exécution d’une routine d'algorithme d'apprentissage sur anomalie sont répétées au plus autant de fois que le nombre de primitives. Un produit programme d’ordinateur, ledit programme d’ordinateur comprenant des instructions de code permettant d’effectuer les étapes du procédé selon l'une quelconque des revendications 1 à 11, lorsque ledit programme est exécuté sur un ordinateur. Un dispositif de détection d’intrusion réseau par anomalie basé sur un modèle de trafic normal appris dans une phase d’apprentissage en mode non-supervisé, le dispositif comprenant des moyens configurés pour déterminer pendant une phase d’inférence des échantillons de données contenant des données anormales et des échantillons de données contenant des données normales, le dispositif comprenant de plus des moyens pour mettre en œuvre les étapes du procédé de l’une quelconque des revendications 1 à 11. Le dispositif selon la revendication 13 dans lequel le modèle de trafic normal a été appris sur un réseau de neurones opérant par prédiction ou sur un réseau de neurones opérant par reconstruction.