Brevet FR3150677A1 — publié le 20250103

Classification d’un jeu de données multi-activités dans un réseau de télécommunications L’invention concerne un procédé de classification d’un jeu de données, comprenant : - réception (211) d’un jeu de données comprenant une trace réseau identifiant des paquets échangés sur un réseau de télécommunications par au moins un utilisateur pendant une durée donnée ; - identification (217) d’une catégorie multi-activités pour la trace réseau, parmi un ensemble prédéfini de catégories multi-activités par application d’un modèle de prédiction à au moins une caractéristique de la trace réseau déterminée (216) à partir des paquets identifiés dans la trace réseau. Figure pour l'abrégé : [Fig 2b] Classification d’un jeu de données multi-activités dans un réseau de télécommunications L'invention se rapporte au domaine des télécommunications. La classification des activités numériques sur un réseau de télécommunications permet une meilleure connaissance et donc une meilleure gestion du réseau par l’opérateur en charge de sa gestion. Etat de la technique Un utilisateur peut accéder à un réseau étendu, de type IP notamment, via un point d’accès pouvant être une passerelle domestique, ou un téléphone mobile de type « Hotspot mobile » faisant office de passerelle réseau. Le point d’accès peut notamment être accessible par une liaison sans fil, de type Wifi par exemple. Un réseau local Wifi peut ainsi être créé par le point d’accès, afin de permettre à des équipements domestiques de communiquer entre eux, mais également d’accéder au réseau étendu IP, notamment pour accéder à des services offerts par des plateformes de service distantes. Les activités numériques qui peuvent être mises en œuvre depuis un terminal utilisateur sont de plus en plus nombreuses, et elles se rapportent à des applications de plus en plus variées et peuvent comporter différents types d’action de la part de l’utilisateur. Les activités numériques comprennent notamment, mais de manière non-exhaustive, le chat ou messagerie instantanée, les appels téléphoniques via VOIP, pour « Voice Protocol Over IP », le streaming vidéo, l’accès à des applications, notamment des applications de réseaux sociaux tels que Facebook TM , Instagram TM , Youtube TM , Twitter TM , etc. Il est utile pour un opérateur en charge du réseau, de classer les activités numériques mises en œuvre par les utilisateurs du réseau et générant des flux de paquets de données dans le réseau via des points d’accès tels que des passerelles domestiques, et ce afin de faciliter la gestion du réseau, afin de prioriser certains services, afin de proposer de nouveaux services ou à des fins de sécurité. A cet effet, des méthodes de classification sont connues afin de : - classer un flux de paquets de données comme relevant d’une application parmi plusieurs applications prédéfinies telles que Youtube, Instagram, Facebook, etc. Par exemple, la publication « Real-time encrypted traffic classification via lightweight neural networks », J. Cheng et Al, in Globecom 2020 IEEE Global Communications Conference, pp 1-6, décrit une méthode permettant une telle classification. La publication « Mimetic : Mobile encrypted traffic classification using multimodal deep learning », G. Aceto et Al, Computer networks, vol. 165, p. 106944, 2019 décrit une autre méthode permettant une telle classification ; - classer des flux de paquets en des actions réalisées au sein d’applications, par exemple « poster un tweet sur TwitterTM », « commenter un post sur FacebookTM ». La publication « Eavesdropping on fine grained user activities within smartphone apps over encrypted network traffic » B. Saltaformaggio et Al, 10th USENIX Workshop on Offensive Technologies (WOOT 16), 2016, décrit une méthode permettant une telle classification d’actions. La publication « Analyzing android encrypted network traffic to identify user actions », M. Conti et Al, IEEE Transactions on Information Forensics and Security, vol.11, no. 1, pp 114-125, 2015, décrit une autre méthode permettant une telle classification d’actions ; - classer le type de données des paquets de données, par exemple entre des données voix VOIP, des données de chat, des données de streaming vidéo. La publication « Online classification of user activities using machine learning on network traffic », V. Labayen et Al, Computer Networks, vol. 181, p. 107557, 2020, décrit une méthode permettant une telle classification de type de données. La publication « Identification of encrypted traffic through attention mechanism based long short-term memory », H. Yao et Al, IEEE Transactions on Big Data, 2019, décrit une autre méthode permettant une telle classification de type de données. Toutefois, ces méthodes sont dédiées à l’identification d’une unique activité numérique, ce qui implique que les flux de paquets de plusieurs activités numériques effectuées par l’utilisateur, soit en parallèle (en même temps), soit de manière alternée, ne peuvent pas être catégorisés. Or, de telles situations sont de plus en plus courantes, notamment lorsqu’un utilisateur possède plusieurs terminaux dans un réseau domestique, les terminaux accédant au même point d’accès pouvant être une passerelle domestique. De tels terminaux peuvent comprendre un décodeur TV de type STB, pour « Set Top Box » en anglais, un terminal mobile tel qu’un Smartphone ou une tablette tactile, des objets connectés, tels qu’une montre connectée, etc. Ainsi, il existe un besoin de classer des jeux de paquets de données multi-activités dans un réseau de télécommunications. L'invention offre une solution ne présentant pas les inconvénients de l'état de la technique. A cet effet, selon un aspect fonctionnel, l'invention a pour objet un procédé de classification d’un jeu de données, comprenant une phase courante comprenant les étapes suivantes : - réception d’un jeu de données comprenant au moins une trace réseau, la trace réseau identifiant des paquets échangés sur un réseau de télécommunications pendant une durée donnée ; - identification d’une catégorie multi-activités pour la trace réseau, parmi un ensemble prédéfini de multi-activités, par application du modèle à au moins une caractéristique de la trace réseau déterminée à partir des paquets identifiés dans la trace réseau, chaque catégorie multi-activités identifiant une mise en œuvre alternée ou simultanée d’au moins deux activités numériques. Ainsi, l’extraction de caractéristiques et leur soumission à un modèle, permet d’identifier une catégorie multi-activités pour chaque trace réseau. Le modèle peut notamment être un modèle issu d’un apprentissage machine. Il est ainsi rendu possible de traiter des traces réseau multi-activités, contrairement aux solutions de l’art antérieur qui ne sont adaptées qu’à des traces réseau mono-activité. Selon des modes de réalisation, la mise en œuvre d’au moins deux activités numériques identifiée par chaque catégorie multi-activités est alternée ou simultanée. Selon des modes de réalisation, le procédé peut comprendre en outre une fragmentation de la trace réseau du jeu de données en au moins un fragment de durée T prédéterminée, ladite au moins une caractéristique peut être extraite dudit au moins un fragment à partir des paquets identifiés dans ledit fragment, et une catégorie multi-activités peut être prédite pour la trace réseau par application du modèle à ladite au moins une caractéristique extraite dudit au moins un fragment. Une telle fragmentation permet de traiter des fragments de durée donnée. Il est ainsi rendu possible d’analyser plusieurs fragments dans un même jeu de données, afin de notamment pouvoir détecter des périodes de multi-activité notamment, et afin de les isoler. La durée T peut être prédéterminée de manière à être suffisamment courte pour permettre une identification de catégories multi-activités en temps réel du jeu de données, mais suffisamment longue pour comprendre une quantité d’informations suffisante pour que le modèle puisse identifier la situation de multi-activités. En complément, ledit au moins un fragment peut être divisé en N échantillons de durée égale T/N, N étant un entier supérieur ou égal à deux, au moins une caractéristique peut être extraite pour chaque échantillon à partir des paquets identifiés dans ledit échantillon, et la catégorie multi-activités peut être identifiée pour la trace réseau par application du modèle aux caractéristiques extraites des N échantillons dudit au moins un fragment. Ainsi, il est permis une représentation fine de chaque segment, sous la forme d’une série temporelle de caractéristiques. La précision associée à la classification est ainsi améliorée. En complément ou en variante, le procédé peut comprendre, pour chaque fragment, une vérification que ledit au moins un fragment est un fragment multi-activités, et ladite au moins une caractéristique peut être extraite dudit au moins un fragment si et seulement si ledit au moins un fragment est un fragment multi-activités. Ainsi, les caractéristiques ne sont extraites et soumises au modèle que pour des fragments multi-activités, ce qui permet d’assurer une meilleure gestion des ressources de calcul, et permet d’accélérer la classification du jeu de données. En effet, les fragments mono-activité sont ainsi filtrés. Selon des modes de réalisation, ladite au moins une caractéristique extraite à partir de paquets peut comprendre l’une des caractéristiques suivantes ou une combinaison des caractéristiques suivantes : - moyenne, variance, coefficient d’asymétrie, coefficient d’acuité des tailles de paquets de et somme des tailles de paquets ; - moyenne, variance, coefficient d’asymétrie, coefficient d’acuité des intervalles d’arrivée de paquets de l’échantillon d’entraînement ; - nombre de paquets. Ainsi, les caractéristiques sont des statistiques sur la taille des paquets ou sur leurs intervalles d’arrivée, ce qui permet de caractériser de manière précise le jeu de données, et ce qui facilite sa catégorisation par le modèle. Selon des modes de réalisation, le procédé peut comprendre une phase préalable d’entraînement du modèle par apprentissage supervisé, à partir d’un ensemble de jeux de données d’entraînement, chaque jeu de données d’entraînement étant associé dans une première base de données à une étiquette identifiant une catégorie multi-activités parmi l’ensemble prédéfini de catégories multi-activités. Un tel apprentissage supervisé permet l’obtention d’un modèle robuste de manière automatisée. En complément, la phase préalable d’entraînement peut comprendre les étapes suivantes : - réception d’un premier jeu de données d’entraînement comprenant au moins une trace réseau d’entraînement, ledit premier jeu de données d’entraînement étant associé à une première catégorie multi-activités parmi l’ensemble prédéfini de catégories multi-activités ; - détermination d’au moins une caractéristique de la trace réseau d’entraînement à partir de paquets identifiés dans la trace réseau d’entraînement ; - entraînement du modèle par comparaison entre une prédiction d’une catégorie multi-activités obtenue identifiée à partir de ladite au moins une caractéristique de la trace réseau d’entraînement et la première catégorie multi-activités associée au premier jeu de données d’entraînement. Ainsi, en répétant de telles étapes pour plusieurs jeux de données d’entraînement associés à différentes catégories multi-activités, il est rendu possible d’obtenir un modèle de prédiction robuste. Selon des modes de réalisation, le modèle peut être entraîné à partir de l’un des modèles suivants : - un modèle de type forêt aléatoire, ou « random forest » en anglais ; - un modèle eXtreme Grandient Boosting, ou XGBoost ; - un réseau de neurones convolutionnel unidimensionnel, avec mécanisme d’attention ; - une cellule de longue mémoire à court terme, bi-directionnelle, BiLSTM, pour « Bidirectional Long Short-Term Memory, avec mécanisme d’attention ; - un encodeur de type Transformer. De tels modèles sont adaptés à la mise en œuvre d’opérations de classification, notamment pour traiter des séries temporelles de caractéristiques. Selon un aspect matériel, l’invention concerne également un dispositif de classification apte à accéder à ou stockant un modèle de prédiction d’une catégorie multi-activités parmi un ensemble prédéfini de catégories multi-activités, en fonction d’au moins une caractéristique reçue en entrée du modèle, chaque catégorie multi-activité identifiant une situation de mise en œuvre alternée ou simultanée d’au moins deux activités numériques , le dispositif de classification comprenant en outre : - une première interface apte à recevoir un jeu de données comprenant au moins une trace réseau, la trace réseau identifiant des paquets échangés sur un réseau de télécommunications par au moins un utilisateur pendant une durée donnée ; - un processeur configuré pour identifier une catégorie multi-activités pour la trace réseau par application du modèle de prédiction à au moins une caractéristique de la trace réseau déterminée à partir des paquets identifiés dans la trace réseau. Selon un autre aspect matériel, l'invention concerne un système comprenant le dispositif de classification défini, et un terminal utilisateur apte à mettre en œuvre au moins deux activités numériques, le jeu de données reçu par le dispositif de classification identifiant des paquets reçus et/ou émis par le terminal utilisateur. Selon un autre aspect matériel, l’invention concerne également un programme d'ordinateur apte à être mis en œuvre sur un dispositif de classification, le programme comprenant des instructions de code qui, lorsque le programme est exécuté par un processeur, réalise les étapes du procédé défini. De tels programmes peuvent utiliser n’importe quel langage de programmation. Ils peuvent être téléchargés depuis un réseau de communication et/ou enregistrés sur un support lisible par ordinateur. Selon un autre aspect matériel, l’invention a trait à un support de données sur lequel a été mémorisés au moins une série d’instructions de code de programme pour l’exécution du procédé défini ci-dessus. L'invention sera mieux comprise à la lecture de la description qui suit, donnée à titre d'exemple et faite en référence aux dessins annexés sur lesquels : La illustre un système de télécommunications selon des modes de réalisation de l’invention. La est un diagramme illustrant les étapes d’une phase d’entraînement d’un modèle de classification d’un jeu de données selon des modes de réalisation de l’invention. La est un diagramme illustrant les étapes d’un procédé de classification d’un jeu de données selon des modes de réalisation de l’invention. La illustre un dispositif de classification d’un jeu de données selon des modes de réalisation de l’invention. La illustre un exemple d’environnement de mise en œuvre de l’invention selon des modes de réalisation. Un réseau de télécommunications 100 étendu, de type IP, est apte à permettre l’échange de paquets de données entre diverses entités réseau qui sont décrites dans ce qui suit. Plusieurs points d’accès 130.1 à 130.n sont représentés, n étant un entier supérieur ou égal à deux dans l’exemple représenté sur la . Aucune restriction n’est attachée à l’entier n qui peut être égal à plusieurs centaines, voire plusieurs milliers, voire plusieurs dizaines ou centaines de milliers. Dans l’environnement de la , les points d’accès 130.1 à 130.n peuvent être des passerelles domestiques associées à des réseaux d’accès locaux sans fil, tels que des réseau wifi, 131.1 à 131.n. Ainsi, des terminaux d’utilisateur 140.1, 104.2 et 140.n peuvent accéder à des services d’activités numériques dans le réseau 100, par exemple à des services fournis par des plateformes 121 et 122. Un seul terminal a été représenté pour chaque point d’accès, mais plusieurs terminaux d’utilisateur peuvent accéder au réseau via un même point d’accès. Aucune restriction n’est attachée aux services fournis par les plateformes 121 et 122, qui peuvent être des plateformes associées à des applications mobiles, des plateformes de streaming, ou tout autre service. Les terminaux d’utilisateur 140.1, 104.2 et 140.n des réseaux d’accès locaux 131.1 à 131.n peuvent accéder à d’autres types de services d’activités numériques, tels que des services de VoIP, de chat, de mailing, de transfert de fichier, etc. Une première base de données 111 comprend un ensemble de jeu de données d’entraînement, chaque jeu de données d’entraînement de l’ensemble comprenant au moins une trace réseau multi-activités pour un utilisateur donné ou pour plusieurs utilisateurs donnés. Chaque jeu de données d’entraînement est associé à (labellisé ou étiqueté avec) une catégorie, ou classe, de multi-activités, parmi un ensemble de catégories multi-activités prédéfinies. Aucune restriction n’est attachée au nombre de catégories prédéfinies, qui est n’importe quel nombre supérieur ou égal à 1. Aucune restriction n’est par ailleurs attachée aux catégories multi-activités, qui peuvent identifier des situations de double activité, durant lesquelles un utilisateur réalise deux activités numériques en même temps ou en alternance, c’est-à-dire l’une après l’autre. L’ensemble de catégories prédéfinies peut ainsi comprendre les catégories suivantes, données à titre d’exemple : « vidéo + mail », « chat + mail », « chat + vidéo », « chat + navigation internet », « chat + transfert de fichier », etc. En outre, au moins l’une des catégories prédéfinies de multi-activités peut correspondre à une situation durant laquelle un utilisateur réalise trois ou plus activités numériques en même temps ou en alternance. L’ensemble de catégories prédéfinies peut ainsi comprendre en outre l’une au moins des catégories suivantes, données à titre d’exemple : « vidéo + mail +chat », « vidéo+ navigation internet + mail », etc. Aucune restriction n’est attachée à la manière dont la première base de données 111 est construite, notamment à la manière dont les étiquettes/labels identifiant la catégorie multi-activités de chaque jeu de données ont été obtenues, trois exemples distincts étant détaillés ci-dessous à titre illustratif en référence à la . Aucune restriction n’est par ailleurs attachée au nombre de jeu de données d’entraînement qui sont stockés dans la première base de données 111. Afin de permettre un apprentissage machine d’un modèle de classification selon l’invention, détaillé dans ce qui suit, l’ensemble stocké dans la première base de données 111 comprend plusieurs centaines, voire plusieurs milliers, voire plusieurs dizaines ou centaines de milliers de jeux de données d’entraînement, chaque jeu de données d’entraînement comprenant au moins une trace réseau d’entraînement multi-activités pour un utilisateur donné ou pour plusieurs utilisateurs donnés. Enfin, aucune restriction n’est attachée au format des traces réseau que comprend chaque jeu de données. Des traces réseau comprennent généralement l’une ou plusieurs des informations suivantes : durée de la trace réseau, identifiant de chaque paquets échangé, taille de chaque paquet de donnée échangé, date d’envoi/réception de chaque paquet échangé, nombre de paquets dans la trace réseau, un identifiant de source tel qu’un numéro de port source et une adresse IP source, un identifiant de destination, tel qu’un numéro de port destinataire et une adresse IP destinataire. Ainsi, une trace réseau correspond à l’ensemble des paquets échangés sur le réseau durant la réalisation d’une activité numérique ou de plusieurs activités numériques, sur une plage temporelle donnée depuis ou vers un point d’accès 130.1 à 130.n d’un utilisateur. Les paquets échangés peuvent être indiqués en séquence dans la trace réseau. Un jeu de données peut comprendre une trace réseau, ou plusieurs traces réseau, par exemple toutes les traces réseau d’une journée donnée pour le trafic qui concerne un utilisateur donné. L’utilisateur peut notamment être identifié par un identifiant réseau de son point d’accès 130.1 à 130.n. De manière préférentielle, les jeux de données d’entraînement de l’ensemble sont variés, c’est-à-dire que l’ensemble de jeux de données d’entraînement comprend un grand nombre de jeux de données pour chacune des catégories multi-activités prédéfinies, et qu’au sein de chaque catégorie, les jeux de données diffèrent les uns des autres, par la durée des traces réseau d’entraînement, par les utilisateurs concernés, par les plages horaires concernées, etc. En outre, une deuxième base de données 112 peut comprendre des jeux de données à identifier, chaque jeu de donnée à identifier comprenant au moins une trace réseau multi-activité pour un utilisateur donné. A la différence des jeux de données d’entraînement de la première base de données 111, les jeux de données à identifier de la deuxième base de données 112 ne sont pas associés à des étiquettes/labels identifiant la catégorie multi-activités de chaque jeu de données. Les jeux de données de la deuxième base de données 112 peuvent être traités par un dispositif de classification 110 selon l’invention afin de leur attribuer une catégorie parmi l’ensemble de catégories multi-activités prédéfinies. La première base de données 111 et la deuxième base de données 112 sont représentées comme étant séparées et indépendantes sur la . En variante, la première base de données 111 et la deuxième base de données 112 peuvent être une seule et même base de données. Le dispositif de classification 110 est apte à recevoir en entrée un jeu de données comprenant au moins une trace réseau multi-activités, et à indiquer une catégorie multi-activités correspondant au jeu de données reçu. A cet effet, le dispositif de classification 110 peut stocker un modèle d’identification d’une catégorie multi-activités issu d’un apprentissage machine, comme il sera mieux compris à la lecture de la description des figures 2a et 2b qui suivent. La est un diagramme illustrant les étapes de la construction d’un modèle d’identification d’une catégorie multi-activités parmi plusieurs catégories multi-activités, selon des modes de réalisation de l’invention. A une étape 200, un ensemble de jeux de données d’entraînement est obtenu. L’ensemble de jeux de données d’entraînement peut être issu de la première base de données 111 décrite précédemment. Trois techniques d’obtention d’un tel ensemble de jeux de données d’entraînement sont décrites ci-après. Ces trois techniques sont données à titre illustratif, et aucune restriction n’est attachée à la manière d’obtenir l’ensemble de jeux de données d’entraînement. Selon une première technique, l’ensemble est obtenu par synthèse de jeux de données d’entraînement, chaque trace réseau multi-activité d’un jeu de données d’entraînement synthétisé étant obtenue à partir de plusieurs traces réseau mono-activité, par exemple en fusionnant plusieurs traces réseau mono-activité. En pratique, Lors de la fusion de deux ou plusieurs traces mono-activité leurs paquets sont regroupés/rassemblés au niveau d’une même trace multi-activités, par exemple en prenant en compte l’estampille des paquets de la trace réseau. Des bases de données comprenant une grande quantité de traces réseau mono-activité sont connues, et accessibles. C’est notamment le cas de la base de données ISCXVPN2016, donnée à titre d’exemple. Par exemple, par synthèse d’une première trace réseau labellisée « chat » avec une deuxième trace réseau labellisée « streaming », une trace réseau multi-activités de synthèse peut être obtenue, qui est labellisée « chat-streaming », et qui peut être stockée en tant que jeu de données d’entraînement dans la première base de données 111. Selon une deuxième technique, des scripts informatiques peuvent être transmis aux points d’accès 130.1 à 130.n. Chaque script, lorsqu’il est exécuté par un point d’accès 130.1 à 130.n est apte à déclencher plusieurs activités numériques sur au moins un terminal relié au point d’accès 130.1 à 130.n. Par exemple, un script informatique peut déclencher une activité de streaming et une activité de chat, toutes deux prédéfinies. Une trace réseau peut alors être enregistrée pendant l’exécution du script, par une entité réseau, par exemple l’entité réseau en charge de la diffusion des scripts, et la trace réseau enregistrée est stockée en tant que jeu de données d’entraînement dans la première base de données 111, en association avec un label correspondant à la catégorie multi-activités déclenchée par le script, soit « chat-streaming », dans l’exemple considéré ci-dessus. Des scripts peuvent être transmis pour chaque catégorie multi-activités prédéfinie, et ce afin de disposer de jeux de données d’entraînement pour toutes les catégories prédéfinies. Selon une troisième technique, des instructions sont envoyées à des utilisateurs du réseau 100, tels que des utilisateurs des réseaux d’accès locaux 131.1 à 131.n, chaque instruction indiquant au moins deux activités numériques et un créneau horaire donné, afin que l’utilisateur effectue lesdites au moins deux activités numériques dans le créneau horaire donné. Par exemple, l’instruction peut indiquer à l’utilisateur d’effectuer une activité de streaming et une activité de chat durant un créneau horaire donné. Une trace réseau peut alors être enregistrée pendant le créneau horaire donné, par une entité réseau, par exemple l’entité réseau en charge de la transmission des instructions, et la trace réseau enregistrée est stockée en tant que jeu de données d’entraînement dans la première base de données 111, en association avec un label correspondant à la catégorie multi-activités déclenchée par l’instruction, soit « chat-streaming », dans l’exemple considéré ci-dessus. Des instructions peuvent être transmises pour chaque catégorie multi-activités prédéfinie, et ce afin de disposer de jeux de données d’entraînement pour toutes les catégories prédéfinies. Les trois techniques mentionnées ci-dessus peuvent être mises en œuvre de manière alternative ou de manière complémentaire. A une étape 201, un premier jeu de données d’entraînement est obtenu de la première base de données 111. Dans le mode de réalisation décrit, à une étape 202, le dispositif de classification 110 fragmente chaque trace réseau d’entraînement du premier jeu de données d’entraînement en au moins un fragment d’entraînement d’une durée T déterminée. Par exemple, la durée T peut être prédéterminée et peut correspondre à une durée supérieure à une durée minimale permettant d’identifier un fragment comme étant un fragment multi-activités ou non. Selon la durée de chaque trace réseau d’entraînement du premier jeu de données d’entraînement, un seul ou plusieurs fragments d’entraînement peuvent être obtenus. A une étape 203, le dispositif de classification 110 détermine au moins une caractéristique d’un fragment d’entraînement, par exemple le premier fragment d’entraînement obtenu, appelé premier fragment d’entraînement dans ce qui suit. De préférence, plusieurs caractéristiques différentes du premier fragment d’entraînement sont déterminées. Le premier fragment d’entraînement de durée T peut être décomposé en N échantillons d’entraînement de durée égale T/N et au moins une caractéristique peut être déterminée pour chaque échantillon d’entraînement. Pour chaque échantillon d’entraînement, au moins une caractéristique peut être issue d’indicateurs statistiques sur la taille des paquets de données identifiés dans l’échantillon d’entraînement ou sur leur intervalle d’arrivée, ou « interarrival time » en en anglais. Par exemple, au moins une caractéristique de l’échantillon d’entraînement, ou une combinaison de caractéristiques, peut être déterminée parmi les caractéristiques suivantes : - moyenne, variance, coefficient d’asymétrie, coefficient d’acuité (ou « kurtosis » en anglais) des tailles de paquets identifiés dans l’échantillon d’entraînement et somme des tailles de paquets identifiés dans l’échantillon d’entraînement ; - moyenne, variance, coefficient d’asymétrie, coefficient d’acuité (ou « kurtosis » en anglais) des intervalles d’arrivée de paquets identifiés dans l’échantillon d’entraînement ; - le nombre de paquets identifiés dans l’échantillon d’entraînement. Selon un mode de réalisation avantageux, toutes les caractéristiques précitées sont déterminées pour chaque échantillon d’entraînement. A une étape 204, le dispositif de classification 110 entraîne un modèle par apprentissage machine soumettant en entrée du modèle la ou les caractéristiques déterminées pour le premier fragment d’entraînement, le modèle étant entraîné pour prédire la catégorie multi-activités du premier fragment d’entraînement, et la sortie du modèle est comparée au label du premier jeu d’entraînement auquel appartient le premier fragment d’entraînement. La prédiction de la catégorie multi-activités du premier fragment d’entraînement peut par exemple comprendre l’évaluation de probabilités respectives pour les différentes catégories multi-activités, et la sélection de la catégorie multi-activités ayant la probabilité la plus élevée. Les paramètres du modèle sont ensuite modifiés en fonction du résultat de la comparaison entre la sortie du modèle et le label du premier jeu d’entraînement. Un tel principe d’entraînement est appelé apprentissage supervisé, est bien connu et n’est pas détaillé davantage dans la présente description. Aucune restriction n’est attachée au modèle qui est entraîné à l’étape 204. Le modèle peut notamment être choisi parmi l’un des modèles suivants : - un modèle de type forêt aléatoire, ou « random forest » en anglais ; - un modèle eXtreme Gradient Boosting, ou XGBoost ; - un réseau de neurones convolutionnel unidimensionnel, avec mécanisme d’attention ; - une cellule de longue mémoire à court terme, bi-directionnelle, BiLSTM, pour « Bidirectional Long Short-Term Memory, avec mécanisme d’attention ; - un encodeur de type Transformer. A une étape 205, le dispositif de classification 110 vérifie s’il reste au moins un autre fragment d’entraînement dans le premier jeu de données d’entraînement, n’ayant pas servi à entraîner le modèle. L’autre fragment d’entraînement peut faire partie de la même trace réseau que le premier fragment d’entraînement précédemment décrit, ou peut être issu d’une autre trace réseau du premier jeu de données d’entraînement. Si le premier jeu d’entraînement comprend au moins un autre fragment d’entraînement, les étapes 202 à 204 sont répétées pour l’autre fragment d’entraînement. S’il ne reste aucun fragment d’entraînement dans le premier jeu de données d’entraînement, le procédé passe à une étape 206. A l’étape 206, le dispositif de classification 110 vérifie s’il reste au moins un autre jeu de données d’entraînement dans la première base de données 111, n’ayant pas servi à entraîner le modèle. Si tel est le cas, c’est-à-dire s’il reste au moins un autre jeu de données d’entraînement dans la première base de données 111, le procédé retourne à l’étape 201, pour mise en œuvre des étapes 202 à 204 sur l’autre jeu de données d’entraînement. Dans le cas contraire, si tous les jeux de données d’entraînement de la première base de données 111 ont servi à entraîner le modèle, le procédé s’achève à une étape 207. En variante, l’étape 206 peut consister à vérifier un critère de convergence du modèle : le modèle peut être considéré comme suffisamment entraîné, bien qu’il reste des jeux de données d’entraînement dans la première base de données 111 qui n’ont pas encore été utilisés pour l’entraînement du modèle, si le taux d’erreur de classification du modèle est inférieur à un seuil donné. Les étapes de la ont été décrites comme étant mises en œuvre par le dispositif de classification 110. Toutefois, le modèle peut être entraîné par toute entité comprenant des capacités de calcul et une mémoire permettant la mise en œuvre des étapes précitées, puis le modèle est stocké dans le dispositif de classification 110. Afin d’entraîner le modèle, une telle entité est apte à accéder à la première base de données 111, via le réseau 100 ou via une liaison directe. La phase d’identification décrite ci-dessous en référence à la est quant à elle mise en œuvre par le dispositif de classification 110 qui peut être implémenté dans tout élément réseau apte à accéder au réseau 100. Le dispositif de classification 110 peut ainsi être implémenté dans un serveur, dans un point d’accès au réseau 100, dans un routeur ou encore dans un terminal d’un utilisateur. En variante, le dispositif de classification 110 est implémenté de manière hybride entre l’un des éléments réseau précités et un composant d’une architecture cloud. La est un diagramme illustrant les étapes d’un procédé de classification d’un jeu de données (ou d’identification d’une catégorie multi-activités d’un jeu de données) comprenant au moins une trace réseau identifiant des paquets de données échangés sur le réseau. A l’étape 210, le modèle précédemment entraîné conformément au procédé de construction de la , est stocké par le dispositif de classification 110. Un tel stockage peut être dans une mémoire interne du dispositif de classification 110, ou peut être stocké à distance, dans un serveur distant de type cloud par exemple, auquel a accès le dispositif de classification 110. Les étapes de la peuvent ainsi être considérées comme des étapes d’une phase préalable à une phase courante décrite en référence à la . A l’étape 211, le dispositif de classification 110 reçoit un premier jeu de données comprenant au moins une trace réseau. Comme indiqué précédemment une trace réseau comprend l’ensemble des paquets échangés sur une plage temporelle pour la réalisation d’une ou de plusieurs activités numériques. Chaque paquet échangé peut être identifié par un identifiant de paquets, une taille de paquet, une date de paquet, un port source et un port de destination, une adresse IP source et une adresse IP de destination. Le premier jeu de données reçu peut être issu de la deuxième base de données 112 présentées précédemment, ou peut être capturé en temps réel sur le réseau 100. En variante, le jeu de données peut être reçu d’une autre entité réseau non représentée sur la . A l’étape 212, le dispositif de classification 110 fragmente chaque trace réseau du premier jeu de données en au moins un fragment de la durée T. Par exemple, comme expliqué précédemment, la durée T peut être prédéterminée et peut correspondre à une durée supérieure à une durée minimale permettant d’identifier un fragment comme étant un fragment multi-activités ou non. A l’étape 213, un premier fragment de durée T ainsi obtenu pour une première trace donnée, est évalué afin de déterminer si le premier fragment est un fragment multi-activités ou non. Par exemple, une telle détermination peut être basée sur la détection de deux types de paquets différents dans le premier fragment. Si au moins deux paquets de deux types différents sont détectés dans le premier fragment, alors le premier fragment est considéré comme multi-activités et le procédé passe à l’étape 216. Dans le cas contraire, s’il est évalué que le premier fragment n’est pas multi-activités, le procédé passe à une étape 214. A l’étape 214, il est déterminé si au moins un autre fragment a été obtenu à l’étape 212 pour le premier jeu de données, l’autre fragment n’ayant pas encore fait l’objet de l’évaluation de l’étape 213. L’autre fragment peut être issu de la même première trace réseau que le premier fragment, ou peut être issu d’une autre trace réseau du premier jeu de données. Si au moins un autre fragment a été obtenu à l’étape 212 et n’a pas fait l’objet de l’évaluation de l’étape 213, alors le procédé retourne à l’étape 213 pour évaluer si l’autre fragment est un fragment multi-activités ou non. Dans le cas contraire, si tous les fragments obtenus à partir du premier jeu de données ont été évalués à l’étape 213, le procédé s’achève à l’étape 215, jusqu’à réception d’un nouveau jeu de données à l’étape 211. A l’étape 216, le dispositif de classification 110 détermine au moins une caractéristique du premier fragment. De préférence, plusieurs caractéristiques différentes du premier fragment sont déterminées. La détermination de la caractéristique, ou des caractéristiques du premier fragment, est identique à la détermination des caractéristiques des fragments d’entraînement décrite en référence à l’étape 203. A une étape 217, la caractéristique, ou les caractéristiques ainsi déterminées pour le premier fragment, sont soumises au modèle issu de l’apprentissage machine, pour prédiction d’une catégorie multi-activités. La catégorie prédite est associée à la première trace réseau comprenant le premier fragment. Le procédé passe ensuite à l’étape 214, afin de vérifier si le jeu de données comprend d’autres fragments qui n’ont pas été soumis aux étapes 213, 216 et 217 décrites précédemment. L’autre fragment peut être un fragment de la première trace réseau ou un fragment d’une trace réseau suivante, auquel cas le étapes 213, 216 et 217 sont répétées pour prédire une catégorie multi-activités pour la trace réseau suivante Lorsque tous les fragments du premier jeu de données ont été traités, le procédé s’achève à l’étape 215, chaque trace réseau du premier jeu de données ayant été associée à une catégorie multi-activités. La présente la structure d’un dispositif de classification 110 selon des modes de réalisation de l’invention. Le dispositif de classification 110 comprend un processeur 301 configuré pour communiquer de manière unidirectionnelle ou bidirectionnelle, via un ou des bus ou via une connexion filaire directe, avec une mémoire 302 telle qu’une mémoire de type « Random Access Memory », RAM, ou une mémoire de type « Read Only Memory », ROM, ou tout autre type de mémoire (Flash, EEPROM, etc). En variante, la mémoire 302 comprend plusieurs mémoires des types précités. La mémoire 302 comprend au moins une mémoire non-volatile dans laquelle sont stockées, de manière temporaire ou permanente, les données utilisées et/ou issues de la mise en œuvre des étapes du procédé de classification selon l’invention décrites en référence à la . En particulier, la mémoire 302 peut stocker le modèle lors de l’étape 210 décrite précédemment. La mémoire 302 peut également stocker des méthodes de détermination d’une ou de plusieurs caractéristiques de fragments de jeux de données, comme décrit précédemment, sous forme d’instructions logicielles par exemple. Le processeur 301 est apte à exécuter des instructions, stockées dans la mémoire 302, pour la mise en œuvre des étapes 211 à 217 du procédé de classification selon l’invention, décrit en référence à la . De manière optionnelle et complémentaire, le processeur 301 est apte à exécuter des instructions, stockées dans la mémoire 302, pour la mise en œuvre des étapes 200 à 207 du procédé d’entraînement du modèle selon l’invention, décrites en référence à la . Le dispositif de classification 110 comprend une première interface 303 apte à recevoir des jeux de données lors de l’étape 211 décrite précédemment. La première interface 303 peut également être apte à recevoir des jeux de données d’entraînement lors de l’étape 201 du procédé d’entraînement du modèle. Le dispositif de classification 110 comprend en outre une deuxième interface 304 apte transmettre la ou les catégories prédites pour chaque jeu de données reçu sur la première interface 303. Procédé de classification d’un jeu de données, comprenant les étapes suivantes : - réception (211) d’un jeu de données comprenant au moins une trace réseau, la trace réseau identifiant des paquets échangés sur un réseau de télécommunications pendant une durée donnée ; - identification (217) d’une catégorie multi-activités pour la trace réseau, parmi un ensemble prédéfini de multi-activités, par application d’un modèle de prédiction à au moins une caractéristique de la trace réseau déterminée (216) à partir des paquets identifiés dans la trace réseau, chaque catégorie multi-activités identifiant une mise en œuvre d’au moins deux activités numériques. Procédé selon la revendication 1, comprenant en outre une fragmentation (212) de la trace réseau du jeu de données en au moins un fragment de durée T prédéterminée, dans lequel ladite au moins une caractéristique est extraite (216) dudit au moins un fragment à partir des paquets identifiés dans ledit fragment, et dans lequel la catégorie multi-activités est identifiée pour la trace réseau par application du modèle à ladite au moins une caractéristique extraite dudit au moins un fragment. Procédé selon la revendication 2, dans lequel ledit au moins un fragment est divisé en N échantillons de durée égale T/N, N étant un entier supérieur ou égal à deux, dans lequel au moins une caractéristique est extraite pour chaque échantillon à partir des paquets identifiés dans ledit échantillon, et dans lequel la catégorie multi-activités est identifiée pour la trace réseau par application du modèle aux caractéristiques extraites des N échantillons dudit au moins un fragment. Procédé selon la revendication 2 ou 3, comprenant, pour chaque fragment, une vérification (213) que ledit au moins un fragment est un fragment multi-activités, et dans lequel ladite au moins une caractéristique est extraite dudit au moins un fragment si et seulement si ledit au moins un fragment est un fragment multi-activités. Procédé selon l’une des revendications précédentes, dans lequel ladite au moins une caractéristique extraite (216) à partir de paquets identifiés comprend l’une ou une combinaison des caractéristiques suivantes : - moyenne, variance, coefficient d’asymétrie, coefficient d’acuité des tailles de paquets de et somme des tailles de paquets ; - moyenne, variance, coefficient d’asymétrie, coefficient d’acuité des intervalles d’arrivée de paquets de l’échantillon d’entraînement ; - nombre de paquets. Procédé selon l’une des revendications précédentes, comprenant une phase préalable (200-207) d’entraînement du modèle par apprentissage supervisé, à partir d’un ensemble de jeu de données d’entraînement, chaque jeu de données d’entraînement étant associé dans une première base de données (111) à une étiquette identifiant une catégorie multi-activités parmi l’ensemble prédéfini de catégories multi-activités. Procédé selon la revendication 6, dans lequel la phase préalable d’entraînement comprend les étapes suivantes : - obtention (201) d’un premier jeu de données d’entraînement comprenant au moins une trace réseau d’entraînement, ledit premier jeu de données d’entraînement étant associé à une première catégorie multi-activités parmi l’ensemble prédéfini de catégories multi-activités ; - détermination (203) d’au moins une caractéristique de la trace réseau d’entraînement à partir de paquets identifiés dans la trace réseau d’entraînement ; - entraînement (204) du modèle par comparaison entre une prédiction d’une catégorie multi-activités obtenue identifiée à partir de ladite au moins une caractéristique de la trace réseau d’entraînement et la première catégorie multi-activités associée au premier jeu de données d’entraînement. Procédé selon l’une des revendications précédentes, dans lequel le modèle entraîné est l’un parmi les modèles suivants : - un modèle de type forêt aléatoire, ou « random forest » en anglais ; - un modèle eXtreme Gradient Boosting, ou XGBoost ; - un réseau de neurones convolutionnel unidimensionnel, avec mécanisme d’attention ; - une cellule de longue mémoire à court terme, bi-directionnelle, BiLSTM, pour « Bidirectional Long Short-Term Memory, avec mécanisme d’attention ; - un encodeur de type Transformer. Dispositif de classification (110) apte à accéder ou stockant un modèle de prédiction d’une catégorie multi-activités parmi un ensemble prédéfini de catégories multi-activités, en fonction d’au moins une caractéristique reçue en entrée du modèle, chaque catégorie multi-activité identifiant une mise en œuvre alternée ou simultanée d’au moins deux activités numériques , le dispositif de classification comprenant en outre : - une première interface (303) apte à recevoir un jeu de données comprenant au moins une trace réseau, la trace réseau identifiant des paquets échangés sur un réseau de télécommunications par au moins un utilisateur pendant une durée donnée ; - un processeur (301) configuré pour identifier une catégorie multi-activités pour la trace réseau par application du modèle de prédiction à au moins une caractéristique de la trace réseau déterminée à partir des paquets identifiés dans la trace réseau. Système comprenant un dispositif de classification selon la revendication 9 et un terminal utilisateur apte à mettre en œuvre au moins deux activités numériques, le jeu de données reçu par le dispositif de classification identifiant des paquets reçus et/ou émis par le terminal utilisateur. Programme d'ordinateur apte à être mis en œuvre dans un dispositif de classification tel que défini dans la revendication 9, le programme comprenant des instructions de code qui, lorsqu’il est exécuté par un processeur (301), réalise les étapes du procédé défini dans l’une des revendications 1 à 8. Support d’enregistrement lisible par un ordinateur sur lequel est enregistré au moins une série d’instructions de code de programme pour l’exécution du procédé selon l’une des revendications 1 à 8.