Brevet FR3038187A1 (20161230)
REVENDICATIONS1. Procédé de détection d'anomalies dans l'exécution d'un service, comprenant : - une obtention (E10) d'une liste ordonnée d'au moins deux transactions élémentaires pour une session courante, lors d'une exécution du service par une entité, - une construction (El\n<CLM>\1\tpour la session courante d'un vecteur de distribution (va) dont les entrées correspondent aux entrées d'au moins un vecteur de référence (Cj), une entrée du vecteur de référence correspondant à un segment élémentaire de taille fixe d'au moins une transaction élémentaire, et association à une entrée du vecteur de distribution d'un nombre d'occurrences du segment élémentaire correspondant dans la liste ordonnée, ledit vecteur de référence étant représentatif d'un profil de comportement normal d'utilisation du service, - une identification (E13) de la session courante comme normale lorsque la distance entre le vecteur de distribution et le vecteur de référence est inférieure à une valeur seuil (Ti) associée au vecteur de référence.\n<CLM>\1\tProcédé selon l'une des revendications précédentes, comprenant un remplacement (El) d'au moins une valeur spécifique contenue dans les transactions élémentaires par une valeur générique.\n<CLM>\1\tProcédé selon l'une des revendications précédentes, dans lequel la liste ordonnée d'au moins deux transactions élémentaires est obtenue au moyen d'une analyse n-grammes des transactions élémentaires.\n<CLM>\1\tProcédé selon l'une des revendications précédentes comprenant une détection d'anomalie lorsque le segment élémentaire de la session courante ne figure pas parmi les entrées du vecteur de référence.\n<CLM>\1\tProcédé selon l'une des revendications précédentes, dans lequel la distance entre le vecteur de distribution et le vecteur de référence est la distance Euclidienne. 30\n<CLM>\1\tProcédé selon l'une des revendications précédentes, comprenant une phase d'apprentissage mise en oeuvre sur un ensemble de sessions d'apprentissage, comprenant pour une desdites sessions d'apprentissage associée à une exécution du service : - une obtention (E10) d'une liste ordonnée d'apprentissage d'au moins deux 35 transactions élémentaires d'apprentissage, 3038187 19 - une construction (E21) d'un vecteur de distribution d'apprentissage (vi) dont les entrées correspondent aux entrées du vecteur de référence, à une entrée du vecteur de distribution d'apprentissage on associe (E22) un nombre d'occurrences du segment élémentaire d'apprentissage correspondant dans la liste ordonnée d'apprentissage, 5 - une construction (E23) d'une matrice de distribution (MD) par ajout dudit vecteur de distribution d'apprentissage, ladite matrice d'observation comprenant en i-ième ligne un i-ième vecteur de distribution d'apprentissage, et, - une modification (E3) de l'ordre des colonnes et des lignes de la matrice de 10 distribution obtenues pour l'ensemble des sessions d'apprentissage, pour constituer des groupements de valeurs autour de la diagonale de la matrice, et une obtention pour chaque groupement (Cj) de valeurs, du vecteur de référence (Cj) et de la valeur seuil (Ti) associée.\n<CLM>\1\tProcédé selon la revendication 6, dans lequel les groupements de valeurs sont obtenus 15 par application d'un algorithme de classification double, ou de « co-clustering », à la matrice de distribution.\n<CLM>\1\tDispositif de détection d'anomalies, comprenant : - un module (46) d'obtention d'une liste ordonnée, agencé pour obtenir une liste 20 ordonnée d'au moins deux transactions élémentaires pour une session courante, lors d'une exécution du service par une entité, - un module (47) de construction et d'association, agencé pour construire pour la session courante un vecteur de distribution (va) dont les entrées correspondent aux entrées d'au moins un vecteur de référence (Cj), une entrée du vecteur de référence correspondant à un 25 segment élémentaire de taille fixe d'au moins une transaction élémentaire, et pour associer à une entrée du vecteur de distribution d'un nombre d'occurrences du segment élémentaire correspondant dans la liste ordonnée, ledit vecteur de référence étant représentatif d'un profil de comportement normal d'utilisation du service, - un module (48) d'identification, agencé pour identifier la session courante comme normale lorsque la distance entre le vecteur de distribution et le vecteur de référence est inférieure à une valeur seuil associée au vecteur de référence.\n<CLM>\1\tProgramme d'ordinateur sur un support de données et chargeable dans la mémoire d'un ordinateur, le programme comprenant des instructions de code pour l'exécution des étapes 3038187 20 du procédé de détection d'anomalies selon l'une des revendications 1 à 7, lorsque le programme est exécuté sur ledit ordinateur.\n<CLM>\1\tSupport de données dans lequel est enregistré le programme selon la revendication 5\n<CLM>\1\t10