INPI-France/Brevets-Francais-2024-Chunked huggingface dataset:
Un avantage d’une telle structure de graphe est que les nœuds du graphe correspondent à des flux de communication et non aux utilisateurs du réseau. En effet, la détection d’intrusion basée uniquement sur des informations liées aux utilisateurs peut facilement être contournée par usurpation d’identité. Les attaques dans un réseau ont un modèle comportemental qui modélise les étapes d'attaque effectuées par l'attaquant. Ces modèles sont les informations que le spécialiste de la cybersécurité recherche pour détecter une attaque. La structure de graphe propose que deux communications appartiennent au même schéma d'attaque si elles sont orientées vers ou générées par le même utilisateur. En d'autres termes, deux flux générés par le même utilisateur ou destinés au même utilisateur sont connectés dans la structure du graphe pour donner aux modèles d’intelligence artificielle la capacité d'extraire les communications qui pourraient appartenir à la même attaque. Ces informations peuvent être combinées avec les attributs des communications pour différencier les communications normales et les comportements malveillants.
La plupart des solutions de l’état de l’art représentent le réseau sous la forme d'un graphe où les nœuds sont les utilisateurs (ou machines / hôtes du réseau), chacun identifié avec une adresse IP seule ou combinée avec un numéro de port comme second identifiant. Cependant, cette représentation est trop simple et présente plusieurs inconvénients. Premièrement, en utilisant cette structure, le problème est transformé en une tâche de classification des arêtes du graphe, mais la détection d'intrusion consiste à capturer les flux malveillants et non les attaquants. En effet, détecter les utilisateurs avec un comportement malveillant est plus difficile que détecter les flux malveillants eux-mêmes et il peut être éludé facilement. Pour cela, les attaquants modifient généralement leurs adresses IP en utilisant des réseaux privés virtuels. De plus, la tâche de classification des arêtes n'est pas encore bien étudiée à l'aide de la théorie des réseaux de neurones basés sur des graphes GNN, et par conséquent, les résultats de l'état de l'art ne sont pas encourageants.
D'autre part, la présente invention est plus simple que la solution proposée par David Pujol-Perich et al. En effet, cette solution de l’état de l’art, précédemment introduite, est caractérisée par un nœud pour chaque utilisateur de réseau. Au contraire, l’invention est basée sur un graphe dont les nœuds sont uniquement associés aux flux de communication. Par conséquent, l’invention est plus efficace en terme de consommation de ressources (utilisation de la mémoire et consommation énergétique/électrique réduite).
L’invention exploite les graphes créés dans un premier temps au moyen d’un premier modèle d’intelligence artificielle entrainé pour déterminer une représentation discriminante des caractéristiques des flux de communication de sorte à maximiser une dissimilarité entre un flux légitime et un flux malveillant. Ensuite, un ou plusieurs modèles de réseaux neuronaux de graphes sont appliqués pour exploiter la topologie du graphe afin d’extraire des caractéristiques supplémentaires qui sont finalement transmises à module de décision entrainé pour classifier les flux entre flux légitimes et malveillants.
L’invention a pour objet une méthode, mise en œuvre par ordinateur, de détection de flux malveillants dans un réseau informatique comprenant les étapes de : Capturer un ensemble de flux réseau, chaque flux réseau étant associé à un premier vecteur de caractéristiques du flux mesurées et à un instant de mesure, Créer, pour chaque instant de mesure, un graphe dont les nœuds représentent chaque flux capturé, deux nœuds du graphe étant connectés si les deux flux associés sont émis par le même utilisateur ou sont transmis vers le même utilisateur, chaque nœud étant pourvu dudit premier vecteur de caractéristiques, Exécuter un moteur d’intelligence artificielle entrainé pour détecter une intrusion dans le réseau informatique à partir des graphes et comprenant les sous-étapes de : Appliquer aux graphes au moins un réseau neuronal de graphes entrainé pour générer, pour chaque flux, un second vecteur de caractéristiques aptes à discriminer un flux autorisé d’un flux malveillant, l’entrainement dudit réseau neuronal de graphes exploitant au moins la topologie des graphes, Appliquer aux seconds vecteurs de caractéristiques un réseau de neurones artificiel classifieur entrainé pour classifier les flux parmi deux classes correspondant respectivement aux flux autorisés et aux flux malveillants.
Selon un aspect particulier de l’invention, l’étape d’exécuter le moteur d’intelligence artificielle comprend en outre une étape, préalable à l’application de l’au moins un réseau neuronal de graphes, consistant à appliquer aux premiers vecteurs de caractéristiques au moins un réseau neuronal artificiel entrainé pour réduire la dimension des premiers vecteurs par extraction de caractéristiques discriminants un flux autorisé d’un flux malveillant, l’entrainement dudit réseau neuronal artificiel n’exploitant pas la topologie des graphes.
Selon un aspect particulier de l’invention, l’au moins un réseau neuronal artificiel est un perceptron multi-couches.
Dans l’ensemble du document, le terme « sur » est utilisé sans distinction de l’orientation dans l’espace de l’élément auquel se rapporte ce terme. Par exemple, dans la caractéristique « sur une face d’une couche », cette face n’est pas nécessairement orientée vers le haut mais peut correspondre à une face orientée selon n’importe quelle direction. En outre, la disposition d’un premier élément sur un deuxième élément doit être comprise comme pouvant correspondre à la disposition du premier élément directement contre le deuxième élément, sans aucun élément intermédiaire entre les premiers et deuxième éléments, ou bien comme pouvant correspondre à la disposition du premier élément sur le deuxième élément avec un ou plusieurs éléments intermédiaires disposés entre les premier et deuxième éléments.
La représente schématiquement un exemple d’échantillon photovoltaïque caractérisé électriquement lors de la mise en œuvre du procédé selon l’invention ;
La représente schématiquement les étapes d’un procédé de caractérisation d’un échantillon photovoltaïque, objet de la présente invention ;
La représente schématiquement un dispositif de caractérisation d’un échantillon photovoltaïque, également objet de la présente invention.
Un exemple d’échantillon photovoltaïque 100 comprenant au moins une couche de matériau absorbeur 112 pour lequel un procédé de caractérisation électrique sous illumination adaptative est mis en œuvre est décrit ci-dessous en lien avec la .
L’échantillon 100 peut comporter plusieurs couches afin que celui-ci soit structurellement proche ou identique aux couches utilisées dans une cellule photovoltaïque, comme représenté par exemple sur la sur laquelle l’échantillon 100 comporte des couches similaires à celles d’une cellule photovoltaïque à hétérojonction et à contacts passivés. Sur cette , l’échantillon 100 comporte un substrat semi-conducteur, par exemple à base de silicium cristallin de type n, c-Si(n), et formant la couche de matériau absorbeur 112 de l’échantillon 100. L’épaisseur (dimension parallèle à l’axe Z représenté sur la ) de la couche 112 peut être comprise entre 40 µm et 400 µm et est par exemple égale à environ 160 µm, et la résistivité électrique de la couche 112 est par exemple proche ou égale à 1 Ω.cm. Les deux faces principales (faces avant et arrière parallèles au plan (X,Y) représenté sur la ) de la couche 112 sont recouvertes par des couches 114 et 126 de silicium amorphe hydrogéné intrinsèque (non intentionnellement dopé), a-Si:H(i). L’épaisseur de chacune des couches 114 et 126 est suffisante pour que chacune d’elle forme une couche de passivation, et peut être comprise entre 2 nm et 50 nm et est par exemple égale à 10 nm. La couche 126 se trouvant du côté de la face arrière de la couche 112 est recouverte par une couche 116 de silicium amorphe hydrogéné dopé p, a-Si:H(p), et la couche 114 se trouvant du côté de la face avant de la couche 112 est recouverte par une couche 118 de silicium amorphe hydrogéné dopé n, a-Si:H(n), de façon à former une passivation du matériau de la couche 112, le rendre photoconducteur et créer un contact sélectif pour les porteurs de charge. La face de la couche 118 opposée à celle en contact avec la couche 114 forme une première face 106 de l’échantillon 100.
En variante, lorsque l’échantillon 100 comporte des couches similaires à celles d’une cellule photovoltaïque à pérovskite, la couche de matériau absorbeur 112 peut comporter un matériau à structure pérovskite et avoir une épaisseur par exemple comprise entre 200 nm et 5 µm. Les couches de passivation et couches sélectives de porteurs de charge seront celles qui sont adaptées au matériau pérovskite.
N paires d’électrodes de mesure adjacentes, référencées 108.1 à 108.4 sur la , sont disposées sur la première face 106 de l’échantillon 100. Chacune de ces électrodes de mesure comprend par exemple un oxyde transparent conducteur 120, ou TCO (« Transparent Conductive Oxide » en anglais), correspondant par exemple à de l’ITO (« Indium Tin Oxide » en anglais, ou oxyde d’indium et d’étain) et dont l’épaisseur est par exemple égale à environ 100 nm, et une couche métallique 122 comprenant par exemple de l’argent et dont l’épaisseur est par exemple égale à environ 10 µm, la couche d’oxyde transparent conducteur étant disposée entre la couche métallique 122 et la couche 118. L’épaisseur de chaque électrode de mesure (dimension parallèle à l’axe Z de la ) est par exemple comprise entre 100 nm et 50 µm.
Les N paires d’électrodes de mesure adjacentes, avec N nombre entier supérieur ou égal à 3 et par exemple compris entre 3 et 11, sont disposées du côté duquel l’échantillon 100 est illuminé. Le nombre de paires d’électrodes réalisées sur l’échantillon 100 dépend notamment de la précision souhaitée pour la caractérisation électrique de l’échantillon 100. Plus le nombre de paires d’électrodes utilisées est important, plus la précision de l’extraction des paramètres électriques de l’échantillon 100 réalisée sera importante.
En variante, l’échantillon 100 peut comporter des couches de matériau différentes de celles décrites pour l’exemple ci-dessus, par exemple : absence des couches 116 et 118 ou des couches 114 et 126, remplacement des couches 114 et 126 de a-Si:H(i) par des couches de passivation différentes telles que des couches d’oxyde chimique ou thermique, recouvrement de la couche 116 par une couche de TCO, remplacement des couches de semi-conducteur amorphe par des couches nanocristallines ou microcristallines ou polycristallines de semi-conducteur, autre type de couche 112 semi-conducteur, etc.
Sur la , l’échantillon 100 comporte 4 paires d’électrodes de mesure adjacentes référencées 108.1, 108.2, 108.3 et 108.4 (soit N = 4, N étant le nombre de paires d’électrodes de mesure adjacentes utilisées pour les mesures mises en œuvre dans le procédé de caractérisation). Chacune des électrodes des paires d’électrodes de mesure adjacentes a une forme et des dimensions identiques aux autres électrodes, par exemple une forme rectangulaire. Chaque électrode a par exemple une longueur L (dimension parallèle à l’axe X) comprise entre quelques dizaines de microns et quelques mm, et une largeur W (dimension parallèle à l’axe Y) comprise entre (quelques mm et quelques dizaines de mm. A titre d’exemple, la largeur W de chacune des électrodes de mesure est égale à 15 mm, et la longueur L de chacune des électrodes de mesure est égale à 500 µm.
Les électrodes de mesure sont disposées parallèlement à leur largeur W (dimension parallèle à l’axe Y de la ). De plus, les électrodes de mesure sont disposées les unes à côté des autres de manière à ce que chaque paire d’électrodes formée de deux électrodes adjacentes soient espacées d’une distance inter-électrodes qui varie d’une paire d’électrodes à l’autre. Ainsi, l’échantillon 100 comporte au moins 3 paires d’électrodes de mesure dont les distances inter-électrodes sont différentes l’une de l’autre.
Tout d’abord, une demande de contenu peut être envoyée depuis un équipement utilisateur (A2) vers le dispositif de communication (D2) auquel il est connecté. Cette demande de contenu peut être envoyée, par exemple, via une interface homme machine. Un signal lumineux (S1p) contenant des données correspondant à cette demande de contenu peut ensuite être généré par le dispositif de communication (D2). Ce signal (S1p) peut ensuite être envoyé vers un dispositif de communication (D1) situé entre le dispositif de communication (D2) et le dispositif source. Le dispositif de communication (D1) reçoit le signal lumineux (S1p), le convertir en signal électrique, puis génère un nouveau signal lumineux (S2p) qu’il émet vers le dispositif source. Il est noté que le nouveau signal lumineux (S2p) peut transporter d’autres données, par exemple des données correspondant à une demande de contenu provenant de l’un des équipements utilisateurs (A2, A3) auquel il est connecté, et/ou des données correspondant à une demande de contenu provenant d’un autre équipement utilisateur connecté à encore un autre dispositif de communication.
Le dispositif source convertit ensuite le signal lumineux (S2p) en signal électrique, et traite les données contenues dans le signal électrique obtenu. En particulier, le dispositif source extrait les données correspondant à la demande de contenu initiale, et génère un nouveau signal lumineux (S1) comprenant les données relatives au contenu demandé. Bien entendu, le nouveau signal lumineux (S1) peut comprendre d’autres données, par exemple destinées à d’autres dispositifs de communication que celui (D2) qui a fait la demande de contenu initiale.
Ce nouveau signal lumineux (S1) est émis vers le dispositif de communication (D1). A la réception de ce signal lumineux (S1), le dispositif de communication (D1) traite les données reçues, extrait les données destinées à être envoyées vers le dispositif de communication (D2), et les lui transmet via un dernier signal lumineux (S2). Le dispositif de communication (D2) peut ensuite traiter le signal reçu pour en extraire des données correspondant au contenu demandé et les envoyer vers l’équipement utilisateur (A2), par exemple sous forme d’un signal de commande, comme détaillé plus haut.
Dans ce mode de réalisation, le dispositif de communication 500 comporte un ordinateur 501, comprenant une mémoire 502 pour stocker des instructions permettant la mise en œuvre du procédé décrit en référence à la , et des données temporaires pour réaliser différentes étapes de ce procédé.
L'ordinateur 501 comporte en outre un circuit 503. Ce circuit peut être, par exemple un processeur apte à interpréter des instructions sous la forme de programme informatique, une carte électronique dont les étapes du procédé de l'invention sont décrites dans le silicium, ou encore une puce électronique programmable comme une puce FPGA (pour « Field-Programmable Gate Array » en anglais). Ce circuit peut comprendre le module de traitement et/ou le module de conversion décrits précédemment. L’ordinateur 501 peut en outre comprendre une interface de sortie 506 pour délivrer des signaux de commande vers des équipements utilisateur auquel le dispositif 500 est connecté.
Le dispositif 500 comporte un ensemble 504 d’au moins un photorécepteur pour recevoir des signaux lumineux et les convertir en signaux électriques. L’ensemble 504 d’au moins un photorécepteur est configuré pour envoyer lesdits signaux électriques au circuit 503. L’ordinateur 501 comporte aussi un ensemble 505 d’au moins deux émetteurs lumineux pour l’émission de signaux lumineux générés par le circuit 503.
Le dispositif 500 représenté à la peut être, dans certains modes de réalisation, l’un des dispositifs de communication 103, 105 de la . Le dispositif source 104 a, dans des modes de réalisation, une structure similaire à celle du dispositif 500 représenté à la , et peut comprendre, en outre, un accès à une mémoire ou un serveur de données externe, la mémoire ou le serveur externe pouvant par exemple stocker des données de contenu à destination des différents équipements utilisateur.
Bien entendu, la présente invention ne se limite pas aux formes de réalisation décrites ci-avant à titre d'exemples. Elle s'étend à d'autres variantes. Par exemple, comme mentionné ci-dessus, la mise en œuvre de l’invention ne se limite pas à un environnement correspondant à l’intérieur d’un véhicule, mais peut être étendue à tout environnement comprenant des vitrages. En outre, si l’invention a été décrite dans le cadre d’une chaîne (similaire à une topologie dite « daisy chain » en anglais) de trois dispositifs de communication (dont un dispositif source), elle peut être étendue à toute topologie de réseau, et à tout nombre de dispositifs de communication. Par ailleurs, certains de ces dispositifs peuvent être connectés via une liaison filaire, tandis que d’autres peuvent être, selon l’invention, connectés par une liaison VLC en utilisant un vitrage comme vecteur de transport de l’information.
Méthode et système de détection d’intrusions dans un réseau informatique par apprentissage automatique L’invention concerne le domaine de la cyber-sécurité des réseaux informatiques ou de télécommunications.
L’invention porte sur une méthode et un système de détection d’intrusions dans un réseau informatique au moyen d’une méthode de détection implémentant un modèle d’apprentissage automatique exploitant une représentation particulière des données sous forme de graphe.
Les systèmes de détection d’intrusion (IDS) (« Intrusion Detection Systems ») ont pour fonction la détection d’intrusion ou plus généralement la détection d’anomalies dans un réseau. Leur objectif est d’agir en complément de mécanismes de sécurité préventifs de type cryptographique ou contrôle d’accès. Il existe principalement deux types de systèmes IDS selon la méthode de détection d’attaque mise en œuvre. Deux types de méthodes de détection d’intrusion existent principalement, les méthodes de détection d’intrusion par signatures ou par anomalies.
La détection par signatures repose sur une base de signatures d’attaques. Les différents éléments observés par le système IDS (par exemple, des flux réseau dans le cas d’un système de détection d’intrusion sur réseau) sont comparés aux différentes entrées de cette base. Une correspondance signifie que le système sous surveillance est la cible de l’attaque dont la signature a correspondu à l’observation. Ces systèmes visent à détecter les attaques en comparant le trafic réseau à des modèles prédéfinis d'attaques déjà connus.
Les systèmes de détection par anomalies reposent quant à eux sur la détection d’une opération anormale, par rapport aux observations antérieures, dans l’élément observé. Ces systèmes présentent l’avantage de permettre la détection d’attaques inconnues, jamais observées auparavant et pour lesquelles des signatures n’ont pas encore pu être constituées. Ils sont cependant également caractérisés par des taux de faux positifs élevés pour la détection des attaques inconnues. On parle de faux positif quand un événement qui n’est pas une intrusion est identifié comme étant une anomalie. Ce cas arrive, par exemple, lors d’une défaillance du réseau qui provoque un phénomène anormal qui peut être détecté comme étant une intrusion.
Les systèmes IDS basés sur les signatures sont efficaces pour détecter les attaques connues avec un faible taux de faux positifs, mais ne parviennent pas à détecter les nouveaux types d'attaques. Par conséquent, c'est pour cela, au cours des dernières années, que des concepts de détection d'anomalie utilisant l'apprentissage automatique (Machine Learning ML en anglais) et l'apprentissage profond (Deep Learning DL en anglais) ont été investigués pour identifier tout comportement anormal dans le réseau. Ces techniques montrent des résultats encourageants dans la détection des nouvelles attaques.
Avantageusement, les informations d’horodatage peuvent permettre de déterminer un temps de transfert dans le second réseau, par exemple cellulaire, auquel est connecté la passerelle. Ainsi, il est possible de disposer dans la passerelle, pour chaque message ou pour certains messages, du temps de transfert dans le réseau. Cette information relative au temps de transfert peut avantageusement être comparée à un temps de transfert garanti (ou temps de latence garanti) par l’opérateur du second réseau au premier terminal et si ce temps de transfert mesuré est supérieur, de remonter une alarme à l’opérateur et/ou au premier terminal ou service souscrit pas ce premier terminal. Sur réception de cette alarme, il peut être envisagé de modifier ou d’intervenir sur un ou plusieurs équipements réseau pour permettre de garantir de nouveau le fonctionnement de ce service souscrit.
Selon certains modes de réalisation le dispositif est configuré pour associer au moins une première information de qualité à ladite première information d’horodatage et - recevoir au moins une seconde information de qualité liée à ladite seconde information d’horodatage.
Avantageusement, l’ajout d’une information de qualité peut permettre d’indiquer la qualité de l’information d’horodatage. Dans certains modes de réalisation, cette information de qualité peut être une information relative à la qualité de la première ou de la seconde information temporelle de référence, voire liée aux dispositifs qui distribuent ces informations temporelles de référence. Dans certains modes de réalisation, cette information de qualité peut être une classe de précision de ces terminaux qui distribuent une information temporelle de référence.
Selon certains modes de réalisation le dispositif est configuré pour transmettre à une base d’horodatage au moins l’un ou l’autre ou plusieurs parmi : - ledit premier message, ladite au moins une information d’horodatage associée et ladite au moins une première information de qualité - ledit second message, ladite au moins information d’horodatage associée et ladite au moins une seconde information de qualité.
Ainsi, il est possible de centraliser les informations d’horodatage et de les rendre disponibles à plusieurs équipements du second réseau. Il est également possible d’archiver les informations d’horodatage et les informations de qualité associées en vue de leur exploitation ultérieure, notamment en cas de preuve pour l’opérateur du second réseau, pour prouver qu’il a par exemple respecté des garanties en terme de temps de transfert dans son réseau.
Selon certains modes de réalisation le dispositif est configuré pour transmettre audit premier terminal client - ladite première information d’horodatage et ladite au moins une première information de qualité associée, - ladite seconde information d’horodatage et ladite au moins une seconde information de qualité associée.
Selon ce mode de réalisation, il est possible pour le terminal client d’avoir accès aux informations d’horodatage des messages qu’il transmet à travers le second réseau et de s’assurer que l’opérateur de communication qu’il utilise peut garantir un temps de transfert des messages dans le réseau en respectant un temps de latence qui lui convient.
Selon certains modes de réalisation le dispositif est configuré pour recevoir ladite au moins une seconde information d’horodatage et ladite au moins une seconde information de qualité associée soit dudit au moins un second dispositif soit de ladite base d’horodatage.
Selon certains modes de réalisation le dispositif est configuré pour obtenir ladite première information temporelle de référence à partir de la réception et de la transmission d’un ou plusieurs messages avec un premier serveur d’horodatage dudit second réseau.
Selon certains modes de réalisation, ladite seconde information temporelle de référence est obtenue à partir de la réception et de la transmission d’un ou plusieurs messages entre un second serveur d’horodatage et ledit au moins un second dispositif, ledit premier serveur d’horodatage et ledit second serveur d’horodatage étant synchronisés sur une même référence de temps.