Discussion:Apprentissage automatique appliqué aux systèmes de détection d'intrusion réseau

message: === Évolutions et défis pour les systèmes de détection ===
 Les problèmes actuels et défis majeurs à venir pour les systèmes de détection basés sur de l'apprentissage automatique sont, entre autres, les suivants : la capture de paquets réseau doit - idéalement - ne perdre aucune information et effectuer un traitement sur tout l'ensemble de données réseau. Dépendant de l'apprentissage utilisé, toute perte d'information peut avoir des conséquences négatives pour la suite de la détection, étant donné que le modèle de détection aura peut être manqué des informations cruciales pour entraîner son modèle
On remarque dans l'article suivant à la page 2 :
 The problem we are trying to analyze in the unsuper-vised learning framework is the following: we wish to de-tect anomalies in the flow of packets on a TCP/IP network.
C'est ce que vous avez précisé dans cette section
 This apparently simple problem statement hides a number of subproblems. A TCP/IP packet, over an Ethernet network, has a variable dimension between 20 and 1500 bytes
Il serait possible de préciser la cause
 The first 20 bytes (or more, depending on the number of options) constitute the IP header, and we possess full knowledge of its meaning.
 Another sequence of up to 20 bytes is the header ofthe upper layer protocol, usually either TCP, UDP or ICMP.
 In the case of connection-oriented protocols (most notably TCP) these headers may need inter-correlation in order to be fully deciphered.
 It is computationally infeasible to perform a full, real-time reconstruction of the sessions of traffic of a large network at such a high level
 The higher the protocol layer we consider, the more the IDS will become sensible to reconstruction problems
Il y a une réelle difficulté d'analyse au niveau des couches hautes par rapport aux couches basses : elles nécessitent une corrélation plus importante ce qui entraîne une dégradation des performances.
Il serait possible d'appuyer ce point dans l'article
MaximeRoelandt (discuter) 22 janvier 2018 à 07:22 (CET)
replies: text: Bonjour Maxime. Nous comprenons ta remarque, mais nous pensons que cet aspect ne concerne pas notre sujet. Notre page s'intéresse aux techniques d'apprentissage pour les IDS, et non pas aux difficultés d'analyse d'un IDS... Les difficultés d'analyse sur les couches hautes concernent tous les IDS, pas seulement pour l'apprentissage automatique. AymericDu (discuter) 22 janvier 2018 à 09:11 (CET)
thread_title:  Relecture de Maxime du 22 janvier 2018 

message: Les problèmes actuels et défis majeurs à venir pour les systèmes de détection basés sur de l'apprentissage automatique sont, entre autres, les suivants : la capture de paquets réseau doit - idéalement - ne perdre aucune information et effectuer un traitement sur tout l'ensemble de données réseau. Dépendant de l'apprentissage utilisé, toute perte d'information peut avoir des conséquences négatives pour la suite de la détection, étant donné que le modèle de détection aura peut être manqué des informations cruciales pour entraîner son modèle
On remarque dans l'article suivant à la page 2 :
 The problem we are trying to analyze in the unsuper-vised learning framework is the following: we wish to de-tect anomalies in the flow of packets on a TCP/IP network.
C'est ce que vous avez précisé dans cette section
 This apparently simple problem statement hides a number of subproblems. A TCP/IP packet, over an Ethernet network, has a variable dimension between 20 and 1500 bytes
Il serait possible de préciser la cause
 The first 20 bytes (or more, depending on the number of options) constitute the IP header, and we possess full knowledge of its meaning.
 Another sequence of up to 20 bytes is the header ofthe upper layer protocol, usually either TCP, UDP or ICMP.
 In the case of connection-oriented protocols (most notably TCP) these headers may need inter-correlation in order to be fully deciphered.
 It is computationally infeasible to perform a full, real-time reconstruction of the sessions of traffic of a large network at such a high level
 The higher the protocol layer we consider, the more the IDS will become sensible to reconstruction problems
Il y a une réelle difficulté d'analyse au niveau des couches hautes par rapport aux couches basses : elles nécessitent une corrélation plus importante ce qui entraîne une dégradation des performances.
Il serait possible d'appuyer ce point dans l'article
MaximeRoelandt (discuter) 22 janvier 2018 à 07:22 (CET)
replies: text: Bonjour Maxime. Nous comprenons ta remarque, mais nous pensons que cet aspect ne concerne pas notre sujet. Notre page s'intéresse aux techniques d'apprentissage pour les IDS, et non pas aux difficultés d'analyse d'un IDS... Les difficultés d'analyse sur les couches hautes concernent tous les IDS, pas seulement pour l'apprentissage automatique. AymericDu (discuter) 22 janvier 2018 à 09:11 (CET)
thread_title:  Évolutions et défis pour les systèmes de détection 

message: === Apprentissage superficiel et profond ===
1-« L'approche utilisant l'apprentissage superficiel supervisé nécessite des ensembles de données réseau de plus en plus conséquent pour pouvoir être entraîné aux attaques réseau actuelles; l’entraînement d'un modèle supervisé fiable devient donc très lourd avec la variété d'attaques qui circulent actuellement 61.», deep learning et supervised learning demandent les deux une grande quantités de données étiquetées, Pourriez-vous détailler un peu plus votre raisonnement, svp ? --EL OUADI (discuter) 5 février 2018 à 22:38 (CET)
replies: text: Le paragraphe mentionné fait une comparaison entre les techniques d'apprentissage automatique de type superficiel et profond dans un environnement de détection d'intrusions. Cette phrase insiste donc sur le fait que l'apprentissage supervisé, contrairement à l'apprentissage automatique, nécessite un ensemble conséquent de données mis régulièrement à jour afin de détecter des intrusions (cette affirmation est référencée un première page). Pour qu'un système basé sur un apprentissage supervisé puisse reconnaître et signaler une menace réseau d'un certain type (par exemple DDOS ou balayage de ports), il faut absolument qu'il ait été confronté lors de son apprentissage à cette menace - et de préférence plusieurs fois afin d'entraîner correctement son système de détection. En d'autres termes, si l'ensemble de données fourni lors de l'entraînement n'est pas assez conséquent et ne contient pas assez d'attaques bien identifiées et récentes, le système de détection ne pourra pas avoir une détection fiable et laissera passer des intrusions réseau --Corentin-b (discuter) 12 février 2018 à 11:15 (CET)

text: En effet, aucune mesure précise n'a pu être trouvée dans les articles traitant du sujet pour définir une comparaison du temps d'adaptation entre les deux catégories de système. Nous avons basé notre affirmation sur le fait que tous les articles mentionnés dans les références et ayant fait une comparaison sur ces systèmes affirment tous que le temps d'adaptation d'un système basé sur de l'apprentissage profond est nettement inférieur. --Corentin-b (discuter) 12 février 2018 à 11:15 (CET)

text: Pourrais-tu mentionner le résultat de ces recherches afin que nous puissions l'analyser et l'intégrer à l'article ? --Corentin-b (discuter) 12 février 2018 à 11:15 (CET)

text: Nous n'avons pas réussi à trouver un article constructif faisant un retour négatif sur l'apprentissage profond appliqué aux systèmes de détection d'intrusion réseau. Pourrais-tu mentionner des références ? --Corentin-b (discuter) 12 février 2018 à 11:15 (CET)
thread_title:  Relecture de Loubna du 5 février 2018 

message: 1-« L'approche utilisant l'apprentissage superficiel supervisé nécessite des ensembles de données réseau de plus en plus conséquent pour pouvoir être entraîné aux attaques réseau actuelles; l’entraînement d'un modèle supervisé fiable devient donc très lourd avec la variété d'attaques qui circulent actuellement 61.», deep learning et supervised learning demandent les deux une grande quantités de données étiquetées, Pourriez-vous détailler un peu plus votre raisonnement, svp ? --EL OUADI (discuter) 5 février 2018 à 22:38 (CET)
replies: text: Le paragraphe mentionné fait une comparaison entre les techniques d'apprentissage automatique de type superficiel et profond dans un environnement de détection d'intrusions. Cette phrase insiste donc sur le fait que l'apprentissage supervisé, contrairement à l'apprentissage automatique, nécessite un ensemble conséquent de données mis régulièrement à jour afin de détecter des intrusions (cette affirmation est référencée un première page). Pour qu'un système basé sur un apprentissage supervisé puisse reconnaître et signaler une menace réseau d'un certain type (par exemple DDOS ou balayage de ports), il faut absolument qu'il ait été confronté lors de son apprentissage à cette menace - et de préférence plusieurs fois afin d'entraîner correctement son système de détection. En d'autres termes, si l'ensemble de données fourni lors de l'entraînement n'est pas assez conséquent et ne contient pas assez d'attaques bien identifiées et récentes, le système de détection ne pourra pas avoir une détection fiable et laissera passer des intrusions réseau --Corentin-b (discuter) 12 février 2018 à 11:15 (CET)

text: En effet, aucune mesure précise n'a pu être trouvée dans les articles traitant du sujet pour définir une comparaison du temps d'adaptation entre les deux catégories de système. Nous avons basé notre affirmation sur le fait que tous les articles mentionnés dans les références et ayant fait une comparaison sur ces systèmes affirment tous que le temps d'adaptation d'un système basé sur de l'apprentissage profond est nettement inférieur. --Corentin-b (discuter) 12 février 2018 à 11:15 (CET)

text: Pourrais-tu mentionner le résultat de ces recherches afin que nous puissions l'analyser et l'intégrer à l'article ? --Corentin-b (discuter) 12 février 2018 à 11:15 (CET)

text: Nous n'avons pas réussi à trouver un article constructif faisant un retour négatif sur l'apprentissage profond appliqué aux systèmes de détection d'intrusion réseau. Pourrais-tu mentionner des références ? --Corentin-b (discuter) 12 février 2018 à 11:15 (CET)
thread_title:  Apprentissage superficiel et profond 

message: Bonjour Aymeric et Corentin,
Je tiens d'abord à vous féliciter du travail accompli et je vous cite certaines fautes d’orthographe ou de syntaxe que j'ai trouvé lors de ma relecture.
=== Introduction ===
Les système => Les systèmes
Limites de la détection avec signatures:
Ces système => Ces systèmes
dans se base => dans sa base
=== Contexte ===
==== Améliorations avec l'apprentissage automatique ====
n'ont pas été labellisés => n'ont pas été labellisées 
=== Méthodes d'apprentissage superficiel ===
des machine à vecteurs de support => des machines
Voici deux exemple => deux exemples
==== Classification ====
===== Exemple =====
ensemble d'élement => ensemble d'élements
==== Partitionnement de données ====
des structure => des structures
des comportement => des comportements
:Merci beaucoup de nous avoir remonté les fautes que tu as trouvé. AymericDu (discuter) 10 février 2018 à 13:43 (CET)
replies: text: Effectivement toutes nos listes à puce n'avait pas le bon format. J'ai donc corrigé par rapport à tes remarques. Mais nous allons aussi diminuer le nombre de ces listes à puce pour respecter les normes de Wikipédia. AymericDu (discuter) 10 février 2018 à 13:43 (CET)

text: Je suis d'accord que ce début de phrase est bizarre. J'ai corrigé en "Dès lors qu'il y a de l'apprentissage non supervisé". AymericDu (discuter) 10 février 2018 à 13:43 (CET)
thread_title:  Relecture de Rida du 5 février 2018 

message: des machine à vecteurs de support => des machines
Voici deux exemple => deux exemples
==== Classification ====
===== Exemple =====
ensemble d'élement => ensemble d'élements
==== Partitionnement de données ====
des structure => des structures
des comportement => des comportements
:Merci beaucoup de nous avoir remonté les fautes que tu as trouvé. AymericDu (discuter) 10 février 2018 à 13:43 (CET)
replies: text: Effectivement toutes nos listes à puce n'avait pas le bon format. J'ai donc corrigé par rapport à tes remarques. Mais nous allons aussi diminuer le nombre de ces listes à puce pour respecter les normes de Wikipédia. AymericDu (discuter) 10 février 2018 à 13:43 (CET)

text: Je suis d'accord que ce début de phrase est bizarre. J'ai corrigé en "Dès lors qu'il y a de l'apprentissage non supervisé". AymericDu (discuter) 10 février 2018 à 13:43 (CET)
thread_title:  Méthodes d'apprentissage superficiel 

message: des structure => des structures
des comportement => des comportements
:Merci beaucoup de nous avoir remonté les fautes que tu as trouvé. AymericDu (discuter) 10 février 2018 à 13:43 (CET)
thread_title:  Partitionnement de données 

message: Les méthodes à ensemble présentent les avantages suivants:
* elles peuvent s'adapter à de grands ensembles de données ;
* elles ont de bonnes performances du fait qu'elles combinent... .
même remarque pour les liste à puces dans la section Méthodes hybrides:Avantages et inconvénients, section Méthodes d'apprentissage profond et la section Apprentissage supervisé et non-supervisé.
:Effectivement toutes nos listes à puce n'avait pas le bon format. J'ai donc corrigé par rapport à tes remarques. Mais nous allons aussi diminuer le nombre de ces listes à puce pour respecter les normes de Wikipédia. AymericDu (discuter) 10 février 2018 à 13:43 (CET)
replies: text: Je suis d'accord que ce début de phrase est bizarre. J'ai corrigé en "Dès lors qu'il y a de l'apprentissage non supervisé". AymericDu (discuter) 10 février 2018 à 13:43 (CET)
thread_title:  Combination learners