La d\u00e9tection bas\u00e9e sur les anomalies est une m\u00e9thode d'identification des cybermenaces qui reconna\u00eet les comportements ou activit\u00e9s anormaux dans un syst\u00e8me. Cette technique se concentre sur l\u2019identification de mod\u00e8les inhabituels qui s\u2019\u00e9cartent des normes \u00e9tablies, identifiant ainsi les cybermenaces potentielles.<\/p>\n
Le concept de d\u00e9tection bas\u00e9e sur les anomalies est apparu pour la premi\u00e8re fois dans le domaine de la s\u00e9curit\u00e9 informatique \u00e0 la fin des ann\u00e9es 1980. Dorothy Denning, chercheuse pionni\u00e8re dans le domaine, a introduit un mod\u00e8le de d\u00e9tection d'intrusion bas\u00e9 sur le profilage du comportement des utilisateurs. Le mod\u00e8le repose sur le principe selon lequel toute activit\u00e9 s'\u00e9cartant de mani\u00e8re significative du comportement standard d'un utilisateur pourrait potentiellement \u00eatre class\u00e9e comme une intrusion. Il s\u2019agit de la premi\u00e8re exploration significative de la d\u00e9tection bas\u00e9e sur les anomalies.<\/p>\n
Au fil des ann\u00e9es, la d\u00e9tection bas\u00e9e sur les anomalies a \u00e9volu\u00e9 parall\u00e8lement \u00e0 la progression de l'intelligence artificielle (IA) et de l'apprentissage automatique (ML). \u00c0 mesure que les cybermenaces sont devenues plus complexes, les m\u00e9canismes permettant de les contrecarrer ont \u00e9galement augment\u00e9. Des algorithmes avanc\u00e9s ont \u00e9t\u00e9 d\u00e9velopp\u00e9s pour reconna\u00eetre des mod\u00e8les et discerner entre les activit\u00e9s normales et potentiellement dangereuses.<\/p>\n
La d\u00e9tection bas\u00e9e sur les anomalies est une technique de cybers\u00e9curit\u00e9 qui identifie et att\u00e9nue les menaces en analysant les \u00e9carts par rapport au comportement typique du syst\u00e8me. Cela implique de cr\u00e9er une base de comportements \u00ab normaux \u00bb et de surveiller en permanence les activit\u00e9s du syst\u00e8me par rapport \u00e0 cette norme \u00e9tablie. Tout \u00e9cart entre le comportement observ\u00e9 et la ligne de base peut signifier une cybermenace potentielle, d\u00e9clenchant une alerte pour une analyse plus approfondie.<\/p>\n
Contrairement \u00e0 la d\u00e9tection bas\u00e9e sur les signatures, qui n\u00e9cessite un mod\u00e8le de menace connu pour identifier les attaques potentielles, la d\u00e9tection bas\u00e9e sur les anomalies peut identifier les attaques inconnues ou zero-day en se concentrant sur le comportement aberrant.<\/p>\n
La d\u00e9tection bas\u00e9e sur les anomalies fonctionne principalement en deux phases\u00a0: l'apprentissage et la d\u00e9tection.<\/p>\n
Lors de la phase d'apprentissage, le syst\u00e8me \u00e9tablit un mod\u00e8le statistique repr\u00e9sentant un comportement normal \u00e0 l'aide de donn\u00e9es historiques. Le mod\u00e8le inclut divers facteurs comportementaux, tels que les mod\u00e8les de trafic r\u00e9seau, l'utilisation du syst\u00e8me ou les mod\u00e8les d'activit\u00e9 des utilisateurs.<\/p>\n
Lors de la phase de d\u00e9tection, le syst\u00e8me surveille et compare en permanence le comportement actuel au mod\u00e8le \u00e9tabli. Si un comportement observ\u00e9 s\u2019\u00e9carte significativement du mod\u00e8le \u2013 d\u00e9passant un seuil d\u00e9fini \u2013 une alerte est d\u00e9clench\u00e9e, indiquant une anomalie potentielle.<\/p>\n
Il existe principalement trois types de m\u00e9thodes de d\u00e9tection bas\u00e9es sur les anomalies\u00a0:<\/p>\n