🚨 Détecteur d'Intrusion Réseau — Score d'Anomalie en Direct

Une fois le score au-dessus du seuil, la simulation examine quels scores z individuels pilotent l'anomalie. Si le score z des ports distincts est fortement positif tandis que le score z de durée est fortement négatif, la signature correspond à de nombreux ports touchés en très peu de temps — classé comme scan de ports. Si les scores z des octets par paquet et de la durée sont tous deux fortement positifs tandis que les ports distincts restent bas, la signature correspond à un transfert de données important, soutenu et étroit — classé comme exfiltration. Tout ce qui est signalé sans correspondre clairement à l'une ou l'autre signature est étiqueté comme anomalie générique. Cela reflète la façon dont les analystes SOC réels trient une alerte : le score d'anomalie brut indique que quelque chose est inhabituel, mais la décomposition par caractéristique indique quel genre d'anomalie il s'agit.

Abaisser le seuil signale davantage de connexions : le rappel augmente (moins de véritables intrusions passent inaperçues en tant que faux négatifs) mais la précision diminue (davantage de trafic ordinaire est signalé à tort comme faux positif, un effet que les analystes appellent la fatigue des alertes). Relever le seuil fait l'inverse — moins d'alertes, une précision plus élevée, mais un risque croissant que de véritables scans ou sessions d'exfiltration passent inaperçus. Il n'existe pas de réglage universellement correct : le SOC d'une banque pourrait tolérer un taux de faux positifs plus élevé pour intercepter davantage de menaces réelles, tandis qu'un service avec une petite équipe de sécurité pourrait relever le seuil simplement parce qu'il ne peut pas trier un déluge d'alertes.

Le vrai trafic réseau dérive constamment — une nouvelle application est déployée, un calendrier de sauvegarde change, le télétravail modifie le profil horaire du trafic — un phénomène appelé dérive conceptuelle. Un détecteur entraîné une seule fois sur le trafic du mois dernier et jamais mis à jour se décalibrera lentement : soit en signalant de plus en plus de comportements normaux mais nouveaux comme faux positifs, soit (pire) en traitant une attaque lente et délibérée comme la nouvelle normalité parce qu'elle s'est infiltrée progressivement. Recalculer la moyenne et l'écart-type à partir d'une fenêtre glissante de connexions récemment non signalées permet à la référence de suivre la dérive légitime tout en résistant aux attaques qui arrivent en rafale soudaine, au prix d'une vulnérabilité face aux attaquants qui montent délibérément en puissance assez lentement pour être absorbés dans la référence — une limitation bien connue parfois appelée empoisonnement de la grenouille bouillie.

Traiter les quatre caractéristiques comme non corrélées (en additionnant des scores z indépendants) ignore les corrélations réelles — par exemple, un débit de paquets élevé et de faibles octets par paquet ont tendance à coexister naturellement dans les requêtes courtes normales, si bien qu'une matrice de covariance complète tracerait une région normale elliptique et inclinée au lieu de la région alignée sur les axes de cette simulation, et signalerait moins de ces points naturellement corrélés comme anormaux. Les systèmes de production vont encore plus loin : les forêts d'isolement, les auto-encodeurs et d'autres modèles d'apprentissage automatique capturent une structure non linéaire et d'ordre supérieur à travers des dizaines de caractéristiques, et sont généralement combinés à des règles de signature, des flux de renseignement sur les menaces, et une revue humaine par des analystes plutôt que de reposer sur un unique score statistique isolé.

Un faux négatif — une intrusion manquée — peut signifier que des données quittent réellement le réseau ou qu'un point d'ancrage passe inaperçu, avec des coûts mesurés en remédiation de brèche, exposition réglementaire et atteinte à la réputation. Un faux positif coûte du temps d'analyste : quelqu'un doit ouvrir l'alerte, extraire les journaux, et conclure qu'elle était bénigne. Comme le temps des analystes est limité et que chaque SOC réel reçoit bien plus d'alertes qu'il ne peut en investiguer entièrement, un détecteur réglé uniquement pour le rappel (tout intercepter) peut se retourner contre lui-même s'il enterre de vraies alertes sous un déluge de fausses — ce qui explique exactement pourquoi le compromis précision/rappel exposé par le curseur de seuil de cette simulation est la décision opérationnelle centrale dans la détection d'intrusion réelle, et non une simple curiosité statistique.