Protecting an information system using artificial intelligence: a three-phase approach based on UEBA behaviour analysis to detect a hostile scenario

Protection d’un système d’information par une intelligence artificielle : une approche en trois phases basée sur l’analyse UEBA des comportements pour détecter un scénario hostile

Jean-Philippe Fauvelle (1) , Alexandre Dey (2) , Sylvain Navers (1)

1 Airbus Defence & Space [Elancourt] (Airbus group)
2 Airbus Defence and Space [Les Mureaux]

The analysis of the behaviour of individuals and entities (UEBA) is an area of artificial intelligence domain that detects hostile actions (e.g. attacks, fraud, influence, poisoning) due to the unusual nature of observed events. A UEBA process usually involves two phases, learning and inference. The market IDS (Intrusion Detection Systems) still suffer from biases, including over-simplification of problems, underexploitation of the AI potential, insufficient consideration of events temporality, and perfectible management of the memory cycle of behaviors. In addition, while an alert generated by a signature-based IDS can refer to the signature on which the detection is based, an IDS in the UEBA domain produces results, often associated with a simple score, whose explainable character is less obvious. Our unsupervised approach is to enrich this process by adding a third phase to correlate related events, with the benefit of a reduction of false positives and negatives. We also seek to avoid a so-called "boiled frog" bias inherent in continuous learning. Our first results are interesting because they allow a complete and explainable detection, generate few false positives, are reproducible in various contexts (e.g. in an information system and a workstation, based on flows and actions events) both from synthetic and real data, and circumvent the biases mentioned.

L’analyse des comportements des personnes et des entités (UEBA, en anglais) est un domaine de l’intelligence artificielle qui permet de détecter des actions hostiles (ex. : attaques, fraudes, influence, empoisonnement) grâce au caractère inhabituel des évènements observés. Un procédé UEBA comprend habituellement deux phases, d’apprentissage et d’inférence. Les systèmes de détection d’intrusion (IDS, en anglais) du marché souffrent encore de biais notamment d’une sur-simplification des problématiques, d’une sous-exploitation du potentiel de l’IA, d’une prise en compte insuffisante de la temporalité des évènements, et d’une gestion perfectible du cycle de la mémoire des comportements. En outre, alors qu’une alerte générée par un IDS à base de signatures peut se référer à l’identifiant de la signature sur laquelle se fonde la détection, les IDS du domaine UEBA produisent des résultats, souvent associés à un score, dont le caractère explicable est moins évident. Notre approche, non supervisée, consiste à enrichir ce procédé en lui adjoignant une troisième phase permettant de corréler des évènements présumés liés entre eux, avec pour bénéfice une réduction des faux positifs et négatifs. Nous cherchons également à éviter un biais dit « de la grenouille ébouillantée » inhérent à l’apprentissage continu. Nos premiers résultats sont d’autant plus intéressants qu’ils permettent une détection complète revêtant un caractère explicable, engendrent peu de faux positifs, sont reproductibles dans des contextes variés (ex. : dans un système d’information et/ou un poste de travail, à partir d’évènements de type flux et/ou actions) aussi bien à partir de données synthétiques que réelles, et répondent aux différents biais évoqués.

Mots clés: continuous learning; prevention of learning bias.; UEBA; cyber-security; neural networks; artificial intelligence; User and Entity Behaviour Analytics

Mots clés: Cyber-sécurité; Analyse des comportements des personnes et des entités; apprentissage continu; intelligence artificielle; prévention des biais d’apprentissage.; User and Entity Behavior Analytics (UEBA); prevention of learning bias; deep learning; prévention des biais d'apprentissage; corrélation; réseaux de neurones; apprentissage profond

Domaines: Intelligence artificielle [cs.AI]; Réseau de neurones [cs.NE]; Apprentissage [cs.LG]; Cryptographie et sécurité [cs.CR]

Jean-Philippe Fauvelle, Alexandre Dey, Sylvain Navers. Protection d’un système d’information par une intelligence artificielle : une approche en trois phases basée sur l’analyse UEBA des comportements pour détecter un scénario hostile. Forum international de la Cybersécurité, Jan 2019, Lille, France. ⟨hal-01993027⟩