Thèse Sélection Stratégique des Sondes pour la Détection de Processus d'Attaque Complexes H/F - Doctorat.Gouv.Fr

Établissement : Institut Polytechnique de Paris Télécom Paris École doctorale : Ecole Doctorale de l'Institut Polytechnique de Paris Laboratoire de recherche : Laboratoire de Traitement et Communication de l'Information Direction de la thèse : Vadim MALVONE ORCID 0000000161384229 Début de la thèse : 2026-10-01 Date limite de candidature : 2026-09-30T23:59:59 Depuis plusieurs décennies la détection d'intrusion dans les grands réseaux est un problème qui concentre de nombreux enjeux : support pour la détection autonome, interactive ou post mortem (par un analyste) ; coût d'exploitation, performances de détection. L'intelligence artificielle a rendu possible l'exploitation de masse phénoménale de données. Cependant, choisir ce qui doit être observé, ie le placement de sondes, reste un problème difficile car chaque nouvelle méthode de détection en change les contraintes et les compromis.
Alors que l'on voit des jeux de données de plus en plus complet, permettant des détections de plus en plus précise. Les problèmes pragmatiques posés par une stratégie de détection requérant de tout concentrer avant de pouvoir analyser restent encore ouverts. Ce sujet de thèse vise à étudier ou formaliser les attendus d'une infrastructure de supervision, tant en termes de détection que de coût d'exploitation. À partir de cette base solide, le projet vise à formaliser des problèmes de stratégies de placement de sondes et à en formaliser les solutions. En particulier, cette seconde partie pourra être abordée via la théorie des jeux.
Contexte scientifique

Dans la pratique des système de détection d'intrusion et de supervision. Il est très difficile de découpler la détection du traitement de l'intrusion. Cependant, c'est grâce à ce découplage que l'on peut réellement optimiser et trouver les bons compromis entre performance, complexité, coûts opérationnels. Un Système de détection d'intrusion (ou Intrusion Detection System, IDS) est en premier lieu déterminé par le choix des données d'entrées (les sondes), puis le choix du modèle de 'décision'. Aujourd'hui, les modèles les plus utilisés se reposent sur l'apprentissage automatique [1,2]. La grande diversité de source de données, et de modèle pose le problème de construire la bonne combinaison. Ce sujet n'est pas nouveauet a donné lieu à différentes formulation du problème au cours du temps [3,4,5,6], même la dimension économique du problème a été intégré dans la problématique [7]. Cependant, la généralisation des approches orientées apprentissage automatique et l'explosion de la complexité des systèmes supervisés et données qui peuvent en être extraites posent trois challenges dans ce contexte :
- le nombre de configurations possibles devient immense, et pose un défi pour déterminer quelle stratégie est adaptée. Des approches stratégiques telles que celle envisagées dans [5,6] nécessitent une prédiction fiable des performances, or le lien entre cette fiabilité et les données considérées en entrée reste à capturer. Le approches orientées risque nécessitent un modèle de risque du système.
- le coût de leur déploiement et maintient en conditions de bon fonctionnement (création, entrainement, ré-entrainement) est souvent identifié comme un frein à l'adoption réelle de ces systèmes. Cependant, cette question reste de notre point de vue mal maîtrisée et analysée. De manière pragmatique, ces coûts poussent à limiter ce qui est réellement observé et disponible [8].
- l'évaluation des impacts de la stratégie de détection tant à un niveau immédiat (faux positifs, faux négatifs, ressource), qu'au niveau du fonctionnement du système (maintenance du système). Si l'architecture que le placement requiert semble fragile, cela va en limiter l'intérêt voire même la pertinence.[9,10].
L'un des problème clés est comment capture-t-on ces enjeux, les modélise-t-on? Plus généralement, la question pratique est aussi comment peut on mettre en place des stratégies de placement sur mesure qui optimiseraient ces aspects là (ou toute autre dimension identifiée comme pertinente durant la thèse).

Scientifique context
In practice, in the field of intrusion detection and security monitoring, it is very difficult to decouple intrusion detection from intrusion response and handling. However, such decoupling is essential if we are to genuinely optimise these systems and identify the right trade-offs between performance, complexity, and operational costs. An Intrusion Detection System (IDS) is primarily determined by the choice of input data sources (i.e., sensors or probes), followed by the choice of the decision model. Today, the most widely used models rely on machine learning [1,2]. The wide diversity of available data sources and models raises the challenge of identifying the right combination. This issue is not new and has led to several formulations of the problem over time [3,4,5,6], with even the economic dimension being incorporated into the problem formulation [7]. However, the widespread adoption of machine-learning-based approaches, together with the increasing complexity of monitored systems and the explosion in the volume and diversity of data that can be extracted from them, raises three major challenges in this context:
· The number of possible configurations has become enormous, making it difficult to determine which strategy is the most appropriate. Strategic approaches such as those considered in [5,6] require reliable performance prediction; however, the relationship between prediction reliability and the input data considered still needs to be properly characterised. Risk-oriented approaches, on the other hand, require an adequate risk model of the monitored system.
· The cost of deploying and maintaining these systems in operational condition-including their creation, training, and retraining-is often identified as a major barrier to their real-world adoption. However, in our view, this issue remains insufficiently understood and analysed. From a pragmatic perspective, these costs tend to limit what can actually be observed and made available for detection purposes [8].
· The evaluation of the impact of a detection strategy, both at an immediate level-such as false positives, false negatives, and resource consumption-and at the level of the overall operation of the system, including its maintenance. If the architecture required to support a given sensor placement strategy is too fragile or complex, this may limit its practical value, or even call its relevance into question [9,10].
One of the key questions is therefore: how can these different issues and trade-offs be captured and modelled? More generally, the practical question is how to design and implement customised sensor placement strategies that optimise these aspects-or any other dimension identified as relevant during the course of the thesis.

Compétences et Qualifications Attendues :
- Master en informatique, mathématiques, intelligence artificielle ou dans un domaine connexe.
- Solide formation en informatique.
- Bonnes compétences en programmation et expérience en développement logiciel.
- Maîtrise de l'anglais écrit et oral.
- Curiosité, motivation et capacité à explorer de nouvelles directions de recherche.

• Programmation
• Anglais
• Intelligence artificielle
• Développement logiciel
• Machine learning
• Mathématiques