Détection par anomalie.

La détection par anomalie apprend ce qu'est la « normalité » pour un réseau, un hôte, un utilisateur ou une application — via des modèles statistiques, des heuristiques ou du machine learning — puis alerte lorsque l'activité observée s'écarte significativement de cette base de référence. Elle complète la détection par signatures, car elle peut révéler des menaces inconnues, l'abus interne, des malwares inédits et des attaques furtives qu'aucune signature ne décrit. Les implémentations incluent l'UEBA, l'analytique NDR/XDR, le baselining comportemental sur NetFlow et le profilage du trafic DNS.

L'idée remonte à « An Intrusion-Detection Model » de Dorothy Denning (1987, IEEE TSE), qui proposa le premier de profiler statistiquement les sujets et d'alerter sur la déviation. Sa faiblesse persistante est quantifiée par le sophisme du taux de base : l'analyse de Stefan Axelsson (2000) a montré que, lorsque les événements malveillants sont extrêmement rares par rapport au trafic bénin, même un classificateur très précis produit une avalanche de fausses alertes, car la probabilité a priori minuscule est noyée par le taux de faux positifs. C'est pourquoi les moteurs d'anomalie exigent des fenêtres de baselining soignées, des boucles de rétroaction et un triage par analystes. Les déploiements modernes cadrent le problème en notant les anomalies face au comportement d'attaquant connu (MITRE ATT&CK), en chaînant les signaux faibles en un score de risque, et en réservant la détection pure d'anomalie aux cibles à forte valeur — comptes de service, contrôleurs de domaine, bases de données critiques — où la base est stable et toute dérive est significative.

flowchart LR
  A[Télémétrie :<br/>logs, NetFlow, auth] --> B[Phase d'apprentissage :<br/>construire le profil de base]
  B --> C[Modèle de base]
  D[Activité en direct] --> E{Déviation ><br/>seuil ?}
  C --> E
  E -->|Non| F[Renforcer la base]
  F --> C
  E -->|Oui| G[Lever anomalie / score de risque]
  G --> H{Triage analyste}
  H -->|Vrai positif| I[Investiguer et répondre]
  H -->|Faux positif| J[Ajuster le seuil / feedback]
  J --> C

La contrepartie, ce sont davantage de faux positifs — un changement légitime peut paraître anormal — de sorte que le succès dépend du réglage, de l'enrichissement et de la réinjection des verdicts d'analystes dans le modèle, plutôt que de traiter chaque déviation comme un incident.