Decentralized detection and localization of anomalies in internet traffic

Nous proposons une méthode de détection et localisation décentralisée d'anomalies en faisant coopérer des sondes n'ayant accès qu'à une partie du trafic réseau et en minimisant la quantité d'information échangée dans le réseau. Cette méthode se décompose en trois étapes: au niveau de chaque sonde disséminée dans le réseau est effectué un filtrage par records suivi d'un test de rang non-paramétrique pour données censurées. Chaque sonde transmet alors au collecteur central les séries temporelles censurées des machines les plus suspectes. Les données remontées par chaque sonde sont alors fusionnées au niveau du collecteur central qui fournit une liste de machines attaquées en appliquant un test de rang non-paramétrique pour données censurées. La méthode que nous proposons a été testée avec succès sur des données réelles d'opérateur et permet de détecter en temps réel les anomalies réseaux et d'identifier les machines attaquées. Elle obtient de meilleures performances que les méthodes usuelles pour des attaques très distribuées c'est à dire difficiles à détecter localement (au niveau des sondes)