Search

International audience; Possibilistic networks are belief graphical models based on possibility theory. A possibilistic network either represents experts' epistemic uncertainty or models uncertain information from poor, scarce or imprecise data. Learning possibilistic networks from data in general and from imperfect or scarce datasets in particular, has not received enough attention. This work focuses on parameter learning of possibilistic networks. The main contributions of the paper are i) a study of an extension of the information affinity measure to assess the similarity of possibilistic networks and ii) a comparative empirical evaluation of two approaches for learning the parameters of a possibilistic network from empirical data.

From conventional observation data , it is rarely possible to determine a fully causal Bayesian network. The theoretical point at which we are interested is learning causal Bayesian networks , with or without latent variables. We first focused on the discovery of causal relationships when all variables are known ( ie there are no latent variables ) proposing a learning algorithm using both data from observations and experiments. Logically, we then focused on the same problem when all the variables are not known . We must therefore discover both causal relationships between variables and the presence of latent variables in a Bayesian network structure. To do this, we try to unify two formalisms , semi- Markovian causal models (SMCM) and maximum ancestral graphs (MAG), previously used separately , one for causal inference (SMCM), the other for the discovery of causality (MAG) . We are also interested in the adaptation of causal Bayesian networks for multi -agent systems, and learning these multi-agent causal models (MACM) ., A partir de données d'observation classiques, il est rarement possible d'arriver à une structure de réseau bayésien qui soit complètement causale. Le point théorique auquel nous nous intéressons est l'apprentissage des réseaux bayésiens causaux, avec ou sans variables latentes. Nous nous sommes d'abord focalisés sur la découverte de relations causales lorsque toutes les variables sont connues (i.e. il n'y a pas de variables latentes) en proposant un algorithme d'apprentissage utilisant à la fois des données issues d'observations et d'expérimentations. Logiquement, nous nous sommes ensuite concentrés sur le même problème lorsque toutes les variables ne sont pas connues. Il faut donc découvrir à la fois des relations de causalité entre les variables et la présence éventuelle de variables latentes dans la structure du réseau bayésien. Pour cela, nous tentons d'unifier deux formalismes, les modèles causaux semi-markoviens (SMCM) et les graphes ancestraux maximaux (MAG), utilisés séparément auparavant, l'un pour l'inférence causale (SMCM), l'autre pour la découverte de causalité (MAG). Nous nous sommes aussi interessé à l'adaptation de réseaux bayésiens causaux pour des systèmes multi-agents, et sur l'apprentissage de ces modèles causaux multi-agents (MACM).

We study the current limitations of systems processing alarms generated by network intrusion detection systems (NIDS ) and propose a new automatic approach that improves the filtering mechanism . Our main contributions are as follows: 1 . We have proposed an architecture of alarm filtering analyzing logs and NIDS alerts and trying to filter out false positives . 2 . We study the dynamic aspect of the proposed architecture . Processing real-time architecture poses several challenges in adapting this architecture in relation to changes that may occur over time . We have identified three problems to solve : (1) adapting the architecture towards the evolution of the monitored network, integration of new machinery, new routers , etc. , (2) adaptation of the architecture with respect to the emergence of new types of attacks and (3) adaptation of the architecture. with the appearance or sliding type behavior. To solve these problems , we use the concept of distance rejection proposed in pattern recognition and statistical hypothesis testing. All our proposals are implemented and led to experiments we describe throughout the document. These experiments use alarms generated by SNORT , an intrusion detection system based network - monitoring network of the Rectory of Rouen and is deployed in an operational environment . This is important for the validation of our architecture because it uses alarms from a real environment rather than a simulated environment or laboratory that may have significant limitations., Nous étudions les limites actuelles des systèmes de traitement des alarmes générées par les systèmes de détection d'intrusion (NIDS) dans les réseaux et proposons une nouvelle approche automatique qui améliore le mécanisme de filtrage. Nos principales contributions se résument ainsi : 1. Proposition d'une architecture de filtrage : nous avons proposé une architecture de filtrage des alarmes qui analyse les journaux d'alertes d'un NIDS et essaye de filtrer les faux positifs. 2. Etude de l'évolutivité de cette architecture : dans cette phase, nous étudions l'aspect dynamique de l'architecture proposée. L'exploitation de l'architecture en temps réel pose plusieurs défis sur l'adaptation de cette architecture par rapport aux changements qui peuvent arriver au cours du temps. Nous avons distingué trois problème à résoudre : (1) adaptation de l'architecture vis à vis de l'évolution du réseau surveillé : intégration des nouvelles machines, des nouveaux routeurs, etc., (2) adaptation de l'architecture vis à vis de l'apparition de nouveaux types d'attaques et (3) adaptation de l'architecture avec l'apparition ou le glissement des comportements types. Pour résoudre ces problèmes, nous utilisons la notion de rejet en distance proposée en reconnaissance des formes et les tests d'hypothèses statistiques . Toutes nos propositions sont implémentées et ont donné lieu à des expérimentations que nous décrivons tout au long du document. Ces expériences utilisent des alarmes générées par SNORT, un système de détection des intrusions basé-réseau qui surveille le réseau du Rectorat de Rouen et qui est déployé dans un environnement opérationnel. Ce point est important pour la validation de notre architecture puisque elle utilise des alarmes issues d'un environnement réel plutôt qu'un environnement simulé ou de laboratoires qui peuvent avoir des limitations significatives.