Vers une évaluation crédible des méthodes de détection d'intrusions basées sur les anomalies

Depuis la première introduction de la détection d'intrusions basée sur les anomalies à la communauté de recherche en 1987, ce domaine a connu une croissance énorme. Une variété de méthodes et de techniques introduisant de nouvelles capacités pour détecter des attaques inédites ont été développées. La plupart de ces techniques rapportent un taux de détection élevé de 98% avec un faible taux de faux positifs de 1%. Malgré l'attrait de l'approche basée sur les anomalies, l'industrie privilégie généralement la détection basée sur des signatures pour la mise en œuvre grand public des systèmes de détection d'intrusions. Bien qu'une variété de techniques de détection des anomalies ait été proposée, une comparaison adéquate des forces et des limites de ces méthodes, qui pourrait mener à une application commerciale potentielle, est difficile. Étant donné que la validité de la recherche expérimentale en informatique académique, en général, est discutable, il est plausible de supposer que la recherche sur la détection des anomalies partage ce problème. Les préoccupations concernant la validité de ces méthodes peuvent en partie expliquer pourquoi les méthodes de détection d'intrusions basées sur les anomalies ne sont pas adoptées par l'industrie. Pour examiner cette question, nous passons en revue l'état actuel de la pratique expérimentale dans le domaine de la détection d'intrusions basée sur les anomalies et sondons 276 études dans ce domaine publiées entre 2000 et 2008. Nous résumons nos observations et identifions les pièges communs parmi les travaux sondés.