Réseau de neurones de détection d'attaques : entraînement sur des données réelles

Avec Suricata et leur propre outil, session_analyzer, les auteurs de l'étude ont vérifié s'il était possible d'entraîner un IDS à base de ML sur du trafic d'entreprise réel plutôt que sur des attaques de laboratoire. Résultat : avec un étiquetage soigné et une sélection de règles rigoureuse, le F1 peut atteindre 0,98. Les limites restent toutefois strictes : signatures bruitées, décalage des horodatages, NAT et nécessité de réentraîner régulièrement le modèle.