Attraper l'inédit : la nouveauté pour les zero-days

« Zero-day » est un mot galvaudé. Concrètement, il désigne un trafic qui ne ressemble à rien de ce qu'un déploiement émet normalement. Un classifieur supervisé, aussi bon soit-il, ne reconnaît que les familles sur lesquelles il a été entraîné. Pour attraper le reste, il faut un juge qui modélise le normal plutôt que le connu-malveillant.

Modéliser le normal, par tenant

Le juge de nouveauté de Ward³ apprend le manifold bénin de chaque tenant et mesure à quel point la morphologie d'un flux s'en écarte. Le score est stratifié par tenant — le normal de l'un n'est pas celui de l'autre — et, comme tout juge, il passe par la calibration conforme avant de vouloir dire quoi que ce soit.

Reconstruction masquée, volontairement

Le mécanisme est délibérément simple et inspectable, pas une boîte noire :

• Il reconstruit le vecteur de features runtime à partir d'un modèle en basse dimension du trafic bénin.
• L'erreur est masquée sur les features réellement observées : un signal manquant ne peut pas simuler un score élevé.
• Un nombre minimum de features observées est requis, sinon le juge s'abstient au lieu de deviner.
• L'erreur brute ne sort jamais nue — elle devient d'abord une p-value conforme.

L'observation d'abord, la corroboration toujours

Dans sa première forme, le juge de nouveauté ne fait qu'observer : il enrichit les événements et alimente le médiateur, mais ne bloque jamais seul. Un détecteur de nouveauté détecte l'inhabituel, pas le malveillant — il corrobore, il ne décide pas seul.

Mesuré sur des familles d'attaque tenues hors de son entraînement, il récupère des détections que les juges supervisés manquent. C'est tout l'intérêt : une couverture que les modèles entraînés ne peuvent pas avoir, ajoutée sans relâcher la borne de faux positifs.