POC : Détection d'attaques MITRE et enrichissement d'alertes pilotés par IA

Ce dépôt démontre un pipeline d'apprentissage automatique pour détecter les techniques MITRE ATT&CK à partir de journaux et enrichir la sortie à l'aide d'un LLM local.

Vue d'ensemble

Le projet est divisé en deux composants principaux :

1. Modèle d'apprentissage automatique (ML) – classe les journaux en techniques MITRE ATT&CK
2. Enrichissement par LLM – enrichit la prédiction ML avec des explications adaptées aux analystes et des informations exploitables

Modèle d'apprentissage automatique

Objectif

Le modèle ML est entraîné à prédire une technique MITRE (ou BENIGN) à partir d'événements de journalisation.
Cela permet d'automatiser la détection et la catégorisation des comportements potentiellement malveillants.

Approche

• Caractéristique : champ commandline des journaux
• Vectorisation : TF-IDF (Term Frequency – Inverse Document Frequency)
• Modèle : RandomForestClassifier (robuste, interprétable, adapté au CPU)
• Cible : mitre_label (par ex., T1059.001, T1105, BENIGN)

Entraînement

python scripts/train_mitre_model.py

Ce script :

• Charge le jeu de données dataset_full_160k.csv

• Divise les données en ensembles train/test

• Convertit les lignes de commande en vecteurs TF-IDF

• Entraîne le modèle Random Forest

• Évalue les performances (précision, rappel, score F1, matrice de confusion)

• Enregistre le modèle entraîné et le vectoriseur :

  • models/mitre_ml_model.pkl

  • models/tfidf_vectorizer.pkl

Enrichissement par LLM

Objectif

Une fois que le modèle ML prédit une technique MITRE, le LLM enrichit le résultat en fournissant :

• Explication de la technique

• Pourquoi la commande correspond à la technique

• Intention de l'attaquant

• Étapes d'investigation recommandées

• Règles de détection suggérées

Cette étape fait le pont entre la prédiction ML brute et les informations exploitables pour l'analyste SOC.

Utilisation

Un LLM local (par ex., Phi-3 via Ollama) est appelé avec un prompt contenant :

• Prédiction ML

• Ligne de commande brute

python scripts/enrich_with_llm.py

Dépendances Python

pip3 install -r requirements.txt

Bibliothèques

• pandas
• scikit-learn
• requests

Remarques

• test_model.py est utilisé pour tester votre modèle, il est facultatif.
• Les scripts sont conçus pour être exécutés localement, dans un environnement Python 3.13+ avec les dépendances listées.
• Installez Ollama sur votre machine et ajoutez le modèle Phi-3 mini.