Post-doctorant-post-doctorante en Visualisation

**Présentation de Télécom SudParis**:
Télécom SudParis est une grande école publique d'ingénieurs reconnue au meilleur niveau des sciences et technologies du numérique. La qualité de ses formations est basée sur l’excellence scientifique de son corps professoral et une pédagogie mettant l’accent sur les projets d’équipes, l’innovation de rupture et l’entreprenariat. Télécom SudParis compte 1 000 étudiants dont 700 élèves ingénieurs et environ de 150 doctorants. Télécom SudParis fait partie de l’Institut Mines-Télécom, premier groupe d’école d’ingénieurs en France, et partage son campus avec Institut Mines-Télécom Business School. Télécom SudParis est co
- fondatrice de l'Institut Polytechnique de Paris (IP Paris), Institut de Sciences et Technologies à vocation mondiale avec l’Ecole polytechnique, l’ENSTA Paris, l’ENSAE Paris et Télécom Paris.

**À propos de l'Institut Mines-Télécom**:
L'Institut Mines-Télécom (IMT) est un établissement public dédié à l'enseignement supérieur et la recherche pour l'innovation dans les domaines de l'ingénierie et du numérique. À l’écoute permanente du monde économique, l'IMT conjugue une forte légitimité académique et scientifique, une proximité avec les entreprises et un positionnement unique sur les transformations majeures au XXIe siècle : numériques, énergétiques, industrielles et éducatives siècle. Ses activités se déploient au sein des grandes écoles Mines et Télécom sous tutelle du ministre en charge de l’Industrie et des communications électroniques, de deux filiales et de partenaires associés ou sous convention. L'IMT est membre fondateur de l’Alliance Industrie du Futur. Il est doublement labellisé Carnot pour la qualité de sa recherche partenariale.

**Missions**:
Les approches comportementales basées sur l’apprentissage machine génèrent de nombreux faux positifs. En particulier, lorsque des méthodes d’apprentissage profond sont utilisées, les faux positifs s’avèrent difficiles à expliquer, l’apprentissage profond étant souvent considéré comme une boîte noire difficile à interpréter. Il existe cependant de nombreux outils permettant de corréler l’influence de caractéristiques d’apprentissage sur les résultats de la détection. Ces outils permettent d’expliquer a posteriori un modèle peu ou pas interprétable.

La détection anticipée de certains événements causant des intrusions permettra à des opérateurs de prédire l’émergence d’attaques et de les prévenir ou de les mitiger plus rapidement. La capacité à corréler et agréger un grand nombre d’événements hétérogènes à différents niveaux (caractéristiques, causalité, temporalité) permettent également aux opérateurs de concentrer leur attention sur les événements les plus importants ou plus pertinents, permettant un traitement plus efficace, passant à l’échelle.

Dans ce projet, nous souhaitons assister un opérateur humain dans la prise de décision et la réponse à incident. Nos approches de visualisation permettront de 1) caractériser les anomalies pour les traiter de manière plus précise/efficace voire les anticiper, en connaissant les événements ou les paramètres qui les ont générés ; 2) agréger et corréler des anomalies afin de réduire la charge de travail, en connaissant les liens temporels ou de causalité ; 3) expliquer les erreurs de détection par l’analyse a posteriori des échantillons.

**Activités**:
Il existe de nombreux outils de visualisation des caractéristiques de modèle dont les plus connus permettent de faire de la corrélation, permettant de réduire le nombre de ces caractéristiques, mais aussi d’évaluer leur influence (analyse en composante principale, analyse discriminante linéaire, algorithme t-SNE). Combiner ces différentes approches (statistiques et visuelles) devraient permettre de mieux appréhender les approches comportementales en apprentissage profond et de les exploiter pour des cas où les intrusions sont parfois plus discrètes.

Des approches plus récentes comme SHAP permettront de déterminer les éléments d’une alerte ou d’une anomalie qui a donné lieu à sa (mauvaise) classification. Des mécanismes d’attention peuvent également permettre de souligner certaines relations de causalité, de corrélation ou d’influence.

Les résultats de ce projet permettront de fournir un canevas explicable aux détecteurs comportementaux basés sur l’apprentissage profond afin d’augmenter les différentes phases d’apprentissage (de la collecte de données, à la validation d’un modèle représentatif des données normales, en passant par la représentation des données sous forme de caractéristiques robustes et l’entraînement du modèle de détection).

**Formation**:

- Doctorat ou PhD depuis moins de 3 ans

Compétences, connaissances et expériences indispensables
- Expérience en modé