Un système de détection d'intrusion innovant basé sur l'IA pour le trafic 5G-IoT conforme à la norme 3GPP

Cette thèse s'inscrit dans le contexte de la cybersécurité des réseaux 5G et de l'Internet des objets (IoT), où la multiplication des dispositifs connectés accroît considérablement la surface d'attaque et complexifie la détection des intrusions. L'objectif principal de ce travail est de concevoir, développer et valider un système de détection d'intrusion (IDS) intégré comme fonction réseau (NF) au sein du noyau 5G, conforme aux spécifications du 3GPP, capable d'analyser le trafic IP et non-IP issu des dispositifs IoT, et d'exploiter l'intelligence artificielle pour détecter des menaces connues et émergentes.La première contribution consiste à la modélisation et à l'implémentation d'un IDS-5G pour le trafic IoT dans le plan utilisateur. En s'appuyant sur la fonction User Plane Function (UPF) du cœur 5G, une méthode de duplication du trafic a été proposée pour permettre une inspection en temps réel des paquets MQTT sans perturber les procédures réseau. Plusieurs algorithmes d'apprentissage supervisé (MLP, Random Forest, XGBoost, etc.) ont été évalués dans un environnement Open5GS, démontrant la faisabilité technique et la conformité au standard 3GPP.La deuxième contribution élargit cette approche au plan de contrôle (Control Plane) afin d'inclure les flux non-IP transitant via la fonction Access and Mobility Management Function (AMF). Un IDS hybride IP/non-IP, reposant sur une architecture à double encodeur Transformer, a été conçu et intégré dans la plateforme Amarisoft 5G. Cette architecture exploite la corrélation temporelle entre paquets pour améliorer la détection contextuelle des attaques multi-étapes. Les expérimentations ont validé la pertinence du modèle proposé pour l'analyse séquentielle des flux CIoT réels, tout en maintenant la compatibilité complète avec les interfaces de service (SBI) définies par le 3GPP.Enfin, la troisième contribution propose un IDS distribué fédéré, soutenu par la fonction Network Data Analytics Function (NWDAF), permettant la coopération entre instances régionales d'IDS via des algorithmes de Federated Learning (FedAvg) et de Federated Distillation (FedDistill). Cette architecture garantit la confidentialité des données locales tout en assurant le partage de connaissances à grande échelle. Les expérimentations menées sur un banc d'essai 5G réel montrent que les modèles Transformer fédérés atteignent jusqu'à 98,2 % de précision pour la détection d'attaques inédites, confirmant la capacité du système à généraliser face à des menaces évolutives.Dans son ensemble, cette thèse démontre la faisabilité et l'efficacité d'un IDS fondé sur l'IA intégré au cœur 5G, conforme aux spécifications industrielles, évolutif, et respectueux de la confidentialité. Elle propose une méthodologie complète, allant de la conception normalisée à la validation expérimentale, ouvrant la voie à l'intégration future de fonctions de sécurité autonomes et distribuées dans les architectures 5G et au-delà.