Une série temporelle de 60 jours de la télémétrie de sécurité SIEMBIOT a été analysée afin de prévoir les volumes d'ingestion d'événements attendus et d'évaluer les schémas d'activité quotidiens et hebdomadaires récurrents.
La télémétrie de sécurité historique collectée via SIEMBIOT a été utilisée pour évaluer si des schémas de séries temporelles récurrents pouvaient fournir une estimation fiable des volumes d'ingestion d'événements futurs.
L'objectif n'était pas de prédire une cyberattaque spécifique. La recherche s'est concentrée sur la prévision du comportement attendu de la télémétrie surveillée elle-même et sur l'établissement d'une référence future mesurable à laquelle l'activité observée ultérieurement peut être comparée.
Jeu de données et source de télémétrie
Source : télémétrie de sécurité SIEMBIOT
Métrique : nombre d’événements de sécurité ingérés
Intervalle d’agrégation : 1 heure
Période d’observation : 60 jours
Observations historiques : 1,440 intervalles horaires
Fenêtre d’observation : 20 juin 2026 - 19 août 2026, se terminant à 14:00 heure locale de la plateforme
Horizon de prévision : 24 prochaines heures
Le jeu de données analysé contenait une observation pour chaque intervalle horaire de la période de 60 jours.
Aucun intervalle horaire manquant, horodatage en double ni intervalle sans événement n'a été identifié.
Le volume de télémétrie observé variait de 62,516 à 1,934,749 événements par heure, avec une moyenne globale d’environ 900,542 événements par heure.
Préparation des données et contexte opérationnel
Les comptages d'événements ont été maintenus sur une grille temporelle horaire continue avant la prévision.
Une distinction importante a été faite entre une réelle faible activité d'événements et les périodes où le volume de télémétrie était affecté par l'activité opérationnelle.
Une baisse notable de l’ingestion d’événements observée le 22 juillet 2026 correspondait à un événement de maintenance planifiée connu.
Cette réduction ne représentant pas le comportement normal de la télémétrie, la période de maintenance a été identifiée lors du prétraitement et n'a pas été traitée comme un schéma représentatif de faible volume pour l'ajustement et l'évaluation du modèle.
Cette distinction est importante, car les événements de maintenance, les défaillances d'ingestion, les interruptions de collecteurs et d'autres conditions opérationnelles connues peuvent sinon influencer la référence attendue apprise à partir de la télémétrie historique.
Schéma de la série temporelle
La série historique a montré un comportement temporel récurrent très net.
L'ingestion d'événements était généralement plus élevée pendant les périodes de travail actives et plus faible la nuit et le week-end.
La caractéristique reproductible la plus marquée était un schéma saisonnier hebdomadaire.
L’activité observée à une heure donnée présentait une similarité substantielle avec l’activité enregistrée à la même heure une semaine plus tôt. La corrélation entre la série temporelle et son décalage de 168 heures était d’environ 0.78.
Cela indiquait que la saisonnalité hebdomadaire était un signal de prévision important dans la télémétrie SIEMBIOT analysée.
Méthodologie de prévision
Plusieurs approches de prévision ont été évaluées plutôt que de choisir un modèle à l'avance.
Les modèles suivants ont été comparés :
Naïf saisonnier 24h - prédit une heure à partir de la valeur observée à la même heure la veille ;
Naïf saisonnier 168h - prédit une heure à partir de la valeur observée à la même heure une semaine plus tôt ;
Holt-Winters 24h - lissage exponentiel utilisant la saisonnalité quotidienne ;
Holt-Winters 168h - lissage exponentiel utilisant la saisonnalité hebdomadaire.
Les modèles Holt-Winters ont été inclus afin de déterminer si un modèle plus complexe combinant niveau, tendance et saisonnalité améliorerait la précision des prévisions par rapport à de simples références saisonnières historiques.
Le jeu de données comportant environ 8.5 cycles hebdomadaires complets, le modèle Holt-Winters 168 heures a été considéré comme exploratoire et ses résultats ont été évalués par rapport à la référence saisonnière hebdomadaire plus simple.
Évaluation des prévisions
La précision des prévisions a été évaluée par validation à origine glissante.
Sept fenêtres de prévision consécutives de 24 heures ont été évaluées. À chaque point de prévision, seule la télémétrie historique disponible avant le début de cette fenêtre a été utilisée.
Cela reproduit plus fidèlement le scénario de prévision opérationnel qu'une répartition aléatoire d'une série temporelle en observations d'entraînement et de test.
Les résultats moyens sur les fenêtres de prévision évaluées étaient les suivants :
ModèleMAERMSEMAPEWAPENaïf saisonnier 168h67,45594,7997.18%7.69%Holt-Winters 168h80,10090,8929.46%8.96%Naïf saisonnier 24h114,262185,05412.47%13.28%Holt-Winters 24h233,581263,47028.58%27.36%
Le modèle naïf saisonnier 168 heures a produit les valeurs moyennes de MAE, MAPE et WAPE les plus faibles et a donc été retenu pour la prévision finale sur 24 heures.
Holt-Winters avec saisonnalité hebdomadaire a produit un RMSE légèrement inférieur, ce qui indique une meilleure performance face à certaines des erreurs individuelles les plus importantes, mais ses erreurs absolues et en pourcentage moyennes sont restées plus élevées.
Ce résultat illustre également un principe important de la prévision : un modèle plus complexe ne fournit pas automatiquement une prévision plus précise.
Pour ce jeu de données, le schéma de télémétrie hebdomadaire récurrent a fourni une meilleure référence de prévision que les configurations Holt-Winters évaluées.
Résultat de la prévision sur 24 heures
À l'issue de l'évaluation des modèles, le modèle saisonnier hebdomadaire retenu a été appliqué pour prévoir l'ingestion d'événements SIEMBIOT pour les 24 heures suivantes.
Période de prévision : 19 août 2026 14:00 - 20 août 2026 14:00
Volume d’événements prévu : 22,148,246 événements
Volume moyen prévu : 922,844 événements par heure
Volume de pointe prévu : 1,278,860 événements par heure
Pic attendu : 20 août 2026 vers 09:00
Un intervalle de prévision empirique a également été calculé à partir des résidus de prévision historiques.
Au pic attendu, l’intervalle empirique à 95% approximatif était :
1,148,162 - 1,457,092 événements par heure
L'intervalle représente la plage de volumes de télémétrie raisonnablement cohérents avec les erreurs de prévision récentes.
Les valeurs situées en dehors de cette plage ne doivent pas être automatiquement classées comme activité malveillante, mais elles peuvent fournir un signal utile pour une investigation opérationnelle ou de sécurité complémentaire.
Écart de prévision et contexte de sécurité
La prévision de séries temporelles crée un point de référence dynamique pour évaluer la télémétrie observée ultérieurement.
Le processus peut être représenté ainsi :
Télémétrie historique -> Prévoir l'activité attendue -> Observer l'activité réelle -> Mesurer l'écart de prévision -> Investiguer les changements significatifs
Par exemple :
Prévision : 920,000 événements/heure
Réel : 1,450,000 événements/heure
Résultat : activité nettement supérieure à la référence attendue
Un écart important peut avoir plusieurs explications, notamment :
une activité accrue des endpoints ou des utilisateurs ;
l'intégration de nouvelles sources de télémétrie ;
des modifications de la configuration de journalisation ;
une analyse de vulnérabilités ;
une activité externe automatisée ;
un déploiement logiciel ;
une dégradation de l'ingestion ;
des problèmes d'infrastructure ;
ou une activité liée à la sécurité.
Les écarts inférieurs à la plage attendue sont également pertinents.
Une baisse persistante du volume d'événements peut indiquer des problèmes de collecteurs, des analyseurs syntaxiques défaillants, des sources de journaux indisponibles ou d'autres conditions affectant la couverture de surveillance.
La prévision fournit donc un contexte d'investigation, sans déterminer à elle seule si un incident de cybersécurité s'est produit.
Lien avec la détection d'anomalies
La prévision et la détection d'anomalies répondent à des questions complémentaires.
La prévision de séries temporelles estime l’activité de télémétrie attendue à l’avenir.
La détection d’anomalies identifie l’activité observée qui diffère significativement d’un schéma attendu ou préalablement établi.
Les deux approches peuvent donc être combinées :
Télémétrie historique -> Référence de prévision -> Télémétrie réelle -> Écart de prévision -> Investigation des anomalies
La prévision peut fournir une référence dynamique supplémentaire pour la recherche sur les anomalies de SIEMBIOT, tout en préservant la distinction entre un schéma de télémétrie inattendu et un incident de sécurité confirmé.
Valeur opérationnelle
La prévision du volume d'ingestion d'événements peut fournir un contexte utile à la fois pour la surveillance SOC et pour l'exploitation SIEM.
Les usages opérationnels potentiels incluent :
la surveillance proactive du comportement de la télémétrie ;
l'identification de volumes d'ingestion anormalement élevés ou faibles ;
l'établissement d'une référence attendue dynamique ;
la validation de la continuité de la télémétrie ;
la détection d'une éventuelle dégradation de l'ingestion ;
la planification de l'infrastructure et des ressources ;
la comparaison entre l'activité de sécurité prévue et réelle.
Pour la planification de l'infrastructure, la prévision ponctuelle moyenne ne doit pas être utilisée comme seule référence de capacité.
Les plages de prévision supérieures sont plus utiles pour évaluer la capacité d'ingestion pouvant être nécessaire pendant les périodes de volume plus élevé.
Il est également important de distinguer le nombre d’événements des métriques d’infrastructure telles que les événements par seconde (EPS) ou le volume de données.
Les comptages d'événements horaires ne révèlent pas les brèves rafales d'ingestion, et le nombre d'événements ne se traduit pas directement en gigaoctets, car la taille des événements varie selon les sources de télémétrie.
Une prévision distincte, fondée sur des intervalles de temps plus courts ou sur les octets ingérés, serait donc nécessaire pour un dimensionnement détaillé de l'infrastructure SIEM.
Limites
Cette recherche présente plusieurs limites.
Période d’observation. Le jeu de données couvre 60 jours et ne peut donc pas capturer des schémas mensuels, trimestriels ou annuels plus longs.
Dépendance hebdomadaire. Le modèle retenu suppose que l’activité de la période à venir restera similaire à celle des heures correspondantes de la semaine précédente.
Changements d’environnement. De nouvelles sources de journaux, des déploiements d’agents, des modifications de configuration ou des systèmes mis hors service peuvent modifier la référence de télémétrie et nécessiter un recalibrage des prévisions.
Événements opérationnels connus. Les périodes de maintenance et les interruptions d’ingestion doivent être identifiées afin de ne pas être interprétées à tort comme un comportement normal de la télémétrie.
Agrégation horaire. Les brèves rafales d’événements survenant au sein d’une heure ne sont pas représentées par la prévision horaire et peuvent nécessiter une prévision à une résolution plus fine.
Horizon de prévision. L’évaluation s’applique spécifiquement à un horizon de prévision de 24 heures. Des prévisions à plus long terme nécessiteraient une validation distincte.
Conclusion
Un jeu de données de 60 jours contenant 1,440 observations horaires d’ingestion d’événements SIEMBIOT a été analysé afin de déterminer si la télémétrie de sécurité historique pouvait servir à prévoir l’activité future attendue.
L’analyse a mis en évidence un fort schéma hebdomadaire récurrent, avec une corrélation d’environ 0.78 pour un décalage de 168 heures.
Quatre approches de prévision ont été comparées par validation glissante sur 24 heures.
Pour le jeu de données analysé, la prévision saisonnière à 168 heures a obtenu les meilleures performances globales, avec une MAE moyenne d’environ 67,455 événements par heure et une MAPE d’environ 7.18%.
Le modèle retenu a prévu environ 22.15 millions d’événements de sécurité au cours des 24 heures suivantes, avec une moyenne attendue d’environ 922,844 événements par heure.
La recherche démontre que la télémétrie SIEMBIOT historique peut servir non seulement à analyser l'activité déjà observée, mais aussi à établir une référence de télémétrie future attendue.
La comparaison de cette référence avec l'activité observée ultérieurement peut apporter un contexte supplémentaire pour la surveillance SOC, la validation de la télémétrie, la planification de capacité et l'investigation des anomalies.
La prévision elle-même ne prédit pas une cyberattaque et n'identifie pas à elle seule un comportement malveillant. Elle fournit une référence attendue à laquelle la télémétrie future peut être mesurée et investiguée.
