C’est clairement possible et on peut trouver des articles (académiques, au moins) sur le sujet. Au hasard
http://issrl.cs.memphis.edu/files/papers/DISCEX-II_Dasgupta.pdf
En fait, il faut modéliser/apprendre un comportement ‘normal’ et remonter un événement lorsque le comportement observé dévie trop.
@octo : CEP doit pouvoir être utilisé en partie pour cela, non?
Par contre, comme pour toute démarche, il faut analyser les risques. Si on cherche à protéger une application critique, la règle ‘connexion depuis 3 pays en moins de 10 minutes, peut être appliquée sans utiliser de l’apprentissage automatisé, qui risque d’introduire des erreurs.
L’apprentissage automatique pourrait par contre remonter des warnings, ce qui est une bonne démarche complémentaire.