Les systèmes d'information hébergeant des applications distribuées sont de plus en plus courants. Les systèmes de détection d'intrusion ont besoin de suivre cette évolution pour détecter efficacement les attaques. Actuellement, les approches de détection d'intrusion classiques reposent sur l'hypothèse d'un ordonnancement total des évènements observés. Cependant, cette hypothèse est souvent trop forte dans le cas d'environnements distribués où l'ordre d'observation des évènements est partiellement inconnu. Cet article traite de l'apprentissage d'un modèle de comportement hybride d'une application distribuée pour la détection. Il décrit des étapes nécessaires pour la construction du modèle. Enfin, une évaluation du modèle est effectuée.