Les systèmes d'information hébergeant des applications distribuées sont de plus en plus courants. Les systèmes de détection d'intrusion ont besoin de suivre cette évolution pour détecter efficacement les attaques. Actuellement, les approches de détection d'intrusion classiques reposent sur l'hypothèse d'un ordonnancement total des évènements observés. Cependant, cette hypothèse est souvent trop forte dans le cas d'environnements distribués où l'ordre d'observation des événements est partiellement inconnu. Cet article traite de l'apprentissage d'un modèle de comportement hybride d'une application distribuée pour la détection. Il décrit des étapes et choix possibles lors de la construction du modèle. Enfin, une évaluation de l'impact de certains de ces choix est effectuée.