Thèse : Modélisation et identification de cyberattaques multi-étapes dans des ensembles d'évènements

Soutenance de thèse : Julio NAVARRO LARA

Titre : Modélisation et identification de cyberattaques multi-étapes dans des ensembles d'évènements

Équipe : CSTB

Résumé : Une cyberattaque est considerée comme multi-étapes si elle est composée d’au moins deux actions différentes. L’objectif principal de cette thèse est aider l’analyste de sécurité dans la création de modèles de détection à partir d’un ensemble de cas alternatifs d’attaques multi-étapes. Pour répondre à cet objectif, nous présentons quattre contributions de recherche.
D’abord, nous avons réalisé la première bibliographie systématique sur la détection d’attaques multi-étapes. Une des conclusions de cette bibliographie est la manque de méthodes pour confirmer les hypothèses formulées par l’analyste de sécurité pendant l’investigation des attaques multi-étapes passées.
Ça nous conduit à la deuxième de nos contributions, le graphe des scénarios d’attaques abstrait ou AASG. Dans un AASG, les propositions alternatives sur les étapes fondamentales d’une attaque sont répresentées comme des branches pour être évaluées avec l’arrivée de nouveaux événements.
Pour cette évaluation, nous proposons deux modèles, Morwilog et Bidimac, qui font de la détection au même temps que l’identification des hypothèses correctes. L’évaluation des résultats par l’analyste permet l’évolution des modèles.
Finalement, nous proposons un modèle pour l’investigation visuel des scénarios d’attaques sur des événements non traités. Ce modèle, qui s’appelle SimSC, est basé sur la similarité entre les adresses IP, en prenant en compte la distance temporelle entre les événements.

Le jury est composé de M. Latapy, Directeur de Recherches LIP6 CNRS (Rapporteur), J. Garcia-Alfaro, Professeur Telecom SudParis (Rapporteur), V. Legrand, Professeure CNAM, P. Parrend enseignant chercheur ECAM et A. Deruyver, Maître de conférences Université de Strasbourg (Directrice de thèse).

La soutenance se tiendra le jeudi 14 mars 2019 à 14h00 en salle 114 du Forum de la Faculté de Médecine (4 rue Kirschleger, Strasbourg).

Mots-clés : Cybersécurité, attaque multi-étapes, correlation d’événements, détection d’attaques