Modélisation et identification de cyberattaques multi-étapes dans des ensembles d'événements
Langue Anglais
Accéder au document

Ce document est protégé en vertu du Code de la Propriété Intellectuelle.

Modalités de diffusion de la thèse :
  • Thèse confidentielle jusqu'au 01/08/2019.
 
Auteur : Navarro Lara, Julio
Date de soutenance : 14-03-2019

Directeur(s) de thèse : Deruyver, Aline

Établissement de soutenance : Strasbourg
Laboratoire : Laboratoire des sciences de l'ingénieur, de l'informatique et de l'imagerie (Strasbourg ; 2013-....)
École doctorale : École doctorale Mathématiques, sciences de l'information et de l'ingénieur (Strasbourg ; 1997-....)
 
Discipline : Informatique
Classification : Informatique

Mots-clés libres : Cybersécurité, Attaque multi-étapes, Correlation d’événements, Détection d’attaques
Mots-clés :
  • Cyberdéfense
  • Cybercriminalité
  • Traitement d'événements (informatique)
  • Sécurité informatique
Résumé : Une cyberattaque est considérée comme multi-étapes si elle est composée d’au moins deux actions différentes. L’objectif principal de cette thèse est aider l’analyste de sécurité dans la création de modèles de détection à partir d’un ensemble de cas alternatifs d’attaques multi-étapes. Pour répondre à cet objectif, nous présentons quattre contributions de recherche. D’abord, nous avons réalisé la première bibliographie systématique sur la détection d’attaques multi-étapes. Une des conclusions de cette bibliographie est la manque de méthodes pour confirmer les hypothèses formulées par l’analyste de sécurité pendant l’investigation des attaques multi-étapes passées. Ça nous conduit à la deuxième de nos contributions, le graphe des scénarios d’attaques abstrait ou AASG. Dans un AASG, les propositions alternatives sur les étapes fondamentales d’une attaque sont répresentées comme des branches pour être évaluées avec l’arrivée de nouveaux événements. Pour cette évaluation, nous proposons deux modèles, Morwilog et Bidimac, qui font de la détection au même temps que l’identification des hypothèses correctes. L’évaluation des résultats par l’analyste permet l’évolution des modèles.Finalement, nous proposons un modèle pour l’investigation visuel des scénarios d’attaques sur des événements non traités. Ce modèle, qui s’appelle SimSC, est basé sur la similarité entre les adresses IP, en prenant en compte la distance temporelle entre les événements.
 
Type de contenu : Text
Format : PDF
 
Entrepôt d'origine : STAR : dépôt national des thèses électroniques françaises
Identifiant : 2019STRAD003
Type de ressource : Thèse