Note ABES Modelization and identification of multi-step cyberattacks in sets of events Modélisation et identification de cyberattaques multi-étapes dans des ensembles d'événements Cybersécurité Attaque multi-étapes Correlation d’événements Détection d’attaques Cybersecurity Multi-step attack Event correlation Attack detection 005.8 Cyberdéfense Cybercriminalité Traitement d'événements (informatique) Sécurité informatique Une cyberattaque est considérée comme multi-étapes si elle est composée d’au moins deux actions différentes. L’objectif principal de cette thèse est aider l’analyste de sécurité dans la création de modèles de détection à partir d’un ensemble de cas alternatifs d’attaques multi-étapes. Pour répondre à cet objectif, nous présentons quattre contributions de recherche. D’abord, nous avons réalisé la première bibliographie systématique sur la détection d’attaques multi-étapes. Une des conclusions de cette bibliographie est la manque de méthodes pour confirmer les hypothèses formulées par l’analyste de sécurité pendant l’investigation des attaques multi-étapes passées. Ça nous conduit à la deuxième de nos contributions, le graphe des scénarios d’attaques abstrait ou AASG. Dans un AASG, les propositions alternatives sur les étapes fondamentales d’une attaque sont répresentées comme des branches pour être évaluées avec l’arrivée de nouveaux événements. Pour cette évaluation, nous proposons deux modèles, Morwilog et Bidimac, qui font de la détection au même temps que l’identification des hypothèses correctes. L’évaluation des résultats par l’analyste permet l’évolution des modèles.Finalement, nous proposons un modèle pour l’investigation visuel des scénarios d’attaques sur des événements non traités. Ce modèle, qui s’appelle SimSC, est basé sur la similarité entre les adresses IP, en prenant en compte la distance temporelle entre les événements. A cyberattack is considered as multi-step if it is composed of at least two distinct actions. The main goal of this thesis is to help the security analyst in the creation of detection models from a set of alternative multi-step attack cases. To meet this goal, we present four research contributions. First of all, we have conducted the first systematic survey about multi-step attack detection. One of the conclusions of this survey is the lack of methods to confirm the hypotheses formulated by the security analyst during the investigation of past multi-step attacks. This leads us to the second of our contributions, the Abstract Attack Scenario Graph or AASG. In an AASG, the alternative proposals about the fundamental steps in an attack are represented as branches to be evaluated on new incoming events. For this evaluation, we propose two models, Morwilog and Bidimac, which perform detection and identification of correct hypotheses. The evaluation of the results by the analyst allows the evolution of the models. Finally, we propose a model for the visual investigation of attack scenarios in non-processed events. This model, called SimSC, is based on IP address similarity, considering the temporal distance between the events. Electronic Thesis or Dissertation Text en PDF 6135290 Université de Strasbourg Strasbourg 2019-12-31 https://theses.hal.science/tel-02315999 application/pdf 18644097 https://publication-theses.unistra.fr/public/theses_doctorat/2019/Navarro_Julio_2019_ED269.pdf http://www.theses.fr/2019STRAD003/abes https://theses.hal.science/tel-02315999 https://theses.hal.science/tel-02315999 https://theses.hal.science/tel-02315999 Navarro Lara Julio 1990-01-24 ES 240095413 21522435 https://theses.fr/2019STRAD003 2019STRAD003 https://doi.org/10.70675/caab5453zf4a9z43b3z91a8z4f9663f8ba1a 2019-03-14 Informatique Strasbourg 131056549 Doctorat Docteur es non oui Deruyver Aline MADS_DIRECTEUR_DE_THESE_1 077748700 Legrand Véronique MADS_PRESIDENT_DU_JURY 176609067 Deruyver Aline MADS_MEMBRE_DU_JURY_1 077748700 Legrand Véronique MADS_MEMBRE_DU_JURY_2 176609067 Latapy Matthieu MADS_MEMBRE_DU_JURY_3 089049349 Garcia-Alfaro Joaquin MADS_MEMBRE_DU_JURY_4 113064004 Parrend Pierre MADS_MEMBRE_DU_JURY_5 144476185 Latapy Matthieu MADS_RAPPORTEUR_1 089049349 Garcia-Alfaro Joaquin MADS_RAPPORTEUR_2 113064004 École doctorale Mathématiques, sciences de l'information et de l'ingénieur (Strasbourg ; 1997-....) MADS_ECOLE_DOCTORALE_1 MA 156504863 Laboratoire des sciences de l'ingénieur, de l'informatique et de l'imagerie (Strasbourg ; 2013-....) MADS_PARTENAIRE_DE_RECHERCHE_1 UMR7357 176969721 260728 ddc:004 Deruyver Aline Legrand Véronique Deruyver Aline Legrand Véronique Latapy Matthieu Garcia-Alfaro Joaquin Parrend Pierre Latapy Matthieu Garcia-Alfaro Joaquin École doctorale Mathématiques, sciences de l'information et de l'ingénieur (Strasbourg ; 1997-....) Laboratoire des sciences de l'ingénieur, de l'informatique et de l'imagerie (Strasbourg) PDF 6135290 confidentialité 2019-03-14 2019-08-01 confidentialité 2019-03-14 2019-08-01 confidentialité 2019-03-14 2019-08-01 confidentialité 2019-03-14 2019-08-01