Kéren Saint-Hilaire soutiendra sa thèse le 5 février 2025

Kéren Saint-Hilaire, doctorante au sein de la chaire CRITiCAL, mené par l’IRT SystemX, soutiendra sa thèse le 5 février 2025, à 9h30, sur le thème : Génération automatique de graphes d’attaque et de remédiation.

Résumé de la thèse :

Depuis la pandémie de COVID-19, les cyberattaques ne cessent de se multiplier en raison du recours croissant à Internet et au télétravail. Les cyberattaques peuvent avoir plusieurs origines. Cette thèse s’intéresse principalement aux cyberattaques exploitant des vulnérabilités dans les réseaux informatiques. Les entreprises doivent prendre le temps de décider quelles vulnérabilités doivent être traitées en priorité. Le nombre d’alertes remontées aux entreprises est énorme. Les experts en cybersécurité ne peuvent en traiter que certaines. Ils doivent par ailleurs décider quelles actions de réponse aux incidents doivent faire partie du plan d’atténuation de l’entreprise.
Les travaux de recherche menés dans cette thèse visent à automatiser la construction du processus de plan d’atténuation en tenant compte des exigences pour l’exploitation des vulnérabilités découvertes, de la composition du système et des contraintes de l’organisation. Cette approche est basée sur des graphes d’attaque.
L’objectif principal de cette thèse est de générer un plan de réponse aux incidents automatisé en temps réel. Pour atteindre cet objectif, des activités subdivisées en quatre objectifs constituent la base des contributions.
Le premier objectif consiste à mettre à jour les graphes d’attaques en temps réel en s’appuyant sur une ontologie de vulnérabilités et une surveillance du système. Cette contribution développe un outil composé d’un module chargé de corréler les alertes générées par un outil de surveillance intégré à cet outil avec des graphes d’attaques logiques.
Le deuxième objectif se concentre sur la sélection automatique des contre-mesures de cybersécurité grâce à la correspondance de graphes de connaissance. Cette contribution consiste à faire correspondre le graphe de connaissances de l’ontologie des vulnérabilités avec un graphe de connaissances de contre-mesures pour en déduire des contre-mesures potentielles contre les vulnérabilités du système.
Le troisième objectif consiste à générer automatiquement des playbooks optimaux de réponse aux incidents. Cette contribution se concentre sur la génération d’un playbook optimal pour chaque vulnérabilité identifiée dans le système, en se basant sur les contre-mesures sélectionnées dans la deuxième contribution.
Le quatrième objectif consiste à générer un graphe attaque-défense en temps réel. La contribution se concentre sur l’instanciation de l’action de réponse aux incidents d’un playbook généré sur le graphe d’attaque lorsqu’une alerte générée correspond à un nœud du graphe d’attaque.
Cette thèse répond à plusieurs problématiques de recherche. Cependant, elle présente certaines limitations. Le processus automatisé de correspondance de graphes permet la sélection de contre-mesures pertinentes, mais prend du temps. Il ne peut donc pas être lancé en temps réel. La complexité temporelle du processus de génération du playbook est polynomiale. En fonction de la taille et de la complexité du système ainsi que du nombre de vulnérabilités qu’il contient, l’instanciation d’action du playbook optimal sur le graphe d’attaque peut prendre plus de trois minutes. Cependant, en général, un adversaire met plus de trois minutes pour exécuter la prochaine action menant vers l’objectif de l’attaque. L’approche proposée est donc optimale. Elle automatise en temps réel non seulement l’instanciation d’actions de remédiation sur le graphe d’attaque, mais aussi, elle remonte les actions ne pouvant être instanciées sur le graphe d’attaque aux experts en cybersécurité.

Composition du jury :

• Tarek OULD-BACHIR, président
• Frédéric CUPPENS, membre et directeur de recherche
• Nora BOULAHIA-CUPPENS, membre et codirectrice de recherche
• Omar ABDUL WAHAB, membre
• Hakima OULD-SLIMANE, membre externe
• Francesca BASSI, membre invitée

Informations pratiques :

La soutenance aura lieu le 5 février à 9h30. Lien de connexion.