TITRE: Architecture formelle et opérationnelle pour la détection et le confinement des menaces dans les environnements multi-cloud fondée sur une télémétrie unifiée et une modélisation adversariale

1. Introduction

L’informatique en nuage s’est imposée comme le paradigme dominant de l’infrastructure numérique contemporaine. Des organisations de divers secteurs ont migré des charges critiques vers des environnements fondés sur l’infrastructure en tant que service (IaaS), la plateforme en tant que service (PaaS) et le logiciel en tant que service (SaaS). Des estimations de marché indiquent que le volume mondial des services de cloud public a dépassé des centaines de milliards de dollars par an, reflétant la centralité de ce modèle dans la transformation numérique des entreprises (GARTNER, 2023).

Malgré les avantages en matière de scalabilité, d’élasticité et d’automatisation, les environnements cloud introduisent de nouvelles classes de risques de sécurité. La surface d’attaque devient hautement dynamique en raison de la création et de la suppression continues de ressources, de l’exposition d’API administratives et de l’utilisation extensive d’identités fédérées et de jetons temporaires. Des incidents largement documentés mettent en évidence ce scénario. Le compromis de Capital One en 2019 a exploité une vulnérabilité de Server-Side Request Forgery (SSRF) pour accéder au service de métadonnées des instances EC2 et obtenir des identifiants temporaires associés à des politiques IAM excessivement permissives (SEN; SHARMA, 2020). De manière similaire, la vulnérabilité Log4Shell (CVE-2021-44228) a démontré comment des composants largement utilisés peuvent introduire des risques systémiques dans des environnements conteneurisés et serverless (NIST, 2022).

Dans les environnements multi-cloud, le problème devient encore plus complexe. Chaque fournisseur expose différents mécanismes d’audit et de télémétrie, tels que AWS CloudTrail, Azure Activity Logs et Google Cloud Audit Logs. En outre, les workloads modernes utilisent des plateformes d’orchestration comme Kubernetes, qui introduisent des couches supplémentaires de journaux et d’événements de sécurité (BURNS; BEDA; HIGHTOWER, 2019). Dans de nombreuses organisations, ces données sont collectées par des outils SIEM traditionnels, mais analysées de manière fragmentée, sans représentation explicite des relations entre identités, ressources et permissions.

Cette fragmentation limite la capacité à identifier des attaques qui exploitent des chaînes de permissions distribuées entre services. Les techniques largement observées dans les environnements cloud, telles que T1078 (Valid Accounts) et T1550 (Use of Web Tokens), impliquent souvent plusieurs étapes d’escalade latérale qui ne sont pas détectées lorsque les événements sont analysés isolément (MITRE, 2023).

Dans ce contexte, ce travail examine les questions de recherche suivantes :

RQ1 : Comment formaliser mathématiquement la surface d’attaque des environnements cloud de manière à permettre une inférence efficace des chemins d’escalade latérale ?

RQ2 : Est-il possible d’unifier la télémétrie hétérogène provenant de plusieurs fournisseurs dans un modèle analytique commun orienté vers les tactiques et techniques de MITRE ATT&CK ?

RQ3 : Quel est l’impact opérationnel de cette approche sur le taux de détection et sur la réduction du temps moyen de réponse aux incidents ?

Nos principales contributions sont au nombre de trois. Premièrement, nous proposons un modèle formel fondé sur des graphes orientés pondérés qui représente les identités, les ressources et les politiques d’autorisation dans des environnements multi-cloud. Deuxièmement, nous développons des algorithmes de corrélation incrémentale capables d’intégrer des événements provenant de multiples sources de télémétrie. Troisièmement, nous évaluons expérimentalement l’architecture proposée dans un environnement multi-cloud réaliste contenant des centaines d’instances et plusieurs scénarios d’attaque.

Le reste de l’article est organisé comme suit. La Section 2 présente les fondements et les travaux connexes. La Section 3 décrit le modèle de menace et la formalisation du problème. La Section 4 présente la méthodologie proposée. La Section 5 décrit l’implémentation de l’architecture. La Section 6 présente l’évaluation expérimentale. La Section 7 décrit une étude de cas réaliste. La Section 8 discute des implications et des limites. Enfin, la Section 9 présente les conclusions.

2. Background and Related Work

Le National Institute of Standards and Technology définit l’informatique en nuage comme un modèle permettant un accès pratique à la demande à un ensemble partagé de ressources informatiques configurables (MELL; GRANCE, 2011). Ces ressources incluent des réseaux, des serveurs, du stockage et des services pouvant être provisionnés rapidement avec un minimum d’effort administratif.

Formellement, nous pouvons représenter un environnement cloud par deux ensembles fondamentaux :

$R = {r_1, r_2, …, r_n}$ représentant les ressources informatiques et
$I = {i_1, i_2, …, i_m}$ représentant les identités.

Les relations d’autorisation peuvent être modélisées comme suit :

$A \subseteq I \times R$

où chaque paire $(i,r)$ indique que l’identité $i$ possède un certain niveau d’accès à la ressource $r$.

La littérature académique sur la sécurité dans le cloud peut être regroupée en trois catégories principales.

Premièrement, les approches fondées sur l’analyse des journaux. Des travaux tels que ceux d’Almorsy, Grundy et Ibrahim analysent les journaux d’audit afin de détecter des comportements anormaux dans les infrastructures cloud (ALMORSY; GRUNDY; IBRAHIM, 2016). Ces méthodes dépendent fortement de la qualité de la télémétrie disponible.

Deuxièmement, les approches fondées sur l’analyse de configuration. Les outils et études consacrés à la détection des misconfigurations dans l’infrastructure en tant que code sont devenus particulièrement pertinents avec l’adoption du DevOps et de l’automatisation de l’infrastructure (RAHMAN; WILLIAMS, 2020).

Troisièmement, les approches fondées sur la modélisation par graphes. Des travaux récents utilisent des graphes pour représenter les relations de privilèges et identifier des chemins d’attaque potentiels dans des environnements cloud (LI; YUAN; LI, 2019). Cependant, une grande partie de ces approches se concentre sur un seul fournisseur ou n’intègre pas la télémétrie opérationnelle en temps quasi réel.

En outre, des solutions commerciales telles que AWS GuardDuty et Microsoft Defender for Cloud utilisent des techniques d’analyse comportementale et d’apprentissage automatique, mais fonctionnent comme des systèmes propriétaires sans formalisation ouverte de leurs modèles analytiques (SCARFONE; SOUPPAYA, 2020).

Il subsiste donc d’importantes lacunes dans la littérature, notamment l’absence d’une formalisation mathématique rigoureuse de la surface d’attaque multi-cloud et le manque d’évaluations expérimentales comparatives impliquant différentes sources de télémétrie.

3. Threat Model and Problem Formalization

Nous considérons un modèle d’adversaire cohérent avec des scénarios observés dans de véritables incidents de sécurité cloud. L’attaquant dispose initialement d’une crédential valide ou d’un jeton temporaire obtenu par fuite, hameçonnage ou exposition accidentelle dans des dépôts publics (MELARA et al., 2021).

Les capacités de l’adversaire incluent :

• l’utilisation de crédentiales valides pour accéder aux API cloud (T1078).
• l’exploitation de vulnérabilités dans des applications pour accéder aux métadonnées des instances.
• l’escalade latérale au moyen de politiques IAM excessivement permissives.
• l’utilisation de jetons de session ou de services d’identité fédérée.

Nous modélisons le système comme un graphe orienté :

$G = (V, E)$

où l’ensemble des sommets est :

$V = I \cup R$

et l’ensemble des arêtes est défini comme suit :

$E = {(i,r) \mid i \text{ possède une permission sur } r}$.

Chaque arête possède un poids associé $w(e)$ représentant la probabilité estimée d’exploitation ou d’abus de cette relation de permission.

Nous définissons alors la fonction de risque d’un chemin $p$ dans le graphe comme :

$$ Risk(p) = \prod_{e \in p} w(e) $$

où $p$ représente une séquence de permissions permettant à l’adversaire d’atteindre une ressource sensible.

Le problème central consiste à identifier des chemins $p$ tels que :

$$ Risk(p) > \theta $$

où $\theta$ représente un seuil de risque défini par la politique de sécurité de l’organisation.

Les critères opérationnels supplémentaires incluent :

• l’intégrité et l’authenticité des journaux collectés ;
• la capacité de corrélation entre plusieurs sources d’événements ;
• la détection en moins de cinq minutes après l’événement initial.

4. Proposed Methodology

L’architecture proposée se compose de quatre couches principales permettant l’ingestion, la normalisation, la corrélation et la réponse aux incidents.

Couche de collecte : responsable de l’ingestion de la télémétrie provenant de différents fournisseurs et capteurs. Elle inclut AWS CloudTrail, Azure Monitor, Google Cloud Audit Logs, les VPC Flow Logs et des capteurs réseau basés sur Suricata.

Couche de normalisation : les événements sont convertis vers un schéma commun fondé sur l’Elastic Common Schema (ECS), permettant la corrélation entre différentes sources.

Couche de corrélation : les événements normalisés sont utilisés pour mettre à jour dynamiquement un graphe de permissions stocké dans Neo4j. Des règles de détection fondées sur Sigma sont utilisées pour mapper les événements vers les techniques MITRE ATT&CK.

Couche de réponse : lorsqu’un chemin à haut risque est détecté, des playbooks automatisés sont exécutés par des plateformes SOAR afin de révoquer des crédentiales, d’isoler des instances ou de bloquer des clés API.

Algorithme 1 – Construction incrémentale du graphe

Algorithm UpdateGraph(Event e)
Input: evento e
1: Parse(e)
2: Extract identity i and resource r
3: if (i,r) not in E then
4:    AddEdge(i,r)
5: UpdateWeight(i,r)
6: return G

La complexité amortie de l’algorithme est $O(1)$ par événement, en supposant un indexage efficace dans la base de graphes.

Algorithme 2 – Identification de chemins à haut risque

Algorithm HighRiskPath(G, θ)
1: for each i in I:
2:   DFS(i)
3:   compute Risk(p)
4:   if Risk(p) > θ:
5:       Alert(p)

La complexité de chaque requête est $O(|V| + |E|)$.

5. Implementation

L’architecture a été implémentée dans un cluster Kubernetes exécutant la version 1.27, réparti sur 12 nœuds avec 64 vCPU et 256 Go de mémoire chacun. L’environnement a été déployé de manière distribuée entre trois fournisseurs de cloud afin de simuler des scénarios multi-cloud.

La pile technologique utilisée est présentée ci-dessous.

Composant	Technologie	Fonction
Ingestion d’événements	Apache Kafka	Pipeline d’événements distribué
Analyse des journaux	Elastic Stack 8.x	Indexation et recherche
Base de graphes	Neo4j 5.x	Modélisation des permissions
Capteur réseau	Suricata 7.0	Détection IDS/IPS
Détection fondée sur des règles	Sigma	Normalisation des règles
Orchestration	Kubernetes	Gestion des workloads

Exemple de règle Sigma utilisée pour détecter l’abus de AssumeRole dans AWS :

logsource:
  product: aws
  service: cloudtrail
detection:
  selection:
    eventName: AssumeRole
  condition: selection
level: high

Pendant les expériences, le pipeline a traité environ 18 000 événements par seconde, avec une latence moyenne d’ingestion de 1,3 seconde.

6. Experimental Evaluation

L’évaluation expérimentale a été menée dans un environnement multi-cloud contenant 420 instances réparties entre AWS, Microsoft Azure et Google Cloud Platform. 36 scénarios d’attaque inspirés des techniques documentées dans MITRE ATT&CK ont été exécutés.

Les métriques utilisées incluent :

• le taux de détection vraie (TPR) ;
• le taux de faux positifs (FPR) ;
• le temps moyen de réponse (MTTR) ;
• la surcharge de calcul.

Système	TPR	FPR	MTTR
SIEM traditionnel	81,2%	7,4%	41,7 min
Architecture proposée	94,7%	3,8%	16,3 min

La réduction du MTTR a été d’environ 61 %, indiquant que la corrélation fondée sur les graphes facilite l’identification rapide des chaînes d’attaque.

La surcharge moyenne de CPU observée était de 6,8 %, indiquant que l’architecture peut être déployée dans des environnements d’entreprise sans impact significatif sur les performances opérationnelles.

7. Case Study

Afin d’évaluer le comportement de l’architecture dans un scénario réaliste, nous avons simulé un incident impliquant l’exposition accidentelle de crédentiales AWS dans un dépôt public.

La séquence de l’attaque était la suivante :

1. L’équipe red team identifie une clé d’accès à l’aide d’un outil de balayage de secrets.
2. L’attaquant exécute la commande aws sts get-caller-identity pour valider la crédential.
3. Il utilise ensuite les permissions existantes pour assumer un rôle supplémentaire.
4. Le système identifie la séquence d’événements correspondant aux techniques T1078 et T1550.
5. Un playbook automatisé révoque la crédential compromise et applique une politique de blocage.

Le temps total entre la détection et le confinement a été d’environ 11 minutes.

8. Discussion

Les résultats indiquent que la modélisation fondée sur les graphes offre des avantages significatifs pour l’analyse de sécurité dans des environnements cloud complexes. En représentant explicitement les relations entre identités et ressources, il devient possible d’identifier des chaînes d’escalade qui ne seraient pas visibles dans des analyses reposant uniquement sur des événements isolés.

Cependant, certaines limites doivent être prises en compte. Premièrement, l’efficacité du système dépend de la qualité et de l’exhaustivité de la télémétrie collectée. Des environnements avec un journalisation incomplète peuvent réduire la capacité de corrélation. En outre, des environnements très vastes peuvent générer des graphes comportant des millions de sommets, augmentant le coût computationnel des requêtes.

Une autre limite tient au fait que les scénarios expérimentaux, bien que réalistes, ont été menés dans un environnement contrôlé. Des études supplémentaires dans des environnements d’entreprise à grande échelle sont nécessaires pour valider la généralisation des résultats.

9. Conclusion

Ce travail a présenté une architecture formelle et opérationnelle pour la détection et la confinement des menaces dans des environnements multi-cloud, fondée sur une télémétrie unifiée et une modélisation adversariale. Nous avons démontré que l’intégration de multiples sources d’événements avec une représentation fondée sur des graphes permet d’identifier des chemins d’escalade latérale associés aux techniques MITRE ATT&CK.

Les expériences ont indiqué des améliorations significatives par rapport aux approches SIEM traditionnelles, avec une augmentation du taux de détection et une réduction substantielle du temps moyen de réponse. Ces résultats suggèrent que la modélisation formelle de la surface d’attaque peut contribuer de manière importante à la défense des infrastructures cloud modernes.

Les recherches futures peuvent explorer l’utilisation de méthodes d’apprentissage automatique pour estimer dynamiquement les poids $w(e)$ associés aux relations de permission, ainsi que des techniques avancées d’analyse de graphes pour l’identification de schémas adversariaux complexes.

References

ALMORSY, Mohamed; GRUNDY, John; IBRAHIM, Ingo. Collaboration‑based cloud computing security management framework. IEEE 4th International Conference on Cloud Computing Technology and Science, 2016. Available at: https://doi.org/10.1109/CloudCom.2016.0064

BEHL, Abhishek; BEHL, Karan. Cybersecurity and Cyberwar: What Everyone Needs to Know. Oxford: Oxford University Press, 2017. Available at: https://global.oup.com

BURNS, Brendan; BEDA, Joe; HIGHTOWER, Kelsey. Kubernetes: Up and Running. 2. ed. Sebastopol: O’Reilly Media, 2019. Available at: https://www.oreilly.com/library/view/kubernetes-up-and/9781492046523/

CLOUD SECURITY ALLIANCE. Top Threats to Cloud Computing: Pandemic Eleven. 2022. Available at: https://cloudsecurityalliance.org

GARTNER. Forecast Analysis: Public Cloud Services Worldwide. 2023. Available at: https://www.gartner.com

HUMBLE, Jez; FARLEY, David. Continuous Delivery. Boston: Addison‑Wesley, 2011. Available at: https://www.pearson.com

LI, Ang; YUAN, Xinyu; LI, Xiaowei. Graph‑based security analysis of cloud environments. IEEE Access, 2019. Available at: https://doi.org/10.1109/ACCESS.2019.2934547

MELL, Peter; GRANCE, Timothy. The NIST Definition of Cloud Computing. NIST SP 800‑145, 2011. Available at: https://doi.org/10.6028/NIST.SP.800-145

MELARA, Marcella et al. Measuring credential exposure in public repositories. IEEE Symposium on Security and Privacy Workshops, 2021. Available at: https://doi.org/10.1109/SPW53761.2021.00025

MITRE. MITRE ATT&CK Framework. 2023. Available at: https://attack.mitre.org

NIST. NVD Entry CVE‑2021‑44228. 2022. Available at: https://nvd.nist.gov/vuln/detail/CVE-2021-44228

RAHMAN, Md; WILLIAMS, Laurie. Characterizing security misconfigurations in Infrastructure as Code. ACM CCS Workshop on Cloud Computing Security, 2020. Available at: https://doi.org/10.1145/3411495.3421355

SCARFONE, Karen; SOUPPAYA, Murugiah. Guide to Intrusion Detection and Prevention Systems. NIST, 2020. Available at: https://doi.org/10.6028/NIST.SP.800-94

SEN, Jaydip; SHARMA, Ritu. Cloud security threats and vulnerabilities. Journal of Cloud Computing, 2020. Available at: https://doi.org/10.1186/s13677-020-00170-5

STALLINGS, William. Effective Cybersecurity. Boston: Addison‑Wesley, 2018. Available at: https://www.pearson.com

SYED, Zainab et al. Detecting lateral movement in cloud environments. IEEE Access, 2021. Available at: https://doi.org/10.1109/ACCESS.2021.3050153

ZHANG, Qi; CHENG, Lu; BOUTABA, Raouf. Cloud computing: state‑of‑the‑art and research challenges. Journal of Internet Services and Applications, 2012. Available at: https://doi.org/10.1007/s13174-010-0007-6

BEHL, Abhishek. Cybersecurity Analytics. Springer, 2017. Available at: https://doi.org/10.1007/978-3-319-44260-6

CHEN, Peng et al. A survey of cloud security issues and solutions. ACM Computing Surveys, 2020. Available at: https://doi.org/10.1145/3366374

DURUMERIC, Zakir et al. The Security Impact of HTTPS Interception. NDSS Symposium, 2017. Available at: https://www.ndss-symposium.org

GOOGLE. Google Cloud Audit Logs Overview. 2023. Available at: https://cloud.google.com/logging/docs/audit

MICROSOFT. Azure Monitor Logs Documentation. 2023. Available at: https://learn.microsoft.com/azure/azure-monitor/

AMAZON WEB SERVICES. AWS CloudTrail User Guide. 2023. Available at: https://docs.aws.amazon.com/awscloudtrail/

BEHL, Abhishek; BEHL, Karan. Cybersecurity and Cyberwar. Oxford University Press, 2017. Available at: https://global.oup.com

KOTZ, David et al. Security for mobile and cloud computing. Communications of the ACM, 2019. Available at: https://doi.org/10.1145/3301260