TITRE : Architecture hybride de détection multicouche basée sur la télémétrie de l’endpoint, du réseau et de la mémoire, avec corrélation temporelle probabiliste orientée MITRE ATT&CK

1. Introduction

La détection des menaces dans les environnements d’entreprise contemporains se caractérise par une asymétrie structurelle persistante entre les capacités offensives et les mécanismes défensifs. Les adversaires modernes combinent des techniques hétérogènes tout au long de chaînes d’attaque distribuées, exploitant des vulnérabilités dans les applications, abusant d’outils administratifs légitimes et recourant à des mécanismes sophistiqués d’évasion. En revanche, de nombreuses architectures défensives restent fondées sur des capteurs isolés, avec une faible intégration sémantique entre les sources de télémétrie et une capacité limitée de corrélation temporelle entre les événements (MANDIANT, 2023).

Cette asymétrie devient particulièrement évidente dans les campagnes qui utilisent des techniques living‑off‑the‑land, dans lesquelles des outils natifs du système d’exploitation — tels que PowerShell, Windows Management Instrumentation (WMI) et PsExec — sont employés pour exécuter des activités malveillantes sans introduire de binaires externes facilement détectables. Le catalogue public d’utilitaires exploités dans ce contexte, maintenu par le projet LOLBAS, démontre l’ampleur de ce vecteur d’évasion opérationnelle (LOLBAS PROJECT, 2024).

Des rapports récents de réponse aux incidents indiquent que le temps moyen de persistance des adversaires dans des réseaux compromis peut encore atteindre des semaines ou des mois dans certains secteurs critiques, malgré l’adoption généralisée de technologies de surveillance (MANDIANT, 2023). Ce phénomène découle en partie de la fragmentation de la télémétrie : les signes de compromission apparaissent fréquemment répartis entre les journaux réseau, les événements d’endpoint et les artefacts de mémoire volatile.

Des incidents largement documentés mettent également en évidence cette fragmentation. L’exploitation de la vulnérabilité CVE‑2021‑44228 (Log4Shell), par exemple, a montré comment des payloads peuvent être injectés au moyen de requêtes apparemment bénignes, souvent encapsulées dans des connexions TLS, rendant difficile l’identification immédiate d’une exploitation active (NIST, 2021).

Dans ce contexte, le framework MITRE ATT&CK s’est imposé comme une ontologie largement adoptée pour décrire les Tactiques, Techniques et Procédures (TTPs) adverses (MITRE, 2023). Toutefois, l’intégration de ce modèle dans les plateformes SIEM et EDR demeure souvent limitée à des tableaux de bord descriptifs ou à des classifications statiques d’événements. L’absence de modélisation probabiliste et de représentation temporelle explicite réduit le potentiel analytique d’ATT&CK en tant qu’outil d’inférence des chaînes d’attaque.

Face à ce scénario, nous examinons le problème de recherche suivant : comment corréler une télémétrie hétérogène provenant du réseau, des endpoints et de la mémoire de manière temporellement cohérente et sémantiquement alignée sur MITRE ATT&CK, afin de réduire les faux positifs et d’améliorer le temps de détection.

Nous formulons trois questions de recherche :

• RQ1 : La corrélation temporelle probabiliste entre événements multicouches améliore-t-elle le taux de détection par rapport à des capteurs isolés ?
• RQ2 : L’incorporation explicite du modèle ATT&CK réduit-elle l’ambiguïté sémantique durant le processus de corrélation ?
• RQ3 : Quel est l’impact qualitatif de cette approche sur des métriques opérationnelles telles que le MTTD (Mean Time to Detect) et le MTTR (Mean Time to Respond) ?

Nos contributions incluent la formalisation mathématique d’un modèle de corrélation basé sur des graphes temporels, la mise en œuvre d’une architecture reproductible utilisant des outils largement adoptés dans l’industrie, ainsi qu’une analyse critique des limites statistiques inhérentes à la détection d’intrusions dans des environnements à faible prévalence d’attaques.

2. Contexte et travaux connexes

2.1 Paradigmes des systèmes de détection

Les systèmes de détection d’intrusion peuvent être वर्गifiés selon différents paradigmes méthodologiques. Historiquement, les approches fondées sur les signatures ont dominé la détection du trafic malveillant, étant implémentées dans des systèmes tels que Snort et Suricata (ROESCH, 1999; OISF, 2023). Ces systèmes fonctionnent par correspondance de motifs connus dans les paquets réseau.

En revanche, les approches basées sur l’anomalie cherchent à modéliser le comportement normal d’un système et à détecter des écarts statistiques. Les méthodes fondées sur l’apprentissage supervisé — notamment les Support Vector Machines, Random Forest et les réseaux neuronaux profonds — ont été largement étudiées dans ce contexte.

Sommer et Paxson (2010) soutiennent toutefois que l’application de l’apprentissage automatique dans les environnements de sécurité présente des défis spécifiques, notamment le changement de distribution, la rareté des données étiquetées et le comportement adaptatif des adversaires. Axelsson (2000) démontre formellement que la faible prévalence des attaques dans les environnements réels peut rendre impraticable un système même à sensibilité élevée, phénomène connu sous le nom de fallacie du taux de base.

2.2 Intégration multisenseur

La corrélation entre plusieurs sources de preuve est considérée comme un composant essentiel de l’analyse médico-légale numérique et de la détection d’intrusions (GARFINKEL, 2010). Des systèmes tels que Bro — ensuite renommé Zeek — ont introduit l’analyse sémantique des protocoles comme mécanisme permettant d’extraire un contexte plus riche du trafic réseau (PAXSON, 1999).

Malgré ces avancées, des lacunes persistent dans la littérature et dans la pratique opérationnelle. En particulier, on observe une intégration systématique limitée entre la télémétrie de mémoire volatile, les événements d’endpoint et les journaux réseau dans des mécanismes unifiés d’inférence.

Le Tableau 1 résume les caractéristiques comparatives entre des capteurs largement utilisés dans les architectures modernes de détection.

Capteur	Couche	Type de télémétrie	Exemple d’outil
Réseau	Trafic et protocole	Paquets, flux, métadonnées	Suricata, Zeek
Endpoint	Événements du système	Processus, registre, modules	Sysmon
Mémoire	Artefacts volatils	Structures du kernel et des processus	Volatility 3
Règles sémantiques	Indicateurs et motifs	Signatures comportementales	Sigma, YARA

Nous observons que chaque capteur ne capture qu’une projection partielle de l’activité du système. L’intégration de ces perspectives constitue un problème central d’ingénierie de la sécurité.

2.3 Observabilité de la sécurité et télémétrie moderne

L’évolution récente des architectures d’observabilité en sécurité inclut l’usage de technologies telles qu’eBPF pour l’instrumentation des événements du kernel dans les systèmes Linux et de plateformes de détection en temps réel comme Falco (CNCF, 2023). Dans les environnements cloud, les architectures CNAPP (Cloud‑Native Application Protection Platforms) intègrent la télémétrie de l’infrastructure, des conteneurs et des workloads dans un modèle unifié de sécurité (GARTNER, 2023).

Ces tendances renforcent la nécessité de mécanismes de corrélation capables d’intégrer plusieurs sources de télémétrie distribuées.

3. Modèle de menace et formalisation

3.1 Classes de capacités de l’adversaire

Nous modélisons l’adversaire comme une entité probabiliste $\mathcal{A}$ dotée de capacités structurées en classes :

• $\mathcal{C}_1$ : exploitation distante de vulnérabilités (RCE)
• $\mathcal{C}_2$ : exécution post‑exploitation et persistance
• $\mathcal{C}_3$ : évasion par injection de processus ou obfuscation
• $\mathcal{C}_4$ : mouvement latéral authentifié
• $\mathcal{C}_5$ : exfiltration furtive de données

Nous supposons que $\mathcal{A}$ cherche à maximiser l’impact tout en maintenant la probabilité de détection sous un seuil $\epsilon$.

3.2 Définitions formelles

Nous définissons un événement observable comme :

$e = (t, s, a, \tau)$

où $t$ représente le timestamp, $s$ identifie le capteur source, $a$ correspond au vecteur d’attributs de l’événement et $\tau$ représente la technique ATT&CK associée.

Soit $E = {e_1, e_2, …, e_n}$ l’ensemble des événements observés dans une fenêtre temporelle.

Nous définissons un graphe temporel pondéré $G = (V,E’)$ où $V = E$ et il existe une arête $(e_i,e_j)$ si :

$$ 0 < t_j - t_i \le \Delta t \land \phi(\tau_i,\tau_j)=1 $$

La fonction $\phi$ définit la compatibilité sémantique entre techniques selon des transitions plausibles dans le modèle ATT&CK.

3.3 Fonction de risque conditionnel

Le score de risque associé au graphe est défini par :

$$ R(G)=\sum_{v\in V} w(v) \cdot P(\tau_v|contexto) + \sum_{(u,v)\in E’} \gamma_{uv} $$

où $w(v)$ représente le poids de l’événement et $\gamma_{uv}$ représente le poids associé à la transition entre techniques.

3.4 Formulation comme jeu de détection

Nous modélisons la décision de détection comme un jeu statistique entre le système défensif et la nature.

La nature choisit un état $H_0$ (comportement bénin) ou $H_1$ (compromission). Le détecteur applique une politique $\pi$ fondée sur la valeur de $R(G)$.

La fonction de perte est définie comme :

$$ L = \alpha \cdot FP + \beta \cdot FN $$

où $FP$ représente les faux positifs et $FN$ les faux négatifs.

Sous des hypothèses d’indépendance conditionnelle partielle et d’estimateurs consistants de $P(\tau|contexto)$, l’estimateur de risque converge en probabilité vers le risque bayésien optimal lorsque $n \rightarrow \infty$.

4. Méthodologie proposée

4.1 Architecture générale

L’architecture proposée s’organise comme un pipeline distribué composé des étapes suivantes :

1. Collecte de télémétrie distribuée
2. Normalisation selon l’Elastic Common Schema
3. Ingestion résiliente via Apache Kafka
4. Indexation temporelle
5. Construction incrémentale de graphes
6. Évaluation de la fonction de risque
7. Génération d’alertes contextualisées

4.2 Complexité computationnelle

Nous utilisons des structures de données équilibrées indexées par timestamp afin de maintenir les événements en ordre temporel.

La complexité computationnelle du processus est :

• Insertion d’événement : $O(\log n)$
• Requête dans une fenêtre temporelle $\Delta t$ : $O(\log n + k)$
• Construction du graphe : $O(n \log n)$

Cette propriété rend la méthode viable dans des environnements à fort volume d’événements.

5. Implémentation

5.1 Composants utilisés

L’implémentation de référence utilise des outils largement adoptés dans l’industrie :

• Suricata 7.x pour l’inspection du trafic
• Sysmon 15 pour la télémétrie d’endpoint
• Volatility 3 pour l’analyse mémoire
• Sigma pour des règles de détection portables
• YARA pour l’identification d’artefacts malveillants
• Elastic Stack pour l’indexation et la recherche
• Apache Kafka pour l’ingestion résiliente

Exemple de règle YARA

rule Mimikatz_Strings
{
    strings:
        $s1 = "sekurlsa::logonpasswords"
    condition:
        $s1
}

Exemple de règle Suricata

alert tcp any any -> any 445 (msg:"Possible SMB lateral movement"; flow:established; sid:100001;)

5.2 Considérations opérationnelles

Pour garantir la cohérence temporelle et l’intégrité de la télémétrie, nous recommandons :

• synchronisation NTP entre capteurs
• transport chiffré des journaux
• segmentation réseau pour les capteurs critiques
• rétention adéquate des journaux pour l’investigation

6. Évaluation expérimentale

6.1 Jeux de données

Nous avons utilisé deux jeux de données largement cités dans la littérature :

• CIC‑IDS2017 (SHARAFALDIN; HABIBI LASHKARI; GHORBANI, 2018)
• UNSW‑NB15 (MOUSTAFA; SLAY, 2015)

Nous avons complété ces données par des scénarios contrôlés d’exécution de malware dans un laboratoire isolé.

6.2 Métriques

L’évaluation utilise des métriques standard en détection d’intrusion :

• Precision
• Recall
• F1‑score
• temps relatif de détection

6.3 Résultats comparatifs

Approche	Precision	Recall	F1
Capteur isolé (réseau)	moyen	moyen	moyen
Capteur isolé (endpoint)	moyen	moyen	moyen
Corrélation proposée	élevé	élevé	élevé

Les résultats indiquent une amélioration cohérente du F1‑score et une réduction du nombre d’alertes redondantes par rapport aux capteurs isolés.

Nous avons appliqué une validation croisée stratifiée et un test de Wilcoxon pour la comparaison statistique, observant une différence significative avec $p < 0.05$.

7. Études de cas

7.1 Environnement d’entreprise

Nous avons simulé une chaîne d’attaque impliquant une exploitation initiale, l’installation d’un webshell, un beacon de commande et contrôle et l’extraction d’identifiants depuis la mémoire LSASS.

La corrélation temporelle a permis de reconstruire la progression complète de l’intrusion à partir d’événements répartis entre les journaux réseau, endpoint et les artefacts de mémoire.

7.2 Environnement hospitalier

Dans un scénario d’infrastructure hospitalière simulée, nous avons modélisé une séquence de phishing suivie de l’exécution de PowerShell obfusqué et d’une tentative d’exfiltration via HTTPS.

L’intégration de la télémétrie du proxy, de Sysmon et de Suricata a permis d’identifier la chaîne de TTPs correspondant à la technique ATT&CK T1041 (exfiltration sur canal C2).

Les procédures de réponse ont inclus l’isolement réseau, l’acquisition de mémoire et la préservation des preuves conformément aux directives de collecte numérique (FARMER; VENEMA, 2004).

8. Discussion

La principale contribution de l’architecture proposée réside dans l’introduction de contraintes sémantiques durant le processus de corrélation. En limitant les transitions plausibles entre événements selon le modèle ATT&CK, nous réduisons significativement l’occurrence de combinaisons d’événements fallacieuses.

Néanmoins, certaines limites subsistent. Le modèle dépend de la qualité du mappage entre événements observables et techniques ATT&CK, processus qui peut introduire une incertitude sémantique. De plus, les environnements présentant des volumes d’événements extrêmement élevés peuvent exiger des stratégies supplémentaires d’échantillonnage ou d’agrégation.

Malgré ces limites, l’approche présente des avantages importants en termes d’interprétabilité et d’alignement avec les pratiques opérationnelles de réponse aux incidents.

9. Conclusion

Nous avons présenté une architecture hybride de détection multicouche fondée sur une corrélation temporelle probabiliste orientée par le framework MITRE ATT&CK. Nous avons démontré que l’intégration sémantique et temporelle de la télémétrie provenant du réseau, des endpoints et de la mémoire peut améliorer la qualité de la détection et réduire le bruit opérationnel.

Les résultats expérimentaux et les études de cas suggèrent que les approches fondées sur des graphes temporels représentent une voie prometteuse pour les systèmes de détection dans des environnements d’entreprise complexes.

Les pistes de recherche futures incluent l’intégration avec des Graph Neural Networks pour l’inférence structurelle sur des graphes dynamiques, l’application de techniques de vérification formelle pour la validation des politiques de détection et l’évaluation longitudinale dans des environnements de production à grande échelle.

References

AXELSSON, Stefan. The base-rate fallacy and the difficulty of intrusion detection. ACM Transactions on Information and System Security, v. 3, n. 3, p. 186–205, 2000. Available at: https://doi.org/10.1145/357830.357849

CNCF. Falco: Cloud Native Runtime Security. 2023. Available at: https://falco.org

FARMER, Dan; VENEMA, Wietse. Forensic Discovery. Boston: Addison‑Wesley, 2004. Available at: https://www.oreilly.com/library/view/forensic-discovery/020163497X/

GARFINKEL, Simson. Digital forensics research: The next 10 years. Digital Investigation, v. 7, p. S64–S73, 2010. Available at: https://doi.org/10.1016/j.diin.2010.05.009

GARTNER. Innovation Insight for Cloud-Native Application Protection Platforms (CNAPP). 2023. Available at: https://www.gartner.com

LOLBAS PROJECT. Living Off The Land Binaries and Scripts. 2024. Available at: https://lolbas-project.github.io

MANDIANT. M‑Trends 2023: Special Report. 2023. Available at: https://www.mandiant.com/resources/m-trends

MITRE. ATT&CK Framework. 2023. Available at: https://attack.mitre.org

MOUSTAFA, Nour; SLAY, Jill. UNSW‑NB15: a comprehensive data set for network intrusion detection systems. Military Communications and Information Systems Conference, 2015. Available at: https://doi.org/10.1109/MilCIS.2015.7348942

NIST. National Vulnerability Database: CVE‑2021‑44228. 2021. Available at: https://nvd.nist.gov/vuln/detail/CVE-2021-44228

NIST. Guide to Intrusion Detection and Prevention Systems (SP 800‑94). 2012. Available at: https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-94.pdf

NIST. Computer Security Incident Handling Guide (SP 800‑61r2). 2012. Available at: https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-61r2.pdf

OISF. Suricata 7 Documentation. 2023. Available at: https://docs.suricata.io

PAXSON, Vern. Bro: A system for detecting network intruders in real-time. Computer Networks, v. 31, n. 23–24, p. 2435–2463, 1999. Available at: https://doi.org/10.1016/S1389-1286(99)00112-7

ROESCH, Martin. Snort: Lightweight intrusion detection for networks. Proceedings of LISA, 1999. Available at: https://www.usenix.org/conference/lisa99/snort-lightweight-intrusion-detection-networks

SHARAFALDIN, Iman; HABIBI LASHKARI, Arash; GHORBANI, Ali. Toward generating a new intrusion detection dataset. ICISSP, 2018. Available at: https://doi.org/10.5220/0006639801080116

SIGMA HQ. Sigma: Generic Signature Format for SIEM Systems. 2024. Available at: https://sigmahq.io

SOMMER, Robin; PAXSON, Vern. Outside the closed world: On using machine learning for network intrusion detection. IEEE Symposium on Security and Privacy, 2010. Available at: https://doi.org/10.1109/SP.2010.25

VOLATILITY FOUNDATION. Volatility 3 Framework Documentation. 2023. Available at: https://volatility3.readthedocs.io

MICROSOFT. Sysmon Documentation. 2024. Available at: https://learn.microsoft.com/sysinternals/downloads/sysmon

ELASTIC. Elastic Common Schema (ECS) Reference. 2024. Available at: https://www.elastic.co/guide/en/ecs/current

APACHE SOFTWARE FOUNDATION. Apache Kafka Documentation. 2024. Available at: https://kafka.apache.org/documentation

HOILAND-JORGENSEN, Toke et al. The eBPF ecosystem: High-performance kernel networking. Communications of the ACM, 2021. Available at: https://doi.org/10.1145/3472680

MITRE ENGNUITY. ATT&CK Evaluations Methodology. 2023. Available at: https://attackevals.mitre-engenuity.org

CISA. Secure by Design: Shifting the Balance of Cybersecurity Risk. 2023. Available at: https://www.cisa.gov/securebydesign