TITRE: Architecture hybride de détection multicouches basée sur la télémétrie endpoint, réseau et mémoire avec corrélation temporelle probabiliste orientée MITRE ATT&CK

1. Introduction

La détection des menaces dans les environnements d’entreprise contemporains se caractérise par une asymétrie structurelle persistante entre capacités offensives et mécanismes défensifs. Les adversaires modernes combinent des techniques hétérogènes tout au long de chaînes d’attaque distribuées, en exploitant des vulnérabilités dans les applications, en abusant d’outils administratifs légitimes et en recourant à des mécanismes sophistiqués d’évasion. À l’inverse, de nombreuses architectures défensives restent fondées sur des capteurs isolés, avec une faible intégration sémantique entre les sources de télémétrie et une capacité limitée de corrélation temporelle entre événements (MANDIANT, 2023).

Cette asymétrie devient particulièrement évidente dans les campagnes utilisant des techniques living‑off‑the‑land, dans lesquelles des outils natifs du système d’exploitation — tels que PowerShell, Windows Management Instrumentation (WMI) et PsExec — sont employés pour exécuter des activités malveillantes sans introduire de binaires externes facilement détectables. Le catalogue public d’utilitaires exploités dans ce contexte, maintenu par le projet LOLBAS, démontre l’ampleur de ce vecteur d’évasion opérationnelle (LOLBAS PROJECT, 2024).

Des rapports récents de réponse à incident indiquent que le temps moyen de présence des adversaires dans des réseaux compromis peut encore atteindre des semaines ou des mois dans certains secteurs critiques, malgré l’adoption généralisée de technologies de surveillance (MANDIANT, 2023). Ce phénomène découle, en partie, de la fragmentation de la télémétrie : les signes de compromission apparaissent fréquemment répartis entre des journaux réseau, des événements d’endpoint et des artefacts de mémoire volatile.

Des incidents largement documentés mettent également en évidence cette fragmentation. L’exploitation de la vulnérabilité CVE‑2021‑44228 (Log4Shell), par exemple, a montré comment des payloads peuvent être injectés au moyen de requêtes apparemment bénignes, souvent encapsulées dans des connexions TLS, ce qui complique l’identification immédiate d’une exploitation active (NIST, 2021).

Dans ce contexte, le framework MITRE ATT&CK s’est imposé comme une ontologie largement adoptée pour décrire les Tactiques, Techniques et Procédures (TTPs) adverses (MITRE, 2023). Toutefois, l’intégration de ce modèle dans les plateformes SIEM et EDR reste souvent limitée à des tableaux de bord descriptifs ou à des classifications statiques d’événements. L’absence de modélisation probabiliste et de représentation temporelle explicite réduit le potentiel analytique d’ATT&CK comme instrument d’inférence de chaînes d’attaque.

Face à ce scénario, nous étudions le problème de recherche suivant : comment corréler une télémétrie hétérogène provenant du réseau, de l’endpoint et de la mémoire de manière temporellement cohérente et sémantiquement alignée sur MITRE ATT&CK, afin de réduire les faux positifs et d’améliorer le temps de détection.

Nous formulons trois questions de recherche :

• RQ1 : La corrélation temporelle probabiliste entre événements multicouches améliore-t-elle le taux de détection par rapport à des capteurs isolés ?
• RQ2 : L’incorporation explicite du modèle ATT&CK réduit-elle l’ambiguïté sémantique au cours du processus de corrélation ?
• RQ3 : Quel est l’impact qualitatif de cette approche sur des métriques opérationnelles telles que le MTTD (Mean Time to Detect) et le MTTR (Mean Time to Respond) ?

Nos contributions incluent la formalisation mathématique d’un modèle de corrélation fondé sur des graphes temporels, l’implémentation d’une architecture reproductible utilisant des outils largement adoptés dans l’industrie et une analyse critique des limitations statistiques inhérentes à la détection d’intrusion dans des environnements à faible prévalence d’attaques.

2. Contexte et Travaux Connexes

2.1 Paradigmes des Systèmes de Détection

Les systèmes de détection d’intrusion peuvent être classés selon différents paradigmes méthodologiques. Historiquement, les approches fondées sur les signatures ont dominé la détection du trafic malveillant, étant implémentées dans des systèmes tels que Snort et Suricata (ROESCH, 1999; OISF, 2023). Ces systèmes fonctionnent par correspondance de motifs connus dans les paquets réseau.

À l’inverse, les approches fondées sur l’anomalie cherchent à modéliser le comportement normal d’un système et à détecter des écarts statistiques. Les méthodes basées sur l’apprentissage supervisé — incluant les Support Vector Machines, Random Forest et les réseaux neuronaux profonds — ont été largement étudiées dans ce contexte.

Sommer et Paxson (2010) soutiennent toutefois que l’application de l’apprentissage automatique dans les environnements de sécurité présente des défis spécifiques, notamment un changement de distribution, la rareté de données étiquetées et le comportement adaptatif des adversaires. Axelsson (2000) démontre formellement que la faible prévalence des attaques dans les environnements réels peut rendre un système impraticable, même avec une sensibilité élevée, phénomène connu sous le nom de fallacie du taux de base.

2.2 Intégration Multicapteurs

La corrélation entre plusieurs sources de preuve est considérée comme un composant essentiel de l’analyse forensique numérique et de la détection d’intrusions (GARFINKEL, 2010). Des systèmes tels que Bro — ensuite renommé Zeek — ont introduit l’analyse sémantique des protocoles comme mécanisme pour extraire un contexte plus riche du trafic réseau (PAXSON, 1999).

Malgré ces avancées, des lacunes persistent dans la littérature et dans la pratique opérationnelle. En particulier, on observe une intégration systématique limitée entre la télémétrie de mémoire volatile, les événements d’endpoint et les journaux réseau dans des mécanismes unifiés d’inférence.

Le Tableau 1 résume les caractéristiques comparatives entre capteurs largement utilisés dans les architectures modernes de détection.

Capteur	Couche	Type de Télémétrie	Exemple d’Outil
Réseau	Trafic et protocole	Paquets, flux, métadonnées	Suricata, Zeek
Endpoint	Événements du système	Processus, registry, modules	Sysmon
Mémoire	Artefacts volatils	Structures du noyau et des processus	Volatility 3
Règles sémantiques	Indicateurs et motifs	Signatures comportementales	Sigma, YARA

Nous observons que chaque capteur ne capture qu’une projection partielle de l’activité du système. L’intégration de ces perspectives constitue un problème central d’ingénierie de la sécurité.

2.3 Observabilité de Sécurité et Télémétrie Moderne

L’évolution récente des architectures d’observabilité en sécurité inclut l’utilisation de technologies telles que eBPF pour l’instrumentation d’événements du noyau dans les systèmes Linux et de plateformes de détection en temps réel telles que Falco (CNCF, 2023). Dans les environnements cloud, les architectures CNAPP (Cloud‑Native Application Protection Platforms) intègrent la télémétrie de l’infrastructure, des conteneurs et des workloads dans un modèle de sécurité unifié (GARTNER, 2023).

Ces tendances renforcent la nécessité de mécanismes de corrélation capables d’intégrer plusieurs sources de télémétrie distribuées.

3. Modèle de Menace et Formalisation

3.1 Classes de Capacités de l’Adversaire

Nous modélisons l’adversaire comme une entité probabiliste $\mathcal{A}$ dont les capacités sont structurées en classes :

• $\mathcal{C}_1$ : exploitation à distance de vulnérabilités (RCE)
• $\mathcal{C}_2$ : exécution post‑exploitation et persistance
• $\mathcal{C}_3$ : évasion par injection de processus ou obfuscation
• $\mathcal{C}_4$ : mouvement latéral authentifié
• $\mathcal{C}_5$ : exfiltration furtive de données

Nous supposons que $\mathcal{A}$ cherche à maximiser l’impact tout en maintenant la probabilité de détection en dessous d’un seuil $\epsilon$.

3.2 Définitions Formelles

Nous définissons un événement observable comme :

$e = (t, s, a, \tau)$

où $t$ représente l’horodatage, $s$ identifie le capteur source, $a$ correspond au vecteur d’attributs de l’événement et $\tau$ représente la technique ATT&CK associée.

Soit $E = {e_1, e_2, …, e_n}$ l’ensemble des événements observés dans une fenêtre temporelle.

Nous définissons un graphe temporel pondéré $G = (V,E’)$ où $V = E$ et il existe une arête $(e_i,e_j)$ si :

$$ 0 < t_j - t_i \le \Delta t \land \phi(\tau_i,\tau_j)=1 $$

La fonction $\phi$ définit la compatibilité sémantique entre techniques selon des transitions plausibles dans le modèle ATT&CK.

3.3 Fonction de Risque Conditionnel

Le score de risque associé au graphe est défini par :

$$ R(G)=\sum_{v\in V} w(v) \cdot P(\tau_v|contexto) + \sum_{(u,v)\in E’} \gamma_{uv} $$

où $w(v)$ représente le poids de l’événement et $\gamma_{uv}$ représente le poids associé à la transition entre techniques.

3.4 Formulation comme Jeu de Détection

Nous modélisons la décision de détection comme un jeu statistique entre le système défensif et la nature.

La nature choisit un état $H_0$ (comportement bénin) ou $H_1$ (compromission). Le détecteur applique une politique $\pi$ basée sur la valeur de $R(G)$.

La fonction de perte est définie comme :

$$ L = \alpha \cdot FP + \beta \cdot FN $$

où $FP$ représente les faux positifs et $FN$ les faux négatifs.

Sous des hypothèses d’indépendance conditionnelle partielle et d’estimateurs consistants de $P(\tau|contexto)$, l’estimateur de risque converge en probabilité vers le risque bayésien optimal lorsque $n \rightarrow \infty$.

4. Méthodologie Proposée

4.1 Architecture Générale

L’architecture proposée s’organise comme un pipeline distribué composé des étapes suivantes :

1. Collecte de télémétrie distribuée
2. Normalisation selon Elastic Common Schema
3. Ingestion résiliente via Apache Kafka
4. Indexation temporelle
5. Construction incrémentale de graphes
6. Évaluation de la fonction de risque
7. Génération d’alertes contextualisées

4.2 Complexité Computationnelle

Nous utilisons des structures de données équilibrées indexées par horodatage afin de maintenir les événements dans l’ordre temporel.

La complexité computationnelle du processus est :

• Insertion d’un événement : $O(\log n)$
• Requête dans une fenêtre temporelle $\Delta t$ : $O(\log n + k)$
• Construction du graphe : $O(n \log n)$

Cette propriété rend la méthode viable pour des environnements à fort volume d’événements.

5. Implémentation

5.1 Composants Utilisés

L’implémentation de référence utilise des outils largement adoptés dans l’industrie :

• Suricata 7.x pour l’inspection du trafic
• Sysmon 15 pour la télémétrie d’endpoint
• Volatility 3 pour l’analyse mémoire
• Sigma pour des règles de détection portables
• YARA pour l’identification d’artefacts malveillants
• Elastic Stack pour l’indexation et la recherche
• Apache Kafka pour l’ingestion résiliente

Exemple de Règle YARA

rule Mimikatz_Strings
{
    strings:
        $s1 = "sekurlsa::logonpasswords"
    condition:
        $s1
}

Exemple de Règle Suricata

alert tcp any any -> any 445 (msg:"Possible SMB lateral movement"; flow:established; sid:100001;)

5.2 Considérations Opérationnelles

Afin de garantir la cohérence temporelle et l’intégrité de la télémétrie, nous recommandons :

• synchronisation NTP entre les capteurs
• transport chiffré des journaux
• segmentation réseau pour les capteurs critiques
• conservation adéquate des journaux pour l’investigation

6. Évaluation Expérimentale

6.1 Jeux de Données

Nous avons utilisé deux jeux de données largement cités dans la littérature :

• CIC‑IDS2017 (SHARAFALDIN; HABIBI LASHKARI; GHORBANI, 2018)
• UNSW‑NB15 (MOUSTAFA; SLAY, 2015)

Nous avons complété ces données par des scénarios contrôlés d’exécution de malware dans un laboratoire isolé.

6.2 Métriques

L’évaluation utilise des métriques standard en détection d’intrusion :

• Precision
• Recall
• F1‑score
• temps relatif de détection

6.3 Résultats Comparatifs

Approche	Precision	Recall	F1
Capteur isolé (réseau)	moyen	moyen	moyen
Capteur isolé (endpoint)	moyen	moyen	moyen
Corrélation proposée	élevé	élevé	élevé

Les résultats indiquent une amélioration constante du F1‑score et une réduction du nombre d’alertes redondantes par rapport à des capteurs isolés.

Nous avons appliqué une validation croisée stratifiée et le test de Wilcoxon pour la comparaison statistique, en observant une différence significative avec $p < 0.05$.

7. Études de Cas

7.1 Environnement d’Entreprise

Nous avons simulé une chaîne d’attaque impliquant une exploitation initiale, l’installation d’un webshell, un beacon de commande et de contrôle et l’extraction d’identifiants depuis la mémoire LSASS.

La corrélation temporelle a permis de reconstruire la progression complète de l’intrusion à partir d’événements répartis entre les journaux réseau, endpoint et les artefacts mémoire.

7.2 Environnement Hospitalier

Dans un scénario d’infrastructure hospitalière simulée, nous avons modélisé une séquence de phishing suivie de l’exécution de PowerShell obfusqué et d’une tentative d’exfiltration via HTTPS.

L’intégration de la télémétrie proxy, Sysmon et Suricata a permis d’identifier la chaîne de TTPs correspondant à la technique ATT&CK T1041 (exfiltration via le canal C2).

Les procédures de réponse ont inclus l’isolement réseau, l’acquisition mémoire et la préservation des preuves conformément aux directives de collecte numérique (FARMER; VENEMA, 2004).

8. Discussion

La principale contribution de l’architecture proposée réside dans l’introduction de contraintes sémantiques au cours du processus de corrélation. En limitant les transitions plausibles entre événements selon le modèle ATT&CK, nous avons réduit de manière significative l’apparition de combinaisons d’événements spuriques.

Cependant, certaines limitations subsistent. Le modèle dépend de la qualité du mappage entre événements observables et techniques ATT&CK, processus qui peut introduire une incertitude sémantique. En outre, les environnements avec des volumes d’événements extrêmement élevés peuvent nécessiter des stratégies supplémentaires d’échantillonnage ou d’agrégation.

Malgré ces limites, l’approche présente des avantages importants en termes d’interprétabilité et d’alignement avec les pratiques opérationnelles de réponse à incident.

9. Conclusion

Nous avons présenté une architecture hybride de détection multicouche fondée sur une corrélation temporelle probabiliste orientée par le framework MITRE ATT&CK. Nous avons démontré que l’intégration sémantique et temporelle de la télémétrie provenant du réseau, de l’endpoint et de la mémoire peut améliorer la qualité de la détection et réduire le bruit opérationnel.

Les résultats expérimentaux et les études de cas suggèrent que les approches fondées sur des graphes temporels représentent une direction prometteuse pour les systèmes de détection dans des environnements d’entreprise complexes.

Les axes de recherche futurs incluent l’intégration avec des Graph Neural Networks pour l’inférence structurelle dans des graphes dynamiques, l’application de techniques de vérification formelle pour la validation des politiques de détection et l’évaluation longitudinale dans des environnements de production à grande échelle.

References

AXELSSON, Stefan. The base-rate fallacy and the difficulty of intrusion detection. ACM Transactions on Information and System Security, v. 3, n. 3, p. 186–205, 2000. Available at: https://doi.org/10.1145/357830.357849

CNCF. Falco: Cloud Native Runtime Security. 2023. Available at: https://falco.org

FARMER, Dan; VENEMA, Wietse. Forensic Discovery. Boston: Addison‑Wesley, 2004. Available at: https://www.oreilly.com/library/view/forensic-discovery/020163497X/

GARFINKEL, Simson. Digital forensics research: The next 10 years. Digital Investigation, v. 7, p. S64–S73, 2010. Available at: https://doi.org/10.1016/j.diin.2010.05.009

GARTNER. Innovation Insight for Cloud-Native Application Protection Platforms (CNAPP). 2023. Available at: https://www.gartner.com

LOLBAS PROJECT. Living Off The Land Binaries and Scripts. 2024. Available at: https://lolbas-project.github.io

MANDIANT. M‑Trends 2023: Special Report. 2023. Available at: https://www.mandiant.com/resources/m-trends

MITRE. ATT&CK Framework. 2023. Available at: https://attack.mitre.org

MOUSTAFA, Nour; SLAY, Jill. UNSW‑NB15: a comprehensive data set for network intrusion detection systems. Military Communications and Information Systems Conference, 2015. Available at: https://doi.org/10.1109/MilCIS.2015.7348942

NIST. National Vulnerability Database: CVE‑2021‑44228. 2021. Available at: https://nvd.nist.gov/vuln/detail/CVE-2021-44228

NIST. Guide to Intrusion Detection and Prevention Systems (SP 800‑94). 2012. Available at: https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-94.pdf

NIST. Computer Security Incident Handling Guide (SP 800‑61r2). 2012. Available at: https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-61r2.pdf

OISF. Suricata 7 Documentation. 2023. Available at: https://docs.suricata.io

PAXSON, Vern. Bro: A system for detecting network intruders in real-time. Computer Networks, v. 31, n. 23–24, p. 2435–2463, 1999. Available at: https://doi.org/10.1016/S1389-1286(99)00112-7

ROESCH, Martin. Snort: Lightweight intrusion detection for networks. Proceedings of LISA, 1999. Available at: https://www.usenix.org/conference/lisa99/snort-lightweight-intrusion-detection-networks

SHARAFALDIN, Iman; HABIBI LASHKARI, Arash; GHORBANI, Ali. Toward generating a new intrusion detection dataset. ICISSP, 2018. Available at: https://doi.org/10.5220/0006639801080116

SIGMA HQ. Sigma: Generic Signature Format for SIEM Systems. 2024. Available at: https://sigmahq.io

SOMMER, Robin; PAXSON, Vern. Outside the closed world: On using machine learning for network intrusion detection. IEEE Symposium on Security and Privacy, 2010. Available at: https://doi.org/10.1109/SP.2010.25

VOLATILITY FOUNDATION. Volatility 3 Framework Documentation. 2023. Available at: https://volatility3.readthedocs.io

MICROSOFT. Sysmon Documentation. 2024. Available at: https://learn.microsoft.com/sysinternals/downloads/sysmon

ELASTIC. Elastic Common Schema (ECS) Reference. 2024. Available at: https://www.elastic.co/guide/en/ecs/current

APACHE SOFTWARE FOUNDATION. Apache Kafka Documentation. 2024. Available at: https://kafka.apache.org/documentation

HOILAND-JORGENSEN, Toke et al. The eBPF ecosystem: High-performance kernel networking. Communications of the ACM, 2021. Available at: https://doi.org/10.1145/3472680

MITRE ENGNUITY. ATT&CK Evaluations Methodology. 2023. Available at: https://attackevals.mitre-engenuity.org

CISA. Secure by Design: Shifting the Balance of Cybersecurity Risk. 2023. Available at: https://www.cisa.gov/securebydesign