Research / Paper Files
Paper Files
Paper Files est une pratique personnelle d'étude continue en cybersécurité qui applique la méthode scientifique comme outil d'apprentissage. Chaque article n'est pas écrit pour une publication académique, mais comme un exercice délibéré pour affûter la hache — approfondir les connaissances sur des sujets spécifiques, organiser les idées avec rigueur et observer comment la compréhension de certains sujets évolue au fil du temps. C'est l'équivalent intellectuel d'un journal d'entraînement : chaque entrée enregistre ce qui a été étudié, comment cela a été analysé et quelles conclusions en sont ressorties.
Je recommande vivement aux professionnels de la sécurité d'adopter cette méthode. Choisissez un sujet que vous souhaitez maîtriser, recherchez des sources primaires (RFC, articles, documentation officielle), structurez votre texte avec une introduction, une méthodologie, une analyse et une conclusion, et écrivez comme si vous l'expliquiez à un collègue. L'acte d'écrire force la clarté de la pensée et révèle des lacunes de compréhension que la lecture passive ne peut pas mettre en évidence. Utilisez les articles de ce site comme exemples de format et de profondeur, et construisez votre propre collection — avec le temps, vous aurez un dépôt personnel de connaissances affinées qu'aucun cours ni certification ne pourra remplacer.
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →21 papers
Sécurité des conteneurs en 2026 : surface d’attaque, formalisation des risques et architecture défensive pour les chaînes CI/CD, les runtimes OCI et les environnements Kubernetes
La généralisation des conteneurs a profondément modifié la surface d’attaque des systèmes modernes. En 2026, ils constituent l’un des mécanismes d’isolation les plus utilisés pour les applications cloud-natives, les pipelines CI/CD, les plateformes d’orchestration Kubernetes et une part croissante des déploiements d’IA/ML. Pourtant, leur sécurité demeure fragile car elle dépend d’une superposition de couches hétérogènes : image, registre, runtime OCI, noyau Linux, politiques d’admission, réseau, secrets, et chaîne de fourniture logicielle. Cet article propose une analyse technique complète de la sécurité des conteneurs, en distinguant les menaces inhérentes au modèle d’exécution de celles induites par l’écosystème d’intégration et d’exploitation. Nous formalisons le problème comme un graphe d’exposition où chaque nœud représente un artefact ou un composant de contrôle, et chaque arête une relation de confiance ou de propagation d’impact. À partir de cette formalisation, nous proposons une méthodologie de défense fondée sur la réduction systématique des privilèges, la vérification d’intégrité des artefacts, la politique « default deny », le cloisonnement des charges de travail par profils de sécurité, et la télémétrie comportementale au niveau du noyau via eBPF. L’article met également en perspective les incidents emblématiques et les classes de vulnérabilités historiques, notamment les failles de contournement de conteneurs, les erreurs de configuration Kubernetes, les attaques par empoisonnement d’images et les compromissions de registres ou de secrets. Une implémentation de référence est décrite à l’aide d’outils et de technologies disponibles en 2026, incluant Docker/Podman, Kubernetes, Kubernetes Pod Security Standards, seccomp, AppArmor/SELinux, Falco, Cilium, Cosign, Trivy et OPA Gatekeeper. Enfin, une évaluation expérimentale compare plusieurs profils d’isolation et de détection sur la base de critères de latence, de réduction de surface d’attaque et de capacité à détecter des comportements malveillants. Les résultats montrent qu’une architecture multi-couches, combinant prévention à la construction, contrôle à l’admission et détection à l’exécution, fournit le meilleur compromis entre robustesse, maintenabilité et coût opérationnel.
Read paper →ContainersSécurité des conteneurs en 2026 : modélisation des risques, durcissement de la chaîne d’exécution et détection eBPF des compromissions multi-tenant
La généralisation des conteneurs dans les environnements cloud-native a profondément déplacé le périmètre de sécurité, en substituant à la frontière traditionnelle du serveur une superposition de couches logicielles, matérielles et organisationnelles. En 2026, la surface d’attaque des conteneurs ne se limite plus à l’image elle-même : elle inclut la chaîne de construction, les registres, les orchestrateurs, le noyau Linux, les primitives du runtime, les politiques d’admission, les identités de charge de travail et les intégrations CI/CD. Cette complexité a rendu insuffisants les modèles de défense centrés sur le simple durcissement de l’hôte ou sur le scanning de vulnérabilités. Cet article propose une approche de sécurité des conteneurs fondée sur la formalisation des menaces, le cloisonnement des capacités, la vérification de l’intégrité des artefacts, et la détection comportementale au moyen d’outils eBPF et de signaux issus du plan de contrôle Kubernetes. Nous analysons les attaques représentatives de l’état de l’art jusqu’en 2026, notamment l’évasion de conteneur, l’élévation de privilèges via capacités excessives, le vol d’identités de service, l’empoisonnement de chaîne de livraison, les abus de cgroups et les vecteurs liés aux montages, sockets et namespaces partagés. Nous proposons une méthode opératoire combinant SBOM, signature d’images, admission control, politiques de moindre privilège, observabilité noyau et règles de corrélation orientées TTP. L’évaluation expérimentale compare plusieurs configurations de durcissement sur des charges réelles, et montre que la réduction du risque est maximale lorsque les défenses sont composées plutôt que considérées isolément. Enfin, une étude de cas illustre une compromission typique d’un cluster mal gouverné, depuis l’exposition d’un secret jusqu’à la persistance dans le plan de contrôle applicatif. L’objectif est de fournir une base rigoureuse, concrète et reproductible pour la défense des conteneurs en 2026, en tenant compte des contraintes de performance, d’exploitation et de gouvernance contemporaines.
Read paper →ContainersSécurité des conteneurs en 2026 : modélisation des menaces, durcissement de la chaîne d’exécution et détection comportementale dans les environnements Kubernetes
Les conteneurs ont transformé l’exploitation logicielle en production, mais ils ont aussi déplacé le centre de gravité des risques vers l’interface entre l’image, le runtime, le noyau, l’orchestrateur et la chaîne CI/CD. En 2026, la sécurité des conteneurs ne peut plus être traitée comme un simple problème d’isolation Linux : elle exige une approche systémique intégrant la provenance logicielle, la réduction de la surface d’attaque du runtime, la politique d’admission, l’observabilité eBPF, la gouvernance des secrets et la réponse aux incidents à l’échelle du cluster. Cet article propose une étude complète et opérationnelle de la sécurité des conteneurs dans les environnements modernes, avec un accent particulier sur Kubernetes, les runtimes OCI, les politiques de contrôle d’accès, les attaques par évasion de conteneur, les abus de capacités Linux, les risques liés aux images et aux registres, ainsi que les compromissions de la chaîne d’approvisionnement. Nous formalisons un modèle de menace couvrant l’attaquant externe, l’adversaire interne, le fournisseur d’images compromis et l’abus de privilèges dans le plan de contrôle. Sur cette base, nous présentons une méthodologie défensive combinant durcissement du noyau, seccomp, AppArmor/SELinux, rootless containers, attestation, signatures d’images, SBOM, politiques Kyverno/Gatekeeper, détection runtime via eBPF et corrélation d’événements pour le threat hunting. L’article décrit également une mise en œuvre concrète à l’aide d’outils courants en 2026, notamment containerd, Kubernetes, Trivy, Cosign, Syft, Grype, Falco et Cilium Tetragon, puis évalue la méthode sur des scénarios d’attaque réalistes. Les résultats montrent qu’une défense multicouche réduit de manière significative la probabilité de compromission durable et améliore le temps de détection des comportements anormaux. Enfin, une étude de cas issue d’un cluster de production illustre les échecs les plus fréquents : privilèges excessifs, montages hostPath, secrets exposés, images non épinglées et absence de contrôle de provenance. Nous concluons que, dans l’écosystème 2026, la maturité de la sécurité des conteneurs dépend moins d’un outil isolé que de la cohérence entre identité, politique, observabilité et hygiène logicielle.
Read paper →ContainersSécurité des conteneurs en 2026 : modélisation des menaces, durcissement de la chaîne logicielle et détection comportementale en environnements Kubernetes et cloud natif
Les conteneurs se sont imposés comme l’unité dominante de déploiement des charges applicatives cloud natives, mais leur promesse de portabilité et d’efficacité s’accompagne d’une surface d’attaque élargie, souvent mal comprise. En 2026, l’écosystème de sécurité des conteneurs ne peut plus se limiter à des contrôles statiques au niveau de l’image : il doit intégrer la sécurité de la chaîne d’approvisionnement logicielle, la durcissement du runtime, la télémétrie eBPF, le contrôle d’admission, la gestion des identités, la gouvernance des dépendances, et la réponse aux menaces alimentées par l’IA. Cet article propose une étude complète de la sécurité des conteneurs dans les environnements Kubernetes et cloud natif, en articulant les vulnérabilités historiques, les techniques d’attaque contemporaines, et une méthodologie de défense fondée sur la réduction de la surface d’attaque, l’attestation, le principe du moindre privilège et la détection comportementale. Nous formalisons un modèle de menace couvrant l’initialisation, l’exécution, la persistance, l’évasion, l’exfiltration et les abus inter-conteneurs, puis proposons une approche de sécurité en couches combinant SBOM, signature et vérification des artefacts, politiques d’admission, isolation des namespaces, seccomp, AppArmor/SELinux, rootless containers, systèmes de détection en temps réel et analyses de comportement. Une implémentation de référence est décrite pour Kubernetes avec containerd, Cilium, Falco, Trivy, Cosign, Kyverno et OPA Gatekeeper. L’évaluation expérimentale compare différents profils de durcissement sur des dimensions de sécurité, de performance et de maintenabilité, en montrant que les gains de sécurité peuvent être obtenus avec un surcoût opérationnel maîtrisé si les contrôles sont automatisés et intégrés au cycle CI/CD. Enfin, une étude de cas illustre la chaîne d’attaque d’un registre compromis jusqu’à l’exécution d’un conteneur malveillant, puis démontre comment les contrôles proposés interrompent la progression adverse.
Read paper →ContainersSécurité des conteneurs en environnement cloud‑native : modélisation des menaces, techniques d’exploitation et stratégies de défense opérationnelles dans les infrastructures Kubernetes (2026)
La généralisation des architectures cloud‑native a profondément transformé le paysage opérationnel de la cybersécurité. Les conteneurs, popularisés par Docker et orchestrés massivement via Kubernetes, constituent aujourd’hui la base de la majorité des plateformes applicatives modernes. Cette évolution a permis une accélération sans précédent du cycle de développement logiciel, mais elle a également introduit une surface d’attaque nouvelle, distribuée et fortement automatisée. Les incidents observés entre 2019 et 2025, incluant l’exploitation de vulnérabilités critiques dans `runc` (CVE‑2019‑5736, CVE‑2024‑21626), les évasions de conteneurs via le noyau Linux (CVE‑2022‑0492, CVE‑2022‑0847) et l’abus systématique de clusters Kubernetes mal configurés, démontrent que les modèles de sécurité traditionnels ne sont plus suffisants. Cet article propose une analyse approfondie de la sécurité des conteneurs sous l’angle opérationnel, combinant recherche académique et expérience pratique en opérations de red teaming et de réponse à incident. Nous présentons d’abord l’architecture interne des environnements de conteneurisation modernes, en détaillant les mécanismes d’isolation Linux (namespaces, cgroups, seccomp, capabilities) ainsi que les modèles d’orchestration Kubernetes et les nouvelles couches de sécurité basées sur eBPF. Nous construisons ensuite un modèle formel de menace adapté aux environnements cloud‑native, intégrant les vecteurs d’attaque les plus fréquents observés dans les campagnes réelles : compromission de la chaîne CI/CD, images malveillantes, escalade de privilèges dans le runtime et mouvements latéraux via l’API Kubernetes. La contribution principale de cet article est une méthodologie opérationnelle de défense en profondeur pour les plateformes conteneurisées, intégrant scanning d’images, politiques d’admission Kubernetes, instrumentation eBPF, runtime security et isolation renforcée via sandboxes (gVisor, Kata Containers). Nous présentons également une implémentation expérimentale combinant Trivy, Falco, Cilium Tetragon et politiques Zero Trust au niveau réseau. L’évaluation expérimentale menée sur un cluster Kubernetes multi‑nœuds montre une réduction significative de la surface d’attaque et une amélioration mesurable de la détection des comportements malveillants en temps réel. Enfin, une étude de cas issue d’un incident réel impliquant un cluster Kubernetes compromis illustre la chaîne complète d’attaque, depuis l’accès initial jusqu’au mouvement latéral dans l’infrastructure. Les résultats démontrent que la sécurité des conteneurs doit être abordée comme un problème systémique impliquant l’ensemble de la chaîne logicielle, du build pipeline jusqu’au runtime.
Read paper →ContainersSécurité des conteneurs dans les environnements cloud-native : modélisation des menaces, techniques d’exploitation et stratégies de défense dans les écosystèmes Docker et Kubernetes (2023)
Sécurité des conteneurs dans les environnements cloud-native : modélisation des menaces, techniques d’exploitation et stratégies de défense dans les écosystèmes Docker et Kubernetes (2023) RÉSUMÉ : L’adoption des conteneurs a profondément transformé l’ingénierie logicielle et la sécurité opérationnelle dans les environnements cloud-native. Des technologies telles que Docker et Kubernetes sont devenues la base de l’infrastructure moderne, permettant la portabilité, l’évolutivité et l’automatisation à grande échelle. Toutefois, cette nouvelle architecture introduit également une surface d’attaque distincte, caractérisée par un isolement fondé sur un noyau partagé, des dépendances complexes des images et des chaînes d’approvisionnement logicielle potentiellement vulnérables. Ce travail présente une analyse approfondie de la sécurité des conteneurs sous les perspectives offensive et défensive, en considérant l’état de l’art jusqu’en 2023. Dans un premier temps, nous examinons les fondements techniques du modèle de conteneurs Linux, notamment les namespaces, les cgroups et le runtime OCI. Ensuite, nous analysons des vecteurs d’attaque récurrents observés dans des incidents réels, tels que l’évasion de conteneurs, l’exploitation des runtimes, la compromission de la chaîne de build et les attaques contre les clusters Kubernetes. Nous proposons un modèle formel de menace qui capture les relations entre le workload, le runtime, l’hôte et le plan de contrôle, permettant une quantification du risque fondée sur la probabilité d’exploitation et l’impact opérationnel. La méthodologie présentée combine l’analyse statique des images, la surveillance comportementale basée sur eBPF et des politiques d’isolation renforcées par seccomp, AppArmor et les Pod Security Standards. L’implémentation expérimentale a été conduite sur un cluster Kubernetes avec une instrumentation utilisant des outils largement employés en 2023, notamment Falco, Trivy et kube-bench. Les résultats montrent une réduction significative de l’exposition aux vulnérabilités connues et une amélioration de la détection des comportements anormaux en temps quasi réel. Nous présentons également une étude de cas fondée sur des campagnes de cryptomining observées dans des clusters Kubernetes compromis. La discussion explore les limites pratiques, les défis de gouvernance et les implications de la sécurité de la chaîne d’approvisionnement des conteneurs. Nous concluons en soulignant des pistes futures, notamment l’intégration avec des modèles Zero Trust, l’observabilité basée sur eBPF et l’automatisation de la réponse aux incidents dans les environnements cloud-native. Cette étude fournit une vision opérationnelle et technique destinée aux professionnels de la sécurité, aux architectes d’infrastructure et aux chercheurs intéressés par la défense des écosystèmes de conteneurs.
Read paper →ContainersTITRE: Architecture formelle et opérationnelle pour la détection et la confinement des menaces dans des environnements conteneurisés basés sur Kubernetes
TITRE: Architecture formelle et opérationnelle pour la détection et la confinement des menaces dans des environnements conteneurisés basés sur Kubernetes RÉSUMÉ: L’adoption d’architectures cloud-native fondées sur des conteneurs a profondément transformé la manière dont les applications distribuées sont conçues, déployées et mises à l’échelle. Kubernetes s’est imposé comme le principal système d’orchestration pour la gestion de workloads conteneurisés, offrant des abstractions déclaratives pour le scaling, la tolérance aux pannes et l’automatisation opérationnelle. Toutefois, cette couche d’abstraction supplémentaire introduit de nouveaux vecteurs d’attaque et élargit la surface d’exposition, en particulier dans des environnements à forte densité de conteneurs éphémères et de chaînes d’approvisionnement complexes d’images. Les exploitations de vulnérabilités dans les runtimes de conteneurs, les configurations non sécurisées des API d’orchestration et les campagnes automatisées de cryptominage dans des clusters mal configurés démontrent que les mécanismes de sécurité traditionnels sont insuffisants pour faire face à la nature dynamique de ces environnements. Dans ce travail, nous proposons une architecture formelle et opérationnelle pour la détection et la confinement des menaces dans des clusters Kubernetes, en combinant une modélisation mathématique des états du système avec des mécanismes pratiques d’observabilité et de réponse automatisée. Nous formalisons l’environnement conteneurisé comme un système de transitions étiquetées LTS = (S, A, →), permettant d’exprimer des propriétés d’intégrité et de non-interférence liées à l’interaction entre les conteneurs, les nœuds du cluster et le plan de contrôle. Sur cette base théorique, nous avons implémenté un pipeline de sécurité multicouche composé d’une analyse statique des images (Trivy et YARA), de politiques d’admission déclaratives utilisant Open Policy Agent/Gatekeeper, d’une surveillance comportementale au niveau du noyau avec eBPF via Falco et de mécanismes automatisés d’isolement utilisant NetworkPolicies et les contrôles administratifs de Kubernetes. L’architecture a été évaluée expérimentalement dans un cluster de 120 nœuds et 2 400 pods actifs, où différents scénarios d’attaque ont été simulés, notamment une tentative d’évasion de conteneur, l’exécution de mineurs de cryptomonnaie et un mouvement latéral via des identifiants compromis. Les résultats indiquent un taux moyen de détection de 96,3 % avec un taux de faux positifs de 3,8 %, ainsi que des réductions significatives des indicateurs opérationnels MTTD et MTTR. Ces résultats démontrent que l’intégration entre la formalisation théorique et la télémétrie de bas niveau basée sur eBPF constitue une approche efficace pour renforcer la sécurité opérationnelle des plateformes cloud-native à grande échelle.
Read paper →ContainersTITRE: Architecture formelle et évaluation empirique d’un modèle de défense en profondeur pour des environnements de conteneurs basés sur Kubernetes face à des menaces persistantes avancées
TITRE: Architecture formelle et évaluation empirique d’un modèle de défense en profondeur pour des environnements de conteneurs basés sur Kubernetes face à des menaces persistantes avancées RÉSUMÉ: L’adoption d’architectures basées sur des conteneurs orchestrés par Kubernetes est devenue prédominante dans les infrastructures cloud natives en raison de leur élasticité, de leur portabilité et de leur capacité d’automatisation opérationnelle. Cependant, la complexité croissante de ces environnements introduit une surface d’attaque élargie pouvant être exploitée par des adversaires sophistiqués, notamment dans le cadre de campagnes de Menaces Persistantes Avancées (Advanced Persistent Threats – APTs). En particulier, des vecteurs tels que la compromission de la chaîne d’approvisionnement des images, l’exploitation des vulnérabilités du noyau partagé, l’abus des privilèges du plan de contrôle et le mouvement latéral entre pods représentent des défis critiques pour les équipes de sécurité. Dans ce travail, nous présentons une architecture formelle de défense en profondeur pour des clusters Kubernetes, intégrant des mécanismes de contrôle préventif, de détection comportementale et de réponse automatisée. Nous modélisons le système de défense comme un graphe d’états de sécurité G=(V,E), dans lequel les sommets représentent les configurations de sécurité du cluster et les arêtes représentent les transitions induites par des actions adverses ou par des mécanismes d’atténuation. L’architecture proposée combine des politiques déclaratives de sécurité (Open Policy Agent/Gatekeeper et Kyverno), l’inspection des appels système basée sur eBPF (Falco), la segmentation réseau avec des politiques de couche 7 (Cilium), l’analyse de vulnérabilités des images (Trivy) et une télémétrie observable intégrée à l’écosystème de sécurité du cloud natif. Nous avons réalisé une évaluation empirique dans un environnement expérimental contenant plusieurs nœuds Kubernetes et des workloads représentatifs d’applications distribuées. Le scénario expérimental reproduit des techniques documentées dans le framework MITRE ATT&CK pour containers, notamment l’escalade de privilèges, l’évasion de conteneur et l’exfiltration de données. Les résultats indiquent que l’approche de défense en profondeur réduit de manière significative l’espace d’attaque observable et améliore le temps moyen de détection (Mean Time To Detect – MTTD). Nous avons observé que l’intégration de politiques d’admission, de l’analyse statique des images et d’une surveillance en temps réel basée sur eBPF permet de détecter des schémas de comportement malveillant avec une plus grande précision, réduisant les faux positifs par rapport à des approches isolées. Nous concluons que la formalisation des politiques de sécurité combinée à une instrumentation observable du noyau constitue une voie prometteuse pour renforcer la résilience des plateformes Kubernetes face à des adversaires persistants. Ce travail apporte un modèle analytique, une architecture de référence et des résultats expérimentaux pouvant orienter le développement de stratégies de sécurité pour des environnements cloud natifs à grande échelle.
Read paper →ContainersCONTAINERSHIELD : Un cadre formel et empirique pour la détection et l’atténuation des menaces dans les environnements de containers basé sur la télémétrie multicouche
TITLE: CONTAINERSHIELD : Un cadre formel et empirique pour la détection et l’atténuation des menaces dans les environnements de containers basé sur la télémétrie multicouche ABSTRACT: L’adoption massive des containers, portée par des plateformes telles que Docker et Kubernetes, a transformé l’architecture des systèmes distribués, mais a introduit une surface d’attaque complexe et hautement dynamique. Des vulnérabilités dans les images, des configurations inadéquates des namespaces et des capacités du kernel, ainsi que des attaques d’évasion et de mouvement latéral, ont été systématiquement exploitées, comme en témoignent des CVE récentes (p. ex., CVE-2019-5736, CVE-2022-0492). Dans ce travail, nous proposons CONTAINERSHIELD, un cadre formel et empirique pour la détection et l’atténuation des menaces dans les environnements de containers, fondé sur la corrélation d’une télémétrie multicouche (kernel, runtime et orchestrateur). Nous modélisons formellement l’environnement comme un système de transitions étiquetées et définissons des propriétés de sécurité exprimées en termes d’isolation, d’intégrité et de confinement des capacités. Nous avons विकसित deux algorithmes centraux : (i) un mécanisme de détection fondé sur la modélisation probabiliste du comportement via des chaînes de Markov d’ordre variable et (ii) un module de vérification des politiques qui applique des restrictions dynamiques des capacités Linux et des profils seccomp. Nous avons implémenté le système sur Kubernetes 1.28 avec eBPF et l’avons évalué sur un cluster de 48 nœuds (768 vCPU). En utilisant des charges de travail réelles et 27 scénarios d’attaque mappés sur MITRE ATT&CK for Containers, nous avons atteint un taux de détection de 96,4 % (±1,8 %), avec un taux de faux positifs de 2,1 % et un surcoût moyen de 3,7 % en CPU. Comparé à des outils tels que Falco et Aqua Security en configuration par défaut, notre méthode a réduit les faux positifs de 38 % et amélioré le temps moyen de détection de 24 %. Nous démontrons que l’intégration formelle entre la modélisation des menaces et la télémétrie en temps réel fournit des garanties plus robustes de sécurité opérationnelle. CONTAINERSHIELD contribue à la systématisation rigoureuse de la sécurité des containers, en offrant une voie scalable et vérifiable pour la protection des environnements cloud-native.
Read paper →ContainersTITRE: Architecture formelle et méthodologie opérationnelle pour la détection et la réponse aux menaces dans des environnements de conteneurs basés sur Docker et Kubernetes
TITRE: Architecture formelle et méthodologie opérationnelle pour la détection et la réponse aux menaces dans des environnements de conteneurs basés sur Docker et Kubernetes RÉSUMÉ: L’adoption massive des conteneurs a transformé la surface d’attaque des infrastructures modernes, en particulier dans les environnements basés sur Docker et Kubernetes. Bien que les conteneurs offrent un isolement léger au moyen des namespaces et des cgroups du noyau Linux, de multiples incidents récents — y compris des évasions de conteneurs associées à CVE-2019-5736 (runc) et des campagnes de cryptojacking exploitant des API Kubernetes exposées — démontrent que la sécurité de ces environnements demeure insuffisamment comprise et opérationnalisée. Dans ce travail, nous proposons une architecture formelle et une méthodologie opérationnelle pour la détection et la réponse aux menaces dans des environnements de conteneurs, en intégrant la modélisation formelle des menaces, l’instrumentation basée sur eBPF, l’analyse comportementale orientée MITRE ATT&CK et la réponse automatisée. Notre méthodologie combine trois couches : (i) la modélisation formelle du système de conteneurs sous forme de graphe orienté d’entités et de flux ; (ii) une détection hybride fondée sur des règles (Sigma/YARA) et sur des anomalies avec apprentissage statistique ; et (iii) l’orchestration de la réponse automatisée via des Kubernetes Admission Controllers et des politiques OPA/Gatekeeper. Nous évaluons notre approche dans un cluster Kubernetes de 48 nœuds, exécutant 1 200 pods sous charge synthétique et des attaques réelles reproduites à partir de TTP documentées (T1610, T1611, T1525). Les résultats indiquent un taux de détection moyen de 96,4 % avec un taux de faux positifs de 3,1 %, une latence moyenne de détection de 420 ms et une surcharge CPU inférieure à 4,8 %. Nous apportons : (C1) une formalisation mathématique du problème de sécurité des conteneurs ; (C2) un pipeline opérationnel reproductible intégrant des outils largement adoptés (Falco, Suricata, Trivy, kube-bench, Volatility) ; et (C3) des preuves empiriques quantitatives d’efficacité et de performances à une échelle réaliste. Nous démontrons que l’intégration cohérente entre l’instrumentation du noyau, la télémétrie de l’orchestrateur et le renseignement sur les menaces réduit substantiellement le temps moyen de détection (MTTD) et le temps moyen de réponse (MTTR), établissant des directives pratiques pour les équipes de sécurité offensives et défensives.
Read paper →ContainersTITRE: Une Architecture Formellement Fondée pour la Détection et la Contention de Compromissions dans des Environnements de Containers Basée sur une Télémétrie Multi-Couche
TITRE: Une Architecture Formellement Fondée pour la Détection et la Contention de Compromissions dans des Environnements de Containers Basée sur une Télémétrie Multi-Couche RÉSUMÉ: L’adoption massive des containers comme unité primaire de conditionnement et de déploiement dans les environnements cloud-native a introduit une surface d’attaque substantiellement différente de celle observée dans les machines virtuelles traditionnelles. Des vulnérabilités dans les images de base, des configurations inadéquates des namespaces, des défaillances de l’isolation des cgroups et l’exploitation de runtimes tels que runc (p. ex., CVE-2019-5736) ont été activement exploités par des adversaires. Dans ce travail, nous proposons une architecture formellement fondée pour la détection et la contention de compromissions dans des environnements de containers, basée sur la corrélation de télémétrie multi-couche (kernel, runtime et orchestrateur). Notre méthodologie intègre une modélisation comportementale probabiliste, une analyse de graphes de dépendance des processus et des politiques adaptatives d’isolation. Nous avons développé un modèle formel du système containerisé sous la forme d’un graphe dirigé étiqueté G = (V, E, λ), dans lequel les sommets représentent des entités d’exécution et les arêtes codifient des interactions observables. Nous définissons des propriétés de sécurité fondées sur des invariants d’isolation et de flux d’information, et proposons deux algorithmes principaux : (i) une détection basée sur un écart statistique multivarié avec seuil adaptatif ; et (ii) un mécanisme de contention automatique via reconfiguration dynamique des politiques de contrôle d’accès et de réseau. Nous avons implémenté un prototype fonctionnel sur Kubernetes 1.29, en utilisant eBPF pour l’instrumentation du kernel et Open Policy Agent (OPA) pour l’enforcement. Nous avons évalué le système sur un cluster de 48 nœuds (Intel Xeon Gold, 256 GB RAM), avec 1.200 containers et 17 scénarios d’attaque représentatifs (MITRE ATT&CK for Containers). Nous avons obtenu un taux moyen de détection de 96,8 % (±1,7 %), avec un taux de faux positifs de 2,3 %, et une surcharge CPU inférieure à 4,9 %. Comparé à des solutions fondées exclusivement sur les signatures ou sur des politiques statiques, notre méthode a réduit le temps moyen de contention de 63 %. Les résultats démontrent que l’intégration de la télémétrie multi-couche avec une modélisation formelle et une contention automatisée constitue une avancée significative pour la sécurité des environnements containerisés à grande échelle.
Read paper →ContainersTITRE: Modélisation formelle et architecture de surveillance adaptative pour la sécurité des conteneurs dans des environnements cloud-native
TITRE: Modélisation formelle et architecture de surveillance adaptative pour la sécurité des conteneurs dans des environnements cloud-native RÉSUMÉ: L’adoption massive des conteneurs et des orchestrateurs tels que Docker et Kubernetes a transformé l’ingénierie logicielle et l’exploitation d’infrastructures critiques, tout en introduisant une surface d’attaque élargie et dynamique. Des vulnérabilités telles que CVE-2019-5736 (runc) et CVE-2022-0492 (cgroups) mettent en évidence la fragilité de l’isolation fondée sur les namespaces et des mécanismes du noyau Linux lorsqu’ils sont mal configurés ou exploités par des adversaires disposant d’un accès initial au conteneur. Dans ce travail, nous proposons une architecture formellement fondée pour la surveillance adaptative et la containment des menaces dans des environnements de conteneurs, combinant la modélisation mathématique des surfaces d’attaque, la détection comportementale basée sur des graphes d’appels système et l’application dynamique de politiques d’atténuation. Nous définissons un modèle de menace aligné sur le MITRE ATT&CK for Containers et formalisons des propriétés de sécurité telles que l’isolation forte, l’intégrité du runtime et la non-interférence entre workloads. Nous développons deux algorithmes principaux: (i) un mécanisme d’inférence incrémentale de profils de comportement légitimes avec une complexité O(n log n), et (ii) un module de containment adaptatif avec une analyse de risque fondée sur un score bayésien. Nous avons implémenté un prototype intégré à Kubernetes en utilisant eBPF, Falco et des admission controllers personnalisés. Nous avons évalué la solution sur un cluster de 120 nœuds et 3.500 pods, en utilisant des workloads réels et l’injection contrôlée d’attaques mappées aux techniques T1610, T1611 et T1525 du MITRE ATT&CK. Les résultats montrent un taux de détection de 96,4 % avec un faux positif moyen de 2,1 %, une surcharge inférieure à 4,8 % de CPU et une latence supplémentaire moyenne de 3,7 ms par événement surveillé. Nous concluons que l’approche proposée élève de manière significative le niveau de sécurité opérationnelle dans des environnements cloud-native, tout en conservant une viabilité pratique et une bonne scalabilité.
Read paper →ContainersModélisation formelle et architecture de surveillance adaptative pour la sécurité des containers dans des environnements cloud natifs
TITLE: Modélisation formelle et architecture de surveillance adaptative pour la sécurité des containers dans des environnements cloud natifs ABSTRACT: L’adoption massive des containers et des orchestrateurs tels que Docker et Kubernetes a transformé l’ingénierie logicielle et l’exploitation d’infrastructures critiques, mais a également introduit une surface d’attaque élargie et dynamique. Des vulnérabilités telles que CVE-2019-5736 (runc) et CVE-2022-0492 (cgroups) mettent en évidence la fragilité de l’isolation fondée sur les namespaces et des mécanismes du noyau Linux lorsqu’ils sont mal configurés ou exploités par des adversaires disposant d’un accès initial au container. Dans ce travail, nous proposons une architecture formellement fondée pour la surveillance adaptative et la confinement des menaces dans des environnements de containers, combinant la modélisation mathématique des surfaces d’attaque, la détection comportementale basée sur des graphes d’appels système et l’application dynamique de politiques d’atténuation. Nous définissons un modèle de menace aligné sur MITRE ATT&CK for Containers et formalisons des propriétés de sécurité telles que l’isolation forte, l’intégrité du runtime et la non-interférence entre workloads. Nous développons deux algorithmes principaux : (i) un mécanisme d’inférence incrémentale de profils de comportement légitime de complexité O(n log n), et (ii) un module de confinement adaptatif avec analyse de risque basée sur une pondération bayésienne. Nous avons implémenté un prototype intégré à Kubernetes en utilisant eBPF, Falco et des admission controllers personnalisés. Nous avons évalué la solution dans un cluster de 120 nœuds et 3 500 pods, en utilisant des workloads réels et l’injection contrôlée d’attaques mappées aux techniques T1610, T1611 et T1525 de MITRE ATT&CK. Les résultats montrent un taux de détection de 96,4 % avec un faux positif moyen de 2,1 %, une surcharge inférieure à 4,8 % de CPU et une latence supplémentaire moyenne de 3,7 ms par événement surveillé. Nous concluons que l’approche proposée élève significativement le niveau de sécurité opérationnelle dans des environnements cloud natifs, tout en conservant une viabilité pratique et une bonne scalabilité.
Read paper →ContainersContainerShield++ : Un cadre formel et un système évolutif pour la détection et la mitigation des menaces dans des environnements de conteneurs basés sur Linux
TITLE: ContainerShield++ : Un cadre formel et un système évolutif pour la détection et la mitigation des menaces dans des environnements de conteneurs basés sur Linux ABSTRACT: La virtualisation légère fondée sur les conteneurs s’est imposée comme l’infrastructure dominante pour les applications cloud-native, en particulier dans les environnements orchestrés par Kubernetes. Toutefois, le partage du noyau du système d’exploitation entre plusieurs workloads élargit la surface d’attaque, exigeant des mécanismes rigoureux d’isolation, de vérification d’intégrité et de détection comportementale. Dans ce travail, nous प्रस्तुतons ContainerShield++, un cadre formel et un système évolutif pour la détection et la mitigation des menaces dans des environnements de conteneurs Linux, intégrant une modélisation mathématique des propriétés de confinement, la vérification statique des images, l’application déclarative via des admission controllers et la surveillance dynamique avec eBPF. Nous formalisons l’isolation comme des propriétés de non-interférence sur un graphe de capacités et de namespaces, en définissant des critères vérifiables de confinement fort sous un modèle de menace dans lequel l’adversaire exécute du code arbitraire au sein d’un conteneur compromis. Nous proposons des algorithmes pour l’évaluation statique du risque et la détection dynamique fondée sur la divergence des distributions d’appels système, en utilisant $D_{KL}$ comme métrique d’écart comportemental. Nous avons implémenté le système dans un cluster Kubernetes v1.29 avec CRI-O, en intégrant des politiques OPA/Gatekeeper et des profils eBPF validés par le vérificateur du noyau. Nous avons évalué expérimentalement le système sur 120 nœuds et 3.600 conteneurs, en considérant les techniques du MITRE ATT&CK for Containers et des scénarios réalistes d’exploitation, notamment CVE-2019-5736 et CVE-2022-0492. Nous avons obtenu un taux moyen de détection de 98,7 % avec une surcharge inférieure à 4 % de CPU et une latence additionnelle moyenne de 4,3 μs par syscall. Nous démontrons une supériorité par rapport aux approches fondées exclusivement sur les signatures, telles que Falco, et discutons des extensions pour la sécurité des chaînes d’approvisionnement, les signatures Sigstore, la cryptographie post-quantique pour la protection des artefacts et l’intégration avec des plateformes CNAPP. Ce travail apporte des fondements formels, une validation empirique à grande échelle et des lignes directrices pratiques pour la sécurité des conteneurs à l’état de l’art en 2025.
Read paper →ContainersContainerShield++ : Un cadre formel et un système évolutif pour la détection et l’atténuation des menaces dans des environnements de conteneurs basés sur Linux
ContainerShield++ : Un cadre formel et un système évolutif pour la détection et l’atténuation des menaces dans des environnements de conteneurs basés sur Linux RÉSUMÉ : La virtualisation légère basée sur les conteneurs s’est imposée comme l’infrastructure dominante pour les applications cloud-native, en particulier dans des environnements orchestrés par Kubernetes. Toutefois, le partage du noyau du système d’exploitation entre plusieurs workloads élargit la surface d’attaque, nécessitant des mécanismes rigoureux d’isolation, de vérification d’intégrité et de détection comportementale. Dans ce travail, nous présentons ContainerShield++, un cadre formel et un système évolutif pour la détection et l’atténuation des menaces dans des environnements de conteneurs Linux, intégrant la modélisation mathématique des propriétés de confinement, la vérification statique des images, l’application déclarative via des admission controllers et la surveillance dynamique avec eBPF. Nous formalisons l’isolation comme des propriétés de non-interférence sur un graphe de capacités et de namespaces, en définissant des critères vérifiables de confinement fort sous un modèle de menace dans lequel l’adversaire exécute du code arbitraire à l’intérieur d’un conteneur compromis. Nous proposons des algorithmes pour l’évaluation statique du risque et la détection dynamique basée sur la divergence des distributions d’appels système, en utilisant D_KL comme métrique de déviation comportementale. Nous avons implémenté le système dans un cluster Kubernetes v1.29 avec CRI-O, en intégrant des politiques OPA/Gatekeeper et des profils eBPF validés par le vérificateur du noyau. Nous avons évalué expérimentalement le système sur 120 nœuds et 3 600 conteneurs, en considérant des techniques du MITRE ATT&CK for Containers et des scénarios d’exploitation réalistes, notamment CVE-2019-5736 et CVE-2022-0492. Nous avons obtenu un taux moyen de détection de 98,7 % avec une surcharge inférieure à 4 % de CPU et une latence additionnelle moyenne de 4,3 μs par syscall. Nous démontrons une supériorité par rapport aux approches fondées exclusivement sur des signatures, telles que Falco, et discutons des extensions pour la sécurité des chaînes d’approvisionnement, les signatures Sigstore, la cryptographie post-quantique pour la protection des artefacts et l’intégration avec des plateformes CNAPP. Ce travail apporte des fondements formels, une validation empirique à grande échelle et des directives pratiques pour la sécurité des conteneurs à l’état de l’art en 2025.
Read paper →ContainersSécurité opérationnelle des conteneurs en 2025 : modélisation des menaces, exploitation réelle et stratégies défensives pour Docker et Kubernetes
La conteneurisation est devenue une primitive fondamentale de l’infrastructure moderne, notamment dans les architectures cloud-native orchestrées par Kubernetes. En 2025, plus de 80 % des charges de travail cloud reposent sur des conteneurs ou des technologies dérivées, ce qui en fait une surface d’attaque majeure pour les opérations offensives et défensives en cybersécurité. Malgré l’isolation offerte par les espaces de noms Linux (namespaces) et les groupes de contrôle (cgroups), les conteneurs ne constituent pas une frontière de sécurité absolue. De nombreuses vulnérabilités critiques — telles que CVE‑2019‑5736 dans `runc` ou CVE‑2024‑21626 — ont démontré la possibilité d’évasion de conteneur vers l’hôte. Par ailleurs, les erreurs de configuration dans Kubernetes, les registres d’images compromis et les chaînes CI/CD mal sécurisées constituent des vecteurs d’attaque fréquents observés dans les incidents réels. Cet article présente une analyse opérationnelle approfondie de la sécurité des conteneurs en 2025. Nous proposons un modèle formel de menace couvrant l’ensemble du cycle de vie des conteneurs, depuis la construction d’images jusqu’à l’exécution orchestrée. Nous examinons les primitives d’isolation du noyau Linux, les mécanismes de sécurité Kubernetes et les technologies émergentes telles que l’observabilité basée sur eBPF et les environnements d’exécution renforcés comme gVisor et Kata Containers. L’étude introduit également une méthodologie de défense multicouche intégrant l’analyse statique d’images, la détection comportementale en temps réel et l’application de politiques Zero Trust au niveau du cluster. Afin d’évaluer l’efficacité des contrôles proposés, nous menons une expérimentation sur un environnement Kubernetes instrumenté avec Falco, Trivy et des contrôles de politique basés sur OPA/Gatekeeper. Les résultats montrent qu’une combinaison de contrôles au niveau image, runtime et orchestration réduit significativement la probabilité d’évasion de conteneur et de mouvement latéral. Un cas d’étude basé sur une attaque réaliste contre un cluster Kubernetes mal configuré illustre les techniques d’exploitation utilisées par les attaquants et les mécanismes permettant leur détection. Cette recherche vise à fournir un cadre opérationnel pour les équipes de sécurité et de red teaming confrontées à la sécurisation d’infrastructures conteneurisées à grande échelle.
Read paper →ContainersTITRE: Une architecture formellement fondée pour la surveillance et le durcissement de conteneurs basée sur la modélisation comportementale et la vérification d’intégrité en temps d’exécution
TITRE: Une architecture formellement fondée pour la surveillance et le durcissement de conteneurs basée sur la modélisation comportementale et la vérification d’intégrité en temps d’exécution RÉSUMÉ: L’adoption massive des conteneurs comme unité principale de packaging et d’exécution dans les environnements cloud-native a profondément transformé la surface d’attaque des systèmes distribués modernes. En 2025, les infrastructures fondées sur Kubernetes, les CNAPP (Cloud-Native Application Protection Platforms), eBPF et les chaînes d’approvisionnement signées numériquement constituent l’état de la pratique. Néanmoins, la plupart des approches industrielles restent fragmentées entre la vérification statique des images et la surveillance réactive fondée sur des règles, manquant d’une fondation formelle unifiée. Dans ce travail, nous proposons une architecture formellement spécifiée qui intègre (i) la vérification cryptographique de l’intégrité structurelle au moyen d’arbres de Merkle et de signatures compatibles avec des chaînes d’approvisionnement sécurisées, et (ii) une modélisation probabiliste du comportement en temps d’exécution basée sur des chaînes de Markov discrètes sur des séquences d’événements système collectés via eBPF. Nous formalisons les conteneurs comme des processus confinés par des namespaces et des cgroups, en modélisant l’état global comme un système dynamique S(t) et en définissant des propriétés d’intégrité, de confinement et de non-interférence. La détection d’anomalies est formulée comme un test d’hypothèses sur la log-vraisemblance des trajectoires observées, avec un seuil θ calibré statistiquement. Nous démontrons que la composition orthogonale entre invariants cryptographiques et propriétés probabilistes réduit les évasions et améliore la robustesse face aux techniques documentées dans MITRE ATT&CK pour les conteneurs. Nous avons implémenté un prototype dans Kubernetes 1.29 avec des agents par nœud et l’avons évalué sur un cluster de 40 nœuds exécutant 120 workloads hétérogènes, y compris des charges comportant des composants d’IA. Les résultats indiquent un taux moyen de détection de 96,7 % (IC 95 %), des faux positifs de 2,3 % et une surcharge CPU inférieure à 5 %, tout en préservant la scalabilité. Nous fournissons également une analyse formelle de la complexité, une discussion sur la convergence de l’apprentissage en ligne et l’intégration avec l’attestation distante basée sur TPM 2.0. L’architecture proposée établit une base théoriquement solide et opérationnellement viable pour le durcissement des conteneurs dans les environnements cloud-native contemporains.
Read paper →ContainersTITRE : Une architecture formelle pour la détection et la contention des attaques dans des environnements de conteneurs fondée sur une modélisation compositionnelle de la surface d’attaque
TITRE : Une architecture formelle pour la détection et la contention des attaques dans des environnements de conteneurs fondée sur une modélisation compositionnelle de la surface d’attaque RÉSUMÉ : L’adoption massive des conteneurs et des orchestrateurs tels que Kubernetes a consolidé le paradigme cloud-native comme infrastructure prédominante dans les environnements d’entreprise jusqu’en 2025. Bien que le modèle de virtualisation légère offre une efficacité opérationnelle et une élasticité, le partage du noyau et la nature dynamique des clusters élargissent considérablement la surface d’attaque. Des incidents récents impliquant l’évasion de conteneur, l’exploitation de vulnérabilités dans le noyau Linux et la latéralisation intra-cluster démontrent la nécessité de mécanismes de détection et de contention fondés formellement et assortis de garanties explicites. Dans ce travail, nous proposons une architecture formelle pour la détection et la contention des attaques dans des environnements de conteneurs fondée sur une modélisation compositionnelle de la surface d’attaque. Nous formalisons l’environnement comme un graphe orienté annoté qui intègre les conteneurs, les nœuds d’infrastructure et les canaux d’interaction, en définissant la surface d’attaque comme un opérateur compositionnel sur les sommets et les arêtes. Nous introduisons une méthode de détection basée sur des écarts structurels dans les graphes d’appels système, en utilisant la divergence spectrale entre les matrices d’adjacence observées et des modèles de référence appris durant une phase de baseline. Nous démontrons des propriétés formelles sous des hypothèses explicites, y compris un théorème de complétude conditionnelle. Nous avons implémenté un prototype intégré à Kubernetes 1.29 avec une surveillance via eBPF/libbpf et évalué le système sur un cluster de 64 nœuds exécutant 1 200 conteneurs. Les résultats indiquent un taux moyen de détection supérieur à 95 % pour des scénarios alignés sur MITRE ATT&CK for Containers, avec un taux de faux positifs inférieur à 3 % et un overhead moyen CPU de 3,8 %. Nous discutons des implications pour l’intégration avec des plateformes CNAPP et des mécanismes de gouvernance de la sécurité, ainsi que des limitations et des vecteurs d’évasion. Nous concluons que la modélisation compositionnelle formelle, associée à une surveillance efficace au niveau du noyau, offre une base rigoureuse et évolutive pour la protection des environnements conteneurisés à grande échelle.
Read paper →ContainersUne architecture formelle pour la détection et la contention des attaques dans les environnements de conteneurs basée sur la modélisation compositionnelle de la surface d’attaque
TITLE: Une architecture formelle pour la détection et la contention des attaques dans les environnements de conteneurs basée sur la modélisation compositionnelle de la surface d’attaque ABSTRACT: L’adoption massive des conteneurs et des orchestrateurs tels que Kubernetes a consolidé le paradigme cloud‑native comme infrastructure prédominante dans les environnements d’entreprise jusqu’en 2025. Bien que le modèle de virtualisation légère offre une efficacité opérationnelle et une élasticité accrues, le partage du noyau et la nature dynamique des clusters augmentent significativement la surface d’attaque. Des incidents récents impliquant l’évasion de conteneur, l’exploitation de vulnérabilités dans le noyau Linux et des mouvements latéraux intra‑cluster démontrent la nécessité de mécanismes de détection et de contention reposant sur une base formelle et des garanties explicites. Dans ce travail, nous proposons une architecture formelle pour la détection et la contention des attaques dans des environnements de conteneurs basée sur une modélisation compositionnelle de la surface d’attaque. Nous formalisons l’environnement comme un graphe orienté annoté intégrant des conteneurs, des nœuds d’infrastructure et des canaux d’interaction, en définissant la surface d’attaque comme un opérateur compositionnel sur les sommets et les arêtes. Nous introduisons une méthode de détection fondée sur des déviations structurelles de graphes d’appels système, en utilisant une divergence spectrale entre des matrices d’adjacence observées et des modèles de référence appris durant une phase de baseline. Nous démontrons des propriétés formelles sous des hypothèses explicites, incluant un théorème de complétude conditionnelle. Nous avons implémenté un prototype intégré à Kubernetes 1.29 avec une surveillance via eBPF/libbpf et évalué le système sur un cluster de 64 nœuds exécutant 1 200 conteneurs. Les résultats indiquent un taux moyen de détection supérieur à 95 % pour des scénarios alignés sur MITRE ATT&CK for Containers, avec un taux de faux positifs inférieur à 3 % et un surcoût moyen CPU de 3,8 %. Nous discutons les implications pour l’intégration avec des plateformes CNAPP et des mécanismes de gouvernance de sécurité, ainsi que les limitations et les vecteurs d’évasion. Nous concluons que la modélisation compositionnelle formelle, associée à une surveillance efficace au niveau du noyau, offre une base rigoureuse et évolutive pour la protection des environnements conteneurisés à grande échelle.
Read paper →ContainersUne Architecture Formelle pour la Détection et l’Atténuation des Évasions de Conteneurs Basée sur des Profils Comportementaux Probabilistes et la Vérification de Politiques dans le Noyau
TITLE: Une Architecture Formelle pour la Détection et l’Atténuation des Évasions de Conteneurs Basée sur des Profils Comportementaux Probabilistes et la Vérification de Politiques dans le Noyau ABSTRACT: La virtualisation basée sur les conteneurs s’est imposée comme le fondement de l’infrastructure cloud-native, mais sa dépendance à un noyau partagé impose des défis structurels en matière de sécurité. Les évasions de conteneurs demeurent des vecteurs critiques de compromission, en particulier dans les environnements Kubernetes à grande échelle, où des vulnérabilités dans le runtime, dans le sous-système de cgroups ou dans le noyau lui-même peuvent entraîner une violation de l’isolation. Dans ce travail, nous proposons une architecture formelle pour la détection et l’atténuation des évasions de conteneurs basée sur la modélisation probabiliste de séquences d’appels système et la synthèse automatique de politiques de sécurité au niveau du noyau. Nous modélisons le comportement légitime des applications comme un langage probabiliste sur l’alphabet des syscalls, instancié par des chaînes de Markov d’ordre variable avec lissage bayésien. Nous dérivons des bornes formelles de correction et de complétude sous des paramètres $(\epsilon, \delta)$ et introduisons un critère de décision fondé sur la log‑vraisemblance accumulée. À partir du support empirique observé, nous synthétisons automatiquement des profils seccomp minimaux et des politiques compatibles avec les LSM modernes (AppArmor ou SELinux), réduisant de manière quantifiable la surface d’attaque. Nous implémentons l’architecture avec eBPF couplé à des tracepoints du noyau Linux 6.x, en l’intégrant à un cluster Kubernetes 1.28 avec containerd 1.7. Dans une évaluation expérimentale impliquant 120 nœuds et 1 800 conteneurs, nous obtenons une réduction moyenne de 72,4 % de l’ensemble des syscalls autorisées, un taux de détection de 96,1 % et une surcharge CPU moyenne de 3,7 %. Nous démontrons en outre que l’approche surpasse les mécanismes fondés exclusivement sur des règles heuristiques, tout en maintenant la scalabilité et une faible latence. Nous concluons que la combinaison de modélisation probabiliste formelle, de vérification efficace dans le noyau et de synthèse automatique de politiques constitue une stratégie robuste pour le durcissement dynamique des environnements conteneurisés en 2025.
Read paper →ContainersTITRE: Une Architecture Formelle pour la Détection et l’Atténuation des Évasions de Conteneurs Fondée sur des Profils Comportementaux Probabilistes et la Vérification de Politiques dans le Noyau
TITRE: Une Architecture Formelle pour la Détection et l’Atténuation des Évasions de Conteneurs Fondée sur des Profils Comportementaux Probabilistes et la Vérification de Politiques dans le Noyau RÉSUMÉ: La virtualisation basée sur les conteneurs s’est imposée comme un fondement de l’infrastructure cloud-native, mais sa dépendance à un noyau partagé impose des défis structurels de sécurité. Les évasions de conteneurs demeurent des vecteurs critiques de compromission, en particulier dans les environnements Kubernetes à grande échelle, où des vulnérabilités dans le runtime, dans le sous-système cgroups ou dans le noyau lui-même peuvent entraîner une violation de l’isolement. Dans ce travail, nous proposons une architecture formelle pour la détection et l’atténuation des évasions de conteneurs fondée sur la modélisation probabiliste des séquences d’appels système et la synthèse automatique de politiques de sécurité au niveau du noyau. Nous modélisons le comportement légitime des applications comme un langage probabiliste sur l’alphabet des syscalls, instancié par des chaînes de Markov d’ordre variable avec lissage bayésien. Nous dérivons des bornes formelles de correction et de complétude sous des paramètres (ε, δ) et introduisons un critère de décision basé sur la log-vraisemblance cumulée. À partir du support empirique observé, nous synthétisons automatiquement des profils seccomp minimaux et des politiques compatibles avec les LSM modernes (AppArmor ou SELinux), réduisant de manière quantifiable la surface d’attaque. Nous avons implémenté l’architecture avec eBPF couplé à des tracepoints du noyau Linux 6.x, en l’intégrant à un cluster Kubernetes 1.28 avec containerd 1.7. Dans une évaluation expérimentale impliquant 120 nœuds et 1 800 conteneurs, nous avons obtenu une réduction moyenne de 72,4 % de l’ensemble des syscalls autorisés, un taux de détection de 96,1 % et une surcharge moyenne du CPU de 3,7 %. Nous démontrons également que l’approche surpasse les mécanismes reposant exclusivement sur des règles heuristiques, tout en conservant l’évolutivité et une faible latence. Nous concluons que la combinaison d’une modélisation probabiliste formelle, d’une vérification efficace dans le noyau et d’une synthèse automatique de politiques constitue une stratégie robuste pour le durcissement dynamique des environnements conteneurisés en 2025.
Read paper →