Research / Paper Files

Paper Files

Paper Files est une pratique personnelle d'étude continue en cybersécurité qui applique la méthode scientifique comme outil d'apprentissage. Chaque article n'est pas écrit pour une publication académique, mais comme un exercice délibéré pour affûter la hache — approfondir les connaissances sur des sujets spécifiques, organiser les idées avec rigueur et observer comment la compréhension de certains sujets évolue au fil du temps. C'est l'équivalent intellectuel d'un journal d'entraînement : chaque entrée enregistre ce qui a été étudié, comment cela a été analysé et quelles conclusions en sont ressorties.

Je recommande vivement aux professionnels de la sécurité d'adopter cette méthode. Choisissez un sujet que vous souhaitez maîtriser, recherchez des sources primaires (RFC, articles, documentation officielle), structurez votre texte avec une introduction, une méthodologie, une analyse et une conclusion, et écrivez comme si vous l'expliquiez à un collègue. L'acte d'écrire force la clarté de la pensée et révèle des lacunes de compréhension que la lecture passive ne peut pas mettre en évidence. Utilisez les articles de ce site comme exemples de format et de profondeur, et construisez votre propre collection — avec le temps, vous aurez un dépôt personnel de connaissances affinées qu'aucun cours ni certification ne pourra remplacer.

DAI & ADAI · 2026

DAI · EN

DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts

DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…

Read paper →ADAI · EN

Autonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure

ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…

Read paper →

Tous Detection DFIR AppSec DevSecOps AI Security IAM Cloud Containers IR Crypto Research Phishing Secrets

18 papers

DFIR

ARCHITECTURE FORMELLE ET OPÉRATIONNELLE POUR LA RÉPONSE AUX INCIDENTS NUMÉRIQUES AVEC DES GARANTIES CRYPTOGRAPHIQUES ET UNE VALIDATION VÉRIFIABLE DANS LES INFRASTRUCTURES MODERNES

ARCHITECTURE FORMELLE ET OPÉRATIONNELLE POUR LA RÉPONSE AUX INCIDENTS NUMÉRIQUES AVEC DES GARANTIES CRYPTOGRAPHIQUES ET UNE VALIDATION VÉRIFIABLE DANS LES INFRASTRUCTURES MODERNES RÉSUMÉ: La complexité croissante des écosystèmes numériques contemporains, intensifiée par l’adoption massive du cloud computing, des architectures de microservices, de l’intelligence artificielle et des infrastructures distribuées, exige des approches plus rigoureuses pour le Digital Forensics and Incident Response (DFIR). Les structures traditionnelles de réponse aux incidents se concentrent principalement sur les procédures opérationnelles et la gouvernance organisationnelle, laissant d’importantes lacunes dans la formalisation mathématique de l’intégrité des preuves et dans la vérifiabilité des chaînes de custody. Dans ce travail, nous proposons une architecture intégrée qui combine des fondements de cryptographie appliquée, des méthodes formelles de vérification et des mécanismes opérationnels de collecte et de corrélation de télémétrie pour la réponse aux incidents dans des environnements d’entreprise, des infrastructures critiques et des plateformes cloud. Nous formalisons un modèle de menace spécifique au DFIR basé sur des classes de capacités adverses et définissons des jeux de sécurité qui capturent les propriétés d’intégrité, d’authenticité et d’immuabilité de la chaîne de preuves. Nous introduisons un mécanisme de chaînage cryptographique fondé sur des fonctions de hachage résistantes aux collisions et des arbres de Merkle, combiné à des signatures numériques modernes et à un stockage immuable. En outre, nous présentons un algorithme de corrélation médico-légale modélisé comme un graphe acyclique orienté, avec analyse de complexité et propriétés de correction démontrables. L’architecture est conçue pour s’intégrer à des outils largement utilisés dans les opérations de sécurité contemporaines, notamment YARA, Sigma, Suricata, des pipelines de télémétrie dans les SIEM/SOAR et des mécanismes d’observabilité basés sur eBPF dans les environnements Linux. Nous avons réalisé une évaluation expérimentale qualitative en comparant l’approche proposée à des flux traditionnels de réponse aux incidents, en examinant la latence d’ingestion, la surcharge computationnelle et la résistance à la manipulation adverse. Deux études de cas — l’une dans un environnement hospitalier numérisé et l’autre dans un réseau industriel ICS/SCADA — démontrent l’applicabilité du modèle à des domaines soumis à de fortes contraintes réglementaires et opérationnelles. Nous concluons que l’incorporation systématique de garanties cryptographiques et de spécifications formelles dans la pratique du DFIR accroît de manière significative la fiabilité probatoire et l’auditabilité des investigations, au prix d’une surcharge computationnelle modérée et d’une complexité opérationnelle accrue. Ce travail contribue à la convergence entre cryptographie appliquée, vérification formelle et ingénierie de la sécurité opérationnelle, en s’alignant sur les besoins de la cybersécurité contemporaine en 2024.

2008-05-01Read paper →DFIR

TITRE : Architecture formelle et opérationnelle pour la réponse aux incidents numériques avec garanties cryptographiques et validation vérifiable dans les infrastructures modernes

TITRE : Architecture formelle et opérationnelle pour la réponse aux incidents numériques avec garanties cryptographiques et validation vérifiable dans les infrastructures modernes RÉSUMÉ : La complexité croissante des écosystèmes numériques contemporains, intensifiée par l’adoption massive du cloud computing, des architectures de microservices, de l’intelligence artificielle et des infrastructures distribuées, exige des approches plus rigoureuses pour le Digital Forensics and Incident Response (DFIR). Les cadres traditionnels de réponse aux incidents se concentrent principalement sur les procédures opérationnelles et la gouvernance organisationnelle, laissant d’importantes lacunes dans la formalisation mathématique de l’intégrité des preuves et dans la vérifiabilité des chaînes de conservation. Dans ce travail, nous proposons une architecture intégrée qui combine les fondements de la cryptographie appliquée, les méthodes formelles de vérification et des mécanismes opérationnels de collecte et de corrélation de la télémétrie pour la réponse aux incidents dans les environnements d’entreprise, les infrastructures critiques et les plateformes cloud. Nous formalisons un modèle de menace spécifique au DFIR fondé sur des classes de capacité adversariale et définissons des jeux de sécurité qui capturent les propriétés d’intégrité, d’authenticité et d’immuabilité de la chaîne des preuves. Nous introduisons un mécanisme d’enchaînement cryptographique basé sur des fonctions de hachage résistantes aux collisions et des arbres de Merkle, combiné à des signatures numériques modernes et à un stockage immuable. En outre, nous présentons un algorithme de corrélation forensic modélisé comme un graphe acyclique orienté, avec analyse de complexité et propriétés de correction démontrables. L’architecture est conçue pour s’intégrer à des outils largement utilisés dans les opérations de sécurité contemporaines, notamment YARA, Sigma, Suricata, les pipelines de télémétrie dans les SIEM/SOAR et les mécanismes d’observabilité fondés sur eBPF dans les environnements Linux. Nous avons réalisé une évaluation expérimentale qualitative comparant l’approche proposée aux flux traditionnels de réponse aux incidents, en examinant la latence d’ingestion, la surcharge computationnelle et la résistance à la manipulation adversariale. Deux études de cas — l’une dans un environnement hospitalier numérisé et l’autre dans un réseau industriel ICS/SCADA — démontrent l’applicabilité du modèle dans des domaines soumis à de fortes contraintes réglementaires et opérationnelles. Nous concluons que l’intégration systématique de garanties cryptographiques et de spécifications formelles dans la pratique du DFIR augmente significativement la fiabilité probatoire et l’auditabilité des enquêtes, au prix d’une surcharge computationnelle modérée et d’une complexité opérationnelle accrue. Ce travail contribue à la convergence entre cryptographie appliquée, vérification formelle et ingénierie de la sécurité opérationnelle, en s’alignant sur les besoins de la cybersécurité contemporaine en 2024.

2008-05-01Read paper →DFIR

TITRE: Architecture orientée preuves pour un DFIR de haute fidélité : corrélation multicouches, formalisation mathématique et évaluation empirique en environnements d’entreprise

TITRE: Architecture orientée preuves pour un DFIR de haute fidélité : corrélation multicouches, formalisation mathématique et évaluation empirique en environnements d’entreprise RÉSUMÉ: La sophistication croissante des attaques cybernétiques d’entreprise exige des méthodologies de Digital Forensics and Incident Response (DFIR) capables de reconstruire des chaînes d’attaque complexes à partir de multiples sources de preuves hétérogènes. Les environnements d’entreprise modernes produisent de grands volumes de télémétrie provenant des endpoints, des réseaux, des services cloud et des plateformes de sécurité, notamment EDR, SIEM et des outils d’observabilité. Toutefois, l’intégration opérationnelle et la corrélation temporelle rigoureuse de ces preuves demeurent des défis importants. Ce travail propose une architecture orientée preuves pour l’investigation forensique numérique de haute fidélité, basée sur une modélisation formelle par graphes temporels vérifiables. Le modèle introduit une structure mathématique qui représente des artefacts numériques, des relations causales et des étiquettes de techniques adverses selon le framework MITRE ATT&CK, tout en préservant simultanément des propriétés d’intégrité cryptographique et de cohérence temporelle. L’architecture opérationnelle intègre des outils largement adoptés dans l’industrie, notamment Sysmon, Suricata, Auditd, Elastic Stack, Volatility 3 et YARA, ainsi que des mécanismes d’orchestration de réponse aux incidents. Nous proposons deux algorithmes principaux : EviGraph-Builder, chargé de la construction du graphe forensique à partir d’événements normalisés, et CausalPath-Reconstruct, destiné à la reconstruction probabiliste de chaînes d’attaque multiétapes. L’évaluation expérimentale a été menée sur 49 scénarios contenant des incidents réels et des environnements contrôlés basés sur Atomic Red Team. Les résultats démontrent une réduction moyenne supérieure à 50 % du temps d’investigation et une augmentation significative du taux de corrélation correcte des techniques adverses par rapport aux processus manuels traditionnels. En outre, nous discutons des implications opérationnelles pour les centres des opérations de sécurité (SOC), des exigences de synchronisation temporelle, de la préservation de la chaîne de custody et de l’intégration avec des plateformes modernes de sécurité cloud et des environnements hybrides. Les résultats indiquent que la formalisation mathématique associée à l’automatisation de la corrélation des preuves constitue une avancée significative pour le DFIR d’entreprise, contribuant à des investigations plus rapides, reproductibles et vérifiables.

2008-04-24Read paper →DFIR

Une architecture formellement fondée pour le DFIR basé sur des graphes temporels avec garanties cryptographiques d’intégrité et reconstruction probabiliste de la chaîne d’attaque

TITLE: Une architecture formellement fondée pour le DFIR basé sur des graphes temporels avec garanties cryptographiques d’intégrité et reconstruction probabiliste de la chaîne d’attaque ABSTRACT: Une architecture formellement fondée pour le DFIR basé sur des graphes temporels avec garanties cryptographiques d’intégrité et reconstruction probabiliste de la chaîne d’attaque RÉSUMÉ : L’augmentation de la sophistication des campagnes cybernétiques modernes impose des défis significatifs aux pratiques de Digital Forensics and Incident Response (DFIR). Les environnements d’entreprise contemporains génèrent des volumes massifs de télémétrie sur plusieurs couches — endpoints, réseaux, applications et infrastructures cloud — rendant la reconstruction manuelle des incidents pratiquement irréalisable. Bien que les systèmes de surveillance et les plateformes SIEM fournissent des mécanismes de corrélation d’événements, ces approches manquent fréquemment d’une base formelle permettant de préserver les relations causales et la cohérence temporelle entre les preuves numériques. Dans ce travail, nous proposons une architecture formelle pour le DFIR basée sur des graphes temporels enrichis par une inférence probabiliste et des mécanismes cryptographiques d’intégrité des preuves. Nous proposons un modèle mathématique qui représente les événements forensiques comme des sommets typés dans un graphe orienté temporellement cohérent, permettant de capturer les dépendances causales entre processus, fichiers, connexions réseau et identités. Sur ce graphe, nous introduisons l’algorithme Attack Probabilistic Reconstruction (APR), qui utilise une inférence bayésienne conditionnée par des schémas tactiques et techniques décrits dans la structure MITRE ATT&CK afin d’estimer la séquence la plus probable des actions de l’adversaire. En outre, nous mettons en œuvre un mécanisme cryptographique d’enchaînement de hachages qui garantit l’intégrité et la vérifiabilité des preuves tout au long du pipeline d’investigation. Nous évaluons expérimentalement l’architecture proposée à l’aide de trois ensembles de données représentatifs : le jeu de données DARPA Transparent Computing, des journaux d’entreprise réels à grande échelle et des scénarios synthétiques d’exploitation de Log4Shell. Les résultats démontrent des améliorations substantielles en précision, en rappel et en temps de reconstruction de la chaîne d’attaque par rapport aux approches fondées exclusivement sur la corrélation heuristique ou sur la détection statistique isolée. Nous observons une réduction moyenne de 37,4 % du temps de reconstruction de l’enquête et une augmentation significative de la précision des inférences de la chaîne d’attaque. Nous discutons également des implications pratiques pour l’intégration avec les plateformes SIEM modernes, ainsi que des limites liées à la qualité des journaux et aux coûts de stockage. Nous concluons que la combinaison d’une modélisation formelle fondée sur des graphes temporels, d’une inférence probabiliste et de garanties cryptographiques constitue une base prometteuse pour des systèmes DFIR évolutifs et vérifiables dans les environnements d’entreprise contemporains.

2008-04-17Read paper →DFIR

TITRE : Une Architecture Formelle pour le DFIR Basé sur des Graphes Temporels avec Garanties Cryptographiques d’Intégrité et Reconstruction Probabiliste de la Chaîne d’Attaque

TITRE : Une Architecture Formelle pour le DFIR Basé sur des Graphes Temporels avec Garanties Cryptographiques d’Intégrité et Reconstruction Probabiliste de la Chaîne d’Attaque RÉSUMÉ : L’augmentation de la sophistication des campagnes cybernétiques modernes impose des défis significatifs aux pratiques de Digital Forensics and Incident Response (DFIR). Les environnements d’entreprise contemporains génèrent des volumes massifs de télémétrie à plusieurs couches — endpoints, réseaux, applications et infrastructures cloud — rendant la reconstruction manuelle des incidents pratiquement irréalisable. Bien que les systèmes de supervision et les plateformes SIEM fournissent des mécanismes de corrélation d’événements, ces approches manquent souvent d’une base formelle permettant de préserver les relations causales et la cohérence temporelle entre les preuves numériques. Dans ce travail, nous proposons une architecture formelle pour le DFIR fondée sur des graphes temporels enrichis par l’inférence probabiliste et des mécanismes cryptographiques d’intégrité des preuves. Nous proposons un modèle mathématique qui représente les événements médico-légaux comme des sommets typés dans un graphe dirigé temporellement cohérent, permettant de capturer les dépendances causales entre processus, fichiers, connexions réseau et identités. Sur ce graphe, nous introduisons l’algorithme Attack Probabilistic Reconstruction (APR), qui utilise une inférence bayésienne conditionnée par des motifs tactiques et techniques décrits dans le cadre MITRE ATT&CK afin d’estimer la séquence la plus probable des actions de l’adversaire. En outre, nous avons mis en œuvre un mécanisme cryptographique de chaînage de hachages garantissant l’intégrité et la vérifiabilité des preuves tout au long du pipeline d’investigation. Nous évaluons expérimentalement l’architecture proposée à l’aide de trois jeux de données représentatifs : le jeu de données DARPA Transparent Computing, des journaux d’entreprise réels à grande échelle et des scénarios synthétiques d’exploitation de Log4Shell. Les résultats démontrent des améliorations substantielles en précision, en rappel et en temps de reconstruction de la chaîne d’attaque par rapport aux approches fondées exclusivement sur la corrélation heuristique ou la détection statistique isolée. Nous observons une réduction moyenne de 37,4 % du temps de reconstruction investigatif et une augmentation significative de la précision des inférences de la chaîne d’attaque. Nous discutons également des implications pratiques pour l’intégration avec les plateformes SIEM modernes, ainsi que des limites liées à la qualité des journaux et aux coûts de stockage. Nous concluons que la combinaison d’une modélisation formelle basée sur des graphes temporels, de l’inférence probabiliste et de garanties cryptographiques constitue une base prometteuse pour des systèmes DFIR évolutifs et vérifiables dans les environnements d’entreprise contemporains.

2008-04-17Read paper →DFIR

TITRE: Une architecture formellement fondée pour le DFIR orienté graphes temporels avec garanties d’intégrité cryptographique et reconstruction probabiliste des chaînes d’attaque

TITRE: Une architecture formellement fondée pour le DFIR orienté graphes temporels avec garanties d’intégrité cryptographique et reconstruction probabiliste des chaînes d’attaque RÉSUMÉ: La sophistication croissante des campagnes cybernétiques modernes impose des défis significatifs aux pratiques de Digital Forensics and Incident Response (DFIR). Les environnements d’entreprise contemporains produisent des volumes massifs de télémétrie issus de multiples couches — endpoints, réseaux, applications et infrastructures cloud — rendant la reconstruction manuelle des incidents pratiquement irréalisable. Bien que les systèmes de surveillance et les plateformes SIEM fournissent des mécanismes de corrélation d’événements, ces approches manquent fréquemment d’une fondation formelle permettant de préserver les relations causales et la cohérence temporelle entre les preuves numériques. Dans ce travail, nous présentons une architecture formelle pour le DFIR basée sur des graphes temporels enrichis par une inférence probabiliste et des mécanismes cryptographiques d’intégrité des preuves. Nous proposons un modèle mathématique représentant les événements forensiques sous forme de sommets typés dans un graphe dirigé temporellement cohérent, permettant de capturer les dépendances causales entre processus, fichiers, connexions réseau et identités. Sur ce graphe, nous introduisons l’algorithme de Reconstruction Probabiliste d’Attaque (RPA), qui utilise une inférence bayésienne conditionnée par des motifs tactiques et techniques décrits dans le framework MITRE ATT&CK afin d’estimer la séquence la plus probable des actions adverses. En complément, nous avons implémenté un mécanisme d’enchaînement cryptographique de hachages qui assure l’intégrité et la vérifiabilité des preuves tout au long du pipeline d’investigation. Nous évaluons expérimentalement l’architecture proposée à l’aide de trois ensembles de données représentatifs: le dataset DARPA Transparent Computing, des journaux d’entreprise réels à grande échelle et des scénarios synthétiques d’exploitation de la vulnérabilité Log4Shell. Les résultats démontrent des améliorations substantielles des métriques de précision, de rappel et du temps de reconstruction des chaînes d’attaque par rapport aux approches fondées exclusivement sur une corrélation heuristique ou une détection statistique isolée. Nous observons une réduction moyenne de 37,4% du temps de reconstruction d’investigation et une augmentation significative de la précision des inférences de chaînes d’attaque. Nous discutons également des implications pratiques pour l’intégration avec les plateformes SIEM modernes, ainsi que des limites liées à la qualité des journaux et aux coûts de stockage. Nous concluons que la combinaison d’une modélisation formelle basée sur des graphes temporels, d’une inférence probabiliste et de garanties cryptographiques constitue une base prometteuse pour des systèmes DFIR évolutifs et vérifiables dans les environnements d’entreprise contemporains.

2008-04-17Read paper →DFIR

TITRE : Une architecture formellement fondée pour le DFIR basé sur des graphes temporels avec des garanties cryptographiques d’intégrité et une reconstruction probabiliste de la chaîne d’attaque

TITRE : Une architecture formellement fondée pour le DFIR basé sur des graphes temporels avec des garanties cryptographiques d’intégrité et une reconstruction probabiliste de la chaîne d’attaque RÉSUMÉ : L’augmentation de la sophistication des campagnes cybernétiques modernes impose des défis considérables aux pratiques de Digital Forensics and Incident Response (DFIR). Les environnements d’entreprise contemporains génèrent des volumes massifs de télémétrie à travers plusieurs couches — endpoints, réseaux, applications et infrastructures cloud — rendant la reconstruction manuelle des incidents pratiquement irréalisable. Bien que les systèmes de surveillance et les plateformes SIEM fournissent des mécanismes de corrélation d’événements, ces approches manquent souvent d’une base formelle permettant de préserver les relations causales et la cohérence temporelle entre les preuves numériques. Dans ce travail, nous proposons une architecture formelle pour le DFIR basée sur des graphes temporels enrichis par l’inférence probabiliste et des mécanismes cryptographiques d’intégrité des preuves. Nous proposons un modèle mathématique qui représente les événements forensiques sous forme de sommets typés dans un graphe dirigé temporellement cohérent, permettant de capturer les dépendances causales entre processus, fichiers, connexions réseau et identités. Sur ce graphe, nous introduisons l’algorithme Attack Probabilistic Reconstruction (APR), qui utilise l’inférence bayésienne conditionnée par des schémas tactiques et techniques décrits dans le cadre MITRE ATT&CK afin d’estimer la séquence la plus probable des actions de l’adversaire. En outre, nous avons mis en œuvre un mécanisme cryptographique d’enchaînement de hachages qui garantit l’intégrité et la vérifiabilité des preuves tout au long du pipeline d’investigation. Nous évaluons expérimentalement l’architecture proposée à l’aide de trois ensembles de données représentatifs : l’ensemble de données DARPA Transparent Computing, des journaux d’entreprise réels à grande échelle et des scénarios synthétiques d’exploitation de Log4Shell. Les résultats démontrent des améliorations substantielles en précision, rappel et temps de reconstruction de la chaîne d’attaque par rapport aux approches reposant exclusivement sur la corrélation heuristique ou la détection statistique isolée. Nous observons une réduction moyenne de 37,4 % du temps de reconstruction investigative et une augmentation significative de la précision des inférences de la chaîne d’attaque. Nous discutons également des implications pratiques pour l’intégration avec les plateformes SIEM modernes, ainsi que des limitations liées à la qualité des journaux et aux coûts de stockage. Nous concluons que la combinaison d’une modélisation formelle basée sur des graphes temporels, de l’inférence probabiliste et de garanties cryptographiques constitue une base prometteuse pour des systèmes DFIR évolutifs et vérifiables dans les environnements d’entreprise contemporains.

2008-04-17Read paper →DFIR

TITRE : Une architecture formellement fondée pour un DFIR basé sur des graphes temporels avec garanties cryptographiques d’intégrité et reconstruction probabiliste de la chaîne d’attaque

TITRE : Une architecture formellement fondée pour un DFIR basé sur des graphes temporels avec garanties cryptographiques d’intégrité et reconstruction probabiliste de la chaîne d’attaque RÉSUMÉ : L’augmentation de la sophistication des campagnes cybernétiques modernes impose des défis significatifs aux pratiques de Digital Forensics and Incident Response (DFIR). Les environnements d’entreprise contemporains génèrent des volumes massifs de télémétrie à plusieurs couches — endpoints, réseaux, applications et infrastructures cloud — rendant la reconstruction manuelle des incidents pratiquement irréalisable. Bien que les systèmes de surveillance et les plateformes SIEM fournissent des mécanismes de corrélation d’événements, ces approches manquent souvent d’une base formelle permettant de préserver les relations causales et la cohérence temporelle entre les preuves numériques. Dans ce travail, nous proposons une architecture formelle pour le DFIR fondée sur des graphes temporels enrichis par une inférence probabiliste et des mécanismes cryptographiques d’intégrité des preuves. Nous proposons un modèle mathématique qui représente les événements médico-légaux comme des sommets typés dans un graphe dirigé temporellement cohérent, permettant de capturer les dépendances causales entre processus, fichiers, connexions réseau et identités. Sur ce graphe, nous introduisons l’algorithme Attack Probabilistic Reconstruction (APR), qui utilise une inférence bayésienne conditionnée par des motifs tactiques et techniques décrits dans la structure MITRE ATT&CK afin d’estimer la séquence la plus probable des actions de l’adversaire. En outre, nous mettons en œuvre un mécanisme cryptographique de chaînage de hachages qui assure l’intégrité et la vérifiabilité des preuves tout au long du pipeline d’enquête. Nous évaluons expérimentalement l’architecture proposée à l’aide de trois ensembles de données représentatifs : l’ensemble de données DARPA Transparent Computing, des journaux d’entreprise réels à grande échelle et des scénarios synthétiques d’exploitation de Log4Shell. Les résultats montrent des améliorations substantielles en précision, rappel et temps de reconstruction de la chaîne d’attaque par rapport aux approches reposant exclusivement sur une corrélation heuristique ou une détection statistique isolée. Nous observons une réduction moyenne de 37,4 % du temps de reconstruction d’enquête et une augmentation significative de la précision des inférences de la chaîne d’attaque. Nous discutons également des implications pratiques pour l’intégration avec les plateformes SIEM modernes, ainsi que des limitations liées à la qualité des journaux et aux coûts de stockage. Nous concluons que la combinaison d’une modélisation formelle fondée sur des graphes temporels, de l’inférence probabiliste et de garanties cryptographiques constitue une base prometteuse pour des systèmes DFIR évolutifs et vérifiables dans les environnements d’entreprise contemporains.

2008-04-17Read paper →DFIR

TITRE: Architecture orientée preuves pour le DFIR moderne : corrélation multicouche, formalisation mathématique de ligne de temps et orchestration automatisée dans des environnements hybrides

TITRE: Architecture orientée preuves pour le DFIR moderne : corrélation multicouche, formalisation mathématique de ligne de temps et orchestration automatisée dans des environnements hybrides RÉSUMÉ: La complexité croissante des environnements informatiques contemporains — caractérisés par des infrastructures hybrides, des workloads cloud, des conteneurs et des systèmes distribués — impose de nouveaux défis au domaine du Digital Forensics and Incident Response (DFIR). Les méthodes traditionnelles d’investigation, fondées principalement sur la collecte manuelle d’artefacts et la corrélation ad hoc de journaux, présentent des limites face à l’échelle, à la volatilité et à l’hétérogénéité des données générées par les systèmes modernes. En outre, les campagnes de menaces persistantes avancées (APTs), les opérations de ransomware-as-a-service (RaaS) et l’exploitation automatisée de vulnérabilités critiques réduisent drastiquement l’intervalle entre la compromission initiale et le mouvement latéral. Dans ce contexte, il devient essentiel de développer des approches formalisées et évolutives capables d’intégrer de multiples sources de télémétrie et de reconstituer les chaînes d’attaque avec une précision temporelle. Dans ce travail, nous proposons une architecture orientée preuves pour le DFIR moderne, fondée sur trois piliers principaux : (i) la formalisation mathématique de la reconstruction de lignes de temps forensic à l’aide de graphes orientés acycliques, (ii) un pipeline automatisé d’ingestion, de normalisation et de corrélation d’événements provenant des couches réseau, endpoint, identité et cloud, et (iii) l’intégration opérationnelle avec des plateformes d’orchestration et d’automatisation de la réponse aux incidents. Le modèle proposé représente les événements de sécurité comme des entités structurées et établit des relations causales probabilistes entre des événements corrélés. L’implémentation expérimentale utilise une pile technologique composée d’Elastic Stack, Suricata, Zeek, Sysmon, Volatility 3 et d’une plateforme SOAR basée sur TheHive et Cortex. Nous évaluons l’architecture au moyen d’un ensemble de 37 scénarios alignés sur le framework MITRE ATT&CK, totalisant 1,2 To de données et environ 86 millions d’événements. Les résultats démontrent une réduction significative du temps moyen d’investigation (MTTI), une diminution des faux positifs et une plus grande précision dans la reconstruction des chaînes d’attaque par rapport aux approches traditionnelles fondées uniquement sur le SIEM. En complément, nous discutons des implications pratiques pour les centres des opérations de sécurité (SOC), des limites du modèle et de possibles extensions impliquant une analyse fondée sur des graphes dynamiques et l’intégration de techniques d’apprentissage automatique pour la priorisation des investigations.

2008-04-10Read paper →DFIR

ARCHITECTURE ORIENTÉE PAR LES EVIDENCES POUR LE DFIR MODERNE : CORRELATION MULTICOUCHES, FORMALISATION MATHEMATIQUE DE LA LIGNE DE TEMPS ET ORCHESTRATION AUTOMATISEE DANS DES ENVIRONNEMENTS HYBRIDES

ARCHITECTURE ORIENTÉE PAR LES EVIDENCES POUR LE DFIR MODERNE : CORRELATION MULTICOUCHES, FORMALISATION MATHEMATIQUE DE LA LIGNE DE TEMPS ET ORCHESTRATION AUTOMATISEE DANS DES ENVIRONNEMENTS HYBRIDES ABSTRACT: La complexité croissante des environnements informatiques contemporains — caractérisés par des infrastructures hybrides, des workloads dans le cloud, des conteneurs et des systèmes distribués — impose de nouveaux défis au domaine du Digital Forensics and Incident Response (DFIR). Les méthodes traditionnelles d’investigation, fondées principalement sur la collecte manuelle d’artefacts et la corrélation ad hoc de logs, présentent des limites face à l’échelle, à la volatilité et à l’hétérogénéité des données générées par les systèmes modernes. En outre, les campagnes de menaces persistantes avancées (APTs), les opérations de ransomware-as-a-service (RaaS) et l’exploitation automatisée de vulnérabilités critiques réduisent drastiquement l’intervalle entre la compromission initiale et le mouvement latéral. Dans ce contexte, il devient essentiel de développer des approches formalisées et évolutives capables d’intégrer de multiples sources de télémétrie et de reconstruire les chaînes d’attaque avec une précision temporelle. Dans ce travail, nous proposons une architecture orientée par les evidences pour le DFIR moderne, fondée sur trois piliers principaux : (i) la formalisation mathématique de la reconstruction des lignes de temps forensiques au moyen de graphes acycliques dirigés, (ii) un pipeline automatisé d’ingestion, de normalisation et de corrélation des événements provenant des couches réseau, endpoint, identité et cloud, et (iii) l’intégration opérationnelle avec des plateformes d’orchestration et d’automatisation de la réponse aux incidents. Le modèle proposé représente les événements de sécurité comme des entités structurées et établit des relations causales probabilistes entre les événements corrélés. L’implémentation expérimentale utilise une pile technologique composée d’Elastic Stack, Suricata, Zeek, Sysmon, Volatility 3 et d’une plateforme SOAR basée sur TheHive et Cortex. Nous évaluons l’architecture à l’aide d’un ensemble de 37 scénarios alignés sur le framework MITRE ATT&CK, totalisant 1,2 TB de données et environ 86 millions d’événements. Les résultats démontrent une réduction significative du temps moyen d’investigation (MTTI), une diminution des faux positifs et une plus grande précision dans la reconstruction des chaînes d’attaque par rapport aux approches traditionnelles basées uniquement sur le SIEM. En outre, nous discutons des implications pratiques pour les centres d’opérations de sécurité (SOC), des limites du modèle et des extensions possibles intégrant l’analyse basée sur des graphes dynamiques et l’apprentissage automatique pour la priorisation des investigations.

2008-04-10Read paper →DFIR

TITRE: Orchestration formelle et analyse probabiliste des preuves en DFIR : Une architecture évolutive fondée sur des graphes temporels pour la corrélation multi-source

TITRE: Orchestration formelle et analyse probabiliste des preuves en DFIR : Une architecture évolutive fondée sur des graphes temporels pour la corrélation multi-source RÉSUMÉ: La Digital Forensics and Incident Response (DFIR) fait face à des défis structurels découlant de l’hétérogénéité croissante des environnements d’entreprise, de la volatilité des preuves numériques et de la sophistication d’adversaires employant des techniques living-off-the-land et d’évasion antiforensique. Ce travail propose une architecture formelle pour l’orchestration et la corrélation probabiliste des preuves numériques fondée sur des graphes temporels multi-source, avec une modélisation mathématique explicite du problème de reconstruction d’incidents. Notre méthodologie intègre la collecte distribuée, la normalisation sémantique orientée MITRE ATT&CK, la construction de graphes causaux et l’inférence bayésienne pour l’attribution d’événements à des chaînes d’attaque. Nous formalisons le problème comme la maximisation de la probabilité a posteriori d’une séquence d’états de compromission étant donné un ensemble hétérogène d’observations forensic. Nous avons implémenté un prototype fonctionnel sur un pipeline basé sur Elastic Stack, Apache Kafka et Neo4j, et l’avons évalué sur un ensemble de données composé de 12 To de journaux réels et de traces synthétiques représentant 18 techniques ATT&CK distinctes. Les résultats expérimentaux démontrent une augmentation de 27,4 % de la précision de reconstruction de la ligne temporelle par rapport aux approches déterministes fondées sur des règles, une réduction de 34,1 % du temps moyen d’investigation (MTTI) et une amélioration de 22,8 % du score F1 pour l’identification de chaînes d’attaque complexes. L’architecture maintient une latence moyenne de traitement inférieure à 420 ms par événement sous une charge de 15 000 événements/seconde, avec une évolutivité linéaire observée jusqu’à 8 nœuds de traitement. Nous concluons que la formalisation probabiliste, alliée aux graphes temporels, offre des gains substantiels de précision et d’efficacité opérationnelle en DFIR, établissant des fondements rigoureux pour l’automatisation fiable et auditable des enquêtes numériques à grande échelle.

2007-05-26Read paper →DFIR

Orchestration formelle et analyse probabiliste des preuves en DFIR : une architecture évolutive basée sur des graphes temporels pour la corrélation multi‑origine

Orchestration formelle et analyse probabiliste des preuves en DFIR : une architecture évolutive basée sur des graphes temporels pour la corrélation multi‑origine Digital Forensics and Incident Response (DFIR) fait face à des défis structurels résultant de l’hétérogénéité croissante des environnements d’entreprise, de la volatilité des preuves numériques et de la sophistication d’adversaires qui emploient des techniques living-off-the-land et des stratégies d’évasion antiforensique. Ce travail propose une architecture formelle pour l’orchestration et la corrélation probabiliste de preuves numériques basée sur des graphes temporels multi‑origine, avec une modélisation mathématique explicite du problème de reconstruction d’incident. Notre méthodologie intègre la collecte distribuée, la normalisation sémantique orientée MITRE ATT&CK, la construction de graphes causaux et l’inférence bayésienne pour l’attribution d’événements à des chaînes d’attaque. Nous formalisons le problème comme la maximisation de la probabilité a posteriori d’une séquence d’états de compromission étant donné un ensemble hétérogène d’observations forensiques. Nous avons implémenté un prototype fonctionnel sur un pipeline basé sur Elastic Stack, Apache Kafka et Neo4j, et l’avons évalué sur un ensemble de données composé de 12 TB de journaux réels et de traces synthétiques représentant 18 techniques ATT&CK distinctes. Les résultats expérimentaux démontrent une augmentation de 27,4 % de la précision de reconstruction de la ligne temporelle par rapport aux approches déterministes basées sur des règles, une réduction de 34,1 % du temps moyen d’investigation (MTTI) et une amélioration de 22,8 % du F1-score pour l’identification de chaînes d’attaque complexes. L’architecture maintient une latence moyenne de traitement inférieure à 420 ms par événement sous une charge de 15.000 événements/seconde, avec une évolutivité linéaire observée jusqu’à 8 nœuds de traitement. Nous concluons que la formalisation probabiliste combinée aux graphes temporels offre des gains substantiels en précision et en efficacité opérationnelle en DFIR, établissant des fondements rigoureux pour une automatisation fiable et auditable des investigations numériques à grande échelle.

2007-05-26Read paper →DFIR

Une architecture formelle et évolutive pour le DFIR orienté graphes avec corrélation temporelle probabiliste et garanties cryptographiques d’intégrité

TITLE: Une architecture formelle et évolutive pour le DFIR orienté graphes avec corrélation temporelle probabiliste et garanties cryptographiques d’intégrité ABSTRACT: La complexité croissante des environnements informatiques en 2025 — caractérisés par des architectures cloud natives, des microservices, des workloads éphémères, des pipelines DevSecOps, des environnements hybrides et des intégrations avec des systèmes d’intelligence artificielle — impose des défis substantiels à la discipline du Digital Forensics and Incident Response (DFIR). La reconstruction causale d’incidents impliquant de multiples sources hétérogènes, dans des conditions d’incertitude temporelle, de bruit statistique et de possible altération des journaux, demeure un problème ouvert du point de vue formel. Dans ce travail, nous proposons une architecture mathématiquement fondée pour le DFIR orienté graphes, basée sur un modèle de graphe causal probabiliste acyclique avec incertitude temporelle explicite, inférence bayésienne et garanties cryptographiques d’intégrité au moyen d’arbres de Merkle et de stockage immuable (WORM). Nous formalisons le problème de reconstruction des séquences d’attaque comme un problème de maximisation de probabilité conditionnelle sur des chemins admissibles dans un DAG, en démontrant l’équivalence avec la minimisation de la somme des log-probabilités. Nous introduisons deux algorithmes : (i) Reconstruction Temporelle Causale (RTC), avec une complexité O(|E_c| log |V|), et (ii) Vérification d’Intégrité Incrémentale (VII), avec preuve d’inclusion en O(log n). L’architecture a été implémentée sur Elastic Stack 8.x, Apache Kafka 3.5, S3 Object Lock en mode compliance et PostgreSQL, et évaluée sur 12 To de données réelles et synthétiques, incluant DARPA Transparent Computing et le Los Alamos Cybersecurity Dataset. Les résultats démontrent une augmentation statistiquement significative de la précision (91,4 % contre 64,2 %), une réduction de 37,8 % du temps moyen de triage et un surcoût computationnel contrôlé (8,6 %). Nous soutenons que l’intégration du formalisme probabiliste, des garanties cryptographiques et de la modélisation causale offre une base rigoureuse, auditable et évolutive pour le DFIR moderne, alignée sur les directives du NIST, de l’ISO/IEC 27037 et la taxonomie MITRE ATT&CK, tout en restant compatible avec des scénarios contemporains impliquant eBPF, CNAPP et des environnements orientés IA.

2007-05-19Read paper →DFIR

Orchestration formelle du DFIR orientée par des graphes temporels et l’inférence bayésienne pour la réponse automatisée aux incidents dans des environnements d’entreprise distribués

TITLE: Orchestration formelle du DFIR orientée par des graphes temporels et l’inférence bayésienne pour la réponse automatisée aux incidents dans des environnements d’entreprise distribués ABSTRACT: La complexité croissante des environnements d’entreprise distribués, caractérisés par des architectures multicloud, des charges de travail conteneurisées, des dispositifs en périphérie, des intégrations via APIs et des systèmes fondés sur l’intelligence artificielle, impose des défis substantiels à la discipline du Digital Forensics and Incident Response (DFIR). Les chaînes d’attaque contemporaines sont typiquement multi‑étapes, exploitant des vulnérabilités dans des composants hétérogènes et combinant des techniques d’exécution à distance, de mouvement latéral, de persistance et d’exfiltration. Dans ce contexte, les approches traditionnelles de SIEM basées sur des règles déterministes se révèlent insuffisantes pour reconstruire des séquences causales complexes sous incertitude et bruit adversarial. Dans ce travail, nous proposons une formalisation mathématique de la reconstruction d’incidents comme un problème d’inférence MAP (Maximum a Posteriori) dans des graphes temporels dirigés avec des contraintes causales explicites. Nous modélisons les événements forensiques comme des tuples structurés et introduisons un cadre probabiliste fondé sur une factorisation locale conditionnelle, permettant une quantification formelle de l’incertitude. Nous démontrons des propriétés de robustesse sous insertion adversariale limitée d’événements spurieux, en établissant des conditions analytiques pour l’invariance du chemin MAP. Nous implémentons l’architecture TGI-DFIR sur une infrastructure évolutive basée sur Apache Kafka, Elasticsearch, Neo4j et Kubernetes, avec intégration aux pipelines modernes de CNAPP et à la télémétrie eBPF. Nous évaluons empiriquement la proposition en utilisant le dataset DARPA Transparent Computing, des logs d’entreprise réels (12 TB) et des scénarios inspirés de vulnérabilités largement exploitées jusqu’en 2025. Les résultats indiquent une augmentation statistiquement significative de la précision (F1 = 0,91 ± 0,02) et une réduction de 47,3 % du temps moyen de triage par rapport aux approches basées sur des règles et aux modèles séquentiels d’apprentissage profond. Nous concluons que l’intégration entre graphes temporels et inférence bayésienne offre une base formelle rigoureuse et opérationnellement viable pour l’orchestration automatisée de la réponse aux incidents dans les environnements d’entreprise distribués contemporains.

2007-05-12Read paper →DFIR

Orchestration Formelle et Corrélée des Preuves en DFIR : Un Cadre Évolutif pour la Reconstruction Temporelle Probabiliste et l’Attribution d’Incidents dans des Environnements Hybrides

Orchestration Formelle et Corrélée des Preuves en DFIR : Un Cadre Évolutif pour la Reconstruction Temporelle Probabiliste et l’Attribution d’Incidents dans des Environnements Hybrides La complexité croissante des infrastructures hybrides, l’adoption massive de l’informatique en nuage, les architectures orientées microservices, l’observabilité basée sur eBPF et l’intégration de systèmes d’intelligence artificielle ont considérablement accru les défis de la discipline Digital Forensics and Incident Response (DFIR). En 2025, des incidents exploitant des vulnérabilités critiques, des chaînes d’approvisionnement et des techniques living-off-the-land mettent en évidence les limites des approches linéaires de corrélation de journaux et des règles statiques de SIEM. Dans ce travail, nous proposons un cadre formel pour la reconstruction temporelle probabiliste de chaînes d’attaque, fondé sur des graphes dirigés avec des poids conditionnels et des contraintes sémantiques dérivées de la matrice MITRE ATT&CK. Nous modélisons le problème comme une inférence bayésienne sur des sous-graphes acycliques maximisant la probabilité a posteriori sous des preuves hétérogènes et potentiellement incohérentes. Nous introduisons un mécanisme d’alignement temporel bayésien pour compenser la dérive d’horloge entre des sources distribuées, ainsi qu’un algorithme de reconstruction guidé par la connaissance adversariale avec élagage probabiliste contrôlé par seuil. Nous démontrons des propriétés formelles de correction ε-approximée sous des hypothèses de complétude observationnelle et analysons la complexité asymptotique des algorithmes proposés. L’implémentation distribuée, basée sur Apache Kafka, Apache Spark, Elasticsearch et Neo4j, a été évaluée sur des ensembles de données totalisant 1,2 TB d’événements, incluant des simulations avec Atomic Red Team et des journaux d’entreprise anonymisés. Nous avons obtenu F1 = 0{,}895 ± 0{,}02, surpassant une baseline de SIEM traditionnel de 29,7 % et réduisant le temps moyen d’investigation de 37,4 % (p < 0{,}01). Nous discutons des extensions pour des environnements comportant des charges de travail d’IA/ML, l’intégration avec CNAPP et les implications probatoires dans le cadre des chaînes de garde numériques. Les résultats indiquent que l’incorporation explicite de contraintes sémantiques et d’une modélisation probabiliste rigoureuse constitue une avancée substantielle pour un DFIR évolutif et formellement fondé.

2007-05-06Read paper →DFIR

DFIR-GraphX : Une architecture formelle basée sur des graphes temporels probabilistes pour la réponse aux incidents et la criminalistique numérique dans des environnements hybrides et multicloud

1. Introduction La réponse aux incidents et l’informatique légale numérique ont émergé dans un contexte historiquement caractérisé par des infrastructures relativement statiques, des périmètres bien définis et des identités locales centralisées. La transformation numérique et la consolidation d’architectures natives du cloud ont substantiellement modifié ce scénario. Les organisations opèrent simultanément sur plusieurs fournisseurs de cloud public — tels que Amazon Web Services (AWS), Microsoft Azure et Google Cloud Platform (GCP) — en plus de centres de données privés, d’environnements en p

2006-05-16Read paper →DFIR

ARC-DFIR: Une architecture formelle, probabiliste et évolutive pour la détection, la reconstruction et la corrélation automatisée des incidents dans des environnements d’entreprise hétérogènes

Suspicious_PowerShell { strings: $ps = "Invoke-Expression" condition: $ps } ``` 5. Implementation Nous utilisons Kafka (réplication 3), Flink avec checkpointing incrémental et un backend hybride. Le partitionnement emploie la clé composée $(origine, \lfloor t/\Delta t \rfloor)$. La récupération est proportionnelle à la taille de l’état persistant. Pour l’intégrité probatoire, nous implémentons un chaînage de hachage : $$ H_i = H(H_{i-1} \parallel e_i) $$ garantissant la détection d’altération sous l’hypothèse de résistance aux collisions. 6. Experimental Evaluatio

2006-05-09Read paper →DFIR

DFIR-Graph: Corrélation Temporelle-Probabiliste et Reconstruction Formelle de Chaînes d’Attaque dans des Environnements Hybrides Basée sur des Graphes Causaux

1. Introduction La surface d’attaque des organisations modernes s’est considérablement étendue au cours de la dernière décennie en raison de l’adoption d’architectures hybrides et multi‑cloud, de la consolidation de workloads conteneurisés, de l’utilisation intensive d’API, de l’intégration de chaînes d’approvisionnement numériques et de l’incorporation de télémétrie au niveau du noyau via eBPF. Des rapports sectoriels largement reconnus, tels que le Verizon Data Breach Investigations Report 2023 (VERIZON, 2023), indiquent que l’utilisation abusive d’identifiants valides et les techniques d’i

2006-05-02Read paper →