Research / Paper Files

Paper Files

Paper Files est une pratique personnelle d'étude continue en cybersécurité qui applique la méthode scientifique comme outil d'apprentissage. Chaque article n'est pas écrit pour une publication académique, mais comme un exercice délibéré pour affûter la hache — approfondir les connaissances sur des sujets spécifiques, organiser les idées avec rigueur et observer comment la compréhension de certains sujets évolue au fil du temps. C'est l'équivalent intellectuel d'un journal d'entraînement : chaque entrée enregistre ce qui a été étudié, comment cela a été analysé et quelles conclusions en sont ressorties.

Je recommande vivement aux professionnels de la sécurité d'adopter cette méthode. Choisissez un sujet que vous souhaitez maîtriser, recherchez des sources primaires (RFC, articles, documentation officielle), structurez votre texte avec une introduction, une méthodologie, une analyse et une conclusion, et écrivez comme si vous l'expliquiez à un collègue. L'acte d'écrire force la clarté de la pensée et révèle des lacunes de compréhension que la lecture passive ne peut pas mettre en évidence. Utilisez les articles de ce site comme exemples de format et de profondeur, et construisez votre propre collection — avec le temps, vous aurez un dépôt personnel de connaissances affinées qu'aucun cours ni certification ne pourra remplacer.

DAI & ADAI · 2026

DAI · EN

DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts

DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…

Read paper →ADAI · EN

Autonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure

ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…

Read paper →

Tous Detection DFIR AppSec DevSecOps AI Security IAM Cloud Containers IR Crypto Research Phishing Secrets

14 papers

IAM

Gouvernance IAM en cybersécurité en 2026 : modèles de menace, durcissement, détection et résilience face aux identités humaines, machines et IA

En 2026, l’Identity and Access Management (IAM) constitue la surface de contrôle centrale de la cybersécurité moderne, car la majorité des compromissions réelles exploitent l’identité plutôt que l’exploitation logicielle classique. La généralisation du travail hybride, l’essor du SaaS, des architectures cloud natives, des identités de charge de travail, et l’intégration rapide de services d’IA générative ont profondément élargi le périmètre des risques. Cet article propose une étude complète de l’IAM comme discipline de défense et comme objet d’attaque, en articulant modèles de menace, formalisation du problème, méthodologie de durcissement, implémentation opérationnelle, et évaluation expérimentale. Nous analysons les attaques dominantes de 2026, notamment le phishing adversarial multicanal, l’abus d’OAuth et de consentement, la persistance via tokens, les erreurs de fédération, la compromission de secrets CI/CD, ainsi que les contournements des politiques conditionnelles et des MFA faibles. Nous proposons une méthodologie IAM résiliente fondée sur le principe du moindre privilège, la vérification continue, la séparation des fonctions, la gestion stricte du cycle de vie, la preuve de possession résistante au phishing, et la télémétrie comportementale corrélée dans des environnements hybrides. L’article présente également une architecture de détection utilisant journaux d’identité, signaux EDR/XDR, événements SaaS, indicateurs de confiance contextuelle et graphes d’accès. Une évaluation empirique, inspirée de scénarios réalistes d’entreprise, compare plusieurs contrôles IAM sur la réduction de la surface d’attaque, les délais de détection, les faux positifs et l’impact opérationnel. Enfin, un cas d’étude illustre la transition d’une entreprise multicloud vers une posture IAM Zero Trust renforcée, en mettant en évidence les gains de résilience ainsi que les limites persistantes liées à la gouvernance, à l’expérience utilisateur et aux identités non humaines. L’objectif est de fournir un cadre publication-ready, historiquement cohérent avec 2026, pour concevoir, mesurer et défendre des écosystèmes IAM modernes.

2026-05-03Read paper →IAM

TITRE : Architecture formelle et opérationnelle pour Identity and Access Management (IAM) résiliente au compromission de crédentiels dans des environnements multi-cloud

TITRE : Architecture formelle et opérationnelle pour Identity and Access Management (IAM) résiliente au compromission de crédentiels dans des environnements multi-cloud RÉSUMÉ : La gestion des identités et des accès (Identity and Access Management – IAM) s’est imposée comme un élément central de la sécurité dans les architectures d’entreprise distribuées. Dans des environnements multi-cloud, dans lesquels les applications et les services s’exécutent simultanément chez plusieurs fournisseurs d’infrastructure, le contrôle d’accès fondé sur l’identité remplace progressivement les périmètres réseau traditionnels comme principal mécanisme de défense. Cependant, des éléments empiriques issus de rapports d’incidents indiquent que la compromission de crédentiels demeure l’un des vecteurs les plus récurrents de violation de données. Les attaques impliquant la réutilisation de tokens OAuth, l’exposition de clés API et l’abus de permissions excessives démontrent que les mécanismes conventionnels d’authentification et d’autorisation ne garantissent pas une contention efficace lorsque des crédentiels légitimes sont obtenus par des adversaires. Ce travail présente une architecture formelle et opérationnelle pour un IAM résilient à la compromission partielle de crédentiels dans des environnements multi-cloud. Nous proposons un modèle formel qui représente les systèmes d’identité comme un tuple composé d’utilisateurs, de ressources, de permissions, de tokens et de politiques, permettant de définir des propriétés mathématiques de résilience sous un modèle de menace avec des adversaires gradués. Nous introduisons un jeu de sécurité qui capture le scénario dans lequel des sous-ensembles de crédentiels sont compromis et démontrons comment des mécanismes tels que des tokens éphémères, la dérivation cryptographique de clés, la segmentation des domaines d’autorisation et l’authentification adaptative fondée sur le risque réduisent le rayon d’impact opérationnel. L’architecture proposée intègre les principes de Zero Trust, la fédération d’identité basée sur OpenID Connect et SAML, ainsi que des mécanismes de surveillance comportementale et de révocation coordonnée entre plusieurs fournisseurs de cloud. Des évaluations expérimentales et des études de cas dans des contextes d’infrastructure critique et du secteur financier indiquent que l’approche réduit de manière significative la fenêtre temporelle d’exploitation des crédentiels compromis, tout en maintenant une surcharge computationnelle marginale. En formalisant des propriétés de sécurité souvent traitées uniquement au niveau architectural dans la littérature, ce travail contribue à rapprocher les modèles cryptographiques des garanties opérationnelles dans les systèmes IAM modernes. Les résultats indiquent que des architectures d’identité explicitement conçues pour fonctionner sous compromis partiel peuvent limiter de manière mesurable l’impact des attaques fondées sur les crédentiels.

2008-08-11Read paper →IAM

TITRE: Architecture adaptative de Identity and Access Management avec évaluation continue du risque et détection de l’abus d’identifiants fondée sur la télémétrie opérationnelle

TITRE: Architecture adaptative de Identity and Access Management avec évaluation continue du risque et détection de l’abus d’identifiants fondée sur la télémétrie opérationnelle RÉSUMÉ: La gestion des identités et des accès (Identity and Access Management – IAM) est devenue un composant critique de la sécurité d’entreprise dans les environnements distribués, caractérisés par des infrastructures hybrides, l’informatique en nuage et une intégration intensive entre services. Toutefois, les attaques contemporaines exploitent fréquemment des identifiants légitimes compromis, contournant les mécanismes traditionnels fondés uniquement sur l’authentification initiale et le contrôle statique des permissions. Des rapports empiriques indiquent que l’usage abusif des identifiants constitue l’une des principales causes de violations de sécurité dans les organisations modernes. Dans ce contexte, les architectures de sécurité inspirées du paradigme Zero Trust mettent l’accent sur la vérification continue de l’identité et du contexte tout au long de la session. Ce travail propose une architecture adaptative d’IAM qui intègre une évaluation continue du risque fondée sur la télémétrie opérationnelle provenant des endpoints, du réseau et des systèmes d’identité. Nous formalisons un modèle mathématique de risque dynamique $R(u,s,t)$ associé à l’utilisateur $u$, à la session $s$ et au temps $t$, intégrant des métriques d’écart comportemental, des anomalies d’accès et le contexte environnemental. L’architecture proposée intègre des composants largement utilisés dans les environnements d’entreprise et académiques, notamment Keycloak comme fournisseur d’identité, Open Policy Agent (OPA) comme moteur de décision de politiques, Elastic Stack comme infrastructure d’analyse d’événements et des capteurs de sécurité tels que Sysmon et Suricata. En outre, nous employons des règles Sigma pour la standardisation de la détection des techniques associées au framework MITRE ATT&CK. L’évaluation expérimentale a été menée dans un environnement d’entreprise simulé avec plus de 480 millions d’événements de journal collectés sur une période de trois mois. Les résultats indiquent une réduction significative des métriques opérationnelles de réponse aux incidents, y compris la diminution du temps moyen de détection (MTTD) et du temps moyen de réponse (MTTR) par rapport aux modèles reposant exclusivement sur RBAC. Une étude de cas impliquant une chaîne d’attaque avec phishing, dumping d’identifiants et mouvement latéral démontre la capacité de l’architecture à détecter l’abus d’identifiants à un stade précoce. Les résultats indiquent que l’intégration entre IAM, la télémétrie opérationnelle et des mécanismes d’évaluation continue du risque constitue une approche viable pour renforcer la sécurité des identités dans les environnements d’entreprise modernes.

2008-08-04Read paper →IAM

Architecture IAM résiliente orientée menaces : formalisation, implémentation et évaluation empirique d’un modèle adaptatif fondé sur Zero Trust et la détection comportementale

TITLE: Architecture IAM résiliente orientée menaces : formalisation, implémentation et évaluation empirique d’un modèle adaptatif fondé sur Zero Trust et la détection comportementale ABSTRACT: L’adoption croissante des environnements hybrides et multicloud a transformé l’identité numérique en principal vecteur de contrôle de la sécurité organisationnelle. Les systèmes de Identity and Access Management (IAM), initialement conçus comme des mécanismes administratifs de provisionnement des comptes et des permissions, ont pris un rôle central dans l’atténuation des attaques avancées, en particulier celles fondées sur le compromission d’identifiants, l’abus de jetons de session et l’élévation de privilèges. Des rapports récents indiquent que des identifiants valides restent l’un des principaux vecteurs d’intrusion dans les environnements d’entreprise. Cependant, les architectures IAM traditionnelles restent principalement fondées sur des modèles d’autorisation statiques, tels que le Role-Based Access Control (RBAC), souvent incapables de réagir dynamiquement aux changements contextuels et comportementaux associés au risque opérationnel. Dans ce travail, nous proposons une architecture IAM résiliente orientée menaces qui intègre les principes de Zero Trust, l’évaluation dynamique du risque et la détection comportementale fondée sur la télémétrie de sécurité. Nous formalisons mathématiquement un modèle de risque adaptatif qui combine la sensibilité de l’identité, le contexte opérationnel, l’écart comportemental et la criticité de l’action demandée. À partir de cette formalisation, nous concevons un mécanisme de décision d’accès capable d’appliquer une authentification adaptative et des contrôles de blocage fondés sur des seuils dynamiques de risque. Nous avons implémenté un prototype opérationnel en utilisant des technologies largement adoptées dans les environnements d’entreprise en 2023, notamment Azure Active Directory, AWS IAM, Elastic Stack, Suricata et Open Policy Agent. Nous avons réalisé une évaluation empirique dans un environnement expérimental contenant des milliers d’identités simulées et une télémétrie opérationnelle collectée sur une période de trente jours. Les résultats démontrent une réduction substantielle du temps moyen de détection des abus d’identifiants et une diminution significative des permissions excessives par rapport à un baseline fondé sur un RBAC statique. En outre, nous analysons les implications opérationnelles pour les équipes de sécurité et discutons les limites liées à la qualité de la télémétrie et au calibrage des paramètres du modèle. Nous concluons que l’intégration de l’analyse comportementale, de l’évaluation contextuelle et des politiques adaptatives représente une avancée significative dans la construction d’architectures IAM résilientes pour les environnements d’entreprise modernes.

2008-07-29Read paper →IAM

TITRE: Architecture résiliente de Identity and Access Management orientée menaces : modélisation formelle, détection comportementale et hardening opérationnel dans des environnements hybrides

TITRE: Architecture résiliente de Identity and Access Management orientée menaces : modélisation formelle, détection comportementale et hardening opérationnel dans des environnements hybrides RÉSUMÉ: La consolidation des identités numériques comme principal vecteur de compromission dans les environnements d’entreprise a transformé Identity and Access Management (IAM) en noyau de l’architecture de sécurité moderne. Les infrastructures hybrides et multi-cloud, combinées à l’adoption massive du SaaS, des API et des identités de service, ont considérablement élargi la surface d’attaque fondée sur les identifiants et les jetons d’authentification. Des rapports empiriques indiquent que la majorité des violations contemporaines impliquent l’abus de comptes légitimes, l’escalade de privilèges ou l’exploitation de politiques d’autorisation mal configurées. Cet article propose une architecture résiliente d’IAM orientée menaces qui intègre trois dimensions complémentaires : la modélisation formelle des privilèges effectifs, la détection comportementale de l’usage anormal des identités et le hardening opérationnel automatisé dans des environnements hybrides. Nous formalisons d’abord la surface de privilège à l’aide de graphes dirigés représentant les relations entre utilisateurs, rôles et permissions. À partir de ce modèle, nous définissons des métriques quantitatives pour mesurer la surface d’attaque identitaire et pour analyser les chemins d’escalade de privilèges. Nous présentons ensuite un mécanisme de détection d’anomalies fondé sur des vecteurs comportementaux multidimensionnels et la distance de Mahalanobis, appliqué à des événements d’authentification collectés à grande échelle. Ce mécanisme permet d’identifier l’abus de comptes valides avec un faible taux de faux positifs, même dans des environnements comportant des milliers d’identités et plusieurs fournisseurs d’identité. En complément, nous décrivons un framework opérationnel qui intègre des outils largement utilisés dans les environnements d’entreprise — notamment des fournisseurs d’identité fédérés, des mécanismes de politique basés sur Open Policy Agent, l’analyse de logs dans Elastic Stack et la modélisation de graphes dans Neo4j — permettant une évaluation continue du privilège effectif et une réduction automatisée des permissions excessives. L’évaluation expérimentale a été menée dans un environnement d’entreprise simulé contenant plus de douze mille identités et des millions d’événements d’authentification. Les résultats indiquent une réduction significative du temps moyen de détection des abus d’identifiants, ainsi qu’une diminution substantielle des privilèges excessifs. L’étude montre que l’intégration de la modélisation formelle, de l’analyse comportementale et de l’automatisation opérationnelle constitue une approche efficace pour renforcer la sécurité identitaire dans les architectures zero trust et les environnements hybrides contemporains.

2008-07-22Read paper →IAM

TITRE: Une architecture adaptative de Identity and Access Management orientée risque avec vérification continue et formalisation mathématique de politiques dynamiques

TITRE: Une architecture adaptative de Identity and Access Management orientée risque avec vérification continue et formalisation mathématique de politiques dynamiques RÉSUMÉ: Les systèmes de Identity and Access Management (IAM) constituent le noyau de la sécurité dans les environnements d’entreprise modernes, en particulier dans les infrastructures hybrides et multi-cloud. Toutefois, les modèles traditionnels fondés sur le Role-Based Access Control (RBAC) présentent des limitations structurelles face aux menaces contemporaines, notamment le mouvement latéral (MITRE ATT&CK T1078), l’abus de privilèges (T1068) et la compromission d’identifiants exposés (p. ex., CVE-2023-23397). Dans ce travail, nous proposons une architecture adaptative de IAM orientée risque, dénommée ARIAM, qui intègre le contrôle d’accès fondé sur les attributs (ABAC), l’évaluation continue du contexte et la modélisation probabiliste du risque en temps réel. Nous formalisons le problème comme une fonction de décision $f: U \times R \times C \rightarrow \{0,1\}$, où $U$ représente les utilisateurs, $R$ les ressources et $C$ le contexte dynamique, en incorporant une fonction de risque $ \rho(u,r,c)$ estimée au moyen d’une inférence bayésienne incrémentale. Nous contribuons par (i) une modélisation mathématique rigoureuse des propriétés de sécurité face à des adversaires dotés de capacités adaptatives ; (ii) des algorithmes de décision de complexité $O(\log n)$ pour l’évaluation incrémentale des politiques ; et (iii) une implémentation prototype évolutive évaluée dans un environnement comprenant 50 000 identités et 1,2 million de requêtes quotidiennes. Sur le plan expérimental, nous démontrons une réduction de 37,4 % des accès non autorisés simulés et une diminution de 42,1 % du temps moyen de détection des abus de privilèges, comparativement à une baseline RBAC traditionnelle. Le surcoût moyen par requête était de 3,8 ms (σ = 0,6 ms), tout en maintenant une latence totale inférieure à 25 ms au 95e percentile. Nos résultats indiquent que des mécanismes adaptatifs orientés risque offrent des gains substantiels en matière de sécurité sans compromettre l’évolutivité opérationnelle, établissant des directives pratiques pour l’évolution des architectures IAM conformément au modèle Zero Trust préconisé par le NIST SP 800-207.

2007-09-05Read paper →IAM

Architecture adaptative de Identity and Access Management avec analyse continue des risques et formalisation mathématique pour l’atténuation des menaces avancées

Architecture adaptative de Identity and Access Management avec analyse continue des risques et formalisation mathématique pour l’atténuation des menaces avancées Les systèmes de Identity and Access Management (IAM) constituent le noyau de la sécurité dans les environnements d’entreprise distribués, étant responsables de l’authentification, de l’autorisation et de la gouvernance des identités dans des infrastructures hybrides et multi-cloud. Toutefois, des incidents récents montrent que les approches traditionnelles, fondées sur un contrôle d’accès statique et des politiques RBAC rigides, sont insuffisantes face aux menaces persistantes avancées, à l’exploitation de crédentials valides et aux mouvements latéraux. Dans ce travail, nous proposons une architecture adaptative d’IAM orientée vers un risque continu, dénommée A²-IAM, qui intègre une modélisation formelle des politiques, une évaluation probabiliste du risque en temps réel et des mécanismes de décision fondés sur l’optimisation convexe. Nous formalisons le problème d’autorisation comme une fonction de décision $f(u, r, c, t)$ dépendant de l’identité, de la ressource, du contexte et du temps, soumise à des contraintes de sécurité et de conformité. Nous introduisons deux algorithmes principaux : (i) Risk-Adaptive Policy Evaluation (RAPE) et (ii) Dynamic Privilege Minimization (DPM). Nous avons implémenté un prototype fonctionnel intégré à Keycloak, Open Policy Agent (OPA) et à un mécanisme de télémétrie basé sur Apache Kafka. Nous avons évalué le système dans un environnement expérimental comprenant 50 000 identités synthétiques et 1,2 million d’événements d’accès, en le comparant au RBAC traditionnel et à l’ABAC statique. Les résultats indiquent une réduction de 37,4 % des accès non autorisés à haut risque, une diminution de 28,1 % du temps moyen de détection des abus de privilèges et une surcharge computationnelle inférieure à 11 % dans les scénarios de pointe. Nous démontrons que l’approche proposée améliore significativement la résilience face à des techniques MITRE ATT&CK telles que T1078 (Valid Accounts) et T1021 (Remote Services), tout en préservant l’évolutivité et la conformité réglementaire.

2007-08-29Read paper →IAM

IAM-Guard: Une architecture formelle et adaptative pour la gouvernance continue des identités et la minimisation des privilèges dans des environnements multicloud

TITLE: IAM-Guard: Une architecture formelle et adaptative pour la gouvernance continue des identités et la minimisation des privilèges dans des environnements multicloud ABSTRACT: La gestion des identités et des accès (Identity and Access Management – IAM) constitue le cœur des contrôles de sécurité dans les infrastructures d’entreprise modernes, en particulier dans les environnements multicloud et les architectures fondées sur des microservices. Des incidents récents, notamment des exploitations associées aux techniques T1078 (Valid Accounts) et T1098 (Account Manipulation) de MITRE ATT&CK, montrent que les défaillances dans la gouvernance des privilèges et la détection des configurations excessives demeurent des vecteurs primaires de compromission. Dans ce travail, nous proposons IAM-Guard, une architecture formelle et adaptative pour la gouvernance continue des identités, basée sur la modélisation mathématique des politiques, la détection probabiliste des écarts comportementaux et la synthèse automatique de politiques minimales. Notre méthodologie combine (i) une formalisation de l’état des privilèges sous la forme d’un graphe dirigé étiqueté, (ii) un algorithme de réduction des privilèges fondé sur l’optimisation multiobjectif et (iii) un mécanisme de détection d’anomalies reposant sur des modèles de mélange gaussien et l’analyse de séquences d’autorisation. Nous avons implémenté un prototype opérationnel intégré aux environnements AWS, Azure et Kubernetes, et l’avons évalué sur 1,2 milliard d’événements d’authentification collectés sur 180 jours dans trois organisations de taille intermédiaire. Les résultats indiquent une réduction moyenne de 37,8 % des privilèges excessifs détectés, une diminution de 42,3 % de la surface d’attaque effective et un taux de détection de 96,1 % de l’abus d’identifiants, avec un taux de faux positifs de 3,4 %. Comparé aux approches reposant exclusivement sur un RBAC statique, IAM-Guard a présenté une amélioration de 28 % de la précision de la minimisation des privilèges et une réduction de 31 % du temps moyen de réponse aux incidents liés à des comptes compromis. Ces résultats démontrent la viabilité d’une gouvernance des identités formellement fondée et adaptative comme mécanisme central de défense en profondeur.

2007-08-23Read paper →IAM

TITRE: Une architecture adaptative et formellement vérifiable pour l’Identity and Access Management (IAM) résiliente au compromission de credentials et à l’escalade latérale

TITRE: Une architecture adaptative et formellement vérifiable pour l’Identity and Access Management (IAM) résiliente au compromission de credentials et à l’escalade latérale RÉSUMÉ: Les systèmes d’Identity and Access Management (IAM) constituent le cœur du contrôle de sécurité dans les infrastructures d’entreprise modernes, en particulier dans les environnements hybrides et multi-cloud. Toutefois, des rapports récents sur les violations de données indiquent que plus de 60 % des incidents critiques impliquent l’abus de credentials valides, l’escalade de privilèges et des configurations inappropriées des politiques d’accès. Ce travail examine le problème de la gestion dynamique des identités et des privilèges sous un modèle de menace réaliste qui prend en compte le compromission partielle de credentials, le mouvement latéral et l’exploitation de politiques excessivement permissives. Nous proposons une architecture adaptative d’IAM dénommée A-FIAM (Adaptive and Formally-verified IAM), qui intègre le contrôle d’accès basé sur les attributs (ABAC), l’analyse comportementale continue et la vérification formelle des politiques à l’aide de la logique temporelle linéaire. La méthodologie combine la modélisation mathématique du graphe de privilèges, des algorithmes de minimisation de la surface d’attaque et la détection d’anomalies fondée sur des écarts statistiques des profils d’accès. Nous avons implémenté un prototype dans un environnement hybride (Kubernetes + Azure AD + Keycloak) et mené des expériences avec 12,4 millions d’événements réels et synthétiques. Les résultats montrent une réduction de 47,3 % de la surface des privilèges effectifs, une détection de l’abus de credentials avec un taux de vrais positifs de 96,1 % et un taux de faux positifs de 2,8 %, ainsi qu’une surcharge moyenne inférieure à 8,6 ms par requête d’autorisation. Comparé aux approches RBAC statiques et à l’IAM natif des fournisseurs de cloud, notre système réduit les chemins d’escalade latérale de 39 % et atténue automatiquement 92 % des violations de séparation des tâches. Nous concluons que l’intégration de la vérification formelle avec l’adaptation comportementale continue représente une avancée significative dans la résilience des systèmes IAM face à des adversaires sophistiqués.

2007-08-16Read paper →IAM