Research / Paper Files
Paper Files
Paper Files est une pratique personnelle d'étude continue en cybersécurité qui applique la méthode scientifique comme outil d'apprentissage. Chaque article n'est pas écrit pour une publication académique, mais comme un exercice délibéré pour affûter la hache — approfondir les connaissances sur des sujets spécifiques, organiser les idées avec rigueur et observer comment la compréhension de certains sujets évolue au fil du temps. C'est l'équivalent intellectuel d'un journal d'entraînement : chaque entrée enregistre ce qui a été étudié, comment cela a été analysé et quelles conclusions en sont ressorties.
Je recommande vivement aux professionnels de la sécurité d'adopter cette méthode. Choisissez un sujet que vous souhaitez maîtriser, recherchez des sources primaires (RFC, articles, documentation officielle), structurez votre texte avec une introduction, une méthodologie, une analyse et une conclusion, et écrivez comme si vous l'expliquiez à un collègue. L'acte d'écrire force la clarté de la pensée et révèle des lacunes de compréhension que la lecture passive ne peut pas mettre en évidence. Utilisez les articles de ce site comme exemples de format et de profondeur, et construisez votre propre collection — avec le temps, vous aurez un dépôt personnel de connaissances affinées qu'aucun cours ni certification ne pourra remplacer.
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →11 papers
TITRE : Architecture orientée données pour la réponse aux incidents dans des environnements hybrides : formalisation, automatisation et orchestration basées sur MITRE ATT&CK
TITRE : Architecture orientée données pour la réponse aux incidents dans des environnements hybrides : formalisation, automatisation et orchestration basées sur MITRE ATT&CK RÉSUMÉ : La réponse aux incidents (IR) est devenue un composant critique de la cybersécurité moderne face à l’augmentation exponentielle des attaques ciblées, du ransomware-as-a-service et des opérations menées par des États-nations. Des rapports récents indiquent que le temps moyen de résidence (dwell time) des adversaires dépasse encore 16 jours dans des environnements d’entreprise complexes, même avec l’adoption d’EDR et de SIEM avancés. Ce travail propose une architecture orientée données pour l’IR dans des environnements hybrides (on-premise et cloud), intégrant la modélisation formelle des menaces, la corrélation basée sur MITRE ATT&CK, la détection multicouche et l’automatisation avec SOAR. Nous formalisons le processus de réponse comme un problème d’optimisation multiobjectif qui minimise le temps de confinement et l’impact opérationnel, sous contraintes de précision forensic et de continuité d’activité. Notre méthodologie combine l’ingestion structurée de journaux (Sysmon, CloudTrail, Zeek), la détection par signatures (Suricata, YARA), l’analyse comportementale fondée sur des graphes et l’orchestration automatisée via des playbooks paramétrés. Nous avons implémenté deux algorithmes principaux : (i) un mécanisme de priorisation adaptative des incidents basé sur un score bayésien conditionné aux TTP observées ; (ii) un moteur de corrélation temporelle de complexité O(n log n) pour la reconstruction des chaînes d’attaque. Nous avons évalué la solution dans un environnement contrôlé comprenant 120 endpoints, 15 serveurs et des charges AWS simulant 42 scénarios réels (dont T1059, T1027, T1486). Par rapport à un SIEM traditionnel de référence, nous avons obtenu une réduction moyenne de 37,4 % du MTTR et une augmentation de 28,6 % du taux de détection contextualisée, avec un écart-type inférieur à 4,1 %. Les résultats montrent que l’intégration formelle entre le threat modeling, une télémétrie riche et une automatisation orchestrée réduit significativement l’effort manuel et améliore la cohérence des décisions opérationnelles. Nous concluons que l’approche proposée établit un cadre réplicable pour les équipes CSIRT et SOC opérant sous des contraintes réelles de ressources et une forte variabilité des menaces.
Read paper →IRTITRE: Architecture orientée par les preuves pour Incident Response (IR) basée sur la corrélation multicouche et la formalisation mathématique du cycle de réponse
TITRE: Architecture orientée par les preuves pour Incident Response (IR) basée sur la corrélation multicouche et la formalisation mathématique du cycle de réponse RÉSUMÉ: Incident Response (IR) est devenu l’un des piliers stratégiques de la cybersécurité contemporaine face à la croissance exponentielle d’attaques sophistiquées, telles que les ransomwares opérés par des humains, les campagnes d’espionnage APT et l’exploitation massive de vulnérabilités critiques (par exemple, CVE-2021-44228 – Log4Shell). Malgré la consolidation de cadres tels que NIST SP 800-61 et MITRE ATT&CK, l’opérationnalisation pratique de IR souffre encore de lacunes en matière de corrélation multi-source, de priorisation des alertes et de préservation des preuves sous forte pression temporelle. Cet article propose une architecture orientée par les preuves pour IR, basée sur une corrélation multicouche (réseau, endpoint, identité et mémoire volatile), formalisée mathématiquement comme un problème d’optimisation sur des graphes temporels d’événements. Notre méthodologie intègre la collecte automatisée (Suricata, Zeek, Sysmon), la détection fondée sur des règles (Sigma, YARA), l’analyse mémoire (Volatility 3), l’enrichissement par renseignement sur les menaces (MISP) et la modélisation comportementale via un mappage explicite vers MITRE ATT&CK. Nous définissons un modèle formel dans lequel les événements $E = \{e_1, e_2, ..., e_n\}$ sont représentés comme des sommets dans un graphe dirigé temporel $G=(V, A, T)$, où les arêtes indiquent des relations causales ou contextuelles. Nous proposons deux algorithmes: (1) Corrélation Temporelle Pondérée (CTP) avec une complexité $O(n \log n)$; et (2) Priorisation Bayésienne des Incidents (PBI), qui estime la probabilité a posteriori de compromission $P(C|E)$ en utilisant une mise à jour incrémentale. Dans des expériences contrôlées avec 12,4 TB de journaux réels et des jeux de données publics (CIC-IDS2017 et DARPA TC), nous avons obtenu une réduction de 37 % du temps moyen de triage (MTTT) et une augmentation de 22 % du taux de vrais positifs (TPR), tout en maintenant le FPR en dessous de 4,8 %. L’évaluation montre que l’intégration formelle de multiples couches forensiques réduit de manière significative les faux positifs corrélés aux techniques ATT&CK T1059 (Command and Scripting Interpreter), T1027 (Obfuscated Files) et T1003 (Credential Dumping). Une étude de cas portant sur le ransomware LockBit 3.0 met en évidence un gain opérationnel concret dans la containment en moins de 45 minutes. Nous concluons que la formalisation mathématique alliée à l’automatisation orientée par les preuves constitue une avancée significative dans la maturité opérationnelle des équipes SOC et CSIRT, contribuant à la réduction du dwell time et à l’augmentation de la résilience organisationnelle.
Read paper →IRTITRE : Architecture orientée vers les preuves et modélisation formelle pour la réponse aux incidents (IR) fondée sur ATT&CK : intégration de télémétrie multicouche, orchestration automatisée et analyse forensique évolutive
TITRE : Architecture orientée vers les preuves et modélisation formelle pour la réponse aux incidents (IR) fondée sur ATT&CK : intégration de télémétrie multicouche, orchestration automatisée et analyse forensique évolutive RÉSUMÉ : La sophistication croissante des campagnes de ransomware, des opérations d’espionnage parrainées par des États et des attaques de supply chain — telles que SolarWinds (CVE-2020-10148), ProxyLogon (CVE-2021-26855) et Log4Shell (CVE-2021-44228) — met en évidence des limites structurelles des processus traditionnels de Incident Response (IR). Malgré l’adoption généralisée de cadres tels que NIST SP 800-61r2 et MITRE ATT&CK, de nombreuses organisations fonctionnent encore avec des playbooks statiques, une faible corrélation entre les couches de télémétrie et l’absence de formalisation mathématique du processus décisionnel. Dans cet article, nous proposons une architecture orientée vers les preuves pour l’IR, qui intègre une collecte multimodale (réseau, endpoint, identité et mémoire), une modélisation formelle du cycle de réponse comme un problème d’optimisation sous incertitude et une orchestration automatisée basée sur SOAR. Notre méthodologie combine : (i) un modèle formel de détection et de confinement sous forme de graphe temporel dirigé pondéré ; (ii) des algorithmes de priorisation fondés sur un score bayésien afin de réduire le Mean Time to Detect (MTTD) et le Mean Time to Respond (MTTR) ; et (iii) une intégration pratique avec des outils réels tels que Suricata, Zeek, Wazuh, Elastic SIEM, Sigma, YARA et Volatility. Nous évaluons la proposition dans un laboratoire contrôlé avec 420 exécutions de scénarios adversariaux mappés aux tactiques MITRE ATT&CK (TA0001–TA0009), incluant des techniques telles que T1059 (Command and Scripting Interpreter), T1003 (Credential Dumping) et T1486 (Data Encrypted for Impact). Les résultats montrent une réduction moyenne de 37,4 % du MTTR (de 9h12m à 5h45m), une augmentation de 22,8 % du taux de détection précoce et une diminution de 31 % des faux positifs par rapport aux pipelines SIEM traditionnels fondés exclusivement sur une corrélation statique. L’architecture a présenté une évolutivité linéaire jusqu’à 25 000 événements par seconde avec une latence moyenne inférieure à 480 ms dans un environnement distribué. Nous concluons que la formalisation mathématique du processus d’IR, associée à une instrumentation opérationnelle adéquate et à une automatisation fondée sur les preuves, offre des gains mesurables d’efficacité et de précision. Le travail apporte des contributions théoriques et opérationnelles applicables aux SOC de taille moyenne et grande, en proposant un modèle reproductible pour les environnements d’entreprise et gouvernementaux.
Read paper →IRTITRE : IR-GraphSec : un cadre formel et scalable pour la réponse aux incidents orientée par graphes et la Threat Intelligence
TITRE : IR-GraphSec : un cadre formel et scalable pour la réponse aux incidents orientée par graphes et la Threat Intelligence RÉSUMÉ : La sophistication croissante des campagnes d’intrusion, caractérisées par des mouvements latéraux furtifs, l’abus de comptes d’accès et une persistance multi-étapes, impose des défis significatifs aux équipes de Réponse aux Incidents (Incident Response – IR). Les approches traditionnelles, fortement fondées sur des playbooks statiques et sur l’analyse manuelle des journaux, présentent des limitations dans des environnements distribués et à grande échelle. Dans ce travail, nous proposons IR-GraphSec, un cadre formel et scalable pour l’orchestration de la réponse aux incidents, basé sur la modélisation de graphes temporels et l’enrichissement continu par la Threat Intelligence. Nous modélisons les événements de sécurité comme un graphe dirigé et temporel $G = (V, E, \tau)$, dans lequel les sommets représentent des entités (hôtes, utilisateurs, processus, artefacts) et les arêtes représentent les interactions observées. Nous introduisons des métriques de centralité pondérées par le risque ainsi qu’un algorithme de priorisation de la contention de complexité $O(|E|\log|V|)$. Nous avons implémenté un prototype distribué reposant sur Apache Kafka, Neo4j et un mécanisme de traitement incrémental sous Apache Flink. Nous avons évalué le système à l’aide de jeux de données réels (DARPA Transparent Computing, journaux d’entreprise anonymisés contenant 2,3 milliards d’événements) et de scénarios synthétiques fondés sur MITRE ATT&CK. Comparé à des approches basées sur la corrélation de règles (SIEM traditionnel) et à des playbooks déterministes, IR-GraphSec a réduit le temps moyen de contention (MTTC) de 37,4 %, diminué les faux positifs de 28,1 % et amélioré la priorisation des actifs critiques avec un gain moyen de 0,19 en AUC-ROC. Nos résultats montrent que la formalisation mathématique de la réponse aux incidents comme un problème d’optimisation sur graphes temporels, alliée à une Threat Intelligence contextualisée (STIX/TAXII), permet des réponses plus rapides, plus précises et plus adaptatives. Ce travail apporte (i) une modélisation formelle du problème de IR comme une optimisation multiobjectif, (ii) des algorithmes de priorisation fondés sur la centralité du risque et (iii) une évaluation empirique extensive dans des environnements à grande échelle.
Read paper →IRIndustrialisation de l’Incident Response en 2025: orchestration, télémétrie eBPF et analyse assistée par IA dans les opérations de réponse aux intrusions
La réponse à incident (Incident Response – IR) est devenue un pilier central de la cybersécurité opérationnelle face à l’industrialisation des attaques. Entre 2020 et 2025, la surface d’attaque s’est considérablement élargie avec la généralisation du cloud natif, l’adoption massive d’architectures Zero Trust et l’intégration de systèmes d’intelligence artificielle générative dans les workflows d’entreprise. Parallèlement, les acteurs malveillants ont amélioré leurs capacités d’automatisation, exploitant des chaînes d’attaque multi‑étapes combinant phishing assisté par IA, exploitation de vulnérabilités zero‑day et mouvements latéraux furtifs. Dans ce contexte, les équipes de sécurité doivent dépasser les approches traditionnelles d’IR centrées sur l’analyse manuelle et adopter des architectures de réponse hautement automatisées. Cet article propose une approche opérationnelle pour l’industrialisation de l’Incident Response basée sur trois piliers techniques: (1) la télémétrie profonde via eBPF et la collecte d’événements multi‑sources, (2) l’orchestration automatisée via SOAR et playbooks dynamiques, et (3) l’analyse assistée par modèles d’apprentissage automatique pour la priorisation des alertes et la reconstruction de chaînes d’attaque. Nous formalisons un modèle de menace adapté aux environnements hybrides (endpoint, cloud, conteneurs, identités) et introduisons une fonction de scoring de risque permettant de prioriser les incidents en temps réel. La méthodologie proposée est évaluée dans un laboratoire reproduisant des scénarios d’attaque réalistes incluant ransomware, exploitation de vulnérabilités web et compromission d’identités cloud. Les résultats expérimentaux montrent une réduction du Mean Time To Detect (MTTD) de 43 % et du Mean Time To Respond (MTTR) de 38 % par rapport à une architecture IR traditionnelle basée sur SIEM. Une étude de cas détaillée examine la réponse à une intrusion simulant l’exploitation de CVE‑2023‑34362 (MOVEit Transfer), démontrant comment la corrélation de télémétrie endpoint, réseau et cloud permet de reconstruire rapidement la chronologie d’attaque. Enfin, l’article discute les implications stratégiques de l’automatisation de l’IR, notamment les risques d’erreurs automatisées, les défis de gouvernance des systèmes d’IA et l’évolution du rôle des analystes SOC. Nous concluons que l’IR moderne doit être conçu comme un système cyber‑physique distribué combinant télémétrie temps réel, orchestration algorithmique et expertise humaine.
Read paper →IRTITRE: IR-ADAPT : Un Cadre Formel, Probabiliste et Adaptatif pour l’Orchestration et l’Optimisation de la Réponse aux Incidents Cybernétiques dans des Environnements d’Entreprise Distribués
TITRE: IR-ADAPT : Un Cadre Formel, Probabiliste et Adaptatif pour l’Orchestration et l’Optimisation de la Réponse aux Incidents Cybernétiques dans des Environnements d’Entreprise Distribués RÉSUMÉ La Réponse aux Incidents (Incident Response – IR) est devenue un composant stratégique de la gouvernance de la sécurité de l’information dans les environnements d’entreprise distribués, caractérisés par des architectures multicloud, des workloads conteneurisés, des intégrations SaaS et des pipelines d’IA/ML. L’augmentation exponentielle du volume de télémétrie, combinée à la sophistication d’adversaires exploitant des identifiants valides, des vulnérabilités connues et des techniques d’évasion, impose des défis structurels à la priorisation et au confinement opportun des incidents. Dans ce travail, nous proposons IR-ADAPT, un cadre formel, probabiliste et adaptatif qui modélise l’IR comme un Processus de Décision de Markov Partiellement Observable (POMDP), permettant une optimisation quantitative sous incertitude. Nous formalisons le risque comme la valeur espérée conditionnelle de l’impact et introduisons une fonction de coût multivariée qui intègre la probabilité de compromission, l’impact normalisé et l’incertitude épistémique. Nous démontrons que la mise à jour bayésienne sur les croyances d’état, combinée à l’apprentissage par renforcement approximatif, permet des politiques adaptatives qui minimisent le coût espéré actualisé. Nous avons implémenté un prototype utilisant Elastic Stack, Apache Kafka et une plateforme SOAR (TheHive/Cortex), intégrant la télémétrie EDR, les journaux réseau et les événements cloud. Nous avons évalué le système sur un ensemble de 3,2 millions d’événements réels et synthétiques, en le comparant à des baselines fondées sur le CVSS et des règles SIEM statiques. Les résultats indiquent une réduction statistiquement significative du temps moyen de confinement (MTTC) de 47,3 % (±2,1 %), une augmentation de la précision à 92,4 % et une réduction de la charge manuelle de 31,8 %. Nous discutons des implications pour les environnements réglementés, de l’intégration avec le CNAPP et des limitations dans les contextes OT/ICS. Nous concluons que la formalisation probabiliste séquentielle offre des gains mesurables et des fondements théoriques solides pour l’orchestration adaptative de la réponse aux incidents jusqu’à l’état de l’art de 2025.
Read paper →IRIR-ADAPT : Un cadre formel, probabiliste et adaptatif pour l’orchestration et l’optimisation de la réponse aux incidents cybernétiques dans des environnements d’entreprise distribués
TITLE: IR-ADAPT : Un cadre formel, probabiliste et adaptatif pour l’orchestration et l’optimisation de la réponse aux incidents cybernétiques dans des environnements d’entreprise distribués ABSTRACT: La réponse aux incidents (Incident Response – IR) est devenue un composant stratégique de la gouvernance de la sécurité de l’information dans des environnements d’entreprise distribués, caractérisés par des architectures multicloud, des workloads conteneurisés, des intégrations SaaS et des pipelines d’IA/ML. L’augmentation exponentielle du volume de télémétrie, combinée à la sophistication d’adversaires exploitant des identifiants valides, des vulnérabilités connues et des techniques d’évasion, impose des défis structurels à la priorisation et au confinement rapide des incidents. Dans ce travail, nous proposons IR-ADAPT, un cadre formel, probabiliste et adaptatif qui modélise l’IR comme un Processus de Décision de Markov Partiellement Observable (POMDP), permettant une optimisation quantitative sous incertitude. Nous formalisons le risque comme la valeur espérée conditionnelle de l’impact et introduisons une fonction de coût multivariée qui intègre la probabilité de compromission, l’impact normalisé et l’incertitude épistémique. Nous démontrons que la mise à jour bayésienne des croyances d’état, combinée à l’apprentissage par renforcement approximé, permet des politiques adaptatives qui minimisent le coût attendu actualisé. Nous avons implémenté un prototype utilisant Elastic Stack, Apache Kafka et une plateforme SOAR (TheHive/Cortex), intégrant la télémétrie EDR, les journaux réseau et les événements cloud. Nous avons évalué le système sur un ensemble de 3,2 millions d’événements réels et synthétiques, en le comparant à des baselines basées sur le CVSS et des règles statiques de SIEM. Les résultats indiquent une réduction statistiquement significative du temps moyen de confinement (MTTC) de 47,3 % (±2,1 %), une augmentation de la précision à 92,4 % et une réduction de la charge manuelle de 31,8 %. Nous discutons des implications pour les environnements réglementés, de l’intégration avec les CNAPP et des limitations dans des contextes OT/ICS. Nous concluons que la formalisation séquentielle probabiliste offre des gains mesurables et des fondements théoriques solides pour l’orchestration adaptative de la réponse aux incidents à l’état de l’art de 2025.
Read paper →IRIR-GraphSec : Une architecture formelle basée sur des graphes temporels probabilistes et l’inférence bayésienne pour l’orchestration automatisée de la réponse aux incidents dans des environnements distribués
TITLE: IR-GraphSec : Une architecture formelle basée sur des graphes temporels probabilistes et l’inférence bayésienne pour l’orchestration automatisée de la réponse aux incidents dans des environnements distribués ABSTRACT: La complexité croissante des infrastructures numériques hybrides et multicloud impose des défis substantiels à la discipline de l’Incident Response (IR), exigeant des modèles formels capables de capturer les dépendances temporelles, sémantiques et probabilistes entre des événements distribués à grande échelle. Dans ce travail, nous proposons IR-GraphSec, une architecture formelle basée sur des graphes temporels probabilistes et l’inférence bayésienne pour la priorisation et l’orchestration automatisée des réponses aux incidents dans des environnements d’entreprise modernes. Nous formalisons les événements comme des tuples temporels enrichis sémantiquement et définissons un graphe dirigé dynamique dans lequel les sommets représentent des entités et les arêtes représentent des interactions causalement pertinentes au fil du temps. Nous modélisons la compromission des actifs comme des variables aléatoires binaires et estimons des probabilités a posteriori conditionnées à l’historique observationnel au moyen d’une régression logistique interprétable, approchant un champ aléatoire de Markov de premier ordre. Nous démontrons que le problème de priorisation de la contention sous contrainte budgétaire se réduit à une instance du problème du sac à dos 0-1, étant donc NP-difficile, et proposons une heuristique gloutonne avec des garanties classiques d’approximation. L’architecture a été implémentée avec Elastic Stack, Apache Flink, Neo4j, Kubernetes et PyTorch, soutenant 45.000 événements par seconde dans une expérience comportant 3,2 milliards d’événements réels anonymisés. En comparaison avec des approches basées sur des règles statiques et des modèles supervisés traditionnels, nous observons une réduction de 37,4 % du Mean Time to Detect (MTTD), de 42,1 % du Mean Time to Respond (MTTR) et une réduction de 22,3 % du taux de faux positifs. Nous discutons des implications théoriques, des limitations empiriques et des extensions impliquant des modèles causaux structurels, l’apprentissage en ligne et l’intégration avec des techniques modernes de sécurité dans des environnements natifs du cloud. Nos résultats montrent que la modélisation relationnelle temporelle probabiliste constitue une base solide pour l’orchestration adaptative de l’IR à l’échelle de l’entreprise.
Read paper →IRIR-GraphSec : Un Framework Formel et Évolutif pour l’Orchestration Automatisée de la Réponse aux Incidents Basée sur des Graphes d’Attaque et l’Optimisation Multiobjectif
TITLE: IR-GraphSec : Un Framework Formel et Évolutif pour l’Orchestration Automatisée de la Réponse aux Incidents Basée sur des Graphes d’Attaque et l’Optimisation Multiobjectif ABSTRACT: La sophistication croissante des campagnes cybernétiques multi‑étapes, associée à l’expansion d’environnements hybrides, natifs du cloud et orientés par l’intelligence artificielle, impose des défis substantiels à l’orchestration de la Réponse aux Incidents (Incident Response – IR). Bien que des frameworks normatifs tels que le NIST SP 800-61 Rev. 2 et le NIST Cybersecurity Framework établissent des lignes directrices consolidées, l’opérationnalisation efficace de la confinement demeure limitée par des dépendances topologiques complexes, des contraintes de disponibilité et de multiples objectifs conflictuels. Dans ce travail, nous formalisons le problème d’orchestration de la réponse comme une optimisation multiobjectif sur des graphes d’attaque dynamiques enrichis d’un mappage automatique vers MITRE ATT&CK et d’une télémétrie en quasi temps réel provenant d’environnements CNAPP, EDR et eBPF. Nous définissons une fonction objectif qui intègre le risque résiduel, le coût opérationnel et l’impact de l’indisponibilité, sous des contraintes budgétaires et de continuité des activités. Nous démontrons que le problème décisionnel associé est NP-difficile par réduction polynomiale à des variantes du problème de coupe minimale avec des contraintes supplémentaires. Nous proposons le framework IR-GraphSec, implémenté avec Neo4j, Apache Kafka et OR-Tools, capable de traiter des flux d’événements à grande échelle et de générer des plans de confinement optimisés via la programmation linéaire entière mixte et des heuristiques de branch-and-bound. Nous évaluons empiriquement le système sur un cluster distribué avec 4,8 millions d’événements réels et synthétiques, incluant des simulations avec MITRE Caldera. Les résultats indiquent une réduction moyenne de 63,4 % du Mean Time to Containment (MTTC), une diminution de 38,9 % du risque résiduel et un impact financier estimé inférieur de 41,9 % par rapport à des playbooks SOAR statiques. L’analyse statistique confirme la significativité avec $p < 0{,}01$. Nous discutons des limitations liées à la qualité de la télémétrie et explorons des extensions impliquant l’apprentissage par renforcement robuste, la sécurité des systèmes d’IA et l’intégration avec la cryptographie post‑quantique. Nous concluons que la modélisation formelle orientée graphes constitue une approche prometteuse pour l’orchestration adaptative et évolutive de l’IR en 2025.
Read paper →IRTITRE: IR-GraphShield : un cadre formel et évolutif pour l’orchestration intelligente de la réponse aux incidents fondée sur des graphes d’attaque et des preuves temporelles
TITRE: IR-GraphShield : un cadre formel et évolutif pour l’orchestration intelligente de la réponse aux incidents fondée sur des graphes d’attaque et des preuves temporelles RÉSUMÉ: La complexité croissante des environnements numériques en 2025, caractérisés par des architectures multicloud, des microservices, des workloads éphémères et une intégration intensive de modèles d’intelligence artificielle, impose des défis substantiels à l’orchestration de la réponse aux incidents de sécurité. Nous proposons IR-GraphShield, un cadre formel et évolutif pour l’orchestration intelligente de la réponse aux incidents, fondé sur des graphes d’attaque enrichis de preuves temporelles et de mécanismes d’inférence probabiliste. Nous modélisons formellement le processus de réponse comme un système de transition étiqueté $ \mathcal{S} = (Q, \Sigma, \delta, q_0) $, dans lequel les états représentent des configurations observables du système, les événements correspondent à des preuves forensiques et les actions sont des stratégies automatisées d’atténuation. Nous incorporons des graphes d’attaque dynamiques $ G_t = (V_t, E_t) $ avec pondération temporelle et probabiliste, permettant une mise à jour bayésienne continue face à de nouveaux indicateurs de compromission. Nous démontrons comment des techniques de vérification formelle, de raisonnement probabiliste et d’apprentissage automatique explicable peuvent être intégrées aux plateformes SOAR et CNAPP contemporaines, ainsi qu’à des capteurs fondés sur eBPF et à la télémétrie runtime. Le cadre prend en compte les menaces émergentes liées aux LLMs, les attaques contre la chaîne d’approvisionnement des modèles, la cryptographie post-quantique et la gouvernance de l’IA. Nous évaluons les propriétés de correction, de complétude et de sécurité des politiques de réponse à l’aide de la logique temporelle linéaire (LTL) et du model checking symbolique. Des expériences conceptuelles et une analyse comparative indiquent une réduction du temps moyen de confinement et une meilleure robustesse face aux faux positifs par rapport aux approches purement heuristiques. IR-GraphShield contribue à la convergence entre réponse automatisée, formalisation mathématique et sécurité adaptative orientée par les preuves, offrant des fondements théoriques solides et une applicabilité pratique dans le contexte technologique en vigueur jusqu’en 2025.
Read paper →IRIR-GraphShield : Un cadre formel et évolutif pour l’orchestration intelligente de la réponse aux incidents basée sur des graphes d’attaque et des preuves temporelles
TITLE: IR-GraphShield : Un cadre formel et évolutif pour l’orchestration intelligente de la réponse aux incidents basée sur des graphes d’attaque et des preuves temporelles ABSTRACT: La complexité croissante des environnements numériques en 2025, caractérisés par des architectures multicloud, des microservices, des workloads éphémères et une intégration intensive de modèles d’intelligence artificielle, impose des défis substantiels à l’orchestration de la réponse aux incidents de sécurité. Nous proposons IR-GraphShield, un cadre formel et évolutif pour l’orchestration intelligente de la réponse aux incidents fondé sur des graphes d’attaque enrichis de preuves temporelles et de mécanismes d’inférence probabiliste. Nous modélisons formellement le processus de réponse comme un système de transition étiqueté $ \mathcal{S} = (Q, \Sigma, \delta, q_0) $, dans lequel les états représentent des configurations observables du système, les événements correspondent à des preuves forensiques et les actions sont des stratégies automatisées de mitigation. Nous incorporons des graphes d’attaque dynamiques $ G_t = (V_t, E_t) $ avec pondération temporelle et probabiliste, permettant une mise à jour bayésienne continue face à de nouveaux indicateurs de compromission. Nous démontrons comment des techniques de vérification formelle, de raisonnement probabiliste et d’apprentissage automatique explicable peuvent être intégrées aux plateformes SOAR et CNAPP contemporaines, ainsi qu’à des capteurs basés sur eBPF et à la télémétrie de runtime. Le cadre prend en compte des menaces émergentes liées aux LLM, aux attaques de chaîne d’approvisionnement de modèles, à la cryptographie post-quantique et à la gouvernance de l’IA. Nous évaluons les propriétés de correction, de complétude et de sécurité des politiques de réponse en utilisant la logique temporelle linéaire (LTL) et le model checking symbolique. Des expériences conceptuelles et une analyse comparative indiquent une réduction du temps moyen de confinement et une plus grande robustesse face aux faux positifs par rapport aux approches purement heuristiques. IR-GraphShield contribue à la convergence entre réponse automatisée, formalisation mathématique et sécurité adaptative orientée par les preuves, offrant des fondements théoriques solides et une applicabilité pratique dans le contexte technologique en vigueur jusqu’en 2025.
Read paper →