Research / Paper Files

Paper Files

Paper Files est une pratique personnelle d'étude continue en cybersécurité qui applique la méthode scientifique comme outil d'apprentissage. Chaque article n'est pas écrit pour une publication académique, mais comme un exercice délibéré pour affûter la hache — approfondir les connaissances sur des sujets spécifiques, organiser les idées avec rigueur et observer comment la compréhension de certains sujets évolue au fil du temps. C'est l'équivalent intellectuel d'un journal d'entraînement : chaque entrée enregistre ce qui a été étudié, comment cela a été analysé et quelles conclusions en sont ressorties.

Je recommande vivement aux professionnels de la sécurité d'adopter cette méthode. Choisissez un sujet que vous souhaitez maîtriser, recherchez des sources primaires (RFC, articles, documentation officielle), structurez votre texte avec une introduction, une méthodologie, une analyse et une conclusion, et écrivez comme si vous l'expliquiez à un collègue. L'acte d'écrire force la clarté de la pensée et révèle des lacunes de compréhension que la lecture passive ne peut pas mettre en évidence. Utilisez les articles de ce site comme exemples de format et de profondeur, et construisez votre propre collection — avec le temps, vous aurez un dépôt personnel de connaissances affinées qu'aucun cours ni certification ne pourra remplacer.

DAI & ADAI · 2026

DAI · EN

DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts

DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…

Read paper →ADAI · EN

Autonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure

ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…

Read paper →

Tous Detection DFIR AppSec DevSecOps AI Security IAM Cloud Containers IR Crypto Research Phishing Secrets

198 papers

Crypto

Crypto resilient dans la cybersécurité en 2026 : chiffrement, gestion des clés, abus offensif et stratégies de défense de bout en bout

En 2026, le terme « crypto » dans la cybersécurité désigne simultanément les primitives cryptographiques, les systèmes de gestion des clés, les protocoles applicatifs, les mécanismes matériels de protection, ainsi qu’un large éventail d’abus offensifs allant du rançongiciel chiffrant les données au camouflage des canaux de commande et de contrôle. Cette dualité crée une tension structurelle : la cryptographie demeure l’un des piliers de la confiance numérique, tout en servant d’accélérateur aux opérations malveillantes lorsque les identités, clés, certificats et secrets sont compromis. Ce papier étudie ce problème sous l’angle opérationnel et défensif, en proposant un cadre de modélisation couvrant la génération, la distribution, l’usage, la rotation, la révocation et la destruction des clés, ainsi que les risques liés au chiffrement au repos, en transit, côté client et côté matériel. Nous analysons les principaux vecteurs d’abus contemporains, notamment l’exfiltration de secrets via les pipelines DevOps, les attaques sur TLS et PKI, les rançongiciels à double extorsion, les usages détournés de la cryptographie dans l’outillage offensif, et les effets de bord induits par l’adoption accélérée de la cryptographie post-quantique, des environnements cloud natifs et des architectures zero trust. Nous proposons une méthodologie de défense fondée sur trois couches complémentaires : gouvernance des identités et des clés, observation continue des surfaces cryptographiques via télémétrie réseau et hôte, et validation active des propriétés de sécurité au moyen de tests reproductibles. L’évaluation expérimentale compare plusieurs configurations de chiffrement et de gestion de certificats dans des environnements Kubernetes, TLS 1.3 et stockage objet, en mesurant surcharge, latence, résilience aux erreurs de configuration et détectabilité des abus. Une étude de cas sur une compromission de secrets d’automatisation illustre la réalité des chaînes d’attaque modernes. Les résultats montrent que la posture cryptographique efficace ne dépend plus seulement de l’algorithme, mais de la gouvernance, de l’observabilité et de l’ergonomie opérationnelle des systèmes de clés.

2026-04-18Read paper →AppSec

Ingénierie de la sécurité applicative moderne (AppSec) en 2026 : intégration DevSecOps, détection assistée par IA et défense opérationnelle contre les vulnérabilités logicielles

La sécurité applicative (Application Security – AppSec) est devenue l’un des piliers stratégiques de la cybersécurité moderne, notamment avec la généralisation des architectures cloud‑native, des chaînes CI/CD automatisées et de la distribution massive de logiciels open source. Entre 2021 et 2026, plusieurs incidents majeurs — notamment Log4Shell (CVE‑2021‑44228), MOVEit Transfer (CVE‑2023‑34362) et la compromission de la bibliothèque XZ Utils (CVE‑2024‑3094) — ont démontré que les vulnérabilités applicatives peuvent provoquer des impacts systémiques à l’échelle mondiale. Dans ce contexte, les approches traditionnelles de sécurité applicative centrées uniquement sur les tests de pénétration périodiques sont devenues insuffisantes. Les organisations doivent désormais adopter une stratégie AppSec intégrée couvrant l’ensemble du cycle de vie logiciel, combinant analyse statique, analyse dynamique, analyse de dépendances, observabilité runtime et gouvernance de la chaîne d’approvisionnement logicielle. Cet article propose une étude approfondie des pratiques AppSec modernes telles qu’elles existaient en 2026. Nous introduisons un modèle de menace formalisé pour les applications cloud‑native et microservices, incluant les risques liés aux API, aux dépendances open source, aux modèles d’IA intégrés et aux environnements conteneurisés. Nous présentons ensuite une méthodologie opérationnelle combinant SAST, DAST, IAST, Software Composition Analysis (SCA), instrumentation eBPF et analyse comportementale basée sur l’apprentissage automatique. Cette méthodologie s’intègre dans des pipelines DevSecOps automatisés afin de détecter précocement les vulnérabilités et d’en réduire le coût de correction. Une implémentation expérimentale est décrite à l’aide d’outils largement adoptés dans l’industrie, notamment Semgrep, CodeQL, OWASP ZAP, Falco et Sigstore. L’évaluation expérimentale compare plusieurs outils AppSec sur un corpus d’applications vulnérables dérivées d’OWASP Benchmark et Juice Shop. Les résultats démontrent qu’une approche combinée multi‑moteurs augmente significativement le taux de détection tout en réduisant les faux positifs grâce à l’agrégation de signaux analytiques. Enfin, une étude de cas opérationnelle examine l’exploitation et la remédiation d’une vulnérabilité critique dans une API REST microservice, illustrant l’efficacité d’une stratégie AppSec intégrée. L’article conclut par une discussion sur l’évolution de la sécurité applicative à l’ère de l’IA générative, des SBOM obligatoires et des architectures Zero Trust.

2026-04-02Read paper →Containers

Sécurité des conteneurs en environnement cloud‑native : modélisation des menaces, techniques d’exploitation et stratégies de défense opérationnelles dans les infrastructures Kubernetes (2026)

La généralisation des architectures cloud‑native a profondément transformé le paysage opérationnel de la cybersécurité. Les conteneurs, popularisés par Docker et orchestrés massivement via Kubernetes, constituent aujourd’hui la base de la majorité des plateformes applicatives modernes. Cette évolution a permis une accélération sans précédent du cycle de développement logiciel, mais elle a également introduit une surface d’attaque nouvelle, distribuée et fortement automatisée. Les incidents observés entre 2019 et 2025, incluant l’exploitation de vulnérabilités critiques dans `runc` (CVE‑2019‑5736, CVE‑2024‑21626), les évasions de conteneurs via le noyau Linux (CVE‑2022‑0492, CVE‑2022‑0847) et l’abus systématique de clusters Kubernetes mal configurés, démontrent que les modèles de sécurité traditionnels ne sont plus suffisants. Cet article propose une analyse approfondie de la sécurité des conteneurs sous l’angle opérationnel, combinant recherche académique et expérience pratique en opérations de red teaming et de réponse à incident. Nous présentons d’abord l’architecture interne des environnements de conteneurisation modernes, en détaillant les mécanismes d’isolation Linux (namespaces, cgroups, seccomp, capabilities) ainsi que les modèles d’orchestration Kubernetes et les nouvelles couches de sécurité basées sur eBPF. Nous construisons ensuite un modèle formel de menace adapté aux environnements cloud‑native, intégrant les vecteurs d’attaque les plus fréquents observés dans les campagnes réelles : compromission de la chaîne CI/CD, images malveillantes, escalade de privilèges dans le runtime et mouvements latéraux via l’API Kubernetes. La contribution principale de cet article est une méthodologie opérationnelle de défense en profondeur pour les plateformes conteneurisées, intégrant scanning d’images, politiques d’admission Kubernetes, instrumentation eBPF, runtime security et isolation renforcée via sandboxes (gVisor, Kata Containers). Nous présentons également une implémentation expérimentale combinant Trivy, Falco, Cilium Tetragon et politiques Zero Trust au niveau réseau. L’évaluation expérimentale menée sur un cluster Kubernetes multi‑nœuds montre une réduction significative de la surface d’attaque et une amélioration mesurable de la détection des comportements malveillants en temps réel. Enfin, une étude de cas issue d’un incident réel impliquant un cluster Kubernetes compromis illustre la chaîne complète d’attaque, depuis l’accès initial jusqu’au mouvement latéral dans l’infrastructure. Les résultats démontrent que la sécurité des conteneurs doit être abordée comme un problème systémique impliquant l’ensemble de la chaîne logicielle, du build pipeline jusqu’au runtime.

2026-02-07Read paper →Containers

Sécurité des conteneurs dans les environnements cloud-native : modélisation des menaces, techniques d’exploitation et stratégies de défense dans les écosystèmes Docker et Kubernetes (2023)

Sécurité des conteneurs dans les environnements cloud-native : modélisation des menaces, techniques d’exploitation et stratégies de défense dans les écosystèmes Docker et Kubernetes (2023) RÉSUMÉ : L’adoption des conteneurs a profondément transformé l’ingénierie logicielle et la sécurité opérationnelle dans les environnements cloud-native. Des technologies telles que Docker et Kubernetes sont devenues la base de l’infrastructure moderne, permettant la portabilité, l’évolutivité et l’automatisation à grande échelle. Toutefois, cette nouvelle architecture introduit également une surface d’attaque distincte, caractérisée par un isolement fondé sur un noyau partagé, des dépendances complexes des images et des chaînes d’approvisionnement logicielle potentiellement vulnérables. Ce travail présente une analyse approfondie de la sécurité des conteneurs sous les perspectives offensive et défensive, en considérant l’état de l’art jusqu’en 2023. Dans un premier temps, nous examinons les fondements techniques du modèle de conteneurs Linux, notamment les namespaces, les cgroups et le runtime OCI. Ensuite, nous analysons des vecteurs d’attaque récurrents observés dans des incidents réels, tels que l’évasion de conteneurs, l’exploitation des runtimes, la compromission de la chaîne de build et les attaques contre les clusters Kubernetes. Nous proposons un modèle formel de menace qui capture les relations entre le workload, le runtime, l’hôte et le plan de contrôle, permettant une quantification du risque fondée sur la probabilité d’exploitation et l’impact opérationnel. La méthodologie présentée combine l’analyse statique des images, la surveillance comportementale basée sur eBPF et des politiques d’isolation renforcées par seccomp, AppArmor et les Pod Security Standards. L’implémentation expérimentale a été conduite sur un cluster Kubernetes avec une instrumentation utilisant des outils largement employés en 2023, notamment Falco, Trivy et kube-bench. Les résultats montrent une réduction significative de l’exposition aux vulnérabilités connues et une amélioration de la détection des comportements anormaux en temps quasi réel. Nous présentons également une étude de cas fondée sur des campagnes de cryptomining observées dans des clusters Kubernetes compromis. La discussion explore les limites pratiques, les défis de gouvernance et les implications de la sécurité de la chaîne d’approvisionnement des conteneurs. Nous concluons en soulignant des pistes futures, notamment l’intégration avec des modèles Zero Trust, l’observabilité basée sur eBPF et l’automatisation de la réponse aux incidents dans les environnements cloud-native. Cette étude fournit une vision opérationnelle et technique destinée aux professionnels de la sécurité, aux architectes d’infrastructure et aux chercheurs intéressés par la défense des écosystèmes de conteneurs.

2008-09-28Read paper →Containers

TITRE: Architecture formelle et opérationnelle pour la détection et la confinement des menaces dans des environnements conteneurisés basés sur Kubernetes

TITRE: Architecture formelle et opérationnelle pour la détection et la confinement des menaces dans des environnements conteneurisés basés sur Kubernetes RÉSUMÉ: L’adoption d’architectures cloud-native fondées sur des conteneurs a profondément transformé la manière dont les applications distribuées sont conçues, déployées et mises à l’échelle. Kubernetes s’est imposé comme le principal système d’orchestration pour la gestion de workloads conteneurisés, offrant des abstractions déclaratives pour le scaling, la tolérance aux pannes et l’automatisation opérationnelle. Toutefois, cette couche d’abstraction supplémentaire introduit de nouveaux vecteurs d’attaque et élargit la surface d’exposition, en particulier dans des environnements à forte densité de conteneurs éphémères et de chaînes d’approvisionnement complexes d’images. Les exploitations de vulnérabilités dans les runtimes de conteneurs, les configurations non sécurisées des API d’orchestration et les campagnes automatisées de cryptominage dans des clusters mal configurés démontrent que les mécanismes de sécurité traditionnels sont insuffisants pour faire face à la nature dynamique de ces environnements. Dans ce travail, nous proposons une architecture formelle et opérationnelle pour la détection et la confinement des menaces dans des clusters Kubernetes, en combinant une modélisation mathématique des états du système avec des mécanismes pratiques d’observabilité et de réponse automatisée. Nous formalisons l’environnement conteneurisé comme un système de transitions étiquetées LTS = (S, A, →), permettant d’exprimer des propriétés d’intégrité et de non-interférence liées à l’interaction entre les conteneurs, les nœuds du cluster et le plan de contrôle. Sur cette base théorique, nous avons implémenté un pipeline de sécurité multicouche composé d’une analyse statique des images (Trivy et YARA), de politiques d’admission déclaratives utilisant Open Policy Agent/Gatekeeper, d’une surveillance comportementale au niveau du noyau avec eBPF via Falco et de mécanismes automatisés d’isolement utilisant NetworkPolicies et les contrôles administratifs de Kubernetes. L’architecture a été évaluée expérimentalement dans un cluster de 120 nœuds et 2 400 pods actifs, où différents scénarios d’attaque ont été simulés, notamment une tentative d’évasion de conteneur, l’exécution de mineurs de cryptomonnaie et un mouvement latéral via des identifiants compromis. Les résultats indiquent un taux moyen de détection de 96,3 % avec un taux de faux positifs de 3,8 %, ainsi que des réductions significatives des indicateurs opérationnels MTTD et MTTR. Ces résultats démontrent que l’intégration entre la formalisation théorique et la télémétrie de bas niveau basée sur eBPF constitue une approche efficace pour renforcer la sécurité opérationnelle des plateformes cloud-native à grande échelle.

2008-09-21Read paper →Containers

TITRE: Architecture formelle et évaluation empirique d’un modèle de défense en profondeur pour des environnements de conteneurs basés sur Kubernetes face à des menaces persistantes avancées

TITRE: Architecture formelle et évaluation empirique d’un modèle de défense en profondeur pour des environnements de conteneurs basés sur Kubernetes face à des menaces persistantes avancées RÉSUMÉ: L’adoption d’architectures basées sur des conteneurs orchestrés par Kubernetes est devenue prédominante dans les infrastructures cloud natives en raison de leur élasticité, de leur portabilité et de leur capacité d’automatisation opérationnelle. Cependant, la complexité croissante de ces environnements introduit une surface d’attaque élargie pouvant être exploitée par des adversaires sophistiqués, notamment dans le cadre de campagnes de Menaces Persistantes Avancées (Advanced Persistent Threats – APTs). En particulier, des vecteurs tels que la compromission de la chaîne d’approvisionnement des images, l’exploitation des vulnérabilités du noyau partagé, l’abus des privilèges du plan de contrôle et le mouvement latéral entre pods représentent des défis critiques pour les équipes de sécurité. Dans ce travail, nous présentons une architecture formelle de défense en profondeur pour des clusters Kubernetes, intégrant des mécanismes de contrôle préventif, de détection comportementale et de réponse automatisée. Nous modélisons le système de défense comme un graphe d’états de sécurité G=(V,E), dans lequel les sommets représentent les configurations de sécurité du cluster et les arêtes représentent les transitions induites par des actions adverses ou par des mécanismes d’atténuation. L’architecture proposée combine des politiques déclaratives de sécurité (Open Policy Agent/Gatekeeper et Kyverno), l’inspection des appels système basée sur eBPF (Falco), la segmentation réseau avec des politiques de couche 7 (Cilium), l’analyse de vulnérabilités des images (Trivy) et une télémétrie observable intégrée à l’écosystème de sécurité du cloud natif. Nous avons réalisé une évaluation empirique dans un environnement expérimental contenant plusieurs nœuds Kubernetes et des workloads représentatifs d’applications distribuées. Le scénario expérimental reproduit des techniques documentées dans le framework MITRE ATT&CK pour containers, notamment l’escalade de privilèges, l’évasion de conteneur et l’exfiltration de données. Les résultats indiquent que l’approche de défense en profondeur réduit de manière significative l’espace d’attaque observable et améliore le temps moyen de détection (Mean Time To Detect – MTTD). Nous avons observé que l’intégration de politiques d’admission, de l’analyse statique des images et d’une surveillance en temps réel basée sur eBPF permet de détecter des schémas de comportement malveillant avec une plus grande précision, réduisant les faux positifs par rapport à des approches isolées. Nous concluons que la formalisation des politiques de sécurité combinée à une instrumentation observable du noyau constitue une voie prometteuse pour renforcer la résilience des plateformes Kubernetes face à des adversaires persistants. Ce travail apporte un modèle analytique, une architecture de référence et des résultats expérimentaux pouvant orienter le développement de stratégies de sécurité pour des environnements cloud natifs à grande échelle.

2008-09-14Read paper →Cloud

Titre : Architecture formelle et opérationnelle pour la détection et la réponse aux menaces dans des environnements multi-cloud basée sur une télémétrie unifiée et une modélisation de l’adversaire

Titre : Architecture formelle et opérationnelle pour la détection et la réponse aux menaces dans des environnements multi-cloud basée sur une télémétrie unifiée et une modélisation de l’adversaire Résumé : La consolidation des architectures multi-cloud et cloud-native a profondément transformé la surface d’attaque des organisations, déplaçant l’attention traditionnelle de la sécurité périmétrique vers la gouvernance des identités, des API, des chaînes d’approvisionnement logicielle, des plans de contrôle distribués et de l’infrastructure définie par logiciel. Des incidents largement documentés — tels que la compromission de Capital One en 2019 impliquant l’exploitation d’une Server-Side Request Forgery (SSRF) et un accès indu au AWS Instance Metadata Service — ainsi que l’exploitation massive de la vulnérabilité Log4Shell (CVE-2021-44228) mettent en évidence que la combinaison d’identités excessivement privilégiées, d’une visibilité fragmentée et d’une hétérogénéité de la télémétrie peut entraîner des compromissions systémiques à grande échelle. Parallèlement, des rapports de renseignement publiés par des fournisseurs de cloud et par des organisations indépendantes indiquent que l’abus d’identifiants valides, de jetons OAuth et de clés API constitue un vecteur récurrent dans les attaques contre les environnements cloud modernes. Dans ce travail, nous présentons une architecture formelle et opérationnelle pour la détection et la réponse aux menaces dans des environnements multi-cloud fondée sur trois piliers complémentaires : (i) l’unification sémantique de la télémétrie provenant du plan de contrôle, du réseau et de l’exécution ; (ii) la modélisation formelle du comportement de l’adversaire au moyen de graphes temporels dirigés et annotés ; et (iii) des mécanismes hybrides de corrélation combinant des règles déclaratives (Sigma), des signatures réseau (Suricata), une instrumentation basée sur eBPF (Falco) et une analyse structurée avec Elastic Stack ainsi que des pipelines d’ingestion normalisés. Nous formalisons le problème de détection comme une fonction de décision f: G(E,T) → {0,1} définie sur des graphes temporels annotés et introduisons des propriétés formelles de complétude conditionnelle et de limitation des faux positifs sous des hypothèses explicites concernant l’intégrité de la télémétrie et la granularité temporelle. Nous évaluons empiriquement l’architecture dans un environnement multi-cloud impliquant Amazon Web Services, Microsoft Azure et Google Cloud Platform, avec des clusters Kubernetes instrumentés et des scénarios expérimentaux dérivés du framework MITRE ATT&CK for Cloud exécutés avec Atomic Red Team. Par rapport à des bases de référence reposant exclusivement sur les journaux du plan de contrôle, nous observons une réduction constante du temps moyen de détection (MTTD) et une augmentation du taux de détection pour les chaînes impliquant la manipulation d’identité, l’exécution en conteneur et l’exfiltration de données. Nos résultats indiquent que l’unification sémantique de la télémétrie, associée à la modélisation formelle des chaînes d’attaque, apporte des gains mesurables en matière de détection tout en maintenant des taux de faux positifs compatibles avec l’exploitation de centres opérationnels de sécurité (SOC) matures.

2008-09-07Read paper →Cloud

TITRE : Sécurité dans les environnements de cloud computing en 2023 : intégration de CNAPP, observabilité avec eBPF et risques émergents de l’IA générative

TITRE : Sécurité dans les environnements de cloud computing en 2023 : intégration de CNAPP, observabilité avec eBPF et risques émergents de l’IA générative RÉSUMÉ : L’adoption rapide du cloud computing a transformé l’infrastructure numérique contemporaine, en consolidant des modèles tels que IaaS, PaaS et SaaS comme piliers de l’économie numérique. En 2023, cette évolution technologique s’est déroulée simultanément à l’expansion des architectures cloud-native, des microservices, des conteneurs et des pipelines d’intégration continue, élargissant de manière significative la surface d’attaque des organisations. Ce travail examine, de manière systématique, les principaux défis de sécurité dans les environnements cloud modernes et présente une analyse intégrée de trois tendances centrales observées dans l’écosystème de la sécurité jusqu’en 2023 : les plateformes Cloud-Native Application Protection Platform (CNAPP), l’observabilité et la détection des menaces avec eBPF, ainsi que les risques émergents associés à l’adoption de modèles d’intelligence artificielle générative et de grands modèles de langage (LLMs). Dans un premier temps, nous discutons des fondements architecturaux de la sécurité cloud, y compris les modèles de responsabilité partagée, l’isolation des ressources et les mécanismes cryptographiques de protection des données. Ensuite, nous analysons les vecteurs d’attaque contemporains, tels que les configurations incorrectes de l’infrastructure, la compromission des identifiants, l’exploitation des API et les attaques ciblant les pipelines de développement. Nous proposons également un modèle formel d’évaluation du risque pour les environnements multi-cloud qui intègre des métriques d’exposition, de criticité des actifs et de probabilité d’exploitation. Ce modèle permet de quantifier le risque opérationnel dans des infrastructures élastiques et hautement distribuées. En outre, nous évaluons empiriquement le rôle des plateformes CNAPP dans la convergence entre CSPM, CWPP et la sécurité applicative, en démontrant comment ces solutions réduisent les lacunes de visibilité et de réponse aux incidents. Nous explorons également l’utilisation d’eBPF pour la surveillance de bas niveau dans le noyau Linux, permettant une détection comportementale des menaces en temps réel avec un impact minimal sur les performances. Enfin, nous examinons les nouveaux risques associés à l’intégration de systèmes fondés sur des LLMs dans les flux de travail d’entreprise, notamment le prompt injection, l’exfiltration de données et la manipulation du contexte. Nous concluons que la sécurité cloud en 2023 exige une approche intégrée combinant vérification formelle, observabilité approfondie et gouvernance de l’IA. Les résultats indiquent que la convergence entre techniques cryptographiques, analyse comportementale et automatisation fondée sur des politiques est essentielle pour atténuer les menaces dans les infrastructures distribuées modernes.

2008-09-01Read paper →Cloud

Architecture opérationnelle pour la détection et la réponse aux menaces dans des environnements multi-cloud fondée sur la télémétrie unifiée, eBPF et la modélisation formelle des chaînes d’attaque

Architecture opérationnelle pour la détection et la réponse aux menaces dans des environnements multi-cloud fondée sur la télémétrie unifiée, eBPF et la modélisation formelle des chaînes d’attaque ABSTRACT: L’adoption massive du cloud computing a profondément transformé l’architecture des systèmes d’entreprise, déplaçant le périmètre de sécurité traditionnel vers un modèle centré sur l’identité, les API et l’infrastructure définie par logiciel. Dans les environnements multi-cloud, l’hétérogénéité des fournisseurs, des formats de télémétrie et des mécanismes de contrôle rend difficile la détection cohérente des attaques distribuées. Ce travail examine comment architecturer un système opérationnel de détection et de réponse aux incidents capable de corréler en temps quasi réel des événements provenant de multiples fournisseurs de cloud. Nous proposons une architecture fondée sur une télémétrie unifiée, la normalisation sémantique des journaux et la modélisation formelle des séquences d’attaque. L’approche intègre des données issues de services natifs d’audit (CloudTrail, Azure Activity Logs et GCP Cloud Logging), des capteurs réseau et une instrumentation de bas niveau basée sur eBPF pour l’observabilité du runtime dans des workloads cloud-native. À partir de cette télémétrie hétérogène, nous définissons un modèle mathématique d’évaluation du risque basé sur des fenêtres temporelles d’événements, permettant d’identifier des chaînes d’attaque caractérisées par l’abus d’identités, la manipulation de l’infrastructure et le mouvement latéral. Le mécanisme de corrélation mis en œuvre utilise OpenSearch comme moteur d’indexation et de requête, des règles Sigma pour la détection fondée sur des signatures comportementales et des modèles d’apprentissage automatique pour l’identification d’anomalies. L’architecture intègre également la matrice MITRE ATT&CK, permettant de faire correspondre les événements observés à des techniques adverses connues. Nous avons réalisé une évaluation expérimentale dans un environnement multi-cloud avec plus d’un milliard d’événements collectés à partir de workloads répartis sur trois fournisseurs. Les résultats indiquent une amélioration significative des métriques opérationnelles de sécurité, notamment une réduction du temps moyen de détection (MTTD) et du temps moyen de réponse (MTTR), tout en maintenant un faible taux de faux positifs. En outre, nous démontrons comment la formalisation mathématique des chaînes d’attaque permet un raisonnement systématique sur la sécurité opérationnelle dans le cloud. Cette étude contribue à la littérature en combinant rigueur formelle, intégration pratique avec des outils utilisés dans les centres d’opérations de sécurité et validation empirique à une échelle réaliste, offrant des directives architecturales pour la détection et la réponse dans des environnements multi-cloud complexes.

2008-08-25Read paper →Cloud

TITRE: Architecture formelle et opérationnelle pour la détection et le confinement des menaces dans les environnements multi-cloud fondée sur une télémétrie unifiée et une modélisation adversariale

TITRE: Architecture formelle et opérationnelle pour la détection et le confinement des menaces dans les environnements multi-cloud fondée sur une télémétrie unifiée et une modélisation adversariale RÉSUMÉ: L’adoption rapide des architectures multi-cloud a introduit des défis substantiels pour la détection et le confinement des menaces dans des environnements d’entreprise distribués. L’élasticité de l’infrastructure, l’usage intensif d’API programmatiques et la complexité des politiques d’identité et d’accès élargissent de manière significative la surface d’attaque. Des incidents largement documentés, tels que la compromission de Capital One en 2019 et l’exploitation mondiale de la vulnérabilité Log4Shell (CVE-2021-44228), montrent comment des combinaisons de configurations inadéquates, d’identifiants compromis et d’exploitation de services peuvent entraîner une escalade latérale à grande échelle. Malgré la disponibilité de grands volumes de télémétrie — incluant les journaux d’API, les flux réseau, les audits de conteneurs et les événements de sécurité — ces sources demeurent souvent fragmentées entre fournisseurs et outils, ce qui limite la capacité de corrélation contextuelle. Dans ce travail, nous présentons une architecture formelle et opérationnelle pour la détection et le confinement des menaces dans les environnements multi-cloud, fondée sur une télémétrie unifiée et une modélisation adversariale orientée graphe. Nous proposons une formalisation mathématique de la surface d’attaque dans laquelle les identités, les ressources et les politiques d’autorisation sont représentées par un graphe orienté pondéré. Sur ce modèle, nous introduisons des algorithmes incrémentaux capables de corréler des événements hétérogènes provenant de plusieurs fournisseurs de cloud et d’identifier des chemins d’escalade latérale associés aux tactiques et techniques du framework MITRE ATT&CK. L’architecture est implémentée à l’aide d’outils largement employés dans l’industrie en 2023, notamment Elastic Stack, Apache Kafka, Neo4j, Kubernetes et des règles Sigma pour la normalisation des détections. Nous évaluons expérimentalement le système dans un environnement multi-cloud contenant 420 instances réparties entre AWS, Azure et Google Cloud, exécutant 36 scénarios adversariaux représentatifs. Les résultats indiquent une amélioration significative par rapport aux approches SIEM traditionnelles, avec un taux moyen de détection de 94,7 %, une réduction de 61 % du temps moyen de réponse (MTTR) et une surcharge informatique inférieure à 7 %. Nous démontrons également, au moyen d’une étude de cas impliquant la compromission d’identifiants exposés, comment la modélisation fondée sur les graphes permet d’identifier rapidement des chaînes d’attaque complexes impliquant l’abus de permissions IAM et de jetons temporaires. Les résultats suggèrent que l’intégration d’une télémétrie unifiée avec une modélisation formelle des permissions constitue une approche prometteuse pour la défense des infrastructures cloud modernes.

2008-08-18Read paper →IAM

TITRE : Architecture formelle et opérationnelle pour Identity and Access Management (IAM) résiliente au compromission de crédentiels dans des environnements multi-cloud

TITRE : Architecture formelle et opérationnelle pour Identity and Access Management (IAM) résiliente au compromission de crédentiels dans des environnements multi-cloud RÉSUMÉ : La gestion des identités et des accès (Identity and Access Management – IAM) s’est imposée comme un élément central de la sécurité dans les architectures d’entreprise distribuées. Dans des environnements multi-cloud, dans lesquels les applications et les services s’exécutent simultanément chez plusieurs fournisseurs d’infrastructure, le contrôle d’accès fondé sur l’identité remplace progressivement les périmètres réseau traditionnels comme principal mécanisme de défense. Cependant, des éléments empiriques issus de rapports d’incidents indiquent que la compromission de crédentiels demeure l’un des vecteurs les plus récurrents de violation de données. Les attaques impliquant la réutilisation de tokens OAuth, l’exposition de clés API et l’abus de permissions excessives démontrent que les mécanismes conventionnels d’authentification et d’autorisation ne garantissent pas une contention efficace lorsque des crédentiels légitimes sont obtenus par des adversaires. Ce travail présente une architecture formelle et opérationnelle pour un IAM résilient à la compromission partielle de crédentiels dans des environnements multi-cloud. Nous proposons un modèle formel qui représente les systèmes d’identité comme un tuple composé d’utilisateurs, de ressources, de permissions, de tokens et de politiques, permettant de définir des propriétés mathématiques de résilience sous un modèle de menace avec des adversaires gradués. Nous introduisons un jeu de sécurité qui capture le scénario dans lequel des sous-ensembles de crédentiels sont compromis et démontrons comment des mécanismes tels que des tokens éphémères, la dérivation cryptographique de clés, la segmentation des domaines d’autorisation et l’authentification adaptative fondée sur le risque réduisent le rayon d’impact opérationnel. L’architecture proposée intègre les principes de Zero Trust, la fédération d’identité basée sur OpenID Connect et SAML, ainsi que des mécanismes de surveillance comportementale et de révocation coordonnée entre plusieurs fournisseurs de cloud. Des évaluations expérimentales et des études de cas dans des contextes d’infrastructure critique et du secteur financier indiquent que l’approche réduit de manière significative la fenêtre temporelle d’exploitation des crédentiels compromis, tout en maintenant une surcharge computationnelle marginale. En formalisant des propriétés de sécurité souvent traitées uniquement au niveau architectural dans la littérature, ce travail contribue à rapprocher les modèles cryptographiques des garanties opérationnelles dans les systèmes IAM modernes. Les résultats indiquent que des architectures d’identité explicitement conçues pour fonctionner sous compromis partiel peuvent limiter de manière mesurable l’impact des attaques fondées sur les crédentiels.

2008-08-11Read paper →IAM

TITRE: Architecture adaptative de Identity and Access Management avec évaluation continue du risque et détection de l’abus d’identifiants fondée sur la télémétrie opérationnelle

TITRE: Architecture adaptative de Identity and Access Management avec évaluation continue du risque et détection de l’abus d’identifiants fondée sur la télémétrie opérationnelle RÉSUMÉ: La gestion des identités et des accès (Identity and Access Management – IAM) est devenue un composant critique de la sécurité d’entreprise dans les environnements distribués, caractérisés par des infrastructures hybrides, l’informatique en nuage et une intégration intensive entre services. Toutefois, les attaques contemporaines exploitent fréquemment des identifiants légitimes compromis, contournant les mécanismes traditionnels fondés uniquement sur l’authentification initiale et le contrôle statique des permissions. Des rapports empiriques indiquent que l’usage abusif des identifiants constitue l’une des principales causes de violations de sécurité dans les organisations modernes. Dans ce contexte, les architectures de sécurité inspirées du paradigme Zero Trust mettent l’accent sur la vérification continue de l’identité et du contexte tout au long de la session. Ce travail propose une architecture adaptative d’IAM qui intègre une évaluation continue du risque fondée sur la télémétrie opérationnelle provenant des endpoints, du réseau et des systèmes d’identité. Nous formalisons un modèle mathématique de risque dynamique $R(u,s,t)$ associé à l’utilisateur $u$, à la session $s$ et au temps $t$, intégrant des métriques d’écart comportemental, des anomalies d’accès et le contexte environnemental. L’architecture proposée intègre des composants largement utilisés dans les environnements d’entreprise et académiques, notamment Keycloak comme fournisseur d’identité, Open Policy Agent (OPA) comme moteur de décision de politiques, Elastic Stack comme infrastructure d’analyse d’événements et des capteurs de sécurité tels que Sysmon et Suricata. En outre, nous employons des règles Sigma pour la standardisation de la détection des techniques associées au framework MITRE ATT&CK. L’évaluation expérimentale a été menée dans un environnement d’entreprise simulé avec plus de 480 millions d’événements de journal collectés sur une période de trois mois. Les résultats indiquent une réduction significative des métriques opérationnelles de réponse aux incidents, y compris la diminution du temps moyen de détection (MTTD) et du temps moyen de réponse (MTTR) par rapport aux modèles reposant exclusivement sur RBAC. Une étude de cas impliquant une chaîne d’attaque avec phishing, dumping d’identifiants et mouvement latéral démontre la capacité de l’architecture à détecter l’abus d’identifiants à un stade précoce. Les résultats indiquent que l’intégration entre IAM, la télémétrie opérationnelle et des mécanismes d’évaluation continue du risque constitue une approche viable pour renforcer la sécurité des identités dans les environnements d’entreprise modernes.

2008-08-04Read paper →IAM

Architecture IAM résiliente orientée menaces : formalisation, implémentation et évaluation empirique d’un modèle adaptatif fondé sur Zero Trust et la détection comportementale

TITLE: Architecture IAM résiliente orientée menaces : formalisation, implémentation et évaluation empirique d’un modèle adaptatif fondé sur Zero Trust et la détection comportementale ABSTRACT: L’adoption croissante des environnements hybrides et multicloud a transformé l’identité numérique en principal vecteur de contrôle de la sécurité organisationnelle. Les systèmes de Identity and Access Management (IAM), initialement conçus comme des mécanismes administratifs de provisionnement des comptes et des permissions, ont pris un rôle central dans l’atténuation des attaques avancées, en particulier celles fondées sur le compromission d’identifiants, l’abus de jetons de session et l’élévation de privilèges. Des rapports récents indiquent que des identifiants valides restent l’un des principaux vecteurs d’intrusion dans les environnements d’entreprise. Cependant, les architectures IAM traditionnelles restent principalement fondées sur des modèles d’autorisation statiques, tels que le Role-Based Access Control (RBAC), souvent incapables de réagir dynamiquement aux changements contextuels et comportementaux associés au risque opérationnel. Dans ce travail, nous proposons une architecture IAM résiliente orientée menaces qui intègre les principes de Zero Trust, l’évaluation dynamique du risque et la détection comportementale fondée sur la télémétrie de sécurité. Nous formalisons mathématiquement un modèle de risque adaptatif qui combine la sensibilité de l’identité, le contexte opérationnel, l’écart comportemental et la criticité de l’action demandée. À partir de cette formalisation, nous concevons un mécanisme de décision d’accès capable d’appliquer une authentification adaptative et des contrôles de blocage fondés sur des seuils dynamiques de risque. Nous avons implémenté un prototype opérationnel en utilisant des technologies largement adoptées dans les environnements d’entreprise en 2023, notamment Azure Active Directory, AWS IAM, Elastic Stack, Suricata et Open Policy Agent. Nous avons réalisé une évaluation empirique dans un environnement expérimental contenant des milliers d’identités simulées et une télémétrie opérationnelle collectée sur une période de trente jours. Les résultats démontrent une réduction substantielle du temps moyen de détection des abus d’identifiants et une diminution significative des permissions excessives par rapport à un baseline fondé sur un RBAC statique. En outre, nous analysons les implications opérationnelles pour les équipes de sécurité et discutons les limites liées à la qualité de la télémétrie et au calibrage des paramètres du modèle. Nous concluons que l’intégration de l’analyse comportementale, de l’évaluation contextuelle et des politiques adaptatives représente une avancée significative dans la construction d’architectures IAM résilientes pour les environnements d’entreprise modernes.

2008-07-29Read paper →IAM

TITRE: Architecture résiliente de Identity and Access Management orientée menaces : modélisation formelle, détection comportementale et hardening opérationnel dans des environnements hybrides

TITRE: Architecture résiliente de Identity and Access Management orientée menaces : modélisation formelle, détection comportementale et hardening opérationnel dans des environnements hybrides RÉSUMÉ: La consolidation des identités numériques comme principal vecteur de compromission dans les environnements d’entreprise a transformé Identity and Access Management (IAM) en noyau de l’architecture de sécurité moderne. Les infrastructures hybrides et multi-cloud, combinées à l’adoption massive du SaaS, des API et des identités de service, ont considérablement élargi la surface d’attaque fondée sur les identifiants et les jetons d’authentification. Des rapports empiriques indiquent que la majorité des violations contemporaines impliquent l’abus de comptes légitimes, l’escalade de privilèges ou l’exploitation de politiques d’autorisation mal configurées. Cet article propose une architecture résiliente d’IAM orientée menaces qui intègre trois dimensions complémentaires : la modélisation formelle des privilèges effectifs, la détection comportementale de l’usage anormal des identités et le hardening opérationnel automatisé dans des environnements hybrides. Nous formalisons d’abord la surface de privilège à l’aide de graphes dirigés représentant les relations entre utilisateurs, rôles et permissions. À partir de ce modèle, nous définissons des métriques quantitatives pour mesurer la surface d’attaque identitaire et pour analyser les chemins d’escalade de privilèges. Nous présentons ensuite un mécanisme de détection d’anomalies fondé sur des vecteurs comportementaux multidimensionnels et la distance de Mahalanobis, appliqué à des événements d’authentification collectés à grande échelle. Ce mécanisme permet d’identifier l’abus de comptes valides avec un faible taux de faux positifs, même dans des environnements comportant des milliers d’identités et plusieurs fournisseurs d’identité. En complément, nous décrivons un framework opérationnel qui intègre des outils largement utilisés dans les environnements d’entreprise — notamment des fournisseurs d’identité fédérés, des mécanismes de politique basés sur Open Policy Agent, l’analyse de logs dans Elastic Stack et la modélisation de graphes dans Neo4j — permettant une évaluation continue du privilège effectif et une réduction automatisée des permissions excessives. L’évaluation expérimentale a été menée dans un environnement d’entreprise simulé contenant plus de douze mille identités et des millions d’événements d’authentification. Les résultats indiquent une réduction significative du temps moyen de détection des abus d’identifiants, ainsi qu’une diminution substantielle des privilèges excessifs. L’étude montre que l’intégration de la modélisation formelle, de l’analyse comportementale et de l’automatisation opérationnelle constitue une approche efficace pour renforcer la sécurité identitaire dans les architectures zero trust et les environnements hybrides contemporains.

2008-07-22Read paper →AI Security

Titre: Architecture intégrée de défense pour les systèmes basés sur l’intelligence artificielle : modélisation formelle des menaces, détection des attaques adversariales et surveillance opérationnelle dans des environnements de production

Titre: Architecture intégrée de défense pour les systèmes basés sur l’intelligence artificielle : modélisation formelle des menaces, détection des attaques adversariales et surveillance opérationnelle dans des environnements de production Résumé: L’adoption de systèmes basés sur l’apprentissage automatique dans les environnements d’entreprise a transformé les modèles d’intelligence artificielle en composants critiques de la prise de décision opérationnelle. Ces systèmes sont désormais utilisés pour la détection de fraude, la classification de logiciels malveillants, le tri médical assisté par l’image, les systèmes de recommandation et l’analyse comportementale sur les plateformes numériques. Toutefois, contrairement aux logiciels traditionnels, les modèles d’apprentissage sont des fonctions paramétriques entraînées à partir de données, ce qui introduit des surfaces d’attaque supplémentaires associées à la manipulation des entrées, à la contamination du processus d’entraînement et à l’exploitation des interfaces d’inférence. La littérature récente documente de multiples classes d’attaques contre les systèmes d’apprentissage automatique, notamment les exemples adversariaux, l’empoisonnement des données, l’extraction de modèle et l’inférence d’appartenance. Parallèlement, l’intégration de ces systèmes à des pipelines DevOps et à des infrastructures basées sur des conteneurs introduit des risques supplémentaires liés à la chaîne d’approvisionnement logicielle et aux modèles. Ce travail propose une architecture intégrée de défense pour les systèmes d’intelligence artificielle déployés en production, combinant la modélisation formelle des menaces, des mécanismes statistiques de détection d’anomalies, la vérification cryptographique de l’intégrité et une surveillance opérationnelle continue. Nous formalisons le concept de risque adversarial agrégé comme une fonction de probabilités conditionnelles associées à différentes classes d’attaques sous un modèle d’adversaire paramétré. Ensuite, nous introduisons un détecteur hybride fondé sur la distance de Mahalanobis et l’algorithme Isolation Forest appliqué à des représentations latentes du modèle. En complément, nous proposons un mécanisme de vérification d’intégrité combinant hachage cryptographique, signature numérique et tests comportementaux basés sur la divergence de la distribution de sortie. L’architecture est intégrée à un pipeline opérationnel basé sur Kubernetes, avec une télémétrie corrélée à des techniques décrites dans des cadres tels que MITRE ATT&CK et MITRE ATLAS. Les évaluations expérimentales dans des scénarios contrôlés indiquent une augmentation constante de la robustesse empirique face aux attaques d’évasion et une amélioration de la détection des modifications non autorisées dans les artefacts de modèle. L’analyse met également en évidence des impacts modérés sur la latence lorsque les mécanismes de défense sont correctement dimensionnés. Les résultats suggèrent que des approches combinant contrôles cryptographiques, analyse statistique et surveillance opérationnelle offrent une voie pragmatiquement viable pour renforcer la sécurité des systèmes d’intelligence artificielle déployés en production.

2008-07-15Read paper →AI Security

TITRE : Architecture opérationnelle pour la sécurité des systèmes d’intelligence artificielle : modélisation des menaces, Defense in Depth et évaluation empirique dans des environnements critiques

TITRE : Architecture opérationnelle pour la sécurité des systèmes d’intelligence artificielle : modélisation des menaces, Defense in Depth et évaluation empirique dans des environnements critiques RÉSUMÉ : La rapide intégration des systèmes d’intelligence artificielle (IA) dans les infrastructures critiques a introduit de nouvelles classes de vulnérabilités qui ne sont pas entièrement prises en compte par les modèles traditionnels de sécurité de l’information. Contrairement aux logiciels déterministes, les modèles de machine learning dépendent fortement des données d’entraînement et des distributions statistiques, créant des surfaces d’attaque associées à la manipulation des données, à l’exploitation des interfaces d’inférence et à la compromission de la chaîne d’approvisionnement des données. Ce travail propose une architecture opérationnelle pour la protection des systèmes d’IA fondée sur les principes de Defense in Depth, intégrant une modélisation formelle des menaces, des mécanismes statistiques de détection de la manipulation des données et des contrôles opérationnels intégrés aux centres des opérations de sécurité (SOC). Dans un premier temps, nous formalisons un modèle mathématique afin de caractériser des propriétés de sécurité souhaitables dans les pipelines d’apprentissage supervisé, notamment l’intégrité statistique des données et la confidentialité paramétrique du modèle. Ensuite, nous introduisons des mécanismes de détection du poisoning des données basés sur la divergence de Kullback–Leibler et l’analyse d’influence des échantillons, combinés à des stratégies adaptatives de limitation du taux de requêtes afin d’atténuer les attaques d’extraction de modèles. L’architecture proposée intègre des contrôles de sécurité tout au long du cycle de vie des modèles d’IA, y compris l’ingestion des données, l’entraînement, le packaging et le déploiement dans des environnements orchestrés. L’implémentation expérimentale utilise une pile technologique contemporaine composée de Kubernetes, PyTorch, MLflow, Suricata et d’une intégration avec un SIEM d’entreprise. Nous évaluons empiriquement l’approche dans un environnement de laboratoire représentatif d’une infrastructure critique, en utilisant des ensembles de données publics de sécurité et des scénarios adversariaux contrôlés. Les résultats indiquent une réduction significative de l’efficacité des attaques adversariales et d’extraction de modèles, avec un impact opérationnel modéré en termes de latence et de consommation de ressources de calcul. Une étude de cas dans un scénario de détection antifraude démontre la viabilité de l’architecture dans des contextes opérationnels réels. Nous discutons également des implications pour la gouvernance de l’IA et de l’alignement avec des cadres normatifs émergents, tels que le NIST AI Risk Management Framework. Les résultats suggèrent que des mécanismes statistiques combinés à des contrôles opérationnels traditionnels constituent une stratégie efficace pour réduire les risques associés à l’adoption croissante de l’IA dans les environnements critiques.

2008-07-08Read paper →AI Security

TITRE : Une Architecture Intégrée de Sécurité pour les Systèmes d’Intelligence Artificielle : Modélisation Formelle des Menaces, Détection des Attaques Adversariales et Durcissement Opérationnel dans les Environnements d’Entreprise

TITRE : Une Architecture Intégrée de Sécurité pour les Systèmes d’Intelligence Artificielle : Modélisation Formelle des Menaces, Détection des Attaques Adversariales et Durcissement Opérationnel dans les Environnements d’Entreprise RÉSUMÉ : L’incorporation rapide des systèmes d’Intelligence Artificielle (IA) dans les infrastructures critiques d’entreprise a introduit une nouvelle classe de risques de sécurité qui transcende les modèles traditionnels de défense cybernétique. Les modèles d’apprentissage profond, les services d’inférence exposés via API et, plus récemment, les Large Language Models (LLMs) ont commencé à intégrer des pipelines opérationnels responsables de décisions sensibles, notamment la détection de fraude, la classification automatisée et la réponse aux incidents. Cependant, des recherches récentes démontrent que de tels systèmes présentent des vulnérabilités structurelles, notamment les attaques adversariales, l’extraction de modèle, l’inférence d’appartenance et l’empoisonnement des données. De plus, l’écosystème opérationnel qui soutient les applications d’IA demeure exposé aux menaces traditionnelles d’infrastructure, élargissant ainsi la surface d’attaque. Dans ce travail, nous proposons une architecture intégrée de sécurité pour les systèmes d’IA qui combine la modélisation formelle des menaces, des mécanismes de détection des attaques adversariales et des pratiques de hardening opérationnel adaptées aux environnements d’entreprise. Premièrement, nous développons un modèle de menace unifié qui intègre les taxonomies MITRE ATT&CK et MITRE ATLAS, permettant de cartographier les vecteurs d’attaque spécifiques à l’apprentissage automatique au sein de cadres consolidés de défense cybernétique. Ensuite, nous formalisons le problème de robustesse adversariale sous une perspective d’optimisation min–max et introduisons un mécanisme de détection basé sur l’entropie de sortie et l’estimation de la dimension intrinsèque locale afin d’identifier les entrées potentiellement adversariales en temps d’inférence. L’architecture proposée intègre également la surveillance du drift statistique, la validation de l’intégrité du pipeline de données et l’intégration avec des plateformes SIEM pour la réponse opérationnelle. L’implémentation a été réalisée à l’aide de PyTorch, Suricata, Elastic Stack et d’une infrastructure Kubernetes, reflétant des pratiques largement adoptées dans les environnements d’entreprise jusqu’en 2023. L’évaluation expérimentale a été menée dans des scénarios de vision par ordinateur et de détection d’intrusion à l’aide des jeux de données CIFAR‑10 et UNSW‑NB15. Les résultats indiquent une amélioration substantielle de la robustesse face aux attaques FGSM et PGD, ainsi qu’une réduction significative du temps moyen de réponse opérationnelle dans les centres d’opérations de sécurité (SOC). Ces résultats suggèrent que les approches isolées de robustesse adversariale sont insuffisantes et que la sécurité de l’IA doit être traitée comme un problème systémique intégrant des méthodes mathématiques, l’ingénierie logicielle sécurisée et la surveillance continue de l’infrastructure.

2008-07-01Read paper →DevSecOps

Architecture DevSecOps orientée par le risque avec corrélation multi-étape basée sur MITRE ATT&CK et preuves empiriques dans des pipelines CI/CD natifs du cloud

Architecture DevSecOps orientée par le risque avec corrélation multi-étape basée sur MITRE ATT&CK et preuves empiriques dans des pipelines CI/CD natifs du cloud ABSTRACT: L’adoption croissante des architectures natives du cloud et des pipelines CI/CD hautement automatisés a considérablement élargi la surface d’attaque associée au cycle de vie du développement logiciel. Des incidents largement documentés, notamment des compromissions de la chaîne d’approvisionnement et l’exploitation de vulnérabilités largement diffusées, démontrent que des contrôles de sécurité isolés sont insuffisants lorsqu’ils ne sont pas intégrés à des mécanismes de priorisation contextuelle et de corrélation comportementale. Dans ce travail, nous présentons une architecture DevSecOps orientée par le risque qui intègre l’analyse statique du code, l’analyse des dépendances, la génération et la vérification de SBOM, la validation de l’infrastructure as code, la détection comportementale à l’exécution et un moteur formel de calcul du risque contextuel. L’architecture utilise le framework MITRE ATT&CK comme ontologie pour la corrélation multi-étape d’événements sur l’ensemble du pipeline de développement et d’exécution. Nous réalisons une analyse critique des limites des approches fondées exclusivement sur CVSS, démontrant que l’absence de contextualisation opérationnelle conduit fréquemment à une priorisation inappropriée des vulnérabilités et à une fatigue des alertes. Nous proposons une formulation mathématique du risque comme fonction composée de la probabilité d’exploitation estimée par EPSS, de l’impact technique normalisé et de facteurs dynamiques d’exposition opérationnelle. Nous introduisons des définitions formelles de l’adversaire, des propriétés de correction du mécanisme de blocage des builds et un modèle probabiliste de corrélation entre techniques adverses. L’architecture a été implémentée dans un environnement Kubernetes en utilisant GitLab CI, SonarQube, Semgrep, Trivy, Syft, Grype, OWASP ZAP, Falco, Suricata et Open Policy Agent. Nous avons évalué empiriquement le système sur une période de six mois dans un ensemble de microservices d’entreprise répartis sur deux domaines organisationnels distincts. Les résultats indiquent une réduction constante du temps moyen de remédiation, une diminution relative des faux positifs et un impact opérationnel limité sur le temps total de build. Les résultats empiriques suggèrent que l’intégration de la modélisation formelle du risque, de la veille sur les menaces et de l’automatisation des politiques peut améliorer de manière significative l’efficacité opérationnelle des programmes DevSecOps dans des environnements natifs du cloud.

2008-06-24Read paper →DevSecOps

TITRE : DevSecOps orienté par les menaces : architecture formelle pour l’intégration de SAST, DAST, SCA et de la télémétrie comportementale basée sur MITRE ATT&CK dans les pipelines CI/CD

TITRE : DevSecOps orienté par les menaces : architecture formelle pour l’intégration de SAST, DAST, SCA et de la télémétrie comportementale basée sur MITRE ATT&CK dans les pipelines CI/CD RÉSUMÉ : L’adoption massive des architectures cloud-native et des pipelines d’intégration et de livraison continues (CI/CD) a profondément transformé les processus de développement logiciel. Cependant, cette automatisation élargit considérablement la surface d’attaque lorsque des mécanismes de sécurité ne sont pas intégrés de manière systématique au cycle de vie du développement. Des incidents largement documentés, tels que la compromission de la chaîne d’approvisionnement de SolarWinds et l’exploitation de la vulnérabilité CVE-2021-44228 (Log4Shell), démontrent que des défaillances dans l’intégration entre la sécurité du code, des dépendances et la surveillance en temps d’exécution peuvent permettre des compromissions à grande échelle. Bien que les outils d’analyse statique (SAST), d’analyse dynamique (DAST) et d’analyse de composition logicielle (SCA) soient largement utilisés dans les pipelines DevSecOps, leur fonctionnement isolé génère souvent de grands volumes d’alertes et complique la priorisation fondée sur le risque réel. Dans ce travail, nous proposons une architecture DevSecOps orientée par les menaces qui intègre les résultats des scanners de sécurité avec la télémétrie comportementale et un mappage systématique vers le framework MITRE ATT&CK. Nous formalisons mathématiquement le calcul du risque résiduel dans les pipelines CI/CD en combinant des métriques de sévérité (CVSS), des preuves d’exploitation observées en runtime et la criticité contextuelle de l’application. Nous introduisons un algorithme de priorisation adaptative qui corrèle les vulnérabilités détectées dans les étapes statiques avec des indicateurs comportementaux provenant de systèmes de détection et d’observabilité, tels que Falco et Suricata. Nous avons implémenté l’architecture proposée dans un environnement d’entreprise basé sur GitLab CI/CD, Kubernetes et des outils largement utilisés de sécurité applicative, notamment Semgrep, SonarQube, Trivy, Checkov et OWASP ZAP. Nous avons évalué empiriquement cette approche sur 120 pipelines impliquant 48 microservices et environ 3,2 millions de lignes de code sur une période de six mois. Les résultats indiquent une réduction significative du temps moyen de détection (MTTD), du temps moyen de remédiation (MTTR) et de l’incidence des vulnérabilités critiques en production. Nous avons également observé une diminution substantielle du taux de faux positifs lorsque la priorisation est orientée par la télémétrie comportementale et la threat intelligence. Ces résultats démontrent que la corrélation systématique entre l’analyse de code, la sécurité de la chaîne d’approvisionnement et la détection comportementale basée sur MITRE ATT&CK permet de réduire de manière mesurable le risque opérationnel dans les pipelines CI/CD modernes.

2008-06-18Read paper →DevSecOps

TITRE: Orchestration vérifiable cryptographiquement de pipelines DevSecOps : modèle formel, architecture automatisée et évaluation expérimentale dans des environnements Kubernetes natifs du cloud

TITRE: Orchestration vérifiable cryptographiquement de pipelines DevSecOps : modèle formel, architecture automatisée et évaluation expérimentale dans des environnements Kubernetes natifs du cloud RÉSUMÉ: L’adoption croissante d’architectures basées sur les microservices et de l’orchestration Kubernetes a consolidé les pipelines CI/CD comme composant central de l’ingénierie logicielle moderne. Cependant, cette automatisation a considérablement élargi la surface d’attaque des chaînes d’approvisionnement logicielle. Des incidents largement documentés ont démontré que l’altération des dépendances, des artefacts de build ou de l’infrastructure de pipeline peut compromettre simultanément des milliers de systèmes. Ce travail propose un modèle formel pour l’orchestration vérifiable cryptographiquement de pipelines DevSecOps dans des environnements natifs du cloud. Le modèle représente les pipelines sous forme de graphes acycliques dirigés dans lesquels chaque transformation d’artefact est accompagnée de propriétés vérifiables d’intégrité, d’authenticité et de traçabilité. Nous formalisons des métriques quantitatives de risque opérationnel basées sur des fonctions de hachage cryptographiques, des signatures numériques et un scoring dérivé des vulnérabilités CVSS. Sur cette base théorique, nous développons une architecture automatisée dénommée OCV-DevSecOps, qui intègre la vérification des artefacts avec Sigstore/Cosign, des politiques déclaratives avec Open Policy Agent, la détection comportementale à l’exécution avec Falco et l’analyse des vulnérabilités avec des outils SAST, SCA et DAST. L’architecture intègre également un Software Bill of Materials (SBOM) au format CycloneDX pour la traçabilité des dépendances et le support de la gouvernance de la chaîne d’approvisionnement. Nous évaluons expérimentalement la proposition sur un cluster Kubernetes comprenant 42 microservices et 180 exécutions de pipeline. Les résultats indiquent une réduction significative du temps moyen de détection des vulnérabilités critiques, une amélioration substantielle de la traçabilité des artefacts et une diminution du nombre de déploiements contenant des défaillances critiques. Nous observons également un impact modéré sur le temps total d’exécution du pipeline, tout en maintenant la viabilité opérationnelle. Les résultats suggèrent que la combinaison d’une vérification cryptographique obligatoire, de politiques automatisées et d’une surveillance comportementale continue offre un mécanisme efficace pour renforcer la sécurité des pipelines DevSecOps modernes. Ce travail contribue en fournissant une formalisation mathématique du problème, une architecture reproductible et une évaluation empirique fondée sur une infrastructure réelle native du cloud.

2008-06-11Read paper →DevSecOps

TITRE : Orchestration formelle de la sécurité dans les pipelines CI/CD : modèle quantitatif de risque pour DevSecOps avec corrélation MITRE ATT&CK et métriques opérationnelles

TITRE : Orchestration formelle de la sécurité dans les pipelines CI/CD : modèle quantitatif de risque pour DevSecOps avec corrélation MITRE ATT&CK et métriques opérationnelles RÉSUMÉ : L’adoption des pratiques DevOps a profondément transformé le cycle de développement logiciel en privilégiant l’automatisation, l’intégration continue et la livraison continue. Toutefois, l’accélération des pipelines CI/CD a considérablement élargi la surface d’attaque des organisations, en particulier dans le contexte des attaques de la chaîne d’approvisionnement logicielle et de l’exploitation de dépendances vulnérables. Des incidents largement documentés, tels que la compromission de la chaîne de distribution de SolarWinds Orion (SUNBURST) et l’exploitation massive de la vulnérabilité Log4Shell (CVE‑2021‑44228), montrent que des défaillances introduites au cours du processus de build ou via des dépendances externes peuvent propager leur impact à l’échelle mondiale. Bien que le paradigme DevSecOps propose d’intégrer des contrôles de sécurité au pipeline de développement, la pratique opérationnelle reste caractérisée par une intégration superficielle des outils, l’absence de métriques quantitatives de risque et un manque d’alignement entre les résultats des scanners automatisés et les modèles formels de menace. Dans ce travail, nous proposons un modèle quantitatif d’orchestration de la sécurité dans les pipelines CI/CD fondé sur une analyse incrémentale du risque. Le modèle formalise le pipeline comme un graphe orienté acyclique et définit une fonction de risque cumulatif qui combine le score CVSS, la probabilité d’exploitation estimée via EPSS, la criticité de l’actif et un facteur temporel associé à l’ancienneté de la vulnérabilité. À partir de cette formulation, nous introduisons un mécanisme de blocage adaptatif qui utilise des seuils dynamiques pour décider automatiquement de la promotion ou du rejet des artefacts au cours du processus de build. Nous avons implémenté le modèle dans un environnement Kubernetes en utilisant des outils largement adoptés dans l’écosystème DevSecOps, notamment Semgrep, SonarQube, Trivy, Syft/Grype, OWASP ZAP et Checkov, ainsi qu’une surveillance en temps d’exécution avec Falco et la corrélation d’événements avec la matrice MITRE ATT&CK. L’évaluation expérimentale a été menée sur 1 200 exécutions de pipeline impliquant 37 microservices. Les résultats indiquent une réduction significative de l’exposition aux vulnérabilités critiques en production et une diminution du temps moyen de remédiation sans impact substantiel sur le temps d’exécution du pipeline. L’étude montre que la formalisation mathématique du risque dans les pipelines CI/CD permet des décisions automatisées plus cohérentes et fournit une base opérationnelle pour une gouvernance de la sécurité orientée par les métriques dans les environnements DevSecOps.

2008-06-04Read paper →AppSec

TITRE : Une Architecture Formelle et Opérationnelle pour une AppSec Orientée par les Menaces : Intégration de SAST, DAST, SCA, Télémétrie Runtime et Renseignement ATT&CK pour une Priorisation Fondée sur le Risque Exploitable

TITRE : Une Architecture Formelle et Opérationnelle pour une AppSec Orientée par les Menaces : Intégration de SAST, DAST, SCA, Télémétrie Runtime et Renseignement ATT&CK pour une Priorisation Fondée sur le Risque Exploitable RÉSUMÉ : La surface d’attaque des applications modernes s’est considérablement étendue avec l’adoption d’architectures fondées sur les microservices, les API, les conteneurs et les pipelines d’intégration et de livraison continues. Bien que des outils de sécurité des applications tels que Static Application Security Testing (SAST), Dynamic Application Security Testing (DAST) et Software Composition Analysis (SCA) soient largement utilisés, ces mécanismes fonctionnent souvent de manière isolée, produisant de grands volumes d’alertes dépourvues de contextualisation opérationnelle. Par conséquent, les équipes de sécurité rencontrent des difficultés pour prioriser les vulnérabilités en fonction de la probabilité réelle d’exploitation. Dans ce travail, nous présentons une architecture formelle et opérationnelle pour la sécurité des applications orientée par les menaces, qui intègre les résultats de SAST, DAST et SCA avec une télémétrie d’exécution collectée en temps réel au moyen de capteurs réseau et d’une surveillance basée sur eBPF. L’architecture proposée utilise une corrélation probabiliste inspirée des modèles bayésiens afin d’estimer le risque exploitable des vulnérabilités identifiées, en incorporant des preuves empiriques issues d’événements observés en runtime et en alignant ces preuves sur le framework MITRE ATT&CK. Nous formalisons mathématiquement le concept de risque exploitable et démontrons comment plusieurs sources de preuves peuvent être combinées pour réduire les faux positifs et améliorer la priorisation des remédiations. L’implémentation expérimentale a été réalisée dans un environnement Kubernetes avec intégration dans un pipeline CI/CD, en utilisant des outils largement adoptés dans l’industrie, notamment Semgrep, OWASP ZAP, OWASP Dependency-Check, Falco et Suricata. Nous avons évalué l’approche sur un ensemble d’applications vulnérables et observé des améliorations significatives de la précision de l’identification des vulnérabilités exploitables. Les résultats expérimentaux indiquent une augmentation du F1-score de 0,67–0,63 dans les approches isolées à 0,85 dans le modèle intégré, ainsi qu’une réduction de 37,4 % des faux positifs et une diminution du temps moyen de triage des vulnérabilités. Nous discutons des limites du modèle probabiliste, des implications opérationnelles pour les pratiques DevSecOps et des extensions possibles, notamment l’intégration de métriques d’exploitation telles que EPSS et l’analyse assistée par apprentissage automatique pour une priorisation adaptative. L’architecture proposée démontre que la corrélation entre analyse statique, tests dynamiques, analyse des dépendances et télémétrie opérationnelle constitue une voie prometteuse pour réduire l’écart entre la détection des vulnérabilités et la détection de l’exploitation réelle.

2008-05-28Read paper →AppSec

TITRE: Sécurité applicative orientée par les preuves : un framework formel et évolutif pour l’orchestration de la sécurité des applications fondée sur la modélisation des menaces et l’analyse hybride continue

TITRE: Sécurité applicative orientée par les preuves : un framework formel et évolutif pour l’orchestration de la sécurité des applications fondée sur la modélisation des menaces et l’analyse hybride continue RÉSUMÉ: La sécurité applicative est devenue un composant central de la cybersécurité moderne en raison de la dépendance croissante aux architectures distribuées, aux microservices, aux API publiques et aux chaînes complexes de dépendances open source. La surface d’attaque des systèmes contemporains croît proportionnellement à l’interconnectivité entre les composants, rendant insuffisantes les approches traditionnelles qui analysent les vulnérabilités de manière isolée. Dans les environnements DevSecOps contemporains, des outils tels que l’analyse statique (SAST), l’analyse dynamique (DAST) et l’analyse de composition logicielle (SCA) produisent de grands volumes d’alertes, souvent caractérisés par un taux élevé de faux positifs et une priorisation inadéquate des risques. Ce travail propose un framework formel dénommé EO-AppSec (Evidence-Oriented Application Security), qui intègre plusieurs sources d’évidence de sécurité dans un modèle probabiliste unifié pour la priorisation des vulnérabilités. Nous formalisons le problème en utilisant l’inférence bayésienne combinée à des métriques CVSS contextualisées et à la modélisation des dépendances entre composants représentées par des graphes dirigés. Le framework corrèle les résultats des outils SAST, DAST et SCA, ainsi que la télémétrie opérationnelle, afin d’estimer la probabilité d’exploitation des vulnérabilités et de calculer un score de risque conditionnel. L’architecture proposée intègre des pipelines CI/CD et des infrastructures cloud-native, y compris des environnements Kubernetes et des plateformes d’observabilité basées sur eBPF ainsi que des stacks de télémétrie modernes. Nous avons évalué le système dans un environnement industriel contenant 47 applications et environ 3,2 millions de lignes de code, en le comparant à des approches traditionnelles fondées sur une analyse isolée. Les résultats démontrent une augmentation significative de la précision de la priorisation des vulnérabilités (0,89) et une réduction des faux positifs de 42,3 %, ainsi qu’une diminution du temps moyen de remédiation de 14,2 à 8,7 jours. Nous discutons des implications pratiques pour la gouvernance de la sécurité logicielle et l’intégration avec des frameworks contemporains de sécurité, notamment le NIST Secure Software Development Framework et les pratiques modernes de sécurité dans les pipelines DevSecOps. Nous analysons également les limites méthodologiques et les implications pour les environnements incorporant des composants d’intelligence artificielle et des grands modèles de langage dans les applications modernes. Les résultats indiquent qu’une orchestration fondée sur les preuves offre une voie viable pour réduire le bruit opérationnel et améliorer l’efficacité des programmes d’AppSec à l’échelle industrielle.

2008-05-21Read paper →AppSec

TITRE: AppSec orientée vers les preuves : un framework formel et évolutif pour l’orchestration de la sécurité applicative fondée sur la modélisation des menaces et l’analyse hybride continue

TITRE: AppSec orientée vers les preuves : un framework formel et évolutif pour l’orchestration de la sécurité applicative fondée sur la modélisation des menaces et l’analyse hybride continue RÉSUMÉ: La sécurité des applications est devenue un composant central de la cybersécurité moderne en raison de la dépendance croissante aux architectures distribuées, aux microservices, aux API publiques et aux chaînes complexes de dépendances open-source. La surface d’attaque des systèmes contemporains croît proportionnellement à l’interconnectivité entre les composants, rendant insuffisantes les approches traditionnelles qui analysent les vulnérabilités de manière isolée. Dans les environnements DevSecOps contemporains, des outils tels que l’analyse statique (SAST), l’analyse dynamique (DAST) et l’analyse de composition logicielle (SCA) produisent de grands volumes d’alertes, souvent caractérisés par un taux élevé de faux positifs et une priorisation inadéquate des risques. Ce travail propose un framework formel nommé EO-AppSec (Evidence-Oriented Application Security), qui intègre de multiples sources de preuves de sécurité dans un modèle probabiliste unifié pour la priorisation des vulnérabilités. Nous formalisons le problème en utilisant l’inférence bayésienne combinée à des métriques CVSS contextualisées et à la modélisation des dépendances entre composants représentées par des graphes dirigés. Le framework corrèle les résultats des outils SAST, DAST et SCA, ainsi que la télémétrie opérationnelle, afin d’estimer la probabilité d’exploitation des vulnérabilités et de calculer un score de risque conditionnel. L’architecture proposée intègre des pipelines CI/CD et des infrastructures cloud-native, y compris des environnements Kubernetes et des plateformes d’observabilité basées sur eBPF et des piles de télémétrie modernes. Nous avons évalué le système dans un environnement industriel comprenant 47 applications et environ 3,2 millions de lignes de code, en le comparant à des approches traditionnelles fondées sur une analyse isolée. Les résultats montrent une augmentation significative de la précision de la priorisation des vulnérabilités (0,89) et une réduction des faux positifs de 42,3 %, ainsi qu’une diminution du temps moyen de remédiation de 14,2 à 8,7 jours. Nous discutons des implications pratiques pour la gouvernance de la sécurité des logiciels et de l’intégration avec des frameworks contemporains de sécurité, y compris le NIST Secure Software Development Framework et les pratiques modernes de sécurité dans les pipelines DevSecOps. Nous analysons également les limites méthodologiques et les implications pour les environnements incorporant des composants d’intelligence artificielle et des grands modèles de langage dans les applications modernes. Les résultats indiquent qu’une orchestration fondée sur les preuves offre une voie viable pour réduire le bruit opérationnel et améliorer l’efficacité des programmes d’AppSec à l’échelle industrielle.

2008-05-21Read paper →