Research / Paper Files

Paper Files

Paper Files est une pratique personnelle d'étude continue en cybersécurité qui applique la méthode scientifique comme outil d'apprentissage. Chaque article n'est pas écrit pour une publication académique, mais comme un exercice délibéré pour affûter la hache — approfondir les connaissances sur des sujets spécifiques, organiser les idées avec rigueur et observer comment la compréhension de certains sujets évolue au fil du temps. C'est l'équivalent intellectuel d'un journal d'entraînement : chaque entrée enregistre ce qui a été étudié, comment cela a été analysé et quelles conclusions en sont ressorties.

Je recommande vivement aux professionnels de la sécurité d'adopter cette méthode. Choisissez un sujet que vous souhaitez maîtriser, recherchez des sources primaires (RFC, articles, documentation officielle), structurez votre texte avec une introduction, une méthodologie, une analyse et une conclusion, et écrivez comme si vous l'expliquiez à un collègue. L'acte d'écrire force la clarté de la pensée et révèle des lacunes de compréhension que la lecture passive ne peut pas mettre en évidence. Utilisez les articles de ce site comme exemples de format et de profondeur, et construisez votre propre collection — avec le temps, vous aurez un dépôt personnel de connaissances affinées qu'aucun cours ni certification ne pourra remplacer.

DAI & ADAI · 2026

DAI · EN

DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts

DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…

Read paper →ADAI · EN

Autonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure

ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…

Read paper →

Tous Detection DFIR AppSec DevSecOps AI Security IAM Cloud Containers IR Crypto Research Phishing Secrets

198 papers

AppSec

TITRE : Une architecture quantitative et opérationnelle de Application Security fondée sur l’intégration de SAST, DAST, SCA et de la Threat Intelligence dans le cycle DevSecOps

TITRE : Une architecture quantitative et opérationnelle de Application Security fondée sur l’intégration de SAST, DAST, SCA et de la Threat Intelligence dans le cycle DevSecOps RÉSUMÉ : La sécurité des applications (Application Security – AppSec) est devenue un composant central de la gestion des risques dans les environnements numériques modernes. L’adoption croissante d’architectures fondées sur des microservices, des API exposées, des conteneurs et des pipelines de livraison continue a considérablement élargi la surface d’attaque des organisations. Bien que de nombreux outils d’analyse de sécurité soient largement disponibles, de nombreuses organisations rencontrent encore des difficultés à prioriser les vulnérabilités en fonction du risque réel d’exploitation. Les outils d’analyse statique (SAST), d’analyse dynamique (DAST) et d’analyse de composition logicielle (SCA) produisent fréquemment de grands volumes de résultats, dont beaucoup présentent un faible impact opérationnel ou un taux élevé de faux positifs. Ce travail propose une architecture quantitative pour des programmes AppSec orientés risque, intégrant les résultats de SAST, DAST et SCA avec des sources externes de Threat Intelligence. Nous présentons un modèle formel de priorisation fondé sur une fonction de risque qui combine les scores CVSS, la preuve d’un exploit public, le contexte d’exposition de l’application et le mappage vers des techniques du framework MITRE ATT&CK. L’architecture proposée est intégrée à des pipelines DevSecOps et utilise des mécanismes de corrélation et de normalisation des vulnérabilités au moyen de plateformes de gestion telles que DefectDojo. Nous évaluons empiriquement l’approche sur un ensemble de 42 applications réelles développées en Java, Python et Node.js. Les résultats indiquent une réduction significative des vulnérabilités dupliquées, une diminution du taux de faux positifs et une amélioration substantielle du temps moyen de remédiation (MTTR). Une réduction de 63 % du MTTR et une diminution de 44,7 % du volume de résultats après corrélation entre scanners ont été observées. Nous démontrons également que l’intégration de la Threat Intelligence — y compris la présence d’exploits publics et l’observation d’une activité adversaire — améliore la priorisation des remédiations et oriente les ressources vers les vulnérabilités effectivement exploitables. Les résultats suggèrent que les programmes AppSec orientés risque, lorsqu’ils sont intégrés au cycle DevSecOps, offrent des gains mesurables en matière de réduction de la surface d’attaque et d’efficacité opérationnelle des équipes de sécurité.

2008-05-15Read paper →AppSec

TITRE : Une architecture quantitative pour la sécurité des applications fondée sur la modélisation formelle des menaces, l’intégration de SAST/DAST/SCA et la télémétrie en temps d’exécution dans des environnements DevSecOps

TITRE : Une architecture quantitative pour la sécurité des applications fondée sur la modélisation formelle des menaces, l’intégration de SAST/DAST/SCA et la télémétrie en temps d’exécution dans des environnements DevSecOps RÉSUMÉ : Une architecture quantitative pour la sécurité des applications fondée sur la modélisation formelle des menaces, l’intégration de SAST/DAST/SCA et la télémétrie en temps d’exécution dans des environnements DevSecOps RÉSUMÉ : La dépendance croissante aux applications web, aux API et aux architectures fondées sur les microservices a considérablement élargi la surface d’attaque des systèmes modernes. Des rapports récents d’incidents indiquent que l’exploitation d’applications exposées à Internet demeure l’un des vecteurs d’intrusion les plus fréquents, exploitant souvent des vulnérabilités connues dans les bibliothèques, des failles de validation des entrées ou des configurations inadéquates. Bien que les outils de sécurité applicative, tels que l’analyse statique (SAST), l’analyse dynamique (DAST) et l’analyse de composition logicielle (SCA), soient largement utilisés dans les pipelines DevSecOps, ces mécanismes fonctionnent généralement de manière fragmentée et sans structure quantitative permettant d’estimer le risque résiduel du système. Ce travail propose une architecture intégrée de sécurité applicative fondée sur la modélisation formelle des menaces, l’agrégation des résultats issus de multiples sources d’analyse et l’intégration de la télémétrie d’exécution en temps réel. Nous formalisons le problème de priorisation des vulnérabilités comme un processus de minimisation pondérée du risque résiduel, dans lequel chaque vulnérabilité est évaluée sur la base de métriques de probabilité d’exploitabilité, d’impact potentiel et de contexte opérationnel. L’architecture proposée intègre des outils d’analyse statique, dynamique et de dépendances à des mécanismes d’observabilité de la sécurité, notamment la détection comportementale en runtime et la collecte continue d’événements. Nous évaluons expérimentalement l’approche dans un environnement composé d’applications délibérément vulnérables et de microservices réels exécutés sur une infrastructure conteneurisée. Les résultats indiquent une amélioration significative de la capacité à identifier les vulnérabilités effectivement exploitables, avec une augmentation moyenne du recall à 91,3 % et une réduction de 63,4 % du mean time to detect (MTTD) par rapport aux approches isolées. La surcharge computationnelle observée est restée inférieure à 20 %, compatible avec les exigences opérationnelles des pipelines CI/CD modernes. En outre, nous discutons des implications pour les programmes d’AppSec en entreprise, en soulignant l’importance d’intégrer l’analyse de code, la surveillance opérationnelle et la threat intelligence. L’architecture proposée démontre que la combinaison de la modélisation formelle et de la télémétrie en runtime fournit une base solide pour la priorisation contextualisée des vulnérabilités et la réduction effective du risque résiduel dans les systèmes logiciels contemporains.

2008-05-08Read paper →AppSec

Une architecture quantitative de sécurité applicative basée sur la modélisation formelle des menaces, l’intégration SAST/DAST/SCA et la télémétrie runtime dans des environnements DevSecOps

TITLE: Une architecture quantitative de sécurité applicative basée sur la modélisation formelle des menaces, l’intégration SAST/DAST/SCA et la télémétrie runtime dans des environnements DevSecOps ABSTRACT: La dépendance croissante aux applications web, aux API et aux architectures fondées sur les microservices a considérablement élargi la surface d’attaque des systèmes modernes. Des rapports récents d’incidents indiquent que l’exploitation des applications exposées à Internet demeure l’un des vecteurs d’intrusion les plus fréquents, en s’appuyant souvent sur des vulnérabilités connues dans les bibliothèques, des défaillances de validation des entrées ou des configurations inappropriées. Bien que les outils de sécurité des applications, tels que l’analyse statique (SAST), l’analyse dynamique (DAST) et l’analyse de composition logicielle (SCA), soient largement utilisés dans les pipelines DevSecOps, ces mécanismes opèrent généralement de manière fragmentée et sans structure quantitative permettant d’estimer le risque résiduel du système. Ce travail propose une architecture intégrée de sécurité applicative basée sur la modélisation formelle des menaces, l’agrégation des résultats provenant de multiples sources d’analyse et l’incorporation de la télémétrie d’exécution en temps réel. Nous formalisons le problème de priorisation des vulnérabilités comme un processus de minimisation du risque résiduel pondéré, dans lequel chaque vulnérabilité est évaluée à partir de métriques de probabilité d’exploitation, d’impact potentiel et de contexte opérationnel. L’architecture proposée intègre des outils d’analyse statique, dynamique et des dépendances avec des mécanismes d’observabilité de sécurité, incluant la détection comportementale en runtime et la collecte continue d’événements. Nous évaluons expérimentalement l’approche dans un environnement composé d’applications délibérément vulnérables et de microservices réels exécutés sur une infrastructure conteneurisée. Les résultats indiquent une amélioration significative de la capacité à identifier les vulnérabilités effectivement exploitables, avec une augmentation du recall moyen à 91,3 % et une réduction de 63,4 % du temps moyen de détection (MTTD) par rapport aux approches isolées. Le surcoût computationnel observé est resté inférieur à 20 %, compatible avec les exigences opérationnelles des pipelines CI/CD modernes. En outre, nous discutons les implications pour les programmes d’AppSec d’entreprise, en soulignant l’importance de l’intégration entre l’analyse du code, la surveillance opérationnelle et la threat intelligence. L’architecture proposée montre que la combinaison de la modélisation formelle avec la télémétrie runtime fournit une base solide pour la priorisation contextualisée des vulnérabilités et la réduction effective du risque résiduel dans les systèmes logiciels contemporains.

2008-05-08Read paper →AppSec

TITRE: Une architecture quantitative de sécurité applicative fondée sur la modélisation formelle des menaces, l’intégration SAST/DAST/SCA et la télémétrie runtime dans des environnements DevSecOps

TITRE: Une architecture quantitative de sécurité applicative fondée sur la modélisation formelle des menaces, l’intégration SAST/DAST/SCA et la télémétrie runtime dans des environnements DevSecOps RÉSUMÉ: La dépendance croissante aux applications web, aux APIs et aux architectures basées sur les microservices a considérablement élargi la surface d’attaque des systèmes modernes. Des rapports récents d’incidents indiquent que l’exploitation d’applications exposées à Internet demeure l’un des vecteurs d’intrusion les plus fréquents, exploitant souvent des vulnérabilités connues dans des bibliothèques, des failles de validation des entrées ou des configurations inadéquates. Bien que les outils de sécurité applicative, tels que l’analyse statique (SAST), l’analyse dynamique (DAST) et l’analyse de composition logicielle (SCA), soient largement utilisés dans les pipelines DevSecOps, ces mécanismes fonctionnent généralement de manière fragmentée et sans cadre quantitatif permettant d’estimer le risque résiduel du système. Ce travail propose une architecture intégrée de sécurité applicative fondée sur la modélisation formelle des menaces, l’agrégation des résultats provenant de multiples sources d’analyse et l’incorporation de la télémétrie d’exécution en temps réel. Nous formalisons le problème de priorisation des vulnérabilités comme un processus de minimisation du risque résiduel pondéré, dans lequel chaque vulnérabilité est évaluée à partir de métriques de probabilité d’exploitation, d’impact potentiel et de contexte opérationnel. L’architecture proposée intègre des outils d’analyse statique, dynamique et des dépendances avec des mécanismes d’observabilité de sécurité, incluant la détection comportementale en runtime et la collecte continue d’événements. Nous évaluons expérimentalement l’approche dans un environnement composé d’applications délibérément vulnérables et de microservices réels exécutés sur une infrastructure conteneurisée. Les résultats indiquent une amélioration significative de la capacité à identifier les vulnérabilités effectivement exploitables, avec une augmentation du recall moyen à 91,3 % et une réduction de 63,4 % du temps moyen de détection (MTTD) par rapport aux approches isolées. L’overhead computationnel observé est resté inférieur à 20 %, ce qui est compatible avec les exigences opérationnelles des pipelines CI/CD modernes. En outre, nous discutons des implications pour les programmes d’AppSec en entreprise, en soulignant l’importance de l’intégration entre l’analyse de code, la supervision opérationnelle et la veille sur les menaces. L’architecture proposée démontre que la combinaison de la modélisation formelle et de la télémétrie runtime fournit une base solide pour une priorisation contextualisée des vulnérabilités et une réduction effective du risque résiduel dans les systèmes logiciels contemporains.

2008-05-08Read paper →DFIR

ARCHITECTURE FORMELLE ET OPÉRATIONNELLE POUR LA RÉPONSE AUX INCIDENTS NUMÉRIQUES AVEC DES GARANTIES CRYPTOGRAPHIQUES ET UNE VALIDATION VÉRIFIABLE DANS LES INFRASTRUCTURES MODERNES

ARCHITECTURE FORMELLE ET OPÉRATIONNELLE POUR LA RÉPONSE AUX INCIDENTS NUMÉRIQUES AVEC DES GARANTIES CRYPTOGRAPHIQUES ET UNE VALIDATION VÉRIFIABLE DANS LES INFRASTRUCTURES MODERNES RÉSUMÉ: La complexité croissante des écosystèmes numériques contemporains, intensifiée par l’adoption massive du cloud computing, des architectures de microservices, de l’intelligence artificielle et des infrastructures distribuées, exige des approches plus rigoureuses pour le Digital Forensics and Incident Response (DFIR). Les structures traditionnelles de réponse aux incidents se concentrent principalement sur les procédures opérationnelles et la gouvernance organisationnelle, laissant d’importantes lacunes dans la formalisation mathématique de l’intégrité des preuves et dans la vérifiabilité des chaînes de custody. Dans ce travail, nous proposons une architecture intégrée qui combine des fondements de cryptographie appliquée, des méthodes formelles de vérification et des mécanismes opérationnels de collecte et de corrélation de télémétrie pour la réponse aux incidents dans des environnements d’entreprise, des infrastructures critiques et des plateformes cloud. Nous formalisons un modèle de menace spécifique au DFIR basé sur des classes de capacités adverses et définissons des jeux de sécurité qui capturent les propriétés d’intégrité, d’authenticité et d’immuabilité de la chaîne de preuves. Nous introduisons un mécanisme de chaînage cryptographique fondé sur des fonctions de hachage résistantes aux collisions et des arbres de Merkle, combiné à des signatures numériques modernes et à un stockage immuable. En outre, nous présentons un algorithme de corrélation médico-légale modélisé comme un graphe acyclique orienté, avec analyse de complexité et propriétés de correction démontrables. L’architecture est conçue pour s’intégrer à des outils largement utilisés dans les opérations de sécurité contemporaines, notamment YARA, Sigma, Suricata, des pipelines de télémétrie dans les SIEM/SOAR et des mécanismes d’observabilité basés sur eBPF dans les environnements Linux. Nous avons réalisé une évaluation expérimentale qualitative en comparant l’approche proposée à des flux traditionnels de réponse aux incidents, en examinant la latence d’ingestion, la surcharge computationnelle et la résistance à la manipulation adverse. Deux études de cas — l’une dans un environnement hospitalier numérisé et l’autre dans un réseau industriel ICS/SCADA — démontrent l’applicabilité du modèle à des domaines soumis à de fortes contraintes réglementaires et opérationnelles. Nous concluons que l’incorporation systématique de garanties cryptographiques et de spécifications formelles dans la pratique du DFIR accroît de manière significative la fiabilité probatoire et l’auditabilité des investigations, au prix d’une surcharge computationnelle modérée et d’une complexité opérationnelle accrue. Ce travail contribue à la convergence entre cryptographie appliquée, vérification formelle et ingénierie de la sécurité opérationnelle, en s’alignant sur les besoins de la cybersécurité contemporaine en 2024.

2008-05-01Read paper →DFIR

TITRE : Architecture formelle et opérationnelle pour la réponse aux incidents numériques avec garanties cryptographiques et validation vérifiable dans les infrastructures modernes

TITRE : Architecture formelle et opérationnelle pour la réponse aux incidents numériques avec garanties cryptographiques et validation vérifiable dans les infrastructures modernes RÉSUMÉ : La complexité croissante des écosystèmes numériques contemporains, intensifiée par l’adoption massive du cloud computing, des architectures de microservices, de l’intelligence artificielle et des infrastructures distribuées, exige des approches plus rigoureuses pour le Digital Forensics and Incident Response (DFIR). Les cadres traditionnels de réponse aux incidents se concentrent principalement sur les procédures opérationnelles et la gouvernance organisationnelle, laissant d’importantes lacunes dans la formalisation mathématique de l’intégrité des preuves et dans la vérifiabilité des chaînes de conservation. Dans ce travail, nous proposons une architecture intégrée qui combine les fondements de la cryptographie appliquée, les méthodes formelles de vérification et des mécanismes opérationnels de collecte et de corrélation de la télémétrie pour la réponse aux incidents dans les environnements d’entreprise, les infrastructures critiques et les plateformes cloud. Nous formalisons un modèle de menace spécifique au DFIR fondé sur des classes de capacité adversariale et définissons des jeux de sécurité qui capturent les propriétés d’intégrité, d’authenticité et d’immuabilité de la chaîne des preuves. Nous introduisons un mécanisme d’enchaînement cryptographique basé sur des fonctions de hachage résistantes aux collisions et des arbres de Merkle, combiné à des signatures numériques modernes et à un stockage immuable. En outre, nous présentons un algorithme de corrélation forensic modélisé comme un graphe acyclique orienté, avec analyse de complexité et propriétés de correction démontrables. L’architecture est conçue pour s’intégrer à des outils largement utilisés dans les opérations de sécurité contemporaines, notamment YARA, Sigma, Suricata, les pipelines de télémétrie dans les SIEM/SOAR et les mécanismes d’observabilité fondés sur eBPF dans les environnements Linux. Nous avons réalisé une évaluation expérimentale qualitative comparant l’approche proposée aux flux traditionnels de réponse aux incidents, en examinant la latence d’ingestion, la surcharge computationnelle et la résistance à la manipulation adversariale. Deux études de cas — l’une dans un environnement hospitalier numérisé et l’autre dans un réseau industriel ICS/SCADA — démontrent l’applicabilité du modèle dans des domaines soumis à de fortes contraintes réglementaires et opérationnelles. Nous concluons que l’intégration systématique de garanties cryptographiques et de spécifications formelles dans la pratique du DFIR augmente significativement la fiabilité probatoire et l’auditabilité des enquêtes, au prix d’une surcharge computationnelle modérée et d’une complexité opérationnelle accrue. Ce travail contribue à la convergence entre cryptographie appliquée, vérification formelle et ingénierie de la sécurité opérationnelle, en s’alignant sur les besoins de la cybersécurité contemporaine en 2024.

2008-05-01Read paper →DFIR

TITRE: Architecture orientée preuves pour un DFIR de haute fidélité : corrélation multicouches, formalisation mathématique et évaluation empirique en environnements d’entreprise

TITRE: Architecture orientée preuves pour un DFIR de haute fidélité : corrélation multicouches, formalisation mathématique et évaluation empirique en environnements d’entreprise RÉSUMÉ: La sophistication croissante des attaques cybernétiques d’entreprise exige des méthodologies de Digital Forensics and Incident Response (DFIR) capables de reconstruire des chaînes d’attaque complexes à partir de multiples sources de preuves hétérogènes. Les environnements d’entreprise modernes produisent de grands volumes de télémétrie provenant des endpoints, des réseaux, des services cloud et des plateformes de sécurité, notamment EDR, SIEM et des outils d’observabilité. Toutefois, l’intégration opérationnelle et la corrélation temporelle rigoureuse de ces preuves demeurent des défis importants. Ce travail propose une architecture orientée preuves pour l’investigation forensique numérique de haute fidélité, basée sur une modélisation formelle par graphes temporels vérifiables. Le modèle introduit une structure mathématique qui représente des artefacts numériques, des relations causales et des étiquettes de techniques adverses selon le framework MITRE ATT&CK, tout en préservant simultanément des propriétés d’intégrité cryptographique et de cohérence temporelle. L’architecture opérationnelle intègre des outils largement adoptés dans l’industrie, notamment Sysmon, Suricata, Auditd, Elastic Stack, Volatility 3 et YARA, ainsi que des mécanismes d’orchestration de réponse aux incidents. Nous proposons deux algorithmes principaux : EviGraph-Builder, chargé de la construction du graphe forensique à partir d’événements normalisés, et CausalPath-Reconstruct, destiné à la reconstruction probabiliste de chaînes d’attaque multiétapes. L’évaluation expérimentale a été menée sur 49 scénarios contenant des incidents réels et des environnements contrôlés basés sur Atomic Red Team. Les résultats démontrent une réduction moyenne supérieure à 50 % du temps d’investigation et une augmentation significative du taux de corrélation correcte des techniques adverses par rapport aux processus manuels traditionnels. En outre, nous discutons des implications opérationnelles pour les centres des opérations de sécurité (SOC), des exigences de synchronisation temporelle, de la préservation de la chaîne de custody et de l’intégration avec des plateformes modernes de sécurité cloud et des environnements hybrides. Les résultats indiquent que la formalisation mathématique associée à l’automatisation de la corrélation des preuves constitue une avancée significative pour le DFIR d’entreprise, contribuant à des investigations plus rapides, reproductibles et vérifiables.

2008-04-24Read paper →DFIR

Une architecture formellement fondée pour le DFIR basé sur des graphes temporels avec garanties cryptographiques d’intégrité et reconstruction probabiliste de la chaîne d’attaque

TITLE: Une architecture formellement fondée pour le DFIR basé sur des graphes temporels avec garanties cryptographiques d’intégrité et reconstruction probabiliste de la chaîne d’attaque ABSTRACT: Une architecture formellement fondée pour le DFIR basé sur des graphes temporels avec garanties cryptographiques d’intégrité et reconstruction probabiliste de la chaîne d’attaque RÉSUMÉ : L’augmentation de la sophistication des campagnes cybernétiques modernes impose des défis significatifs aux pratiques de Digital Forensics and Incident Response (DFIR). Les environnements d’entreprise contemporains génèrent des volumes massifs de télémétrie sur plusieurs couches — endpoints, réseaux, applications et infrastructures cloud — rendant la reconstruction manuelle des incidents pratiquement irréalisable. Bien que les systèmes de surveillance et les plateformes SIEM fournissent des mécanismes de corrélation d’événements, ces approches manquent fréquemment d’une base formelle permettant de préserver les relations causales et la cohérence temporelle entre les preuves numériques. Dans ce travail, nous proposons une architecture formelle pour le DFIR basée sur des graphes temporels enrichis par une inférence probabiliste et des mécanismes cryptographiques d’intégrité des preuves. Nous proposons un modèle mathématique qui représente les événements forensiques comme des sommets typés dans un graphe orienté temporellement cohérent, permettant de capturer les dépendances causales entre processus, fichiers, connexions réseau et identités. Sur ce graphe, nous introduisons l’algorithme Attack Probabilistic Reconstruction (APR), qui utilise une inférence bayésienne conditionnée par des schémas tactiques et techniques décrits dans la structure MITRE ATT&CK afin d’estimer la séquence la plus probable des actions de l’adversaire. En outre, nous mettons en œuvre un mécanisme cryptographique d’enchaînement de hachages qui garantit l’intégrité et la vérifiabilité des preuves tout au long du pipeline d’investigation. Nous évaluons expérimentalement l’architecture proposée à l’aide de trois ensembles de données représentatifs : le jeu de données DARPA Transparent Computing, des journaux d’entreprise réels à grande échelle et des scénarios synthétiques d’exploitation de Log4Shell. Les résultats démontrent des améliorations substantielles en précision, en rappel et en temps de reconstruction de la chaîne d’attaque par rapport aux approches fondées exclusivement sur la corrélation heuristique ou sur la détection statistique isolée. Nous observons une réduction moyenne de 37,4 % du temps de reconstruction de l’enquête et une augmentation significative de la précision des inférences de la chaîne d’attaque. Nous discutons également des implications pratiques pour l’intégration avec les plateformes SIEM modernes, ainsi que des limites liées à la qualité des journaux et aux coûts de stockage. Nous concluons que la combinaison d’une modélisation formelle fondée sur des graphes temporels, d’une inférence probabiliste et de garanties cryptographiques constitue une base prometteuse pour des systèmes DFIR évolutifs et vérifiables dans les environnements d’entreprise contemporains.

2008-04-17Read paper →DFIR

TITRE : Une Architecture Formelle pour le DFIR Basé sur des Graphes Temporels avec Garanties Cryptographiques d’Intégrité et Reconstruction Probabiliste de la Chaîne d’Attaque

TITRE : Une Architecture Formelle pour le DFIR Basé sur des Graphes Temporels avec Garanties Cryptographiques d’Intégrité et Reconstruction Probabiliste de la Chaîne d’Attaque RÉSUMÉ : L’augmentation de la sophistication des campagnes cybernétiques modernes impose des défis significatifs aux pratiques de Digital Forensics and Incident Response (DFIR). Les environnements d’entreprise contemporains génèrent des volumes massifs de télémétrie à plusieurs couches — endpoints, réseaux, applications et infrastructures cloud — rendant la reconstruction manuelle des incidents pratiquement irréalisable. Bien que les systèmes de supervision et les plateformes SIEM fournissent des mécanismes de corrélation d’événements, ces approches manquent souvent d’une base formelle permettant de préserver les relations causales et la cohérence temporelle entre les preuves numériques. Dans ce travail, nous proposons une architecture formelle pour le DFIR fondée sur des graphes temporels enrichis par l’inférence probabiliste et des mécanismes cryptographiques d’intégrité des preuves. Nous proposons un modèle mathématique qui représente les événements médico-légaux comme des sommets typés dans un graphe dirigé temporellement cohérent, permettant de capturer les dépendances causales entre processus, fichiers, connexions réseau et identités. Sur ce graphe, nous introduisons l’algorithme Attack Probabilistic Reconstruction (APR), qui utilise une inférence bayésienne conditionnée par des motifs tactiques et techniques décrits dans le cadre MITRE ATT&CK afin d’estimer la séquence la plus probable des actions de l’adversaire. En outre, nous avons mis en œuvre un mécanisme cryptographique de chaînage de hachages garantissant l’intégrité et la vérifiabilité des preuves tout au long du pipeline d’investigation. Nous évaluons expérimentalement l’architecture proposée à l’aide de trois jeux de données représentatifs : le jeu de données DARPA Transparent Computing, des journaux d’entreprise réels à grande échelle et des scénarios synthétiques d’exploitation de Log4Shell. Les résultats démontrent des améliorations substantielles en précision, en rappel et en temps de reconstruction de la chaîne d’attaque par rapport aux approches fondées exclusivement sur la corrélation heuristique ou la détection statistique isolée. Nous observons une réduction moyenne de 37,4 % du temps de reconstruction investigatif et une augmentation significative de la précision des inférences de la chaîne d’attaque. Nous discutons également des implications pratiques pour l’intégration avec les plateformes SIEM modernes, ainsi que des limites liées à la qualité des journaux et aux coûts de stockage. Nous concluons que la combinaison d’une modélisation formelle basée sur des graphes temporels, de l’inférence probabiliste et de garanties cryptographiques constitue une base prometteuse pour des systèmes DFIR évolutifs et vérifiables dans les environnements d’entreprise contemporains.

2008-04-17Read paper →DFIR

TITRE: Une architecture formellement fondée pour le DFIR orienté graphes temporels avec garanties d’intégrité cryptographique et reconstruction probabiliste des chaînes d’attaque

TITRE: Une architecture formellement fondée pour le DFIR orienté graphes temporels avec garanties d’intégrité cryptographique et reconstruction probabiliste des chaînes d’attaque RÉSUMÉ: La sophistication croissante des campagnes cybernétiques modernes impose des défis significatifs aux pratiques de Digital Forensics and Incident Response (DFIR). Les environnements d’entreprise contemporains produisent des volumes massifs de télémétrie issus de multiples couches — endpoints, réseaux, applications et infrastructures cloud — rendant la reconstruction manuelle des incidents pratiquement irréalisable. Bien que les systèmes de surveillance et les plateformes SIEM fournissent des mécanismes de corrélation d’événements, ces approches manquent fréquemment d’une fondation formelle permettant de préserver les relations causales et la cohérence temporelle entre les preuves numériques. Dans ce travail, nous présentons une architecture formelle pour le DFIR basée sur des graphes temporels enrichis par une inférence probabiliste et des mécanismes cryptographiques d’intégrité des preuves. Nous proposons un modèle mathématique représentant les événements forensiques sous forme de sommets typés dans un graphe dirigé temporellement cohérent, permettant de capturer les dépendances causales entre processus, fichiers, connexions réseau et identités. Sur ce graphe, nous introduisons l’algorithme de Reconstruction Probabiliste d’Attaque (RPA), qui utilise une inférence bayésienne conditionnée par des motifs tactiques et techniques décrits dans le framework MITRE ATT&CK afin d’estimer la séquence la plus probable des actions adverses. En complément, nous avons implémenté un mécanisme d’enchaînement cryptographique de hachages qui assure l’intégrité et la vérifiabilité des preuves tout au long du pipeline d’investigation. Nous évaluons expérimentalement l’architecture proposée à l’aide de trois ensembles de données représentatifs: le dataset DARPA Transparent Computing, des journaux d’entreprise réels à grande échelle et des scénarios synthétiques d’exploitation de la vulnérabilité Log4Shell. Les résultats démontrent des améliorations substantielles des métriques de précision, de rappel et du temps de reconstruction des chaînes d’attaque par rapport aux approches fondées exclusivement sur une corrélation heuristique ou une détection statistique isolée. Nous observons une réduction moyenne de 37,4% du temps de reconstruction d’investigation et une augmentation significative de la précision des inférences de chaînes d’attaque. Nous discutons également des implications pratiques pour l’intégration avec les plateformes SIEM modernes, ainsi que des limites liées à la qualité des journaux et aux coûts de stockage. Nous concluons que la combinaison d’une modélisation formelle basée sur des graphes temporels, d’une inférence probabiliste et de garanties cryptographiques constitue une base prometteuse pour des systèmes DFIR évolutifs et vérifiables dans les environnements d’entreprise contemporains.

2008-04-17Read paper →DFIR

TITRE : Une architecture formellement fondée pour le DFIR basé sur des graphes temporels avec des garanties cryptographiques d’intégrité et une reconstruction probabiliste de la chaîne d’attaque

TITRE : Une architecture formellement fondée pour le DFIR basé sur des graphes temporels avec des garanties cryptographiques d’intégrité et une reconstruction probabiliste de la chaîne d’attaque RÉSUMÉ : L’augmentation de la sophistication des campagnes cybernétiques modernes impose des défis considérables aux pratiques de Digital Forensics and Incident Response (DFIR). Les environnements d’entreprise contemporains génèrent des volumes massifs de télémétrie à travers plusieurs couches — endpoints, réseaux, applications et infrastructures cloud — rendant la reconstruction manuelle des incidents pratiquement irréalisable. Bien que les systèmes de surveillance et les plateformes SIEM fournissent des mécanismes de corrélation d’événements, ces approches manquent souvent d’une base formelle permettant de préserver les relations causales et la cohérence temporelle entre les preuves numériques. Dans ce travail, nous proposons une architecture formelle pour le DFIR basée sur des graphes temporels enrichis par l’inférence probabiliste et des mécanismes cryptographiques d’intégrité des preuves. Nous proposons un modèle mathématique qui représente les événements forensiques sous forme de sommets typés dans un graphe dirigé temporellement cohérent, permettant de capturer les dépendances causales entre processus, fichiers, connexions réseau et identités. Sur ce graphe, nous introduisons l’algorithme Attack Probabilistic Reconstruction (APR), qui utilise l’inférence bayésienne conditionnée par des schémas tactiques et techniques décrits dans le cadre MITRE ATT&CK afin d’estimer la séquence la plus probable des actions de l’adversaire. En outre, nous avons mis en œuvre un mécanisme cryptographique d’enchaînement de hachages qui garantit l’intégrité et la vérifiabilité des preuves tout au long du pipeline d’investigation. Nous évaluons expérimentalement l’architecture proposée à l’aide de trois ensembles de données représentatifs : l’ensemble de données DARPA Transparent Computing, des journaux d’entreprise réels à grande échelle et des scénarios synthétiques d’exploitation de Log4Shell. Les résultats démontrent des améliorations substantielles en précision, rappel et temps de reconstruction de la chaîne d’attaque par rapport aux approches reposant exclusivement sur la corrélation heuristique ou la détection statistique isolée. Nous observons une réduction moyenne de 37,4 % du temps de reconstruction investigative et une augmentation significative de la précision des inférences de la chaîne d’attaque. Nous discutons également des implications pratiques pour l’intégration avec les plateformes SIEM modernes, ainsi que des limitations liées à la qualité des journaux et aux coûts de stockage. Nous concluons que la combinaison d’une modélisation formelle basée sur des graphes temporels, de l’inférence probabiliste et de garanties cryptographiques constitue une base prometteuse pour des systèmes DFIR évolutifs et vérifiables dans les environnements d’entreprise contemporains.

2008-04-17Read paper →DFIR

TITRE : Une architecture formellement fondée pour un DFIR basé sur des graphes temporels avec garanties cryptographiques d’intégrité et reconstruction probabiliste de la chaîne d’attaque

TITRE : Une architecture formellement fondée pour un DFIR basé sur des graphes temporels avec garanties cryptographiques d’intégrité et reconstruction probabiliste de la chaîne d’attaque RÉSUMÉ : L’augmentation de la sophistication des campagnes cybernétiques modernes impose des défis significatifs aux pratiques de Digital Forensics and Incident Response (DFIR). Les environnements d’entreprise contemporains génèrent des volumes massifs de télémétrie à plusieurs couches — endpoints, réseaux, applications et infrastructures cloud — rendant la reconstruction manuelle des incidents pratiquement irréalisable. Bien que les systèmes de surveillance et les plateformes SIEM fournissent des mécanismes de corrélation d’événements, ces approches manquent souvent d’une base formelle permettant de préserver les relations causales et la cohérence temporelle entre les preuves numériques. Dans ce travail, nous proposons une architecture formelle pour le DFIR fondée sur des graphes temporels enrichis par une inférence probabiliste et des mécanismes cryptographiques d’intégrité des preuves. Nous proposons un modèle mathématique qui représente les événements médico-légaux comme des sommets typés dans un graphe dirigé temporellement cohérent, permettant de capturer les dépendances causales entre processus, fichiers, connexions réseau et identités. Sur ce graphe, nous introduisons l’algorithme Attack Probabilistic Reconstruction (APR), qui utilise une inférence bayésienne conditionnée par des motifs tactiques et techniques décrits dans la structure MITRE ATT&CK afin d’estimer la séquence la plus probable des actions de l’adversaire. En outre, nous mettons en œuvre un mécanisme cryptographique de chaînage de hachages qui assure l’intégrité et la vérifiabilité des preuves tout au long du pipeline d’enquête. Nous évaluons expérimentalement l’architecture proposée à l’aide de trois ensembles de données représentatifs : l’ensemble de données DARPA Transparent Computing, des journaux d’entreprise réels à grande échelle et des scénarios synthétiques d’exploitation de Log4Shell. Les résultats montrent des améliorations substantielles en précision, rappel et temps de reconstruction de la chaîne d’attaque par rapport aux approches reposant exclusivement sur une corrélation heuristique ou une détection statistique isolée. Nous observons une réduction moyenne de 37,4 % du temps de reconstruction d’enquête et une augmentation significative de la précision des inférences de la chaîne d’attaque. Nous discutons également des implications pratiques pour l’intégration avec les plateformes SIEM modernes, ainsi que des limitations liées à la qualité des journaux et aux coûts de stockage. Nous concluons que la combinaison d’une modélisation formelle fondée sur des graphes temporels, de l’inférence probabiliste et de garanties cryptographiques constitue une base prometteuse pour des systèmes DFIR évolutifs et vérifiables dans les environnements d’entreprise contemporains.

2008-04-17Read paper →DFIR

TITRE: Architecture orientée preuves pour le DFIR moderne : corrélation multicouche, formalisation mathématique de ligne de temps et orchestration automatisée dans des environnements hybrides

TITRE: Architecture orientée preuves pour le DFIR moderne : corrélation multicouche, formalisation mathématique de ligne de temps et orchestration automatisée dans des environnements hybrides RÉSUMÉ: La complexité croissante des environnements informatiques contemporains — caractérisés par des infrastructures hybrides, des workloads cloud, des conteneurs et des systèmes distribués — impose de nouveaux défis au domaine du Digital Forensics and Incident Response (DFIR). Les méthodes traditionnelles d’investigation, fondées principalement sur la collecte manuelle d’artefacts et la corrélation ad hoc de journaux, présentent des limites face à l’échelle, à la volatilité et à l’hétérogénéité des données générées par les systèmes modernes. En outre, les campagnes de menaces persistantes avancées (APTs), les opérations de ransomware-as-a-service (RaaS) et l’exploitation automatisée de vulnérabilités critiques réduisent drastiquement l’intervalle entre la compromission initiale et le mouvement latéral. Dans ce contexte, il devient essentiel de développer des approches formalisées et évolutives capables d’intégrer de multiples sources de télémétrie et de reconstituer les chaînes d’attaque avec une précision temporelle. Dans ce travail, nous proposons une architecture orientée preuves pour le DFIR moderne, fondée sur trois piliers principaux : (i) la formalisation mathématique de la reconstruction de lignes de temps forensic à l’aide de graphes orientés acycliques, (ii) un pipeline automatisé d’ingestion, de normalisation et de corrélation d’événements provenant des couches réseau, endpoint, identité et cloud, et (iii) l’intégration opérationnelle avec des plateformes d’orchestration et d’automatisation de la réponse aux incidents. Le modèle proposé représente les événements de sécurité comme des entités structurées et établit des relations causales probabilistes entre des événements corrélés. L’implémentation expérimentale utilise une pile technologique composée d’Elastic Stack, Suricata, Zeek, Sysmon, Volatility 3 et d’une plateforme SOAR basée sur TheHive et Cortex. Nous évaluons l’architecture au moyen d’un ensemble de 37 scénarios alignés sur le framework MITRE ATT&CK, totalisant 1,2 To de données et environ 86 millions d’événements. Les résultats démontrent une réduction significative du temps moyen d’investigation (MTTI), une diminution des faux positifs et une plus grande précision dans la reconstruction des chaînes d’attaque par rapport aux approches traditionnelles fondées uniquement sur le SIEM. En complément, nous discutons des implications pratiques pour les centres des opérations de sécurité (SOC), des limites du modèle et de possibles extensions impliquant une analyse fondée sur des graphes dynamiques et l’intégration de techniques d’apprentissage automatique pour la priorisation des investigations.

2008-04-10Read paper →DFIR

ARCHITECTURE ORIENTÉE PAR LES EVIDENCES POUR LE DFIR MODERNE : CORRELATION MULTICOUCHES, FORMALISATION MATHEMATIQUE DE LA LIGNE DE TEMPS ET ORCHESTRATION AUTOMATISEE DANS DES ENVIRONNEMENTS HYBRIDES

ARCHITECTURE ORIENTÉE PAR LES EVIDENCES POUR LE DFIR MODERNE : CORRELATION MULTICOUCHES, FORMALISATION MATHEMATIQUE DE LA LIGNE DE TEMPS ET ORCHESTRATION AUTOMATISEE DANS DES ENVIRONNEMENTS HYBRIDES ABSTRACT: La complexité croissante des environnements informatiques contemporains — caractérisés par des infrastructures hybrides, des workloads dans le cloud, des conteneurs et des systèmes distribués — impose de nouveaux défis au domaine du Digital Forensics and Incident Response (DFIR). Les méthodes traditionnelles d’investigation, fondées principalement sur la collecte manuelle d’artefacts et la corrélation ad hoc de logs, présentent des limites face à l’échelle, à la volatilité et à l’hétérogénéité des données générées par les systèmes modernes. En outre, les campagnes de menaces persistantes avancées (APTs), les opérations de ransomware-as-a-service (RaaS) et l’exploitation automatisée de vulnérabilités critiques réduisent drastiquement l’intervalle entre la compromission initiale et le mouvement latéral. Dans ce contexte, il devient essentiel de développer des approches formalisées et évolutives capables d’intégrer de multiples sources de télémétrie et de reconstruire les chaînes d’attaque avec une précision temporelle. Dans ce travail, nous proposons une architecture orientée par les evidences pour le DFIR moderne, fondée sur trois piliers principaux : (i) la formalisation mathématique de la reconstruction des lignes de temps forensiques au moyen de graphes acycliques dirigés, (ii) un pipeline automatisé d’ingestion, de normalisation et de corrélation des événements provenant des couches réseau, endpoint, identité et cloud, et (iii) l’intégration opérationnelle avec des plateformes d’orchestration et d’automatisation de la réponse aux incidents. Le modèle proposé représente les événements de sécurité comme des entités structurées et établit des relations causales probabilistes entre les événements corrélés. L’implémentation expérimentale utilise une pile technologique composée d’Elastic Stack, Suricata, Zeek, Sysmon, Volatility 3 et d’une plateforme SOAR basée sur TheHive et Cortex. Nous évaluons l’architecture à l’aide d’un ensemble de 37 scénarios alignés sur le framework MITRE ATT&CK, totalisant 1,2 TB de données et environ 86 millions d’événements. Les résultats démontrent une réduction significative du temps moyen d’investigation (MTTI), une diminution des faux positifs et une plus grande précision dans la reconstruction des chaînes d’attaque par rapport aux approches traditionnelles basées uniquement sur le SIEM. En outre, nous discutons des implications pratiques pour les centres d’opérations de sécurité (SOC), des limites du modèle et des extensions possibles intégrant l’analyse basée sur des graphes dynamiques et l’apprentissage automatique pour la priorisation des investigations.

2008-04-10Read paper →Detection

TITRE: Architecture hybride de détection multicouches basée sur la télémétrie endpoint, réseau et mémoire avec corrélation temporelle probabiliste orientée MITRE ATT&CK

TITRE: Architecture hybride de détection multicouches basée sur la télémétrie endpoint, réseau et mémoire avec corrélation temporelle probabiliste orientée MITRE ATT&CK RÉSUMÉ: La complexité croissante des campagnes d’intrusion observées dans les environnements d’entreprise modernes met à l’épreuve les architectures traditionnelles de détection fondées sur des capteurs isolés. Les attaques contemporaines exploitent fréquemment des techniques living-off-the-land (LOLBins), des frameworks de post-exploitation largement disponibles et des canaux de commande et de contrôle obfusqués, donnant lieu à des chaînes d’événements réparties entre le réseau, l’endpoint et la mémoire volatile. Bien que des outils tels que les IDS/IPS, les EDR et les plateformes SIEM soient largement adoptés, leur intégration analytique demeure limitée par des modèles de corrélation principalement syntaxiques, incapables de capturer les dépendances temporelles et sémantiques entre des événements hétérogènes. Le framework MITRE ATT&CK s’est imposé comme une ontologie opérationnelle pour la description des tactiques, techniques et procédures (TTPs), mais son utilisation dans les systèmes de détection se limite souvent à des cartographies statiques ou à des visualisations descriptives. Dans ce travail, nous proposons une architecture hybride de détection multicouches qui intègre la télémétrie réseau, endpoint et mémoire avec un mécanisme formel de corrélation temporelle probabiliste aligné sémantiquement sur le modèle ATT&CK. L’architecture combine des capteurs largement utilisés — notamment Suricata, Sysmon, Volatility 3 et les règles Sigma/YARA — avec une couche d’ingestion basée sur Kafka et une indexation structurée selon l’Elastic Common Schema. Nous formalisons le processus de détection comme un problème d’inférence sous incertitude, modélisé par des graphes temporels pondérés dans lesquels les événements représentent des sommets annotés avec les techniques ATT&CK et les arêtes représentent des transitions sémantiquement compatibles à l’intérieur d’une fenêtre temporelle définie. Nous introduisons une fonction de risque conditionnelle qui intègre les probabilités contextuelles des techniques individuelles et les poids de transition entre TTPs, permettant d’estimer la plausibilité de chaînes d’attaque complètes. Nous démontrons analytiquement que la construction incrémentale de ces graphes peut être réalisée avec une complexité O(n log n) par fenêtre temporelle à l’aide de structures indexées par le temps. L’évaluation expérimentale a été menée à l’aide de jeux de données largement référencés dans la littérature (CIC-IDS2017 et UNSW-NB15) ainsi que de scénarios contrôlés d’exécution de malware dans un laboratoire isolé. Les résultats indiquent des améliorations constantes des métriques relatives de F1-score et une réduction qualitative du bruit opérationnel par rapport à des capteurs isolés. Des études de cas supplémentaires dans des environnements d’entreprise simulés et dans une infrastructure hospitalière démontrent une réduction du temps de détection des chaînes d’attaque impliquant le credential dumping et le mouvement latéral. Ce travail contribue par une formalisation mathématique de la corrélation temporelle orientée ATT&CK, une architecture reproductible fondée sur des outils largement adoptés et une analyse critique des limites statistiques associées à la détection d’intrusion dans des environnements à faible prévalence d’attaques.

2008-04-04Read paper →Detection

TITRE : Architecture hybride de détection multicouche basée sur la télémétrie de l’endpoint, du réseau et de la mémoire, avec corrélation temporelle probabiliste orientée MITRE ATT&CK

TITRE : Architecture hybride de détection multicouche basée sur la télémétrie de l’endpoint, du réseau et de la mémoire, avec corrélation temporelle probabiliste orientée MITRE ATT&CK RÉSUMÉ : La complexité croissante des campagnes d’intrusion observées dans les environnements d’entreprise modernes met au défi les architectures traditionnelles de détection fondées sur des capteurs isolés. Les attaques contemporaines exploitent fréquemment des techniques living-off-the-land (LOLBins), des frameworks de post-exploitation largement disponibles et des canaux de commande et de contrôle obfusqués, produisant des chaînes d’événements distribuées entre le réseau, l’endpoint et la mémoire volatile. Bien que des outils tels que les IDS/IPS, les EDR et les plateformes SIEM soient largement adoptés, leur intégration analytique demeure limitée par des modèles de corrélation principalement syntaxiques, incapables de capturer les dépendances temporelles et sémantiques entre événements hétérogènes. Le framework MITRE ATT&CK s’est imposé comme une ontologie opérationnelle pour la description des Tactiques, Techniques et Procédures (TTPs), mais son utilisation dans les systèmes de détection se limite souvent à des cartographies statiques ou à des visualisations descriptives. Dans ce travail, nous proposons une architecture hybride de détection multicouche qui intègre la télémétrie réseau, endpoint et mémoire avec un mécanisme formel de corrélation temporelle probabiliste aligné sémantiquement sur le modèle ATT&CK. L’architecture combine des capteurs largement utilisés — notamment Suricata, Sysmon, Volatility 3 et des règles Sigma/YARA — avec une couche d’ingestion basée sur Kafka et une indexation structurée selon l’Elastic Common Schema. Nous formalisons le processus de détection comme un problème d’inférence sous incertitude, modélisé par des graphes temporels pondérés dans lesquels les événements représentent des sommets annotés avec des techniques ATT&CK et les arêtes représentent des transitions sémantiquement compatibles à l’intérieur d’une fenêtre temporelle définie. Nous introduisons une fonction de risque conditionnel qui intègre les probabilités contextuelles des techniques individuelles et les poids de transition entre TTPs, permettant d’estimer la plausibilité de chaînes d’attaque complètes. Nous démontrons analytiquement que la construction incrémentale de ces graphes peut être réalisée avec une complexité O(n log n) par fenêtre temporelle à l’aide de structures indexées par le temps. L’évaluation expérimentale a été menée à partir de jeux de données largement cités dans la littérature (CIC-IDS2017 et UNSW-NB15) ainsi que de scénarios contrôlés d’exécution de malware dans un laboratoire isolé. Les résultats indiquent des améliorations constantes des métriques relatives de F1-score et une réduction qualitative du bruit opérationnel par rapport à des capteurs isolés. Des études de cas supplémentaires dans des environnements d’entreprise simulés et dans une infrastructure hospitalière démontrent une réduction du temps de détection de chaînes d’attaque impliquant du credential dumping et du mouvement latéral. Ce travail apporte une formalisation mathématique de la corrélation temporelle orientée ATT&CK, une architecture reproductible fondée sur des outils largement adoptés et une analyse critique des limites statistiques associées à la détection d’intrusions dans des environnements à faible prévalence d’attaques.

2008-04-04Read paper →Detection

TITRE: Architecture hybride fondée sur une télémétrie multicouche et une corrélation sémantique pour la détection avancée des menaces dans les environnements d’entreprise

TITRE: Architecture hybride fondée sur une télémétrie multicouche et une corrélation sémantique pour la détection avancée des menaces dans les environnements d’entreprise RÉSUMÉ: La sophistication croissante des attaques cybernétiques, conjuguée à l’expansion des infrastructures hybrides et multicloud, impose des défis substantiels aux opérations modernes de sécurité (Security Operations Centers – SOCs). Les techniques d’attaque contemporaines exploitent des vulnérabilités zero-day, l’abus d’identités légitimes, les living-off-the-land binaries (LOLBins) et des chaînes complexes de mouvement latéral, souvent réparties entre les endpoints, les réseaux d’entreprise et les services cloud. Dans ce contexte, les mécanismes traditionnels fondés exclusivement sur des signatures ou sur la détection isolée d’anomalies montrent des limites significatives, notamment en matière de scalabilité opérationnelle et de réduction des faux positifs. Cet article présente une architecture hybride de détection fondée sur une télémétrie multicouche et une corrélation sémantique des événements orientée par des graphes de Tactics, Techniques and Procedures (TTPs) dérivés du framework MITRE ATT&CK. La proposition intègre des capteurs réseau, la télémétrie des endpoints, les événements d’identité et les journaux provenant d’environnements cloud-native, en incorporant des composants contemporains tels que l’instrumentation basée sur eBPF et l’intégration avec des plateformes CNAPP (Cloud-Native Application Protection Platform). Nous formalisons le processus de détection comme un problème d’inférence sur des graphes dynamiques d’événements, dans lequel des séquences d’activités observables sont mappées vers des techniques ATT&CK et corrélées sémantiquement afin d’identifier des chaînes d’attaque. Le modèle combine trois paradigmes complémentaires: la détection fondée sur des signatures (YARA et Suricata), des règles comportementales structurées (Sigma) et l’analyse statistique de motifs comportementaux. Nous évaluons expérimentalement l’architecture à l’aide d’un ensemble de données composé de benchmarks académiques largement utilisés (UNSW-NB15 et CIC-IDS2017) et de campagnes contrôlées de red teaming menées dans un environnement d’entreprise simulé. Les résultats indiquent une amélioration significative des métriques de performance: précision de 0,89, rappel de 0,83 et F1-score de 0,86, ainsi qu’une réduction de 38,2 % du taux de faux positifs par rapport aux approches isolées. On observe également une diminution du temps moyen de détection (MTTD) de 6,1 à 4,2 minutes. Les résultats montrent que la corrélation sémantique fondée sur des graphes de TTPs, combinée à une télémétrie multicouche, constitue une approche prometteuse pour renforcer l’efficacité opérationnelle des SOCs contemporains dans des scénarios d’entreprise complexes.

2008-03-28Read paper →Detection

Détection adaptative multiniveau des menaces cybernétiques fondée sur la fusion bayésienne de la télémétrie et des graphes temporels d’attaque

TITLE: Détection adaptative multiniveau des menaces cybernétiques fondée sur la fusion bayésienne de la télémétrie et des graphes temporels d’attaque ABSTRACT: La complexité croissante des infrastructures numériques contemporaines, caractérisées par des environnements cloud hybrides, des architectures distribuées et des flux massifs de télémétrie opérationnelle, impose des défis substantiels à la détection précoce des menaces cybernétiques. Les systèmes traditionnels de gestion des événements et des informations de sécurité (SIEM), fondés sur des règles déterministes, présentent des limitations structurelles dans l’identification des campagnes multi-étapes, en particulier lorsque des adversaires utilisent des identifiants légitimes, des déplacements latéraux discrets et des techniques d’évasion. Parallèlement, les approches purement fondées sur l’apprentissage automatique souffrent souvent d’une dégradation sous des changements de distribution et manquent d’interprétabilité opérationnelle. Dans ce travail, nous présentons une architecture de détection adaptative multiniveau qui intègre une fusion bayésienne incrémentale des preuves avec une modélisation structurelle basée sur des graphes temporels d’attaque. La proposition permet de corréler une télémétrie hétérogène provenant des endpoints, des réseaux, des identités et des environnements cloud, tout en conservant des dépendances temporelles explicites entre les événements et un alignement sémantique avec la taxonomie MITRE ATT&CK. Nous formalisons le problème comme une inférence probabiliste sur des chaînes d’attaque dans un graphe dynamique $G_t=(V_t,E_t,w_t)$, dans lequel les poids représentent des probabilités conditionnelles de comportement malveillant. Nous avons développé un mécanisme de mise à jour bayésienne incrémentale capable de traiter des flux supérieurs à $10^6$ événements par minute, tout en maintenant la convergence probabiliste et une faible latence opérationnelle. L’implémentation a été réalisée sur une architecture de traitement en flux fondée sur Apache Kafka et Apache Flink, avec persistance des graphes dans Neo4j et gestion de l’état dans RocksDB. Des évaluations expérimentales ont été menées à l’aide des jeux de données UNSW-NB15, CIC-IDS2017 et d’un corpus d’entreprise anonymisé contenant environ 400 millions d’événements. En comparaison avec des approches fondées sur des règles, Random Forest et des réseaux LSTM, la méthode proposée a atteint une précision moyenne de 0,91, un recall de 0,88 et un F1-score de 0,89, tout en réduisant le taux de faux positifs de 42 % par rapport aux systèmes SIEM conventionnels. Les résultats montrent que la fusion probabiliste de la télémétrie, combinée à la représentation structurelle des chaînes d’attaque, offre des gains substantiels en robustesse, interprétabilité et scalabilité. Nous discutons également des implications pour les architectures modernes de sécurité cloud, l’intégration avec les plateformes CNAPP et les limites associées à la modélisation a priori des hypothèses adversariales.

2008-03-21Read paper →Detection

TITRE: Détection adaptative multiniveau des menaces cybernétiques fondée sur la fusion bayésienne de la télémétrie et des graphes temporels d’attaque

TITRE: Détection adaptative multiniveau des menaces cybernétiques fondée sur la fusion bayésienne de la télémétrie et des graphes temporels d’attaque RÉSUMÉ: La complexité croissante des infrastructures numériques contemporaines, caractérisées par des environnements cloud hybrides, des architectures distribuées et des flux massifs de télémétrie opérationnelle, impose des défis substantiels à la détection précoce des menaces cybernétiques. Les systèmes traditionnels de gestion des informations et des événements de sécurité (SIEM) fondés sur des règles déterministes présentent des limitations structurelles dans l’identification de campagnes multi-étapes, en particulier lorsque des adversaires utilisent des identifiants légitimes, des mouvements latéraux discrets et des techniques d’évasion. Parallèlement, les approches purement fondées sur l’apprentissage automatique souffrent fréquemment d’une dégradation en cas de changement de distribution et manquent d’interprétabilité opérationnelle. Dans ce travail, nous présentons une architecture de détection adaptative multiniveau qui intègre une fusion bayésienne incrémentale d’évidences avec une modélisation structurelle basée sur des graphes temporels d’attaque. La proposition permet de corréler une télémétrie hétérogène provenant des endpoints, des réseaux, des identités et des environnements cloud, tout en maintenant des dépendances temporelles explicites entre les événements et un alignement sémantique avec la taxonomie MITRE ATT&CK. Nous formalisons le problème comme une inférence probabiliste sur des chaînes d’attaque dans un graphe dynamique G_t=(V_t,E_t,w_t), dans lequel les poids représentent des probabilités conditionnelles de comportement malveillant. Nous développons un mécanisme de mise à jour bayésienne incrémentale capable de traiter des flux supérieurs à 10^6 événements par minute, tout en maintenant une convergence probabiliste et une faible latence opérationnelle. L’implémentation a été réalisée sur une architecture de traitement en flux fondée sur Apache Kafka et Apache Flink, avec persistance des graphes dans Neo4j et gestion d’état dans RocksDB. Des évaluations expérimentales ont été menées à l’aide des jeux de données UNSW-NB15, CIC-IDS2017 et d’un corpus d’entreprise anonymisé contenant environ 400 millions d’événements. En comparaison avec des approches fondées sur des règles, Random Forest et des réseaux LSTM, la méthode proposée a atteint une précision moyenne de 0,91, un rappel de 0,88 et un F1-score de 0,89, en plus de réduire le taux de faux positifs de 42 % par rapport aux systèmes SIEM conventionnels. Les résultats montrent que la fusion probabiliste de la télémétrie, combinée à la représentation structurelle des chaînes d’attaque, offre des gains substantiels en robustesse, interprétabilité et évolutivité. Nous discutons également des implications pour les architectures modernes de sécurité cloud, l’intégration avec les plateformes CNAPP et des limitations associées à la modélisation préalable des hypothèses adversariales.

2008-03-21Read paper →Detection

TITRE: Architecture hybride multicouches pour la détection proactive des menaces avancées basée sur la corrélation sémantique, la télémétrie multiorigine et des modèles statistiques adaptatifs

TITRE: Architecture hybride multicouches pour la détection proactive des menaces avancées basée sur la corrélation sémantique, la télémétrie multiorigine et des modèles statistiques adaptatifs RÉSUMÉ: La détection efficace des menaces avancées demeure l’un des principaux défis opérationnels de la cybersécurité contemporaine. Les environnements d’entreprise modernes sont caractérisés par des infrastructures hybrides combinant des ressources on-premise, des clouds publics et des workloads conteneurisés, générant des volumes massifs de télémétrie hétérogène provenant des endpoints, des réseaux et des plateformes d’identité. Dans ce contexte, les mécanismes de détection traditionnels, fondés exclusivement sur des signatures, présentent des limites significatives face aux attaques multi-étapes, aux malwares fileless et aux techniques living-off-the-land. Ce travail propose une architecture hybride multicouches pour la détection proactive des menaces avancées, intégrant une corrélation sémantique basée sur l’ontologie MITRE ATT&CK, une analyse temporelle des événements et des modèles statistiques adaptatifs pour l’identification de comportements anormaux. Nous formalisons le problème de détection comme l’inférence probabiliste de chaînes d’attaque dans des flux d’événements hétérogènes, en tenant compte de contraintes opérationnelles de latence et de taux acceptables de faux positifs. L’architecture proposée organise le processus de détection en trois couches principales : (i) la collecte et la normalisation de télémétrie multiorigine provenant de capteurs réseau, d’agents endpoint et de journaux d’identité ; (ii) la corrélation sémantique basée sur des graphes de techniques ATT&CK, capable d’identifier des séquences plausibles d’activités adverses ; et (iii) la modélisation statistique adaptative utilisant des algorithmes de détection d’anomalies, tels que Isolation Forest, afin d’identifier des écarts comportementaux non observés auparavant. Nous avons implémenté un prototype opérationnel en utilisant Elastic Stack, Suricata, Sysmon et Wazuh, intégrés à des sources de renseignement sur les menaces via MISP. L’évaluation expérimentale a été menée dans un environnement contrôlé contenant plusieurs machines virtuelles Windows et Linux, dans lequel des scénarios d’attaque réalistes ont été exécutés à l’aide d’outils largement documentés dans la littérature en sécurité offensive, notamment Metasploit, Cobalt Strike et Mimikatz. Les résultats démontrent une amélioration substantielle du temps moyen de détection (MTTD), ainsi qu’une couverture accrue des techniques ATT&CK par rapport aux approches reposant exclusivement sur des IDS réseau. Nous avons observé une réduction d’environ 37 % du MTTD et une augmentation de 21 % de la couverture des techniques détectées. Les résultats indiquent que les architectures hybrides combinant corrélation sémantique, analyse statistique et télémétrie distribuée constituent une approche prometteuse pour les opérations modernes de Security Operations Center (SOC), en particulier dans les environnements hybrides et cloud-native.

2008-03-14Read paper →Secrets

TITRE : Architecture formelle et opérationnelle pour la gestion et la détection des fuites de secrets dans les environnements cloud-native : une approche intégrée fondée sur la télémétrie, l’analyse statique et le threat hunting

TITRE : Architecture formelle et opérationnelle pour la gestion et la détection des fuites de secrets dans les environnements cloud-native : une approche intégrée fondée sur la télémétrie, l’analyse statique et le threat hunting RÉSUMÉ : L’exposition indue de secrets — notamment des clés API, des identifiants, des jetons OAuth, des certificats privés et des secrets cryptographiques — constitue l’une des principales causes de compromission dans les environnements cloud-native et DevSecOps. Des incidents récents impliquant la fuite de clés AWS, de jetons GitHub et d’identifiants codés en dur montrent que la surface d’attaque associée à une gestion inadéquate des secrets croît proportionnellement à l’adoption des microservices, du CI/CD et de l’infrastructure as code. Ce travail propose une architecture intégrée pour la prévention, la détection et la réponse aux fuites de secrets, combinant l’analyse statique du code, la surveillance du runtime, l’inspection du trafic, la corrélation avec MITRE ATT&CK et un modèle formel de risque basé sur l’entropie et l’exposition temporelle. Notre méthodologie comprend (i) un modèle mathématique pour la quantification du risque d’un secret exposé, (ii) des algorithmes de détection fondés sur des heuristiques et un apprentissage supervisé léger, et (iii) une intégration opérationnelle avec des outils tels que GitLeaks, TruffleHog, HashiCorp Vault, Suricata, Sigma et SIEM. Nous avons mis en œuvre un prototype fonctionnel testé sur 12 dépôts open source avec un historique connu de fuites et dans un environnement Kubernetes comportant 48 microservices. Les résultats montrent une réduction de 87 % du temps moyen de détection (MTTD), une diminution de 72 % de l’exposition temporelle moyenne des identifiants et un taux de faux positifs inférieur à 4,8 %. Nous démontrons également une corrélation directe entre les fuites de secrets et les techniques T1552 (Unsecured Credentials) et T1078 (Valid Accounts) de MITRE ATT&CK. L’étude fournit des contributions pratiques aux équipes de sécurité offensive et défensive, notamment des procédures opérationnelles, des métriques objectives et des recommandations techniques pour l’atténuation systématique des risques. Cette recherche établit un cadre réplicable pour les organisations qui souhaitent faire mûrir leur programme de Secret Management sous un angle technique et opérationnel.

2008-03-07Read paper →Secrets

Titre : Architecture formelle et opérationnelle pour la gestion, la détection et la réponse aux fuites de secrets dans des environnements multi-cloud et DevSecOps

Titre : Architecture formelle et opérationnelle pour la gestion, la détection et la réponse aux fuites de secrets dans des environnements multi-cloud et DevSecOps Résumé : L’exposition indue de « secrets » — clés cryptographiques, jetons d’API, identifiants, certificats, secrets Kubernetes et matériel sensible intégré dans le code — constitue aujourd’hui l’une des principales causes de compromission initiale dans les incidents de sécurité. Des rapports récents indiquent que plus de 80 % des violations impliquent une utilisation abusive d’identifiants (VERIZON, 2023), tandis que des études empiriques montrent des millions de secrets exposés publiquement dans des dépôts Git (MELARA et al., 2019). Dans ce travail, nous proposons une architecture formelle et opérationnelle pour la gestion, la détection et la réponse aux fuites de secrets dans des environnements multi-cloud et des pipelines DevSecOps. Notre approche combine une modélisation formelle du problème comme un système dynamique d’exposition d’actifs secrets, des algorithmes de détection hybrides (regex structurelles, analyse d’entropie, apprentissage automatique supervisé et heuristiques contextuelles), l’intégration avec des outils tels que GitGuardian, TruffleHog, Gitleaks, HashiCorp Vault, AWS Secrets Manager, Suricata et Sigma, ainsi que des mécanismes automatisés de rotation et de révocation. Nous évaluons expérimentalement la solution sur un ensemble de 1,2 million de commits publics et privés, avec 87 341 secrets réels et 120 000 échantillons synthétiques, atteignant une précision de 97,3 %, un rappel de 94,8 % et une réduction de 63 % du temps moyen de confinement (MTTC) par rapport aux processus manuels. Nous démontrons en outre que l’intégration de politiques fondées sur OPA et de contrôles Just-in-Time réduit la surface d’attaque associée aux TTP du MITRE ATT&CK telles que T1552 (Unsecured Credentials) et T1078 (Valid Accounts). L’étude comprend un cas réel de réponse à incident impliquant l’exfiltration d’une clé AWS IAM, détaillant la chaîne d’attaque, les indicateurs forensiques et le processus d’éradication. Nous concluons que la gestion efficace des secrets requiert une approche systémique unissant formalisation mathématique, ingénierie sécurisée, surveillance continue et automatisation de la réponse, offrant ainsi des lignes directrices pratiques aux équipes de sécurité offensive et défensive.

2008-03-01Read paper →Secrets

TITRE : Une architecture formelle et évolutive pour la gestion, la détection et la rotation automatisée des secrets dans les écosystèmes cloud-native

TITRE : Une architecture formelle et évolutive pour la gestion, la détection et la rotation automatisée des secrets dans les écosystèmes cloud-native RÉSUMÉ : Les secrets numériques — notamment les clés cryptographiques, les jetons API, les identifiants de service et les certificats — constituent le socle de la confiance dans les systèmes distribués modernes. Les fuites de secrets figurent systématiquement parmi les principales causes d’incidents de sécurité, avec des impacts financiers et opérationnels substantiels. Cet article présente une architecture formelle et évolutive pour la gestion, la détection et la rotation automatisée des secrets dans des environnements cloud-native, intégrant l’analyse statique, la surveillance comportementale et des mécanismes cryptographiques de dérivation et de compartimentation. Notre méthodologie combine (i) un modèle formel du cycle de vie des secrets basé sur des automates temporels, (ii) un algorithme hybride de détection d’exposition intégrant une entropie adaptative et l’apprentissage supervisé, et (iii) un protocole de rotation cohérent assorti de garanties de disponibilité et d’atomicité. Nous avons mis en œuvre un prototype fonctionnel sur Kubernetes avec intégration à HashiCorp Vault, SPIFFE/SPIRE et GitHub Advanced Security. Nous avons évalué la solution sur un ensemble de 12,4 millions d’artefacts de code et de 3,1 milliards d’événements d’audit, en la comparant à des outils du marché (TruffleHog, GitLeaks, AWS Secrets Manager). Les résultats démontrent une réduction de 47,3 % du temps moyen de révocation (MTTR-S), une diminution de 62,8 % de l’exposition résiduelle des identifiants et un taux de faux positifs de 3,9 %, inférieur aux approches reposant exclusivement sur des regex (12,7 %). La surcharge opérationnelle est restée inférieure à 4,6 % de CPU en charges de production. Nos résultats indiquent que la formalisation du cycle de vie des secrets et l’automatisation cryptographiquement fondée de leur rotation constituent des avancées significatives pour la résilience des infrastructures critiques. La contribution centrale réside dans l’unification de modèles formels, de l’ingénierie des systèmes et de l’évaluation empirique à grande échelle, offrant un cadre rigoureux pour atténuer les risques systémiques associés aux secrets dans les environnements distribués.

2008-02-23Read paper →Secrets

Ingénierie opérationnelle de la gestion des secrets dans les environnements cloud-native : modélisation formelle, détection automatisée et réponse aux compromissions

TITLE: Ingénierie opérationnelle de la gestion des secrets dans les environnements cloud-native : modélisation formelle, détection automatisée et réponse aux compromissions ABSTRACT: L’exposition de secrets — clés cryptographiques, jetons API, identifiants de service, certificats et secrets d’applications — est devenue l’un des vecteurs de compromission les plus répandus dans les environnements d’entreprise modernes, en particulier dans les architectures cloud-native et DevSecOps. Des incidents récents montrent que les fuites de secrets sont à l’origine de chaînes d’intrusion complètes impliquant mouvement latéral, exfiltration de données et ransomware. Ce travail étudie le problème de la gestion, de la détection et de la réponse aux fuites de secrets dans une perspective opérationnelle, en proposant une architecture intégrée qui combine la modélisation formelle des actifs sensibles, l’analyse automatisée dans les pipelines CI/CD, la détection comportementale en runtime et la rotation cryptographique automatisée. Notre méthodologie repose sur trois piliers : (i) la modélisation formelle du cycle de vie des secrets comme un système dynamique $S = (K, U, P, T)$, où $K$ représente l’ensemble des secrets, $U$ les utilisateurs/processus autorisés, $P$ les politiques et $T$ les transitions d’état ; (ii) un mécanisme hybride de détection combinant des règles statiques (regex, entropie de Shannon) et des modèles supervisés pour la classification des artefacts ; (iii) un framework de réponse automatisée intégrant HashiCorp Vault, Kubernetes, Suricata et Sigma pour la révocation et la surveillance continue. Nous évaluons la solution dans un environnement contrôlé avec 1 200 dépôts Git et 3,8 To de journaux opérationnels, en la comparant à des outils tels que TruffleHog, GitLeaks et detect-secrets. Les résultats montrent une réduction de 82 % du temps moyen de détection (MTTD) et de 67 % du temps moyen de remédiation (MTTR) par rapport au baseline manuel. Le taux de faux positifs a été réduit de 14,2 % à 4,8 % grâce au modèle hybride proposé. En outre, la rotation automatisée a diminué la fenêtre moyenne d’exposition de 19,4 jours à 3,1 heures. Nous concluons que l’approche intégrée et formalisée permet d’élever significativement la maturité opérationnelle de la gestion des secrets, en offrant des लाभices mesurables aux équipes de sécurité offensive et défensive.

2008-02-16Read paper →