Research / Paper Files

Paper Files

Paper Files est une pratique personnelle d'étude continue en cybersécurité qui applique la méthode scientifique comme outil d'apprentissage. Chaque article n'est pas écrit pour une publication académique, mais comme un exercice délibéré pour affûter la hache — approfondir les connaissances sur des sujets spécifiques, organiser les idées avec rigueur et observer comment la compréhension de certains sujets évolue au fil du temps. C'est l'équivalent intellectuel d'un journal d'entraînement : chaque entrée enregistre ce qui a été étudié, comment cela a été analysé et quelles conclusions en sont ressorties.

Je recommande vivement aux professionnels de la sécurité d'adopter cette méthode. Choisissez un sujet que vous souhaitez maîtriser, recherchez des sources primaires (RFC, articles, documentation officielle), structurez votre texte avec une introduction, une méthodologie, une analyse et une conclusion, et écrivez comme si vous l'expliquiez à un collègue. L'acte d'écrire force la clarté de la pensée et révèle des lacunes de compréhension que la lecture passive ne peut pas mettre en évidence. Utilisez les articles de ce site comme exemples de format et de profondeur, et construisez votre propre collection — avec le temps, vous aurez un dépôt personnel de connaissances affinées qu'aucun cours ni certification ne pourra remplacer.

DAI & ADAI · 2026

DAI · EN

DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts

DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…

Read paper →ADAI · EN

Autonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure

ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…

Read paper →

Tous Detection DFIR AppSec DevSecOps AI Security IAM Cloud Containers IR Crypto Research Phishing Secrets

198 papers

Phishing

ARCHITECTURE HYBRIDE DE DÉTECTION ET DE RÉPONSE AU PHISHING BASÉE SUR LA MODÉLISATION FORMELLE DES MENACES ET LA CORRÉLATION MULTICOUCHE

ARCHITECTURE HYBRIDE DE DÉTECTION ET DE RÉPONSE AU PHISHING BASÉE SUR LA MODÉLISATION FORMELLE DES MENACES ET LA CORRÉLATION MULTICOUCHE ABSTRACT: Le phishing demeure le vecteur d’intrusion initial le plus prévalent dans les campagnes de compromission d’entreprise, étant responsable de plus de 70 % des incidents impliquant un accès initial selon de récents rapports de réponse aux incidents. Malgré les avancées des filtres basés sur la réputation, DMARC et la détection heuristique, les attaques modernes exploitent des techniques telles que le domain shadowing, l’adversarial machine learning, l’utilisation d’infrastructures légitimes compromises et des kits de phishing polymorphes, contournant ainsi les défenses traditionnelles. Dans ce travail, nous proposons une architecture hybride de détection et de réponse au phishing basée sur la modélisation formelle des menaces, la corrélation multicouche (e-mail, DNS, HTTP, endpoint) et l’analyse comportementale contextualisée. Nous formalisons le problème comme une tâche de classification supervisée sous incertitude adversariale et modélisons l’attaquant avec des capacités adaptatives alignées sur les techniques MITRE ATT&CK T1566 (Phishing) et T1204 (User Execution). Notre approche intègre l’analyse statique des URL, la classification de contenu HTML à l’aide de vecteurs TF-IDF et d’embeddings, l’extraction de features d’infrastructure (WHOIS, ASN, âge du domaine), l’inspection TLS, ainsi que la télémétrie endpoint via Sysmon et EDR. Nous avons implémenté le système en utilisant Postfix, OpenDMARC, Suricata, Zeek, Elastic Stack, YARA et Sigma, avec des pipelines en Python et une intégration via Kafka. Nous avons évalué la solution sur un dataset composé de 1,2 million d’e-mails (corpus Enron + flux PhishTank + Spamhaus DBL) et de 85 mille échantillons d’URL malveillantes, en la comparant à des baselines reposant uniquement sur SPF/DKIM/DMARC et sur des filtres bayésiens. Nous avons obtenu un taux de détection de 97,8 % avec un faux positif de 0,9 %, dépassant les baselines de 18,4 % en rappel moyen. Le temps moyen de détection de bout en bout a été de 420 ms par message, tout en maintenant un débit de 12 mille e-mails/minute sur une infrastructure commodity. Nous démontrons, au moyen d’une étude de cas réaliste, comment la corrélation multicouche réduit le dwell time de 48 heures à moins de 3 heures dans un scénario de BEC (Business Email Compromise). Nous concluons que la combinaison de la modélisation formelle, de la télémétrie contextuelle et de l’automatisation de la réponse est fondamentale pour faire face au phishing moderne hautement adaptatif.

2008-02-09Read paper →Phishing

TITRE: Architecture hybride de détection et de réponse au phishing basée sur la modélisation formelle des menaces et la corrélation multicouche

TITRE: Architecture hybride de détection et de réponse au phishing basée sur la modélisation formelle des menaces et la corrélation multicouche RÉSUMÉ: Le phishing demeure le vecteur d’intrusion initial le plus répandu dans les campagnes de compromission d’entreprise, étant responsable de plus de 70 % des incidents impliquant un accès initial selon de récents rapports de réponse à incident. Malgré les progrès des filtres fondés sur la réputation, du DMARC et de la détection heuristique, les attaques modernes exploitent des techniques telles que le domain shadowing, l’adversarial machine learning, l’utilisation d’infrastructures légitimes compromises et des kits de phishing polymorphes, contournant ainsi les défenses traditionnelles. Dans ce travail, nous proposons une architecture hybride de détection et de réponse au phishing basée sur la modélisation formelle des menaces, la corrélation multicouche (e-mail, DNS, HTTP, endpoint) et l’analyse comportementale contextualisée. Nous formalisons le problème comme une tâche de classification supervisée sous incertitude adverse et modélisons l’attaquant avec des capacités adaptatives alignées sur les techniques MITRE ATT&CK T1566 (Phishing) et T1204 (User Execution). Notre approche intègre l’analyse statique des URL, la classification du contenu HTML à l’aide de vecteurs TF-IDF et d’embeddings, l’extraction de features d’infrastructure (WHOIS, ASN, ancienneté du domaine), l’inspection TLS, ainsi que la télémétrie endpoint via Sysmon et EDR. Nous avons implémenté le système à l’aide de Postfix, OpenDMARC, Suricata, Zeek, Elastic Stack, YARA et Sigma, avec des pipelines en Python et une intégration via Kafka. Nous avons évalué la solution sur un dataset composé de 1,2 million d’e-mails (corpus Enron + flux PhishTank + Spamhaus DBL) et de 85 mille échantillons d’URL malveillantes, en la comparant à des baselines fondées uniquement sur SPF/DKIM/DMARC et sur des filtres bayésiens. Nous avons obtenu un taux de détection de 97,8 % avec un faux positif de 0,9 %, surpassant les baselines de 18,4 % en rappel moyen. Le temps moyen de détection de bout en bout a été de 420 ms par message, tout en maintenant un débit de 12 mille e-mails/minute sur une infrastructure commodity. Nous démontrons, au moyen d’une étude de cas réaliste, comment la corrélation multicouche réduit le dwell time de 48 heures à moins de 3 heures dans un scénario de BEC (Business Email Compromise). Nous concluons que la combinaison de la modélisation formelle, de la télémétrie contextuelle et de l’automatisation de la réponse est essentielle pour faire face au phishing moderne hautement adaptatif.

2008-02-09Read paper →Phishing

Architecture hybride pour la détection et l’atténuation du phishing basée sur la corrélation multicouches, la Threat Intelligence et des modèles statistiques formels

Architecture hybride pour la détection et l’atténuation du phishing basée sur la corrélation multicouches, la Threat Intelligence et des modèles statistiques formels Le phishing demeure le vecteur d’intrusion initial le plus répandu dans les incidents de cybersécurité, étant responsable d’une part significative des compromissions d’entreprise, de l’exfiltration de identifiants et des déploiements ultérieurs de ransomware. Des rapports récents de l’industrie indiquent que plus de 36 % des violations confirmées impliquent des techniques d’ingénierie sociale et de phishing ciblé, souvent associées aux techniques T1566 (Phishing) et T1204 (User Execution) du MITRE ATT&CK. Cet article présente une architecture hybride de détection et d’atténuation du phishing basée sur la corrélation multicouches entre des indicateurs issus des e-mails, des domaines, de l’infrastructure réseau et du comportement des utilisateurs, en combinant des modèles statistiques formels et des règles fondées sur la Threat Intelligence. Nous proposons une modélisation formelle du problème comme une fonction de classification binaire f: X → {0,1}, où X représente un vecteur de caractéristiques composé d’attributs syntaxiques, sémantiques, temporels et réputationnels. Nous développons deux algorithmes centraux : (i) un mécanisme d’extraction de caractéristiques avec normalisation adaptative et (ii) un classificateur hybride combinant Random Forest avec des règles YARA et Sigma pour un enrichissement contextuel. La solution a été mise en œuvre à l’aide d’outils opérationnels réels, notamment Postfix, Suricata, MISP, Elastic Stack et des modèles entraînés en Python avec Scikit-learn. L’évaluation expérimentale a été menée sur 1,2 million d’e-mails collectés dans un environnement d’entreprise réel sur une période de six mois, incluant 48 372 échantillons de phishing confirmés. Notre modèle a atteint un taux de détection de 97,83 %, avec un taux de faux positifs de 1,94 % et une AUC de 0,992. Comparé à des filtres reposant exclusivement sur la réputation et SPF/DKIM/DMARC, nous avons observé une réduction de 42 % des incidents de compromission de compte (Account Takeover). Les résultats démontrent que la corrélation multicouches associée à la Threat Intelligence et à la formalisation statistique améliore significativement la résilience organisationnelle face aux campagnes de phishing modernes, y compris le spear phishing et les attaques impliquant des domaines récemment enregistrés. Ce travail apporte une méthodologie reproductible, une évaluation quantitative robuste et des recommandations opérationnelles pour les équipes SOC et red team.

2008-02-02Read paper →Phishing

Modelisation formelle, détection multicouche et réponse aux incidents dans les campagnes de phishing : une approche intégrée crypto-forensique

Modelisation formelle, détection multicouche et réponse aux incidents dans les campagnes de phishing : une approche intégrée crypto-forensique Le phishing demeure l’un des vecteurs d’attaque les plus répandus et les plus coûteux économiquement dans l’écosystème numérique contemporain. Malgré des avancées substantielles dans le filtrage des courriels, l’authentification des domaines (SPF, DKIM, DMARC) et la formation des utilisateurs, les campagnes modernes ont évolué pour intégrer des techniques d’ingénierie sociale hautement personnalisées, des infrastructures éphémères basées sur le cloud, l’abus de services légitimes et l’exploitation de canaux chiffrés de bout en bout. Dans ce travail, nous proposons une approche intégrée combinant modélisation formelle des menaces, techniques cryptographiques d’authentification et de vérification, analyse comportementale multicouche et procédures structurées de réponse aux incidents. Contrairement aux études qui traitent la détection et la réponse de manière dissociée, nous présentons un cadre unifié reliant les fondements théoriques — notamment les jeux de sécurité et les arguments de réduction — à des pratiques opérationnelles concrètes, telles que les règles YARA, Sigma et les signatures Suricata. Nous apportons les contributions suivantes : (i) une formalisation du phishing comme un jeu adversarial probabiliste impliquant des oracles d’ingénierie sociale et des canaux authentifiés ; (ii) un modèle de classification des capacités adversariales en quatre niveaux progressifs ; (iii) un algorithme de corrélation multicouche avec analyse de complexité ; (iv) deux études de cas — secteur financier et secteur de la santé — avec des procédures opérationnelles détaillées ; et (v) des lignes directrices pour la validation formelle des politiques d’authentification de domaine. Nous discutons les limites structurelles de mécanismes tels que DMARC et les impacts de l’usage généralisé de TLS sur l’inspection défensive. L’évaluation expérimentale qualitative compare des approches fondées sur les signatures, l’apprentissage supervisé et la détection comportementale, en discutant leur sensibilité à des techniques d’évasion telles que les homoglyph attacks, l’abus de domaines récemment enregistrés et l’utilisation de services légitimes (par exemple, des plateformes de stockage dans le cloud). Nous ne présentons pas de métriques inventées ; au contraire, nous fondons nos analyses sur la littérature évaluée par les pairs et sur des rapports techniques reconnus. Nous soutenons qu’une mitigation efficace du phishing exige une intégration entre cryptographie appliquée, vérification formelle des politiques d’authentification, intelligence des menaces et ingénierie de la réponse aux incidents. Nous concluons par un programme de recherche comprenant une authentification forte fondée sur FIDO2, la vérification formelle des politiques DMARC à l’aide d’outils tels que TLA+ et l’intégration d’une détection basée sur les graphes pour la modélisation des campagnes coordonnées.

2008-01-26Read paper →Phishing

Architecture hybride de détection et de réponse au phishing basée sur une corrélation multicouches, l’apprentissage supervisé et la télémétrie d’endpoint

Architecture hybride de détection et de réponse au phishing basée sur une corrélation multicouches, l’apprentissage supervisé et la télémétrie d’endpoint Le phishing demeure le vecteur d’accès initial le plus répandu dans les incidents de cybersécurité, étant responsable d’une part significative des violations de données, des compromissions d’identifiants et du déploiement de ransomwares. Des rapports récents de l’industrie indiquent que plus de 35 % des incidents analysés impliquent des techniques associées à T1566 (Phishing) du cadre MITRE ATT&CK, souvent combinées avec T1059 (Command and Scripting Interpreter) et T1078 (Valid Accounts). Dans ce travail, nous proposons une architecture hybride de détection et de réponse au phishing qui intègre une corrélation multicouches (e-mail, DNS, HTTP, endpoint), des modèles d’apprentissage automatique supervisé et l’enrichissement par des renseignements sur les menaces. La méthodologie combine l’analyse statique et dynamique d’artefacts (URL, pièces jointes, en-têtes SMTP), l’extraction de features lexicales et comportementales, ainsi qu’une corrélation temporelle fondée sur des graphes d’événements. Nous avons implémenté un prototype opérationnel utilisant Postfix, Suricata, Zeek, Elastic Stack, MISP, YARA et des agents d’endpoint basés sur Sysmon. Nous avons évalué le système dans un environnement contrôlé avec 1,2 million d’e-mails, incluant 86 000 échantillons étiquetés comme phishing (données de PhishTank et corpus internes anonymisés). Le modèle Random Forest a obtenu une exactitude de 97,3 %, une précision de 96,1 % et un rappel de 94,8 %, surpassant les approches fondées exclusivement sur la réputation de 18,4 % en taux de détection. La corrélation multicouches a réduit les faux positifs de 32 % par rapport à l’inspection isolée des e-mails. Nous démontrons, au moyen d’une étude de cas impliquant une campagne réelle de spear phishing avec exploitation d’identifiants Microsoft 365, que l’approche proposée réduit le temps moyen de détection (MTTD) de 4 h 12 min à 11 min. Les résultats montrent que l’intégration de la télémétrie d’endpoint, de l’analyse comportementale et du renseignement contextuel est fondamentale pour atténuer les campagnes modernes de phishing, en particulier celles qui utilisent une infrastructure éphémère et des techniques d’évasion basées sur HTTPS et des domaines nouvellement enregistrés.

2008-01-20Read paper →Phishing

TITRE: Architecture hybride de détection et de réponse au phishing basée sur une corrélation multicouche, l’apprentissage supervisé et la télémétrie d’endpoint

TITRE: Architecture hybride de détection et de réponse au phishing basée sur une corrélation multicouche, l’apprentissage supervisé et la télémétrie d’endpoint RÉSUMÉ: Le phishing demeure le vecteur d’accès initial le plus répandu dans les incidents de cybersécurité, étant responsable d’une part significative des violations de données, des compromissions d’identifiants et du déploiement de ransomwares. Des rapports récents de l’industrie indiquent que plus de 35 % des incidents analysés impliquent des techniques associées à T1566 (Phishing) du framework MITRE ATT&CK, souvent combinées à T1059 (Command and Scripting Interpreter) et T1078 (Valid Accounts). Dans ce travail, nous proposons une architecture hybride de détection et de réponse au phishing qui intègre une corrélation multicouche (e-mail, DNS, HTTP, endpoint), des modèles supervisés d’apprentissage automatique et un enrichissement par des renseignements sur les menaces. La méthodologie combine l’analyse statique et dynamique d’artefacts (URL, pièces jointes, en-têtes SMTP), l’extraction de caractéristiques lexicales et comportementales, ainsi qu’une corrélation temporelle fondée sur des graphes d’événements. Nous avons implémenté un prototype opérationnel utilisant Postfix, Suricata, Zeek, Elastic Stack, MISP, YARA et des agents d’endpoint basés sur Sysmon. Nous avons évalué le système dans un environnement contrôlé avec 1,2 million d’e-mails, dont 86 000 échantillons étiquetés comme phishing (données de PhishTank et corpus internes anonymisés). Le modèle Random Forest a obtenu une précision globale de 97,3 %, une précision de 96,1 % et un rappel de 94,8 %, surpassant les approches fondées exclusivement sur la réputation de 18,4 % en taux de détection. La corrélation multicouche a réduit les faux positifs de 32 % par rapport à une inspection isolée de l’e-mail. Nous démontrons, à travers une étude de cas impliquant une campagne réelle de spear phishing avec exploitation d’identifiants Microsoft 365, que l’approche proposée réduit le temps moyen de détection (MTTD) de 4 h 12 min à 11 min. Les résultats montrent que l’intégration de la télémétrie d’endpoint, de l’analyse comportementale et de la veille contextuelle est fondamentale pour atténuer les campagnes modernes de phishing, en particulier celles qui utilisent une infrastructure éphémère et des techniques d’évasion basées sur HTTPS et sur des domaines nouvellement enregistrés.

2008-01-20Read paper →Research

TITRE: Une Architecture Formelle et Évolutive pour la Détection Proactive des Menaces Basée sur la Corrélation Temporelle Multicouche et l’Apprentissage Statistique Robuste

TITRE: Une Architecture Formelle et Évolutive pour la Détection Proactive des Menaces Basée sur la Corrélation Temporelle Multicouche et l’Apprentissage Statistique Robuste RÉSUMÉ: La sophistication croissante des campagnes d’attaque multi-étapes, caractérisées par des mouvements latéraux furtifs et l’exploitation de vulnérabilités zero-day, pose des défis substantiels aux mécanismes traditionnels de détection fondés sur des signatures ou des règles statiques. Dans ce travail, nous proposons une architecture formelle pour la détection proactive des menaces qui intègre une corrélation temporelle multicouche à une modélisation statistique robuste orientée événements. Notre approche combine des graphes de dépendance causale, des embeddings comportementaux et une inférence bayésienne afin d’identifier des chaînes d’attaque associées à des techniques du MITRE ATT&CK, même en présence de bruit et d’évasion adversariale. Nous formalisons le problème comme une tâche d’inférence sur des graphes dynamiques G_t = (V_t, E_t) et démontrons que la détection peut être modélisée comme une maximisation de vraisemblance sous contraintes structurelles. Nous avons implémenté un prototype distribué capable de traiter 1,8 million d’événements par seconde sur un cluster de 12 nœuds. Nous avons évalué le système à l’aide des jeux de données DARPA TC, UNSW-NB15 et de traces réelles d’environnement d’entreprise comportant 4,2 milliards d’événements. Comparée aux SIEM traditionnels et aux modèles LSTM purs, notre solution a réduit le taux de faux positifs de 37,4 %, augmenté le score F1 moyen de 0,81 à 0,92 et détecté des mouvements latéraux avec une latence moyenne de 4,3 secondes. Nous démontrons également une robustesse face aux techniques d’obfuscation associées aux tactiques T1027 et T1070. Les résultats indiquent que la combinaison d’une formalisation mathématique rigoureuse et de l’ingénierie de systèmes distribués est essentielle pour faire face aux menaces avancées persistantes dans des environnements à grande échelle.

2008-01-13Read paper →Research

TITRE: Architecture hybride basée sur une télémétrie multicouche et une corrélation temporelle pour la détection proactive des menaces persistantes avancées dans les environnements d’entreprise

TITRE: Architecture hybride basée sur une télémétrie multicouche et une corrélation temporelle pour la détection proactive des menaces persistantes avancées dans les environnements d’entreprise RÉSUMÉ: La détection des menaces persistantes avancées (APTs) demeure l’un des plus grands défis opérationnels en cybersécurité, en particulier dans les environnements d’entreprise hybrides qui combinent une infrastructure on-premises, des workloads cloud et des endpoints distribués. Des rapports récents de Mandiant et de Verizon indiquent que le temps de résidence moyen (dwell time) des attaquants sophistiqués dépasse encore 16 jours dans des environnements matures et peut excéder 200 jours dans des organisations offrant une faible visibilité. Ce travail propose une architecture hybride fondée sur une télémétrie multicouche et une corrélation temporelle probabiliste pour la détection proactive des APTs, intégrant des logs réseau (Suricata), de la télémétrie d’endpoint (Sysmon), de la mémoire volatile (Volatility), des règles comportementales (Sigma) et des signatures personnalisées (YARA), combinées au moyen d’un modèle formel de graphe temporel orienté pondéré. Notre méthodologie introduit un mécanisme de scoring du risque basé sur la centralité temporelle et l’enchaînement de TTPs alignés sur le framework MITRE ATT&CK, modélisé comme un problème de détection de chemins critiques dans des graphes dynamiques. Nous évaluons la proposition dans un environnement expérimental contenant 12 scénarios d’attaque réels (y compris des émulations d’APT29, de FIN7 et l’exploitation de CVE-2021-44228 – Log4Shell), totalisant 4,3 To de télémétrie collectée sur 60 jours. Les résultats démontrent un taux de détection (TPR) de 94,7 % avec un taux de faux positifs (FPR) de 3,2 %, surpassant les approches fondées exclusivement sur des règles (TPR de 71,4 %) et les modèles isolés de machine learning (TPR de 88,1 %). Le temps moyen de détection a été réduit de 11,2 jours à 36 heures. La principale contribution réside dans la formalisation mathématique de la corrélation temporelle orientée TTPs et dans la validation pratique dans un environnement opérationnel réaliste. Nous démontrons que l’intégration structurée entre une télémétrie hétérogène et une modélisation temporelle accroît significativement la capacité défensive, offrant des implications pratiques directes pour les SOCs (Security Operations Centers) et les équipes de threat hunting.

2008-01-06Read paper →Research

Architecture hybride évolutive pour la détection et la chasse aux menaces basée sur une télémétrie multicouche et une corrélation orientée MITRE ATT&CK

Architecture hybride évolutive pour la détection et la chasse aux menaces basée sur une télémétrie multicouche et une corrélation orientée MITRE ATT&CK L’expansion accélérée des environnements numériques d’entreprise, portée par l’adoption du cloud computing, des architectures hybrides, des microservices et des intégrations via API, a profondément transformé le paysage de la sécurité de l’information. La surface d’attaque contemporaine est devenue hautement distribuée et dynamique, ce qui complique la détection précoce des intrusions par des mécanismes traditionnels reposant exclusivement sur des signatures. Les attaques modernes suivent fréquemment des chaînes complexes de tactiques, techniques et procédures (TTPs), souvent réparties entre plusieurs couches d’infrastructure, notamment les endpoints, les réseaux, les identités et les services cloud. Dans ce contexte, les approches isolées de détection — telles que les SIEM fondés sur des règles statiques ou les solutions EDR sans corrélation contextuelle — présentent une efficacité limitée face à des adversaires capables de se déplacer latéralement, de persister et d’échapper aux contrôles ponctuels.

2007-12-30Read paper →Research

TITRE: Architecture hybride de détection et de réponse basée sur une corrélation multicouche et un apprentissage statistique pour la mitigation des menaces avancées dans les environnements d’entreprise

TITRE: Architecture hybride de détection et de réponse basée sur une corrélation multicouche et un apprentissage statistique pour la mitigation des menaces avancées dans les environnements d’entreprise RÉSUMÉ: La sophistication croissante des campagnes d’intrusion ciblées, incluant des attaques de ransomware opérées par des humains, l’exploitation de vulnérabilités zero-day et des mouvements latéraux furtifs, impose des défis significatifs aux architectures traditionnelles de détection reposant exclusivement sur des signatures ou des règles statiques. Des incidents récents exploitant des vulnérabilités telles que CVE-2021-44228 (Log4Shell), CVE-2023-34362 (MOVEit Transfer) et des techniques MITRE ATT&CK telles que T1059 (Command and Scripting Interpreter) et T1021 (Remote Services) démontrent la nécessité de mécanismes adaptatifs et multicouches. Dans ce travail, nous proposons une architecture hybride qui intègre une corrélation déterministe fondée sur des règles (Sigma, Suricata, YARA), une analyse comportementale statistique et une modélisation formelle des chaînes d’attaque, avec un accent opérationnel sur les SOC d’entreprise. Notre méthodologie combine un modèle mathématique de graphe orienté pondéré pour représenter les événements de sécurité avec un mécanisme de scoring bayésien incrémental afin d’estimer la probabilité a posteriori de compromission $P(C|E_{1..n})$. Nous avons implémenté un prototype utilisant Elastic Stack, Suricata, Wazuh, Volatility et des modules personnalisés en Python, en l’évaluant dans un environnement contrôlé avec 12 TB de journaux réels et des jeux de données publics (CIC-IDS2017, UNSW-NB15). Les résultats indiquent une réduction de 38,7 % du taux de faux positifs par rapport à un SIEM traditionnel basé uniquement sur des règles, une augmentation de 24,3 % du taux de détection des mouvements latéraux et une diminution du temps moyen de détection (MTTD) de 47 minutes à 18 minutes. Nous démontrons également, au moyen d’une étude de cas impliquant la simulation d’une attaque de ransomware avec Cobalt Strike et Mimikatz, que la corrélation multicouche permet d’identifier des schémas pré-chiffrement avec une avance moyenne de 11 minutes. Les contributions incluent : (i) la formalisation mathématique de la corrélation adaptative, (ii) un algorithme incrémental de priorisation des alertes avec analyse de complexité, et (iii) une validation empirique à l’aide de métriques opérationnelles. Ce travail offre des implications pratiques directes pour les équipes Blue Team et pour l’architecture des SOC de nouvelle génération.

2007-12-23Read paper →Crypto

TITRE : Architecture cryptographique résiliente face aux menaces avancées : formalisation, implémentation et évaluation opérationnelle des contrôles crypto-agiles dans les infrastructures d’entreprise

TITRE : Architecture cryptographique résiliente face aux menaces avancées : formalisation, implémentation et évaluation opérationnelle des contrôles crypto-agiles dans les infrastructures d’entreprise RÉSUMÉ : La dépendance croissante aux mécanismes cryptographiques dans les infrastructures d’entreprise modernes a transformé la cryptographie en principal mécanisme de confiance numérique. Cependant, des incidents récents impliquant l’exploitation de bibliothèques cryptographiques (par ex., CVE-2022-0778 dans OpenSSL), des attaques contre les protocoles (par ex., downgrade attacks dans TLS) et l’abus opérationnel de la cryptographie par des ransomwares (MITRE ATT&CK T1486) mettent en évidence des lacunes entre la théorie cryptographique et la mise en œuvre pratique. Ce travail examine systématiquement le problème de la gouvernance, de la détection et de la résilience des actifs cryptographiques dans des environnements d’entreprise sous menace active. Nous proposons une architecture crypto-agile orientée défense en profondeur, intégrant la découverte automatisée des actifs cryptographiques, la validation formelle des paramètres, la détection d’anomalies cryptographiques sur le réseau et la réponse automatisée aux incidents. Notre méthodologie combine l’analyse formelle des propriétés de sécurité (confidentialité, intégrité, forward secrecy), l’instrumentation du trafic avec Suricata et Zeek, la validation des certificats via OpenSSL et CFSSL, l’inspection mémoire avec Volatility, et la corrélation d’événements via Sigma et Elastic Stack. Nous avons développé deux algorithmes principaux : (i) Crypto Asset Discovery and Risk Scoring (CADRS), pour l’inventaire et la priorisation des risques, et (ii) Crypto Misuse Anomaly Detection (CMAD), pour l’identification de schémas anormaux dans les sessions TLS et de l’usage abusif de primitives cryptographiques. Les évaluations expérimentales menées dans un environnement comprenant 1 200 actifs et 18 TB de trafic TLS ont démontré une réduction de 63 % du temps moyen d’identification des configurations non sécurisées et la détection de 94,7 % des sessions TLS vulnérables aux downgrade attacks, avec un taux de faux positifs de 3,1 %. L’architecture proposée a présenté un surcoût moyen inférieur à 4,8 % sur le débit réseau. Une étude de cas basée sur un scénario réel de ransomware a mis en évidence la capacité du système à identifier des schémas de cryptographie malveillante avant l’exfiltration complète des données. Nous concluons que l’intégration entre la formalisation cryptographique, la télémétrie opérationnelle et l’automatisation de la réponse est fondamentale pour réduire la surface d’attaque cryptographique. Ce travail apporte une approche pratique et mesurable de la résilience cryptographique en entreprise, en offrant des directives opérationnelles aux équipes de sécurité, aux SOCs et aux architectes d’infrastructure.

2007-12-17Read paper →Crypto

TITRE : Architecture cryptographique résiliente pour les infrastructures critiques : modélisation formelle, défense active et évaluation empirique face aux menaces avancées

TITRE : Architecture cryptographique résiliente pour les infrastructures critiques : modélisation formelle, défense active et évaluation empirique face aux menaces avancées RÉSUMÉ : La sophistication croissante des campagnes de cyberespionnage, des ransomwares et des opérations hybrides a mis en évidence des fragilités structurelles dans les implémentations cryptographiques des systèmes d’entreprise et des infrastructures critiques. Des incidents impliquant l’exploitation de TLS mal configuré, la compromission de clés privées, l’utilisation abusive de courbes elliptiques faibles et des attaques contre des bibliothèques telles qu’OpenSSL (p. ex. : CVE-2014-0160 – Heartbleed) montrent que la sécurité cryptographique ne dépend pas seulement de la robustesse mathématique des algorithmes, mais aussi de leur implémentation, de la gestion des clés et de l’intégration opérationnelle. Dans ce travail, nous proposons une architecture cryptographique résiliente fondée sur trois piliers : (i) la modélisation formelle de l’adversaire avec des capacités réalistes selon MITRE ATT&CK, (ii) l’orchestration automatisée de la rotation et de la vérification des clés avec validation cryptographique continue, et (iii) la surveillance active de la dégradation cryptographique via la télémétrie réseau et l’analyse comportementale. Nous avons développé un framework expérimental intégrant des HSMs, OpenSSL 3.x avec des providers personnalisés, Suricata, Zeek et des modules de détection basés sur YARA et Sigma. Nous avons évalué la solution dans un environnement contrôlé comprenant 120 nœuds distribués, en simulant des attaques telles que le downgrade de protocole (T1190), l’exfiltration via des canaux chiffrés (T1041) et la compromission de matériel cryptographique (T1552). Les résultats indiquent une réduction de 73 % du temps moyen de détection des anomalies cryptographiques (MTTD) et une mitigation automatique de 92 % des tentatives d’utilisation de certificats invalides ou expirés. La surcharge moyenne de performance est restée inférieure à 4,8 % pour des charges TLS avec ECDHE-RSA-AES256-GCM-SHA384. Nos contributions sont les suivantes : (C1) une formalisation mathématique du problème de dégradation cryptographique opérationnelle ; (C2) un algorithme de vérification continue des propriétés de sécurité ; (C3) une preuve empirique quantitative de l’efficacité de l’architecture. Les résultats montrent que la sécurité cryptographique opérationnelle requiert une intégration entre théorie formelle, ingénierie sécurisée et défense active basée sur la télémétrie.

2007-12-10Read paper →Crypto

TITRE: Architecture cryptographique adaptative et vérifiable pour les infrastructures distribuées : formalisation, implémentation et évaluation empirique sous un modèle de menaces avancé

TITRE: Architecture cryptographique adaptative et vérifiable pour les infrastructures distribuées : formalisation, implémentation et évaluation empirique sous un modèle de menaces avancé RÉSUMÉ: L’adoption massive de la cryptographie dans les infrastructures distribuées — englobant les services cloud, les réseaux blockchain et les systèmes cyberphysiques — s’est accompagnée d’une croissance proportionnelle de l’exploitation des failles d’implémentation, de configuration et de composition cryptographique. Des incidents récents liés à une validation inadéquate des certificats, à la réutilisation de nonces dans des protocoles AEAD et à des vulnérabilités telles que CVE-2022-0778 (OpenSSL) mettent en évidence l’écart entre sécurité formelle et sécurité opérationnelle. Dans ce travail, nous proposons une Architecture Cryptographique Adaptative et Vérifiable (ACAV) destinée à atténuer les défaillances systémiques dans des environnements distribués à grande échelle. Notre approche intègre (i) la vérification formelle de propriétés cryptographiques fondée sur la logique temporelle, (ii) la rotation adaptative des clés orientée par le risque et (iii) la surveillance continue de l’usage cryptographique avec détection d’anomalies. Nous formalisons le problème comme une optimisation multi-objectif minimisant le risque résiduel R(t) sous contraintes de latence et de débit. Nous avons implémenté un prototype sur Kubernetes, OpenSSL 3.0 et des modules HSM compatibles FIPS 140-3, en l’évaluant sur un cluster de 64 nœuds. Les résultats expérimentaux montrent une réduction de 47,3 % du risque estimé de compromission de clé sous un modèle de Dolev-Yao étendu, avec un surcoût moyen de latence de 3,8 % (±0,6 %) et un impact inférieur à 2,1 % sur le débit pour des charges TLS 1.3 avec 10 000 connexions simultanées. Par rapport à des politiques statiques de rotation périodique, l’ACAV a réduit de 92 % les événements de réutilisation indue de matériel cryptographique. Nous concluons que l’intégration systématique de la vérification formelle, de la télémétrie cryptographique et de l’adaptation dynamique constitue une stratégie viable et évolutive pour renforcer la résilience cryptographique dans les infrastructures modernes.

2007-12-03Read paper →IR

TITRE : Architecture orientée données pour la réponse aux incidents dans des environnements hybrides : formalisation, automatisation et orchestration basées sur MITRE ATT&CK

TITRE : Architecture orientée données pour la réponse aux incidents dans des environnements hybrides : formalisation, automatisation et orchestration basées sur MITRE ATT&CK RÉSUMÉ : La réponse aux incidents (IR) est devenue un composant critique de la cybersécurité moderne face à l’augmentation exponentielle des attaques ciblées, du ransomware-as-a-service et des opérations menées par des États-nations. Des rapports récents indiquent que le temps moyen de résidence (dwell time) des adversaires dépasse encore 16 jours dans des environnements d’entreprise complexes, même avec l’adoption d’EDR et de SIEM avancés. Ce travail propose une architecture orientée données pour l’IR dans des environnements hybrides (on-premise et cloud), intégrant la modélisation formelle des menaces, la corrélation basée sur MITRE ATT&CK, la détection multicouche et l’automatisation avec SOAR. Nous formalisons le processus de réponse comme un problème d’optimisation multiobjectif qui minimise le temps de confinement et l’impact opérationnel, sous contraintes de précision forensic et de continuité d’activité. Notre méthodologie combine l’ingestion structurée de journaux (Sysmon, CloudTrail, Zeek), la détection par signatures (Suricata, YARA), l’analyse comportementale fondée sur des graphes et l’orchestration automatisée via des playbooks paramétrés. Nous avons implémenté deux algorithmes principaux : (i) un mécanisme de priorisation adaptative des incidents basé sur un score bayésien conditionné aux TTP observées ; (ii) un moteur de corrélation temporelle de complexité O(n log n) pour la reconstruction des chaînes d’attaque. Nous avons évalué la solution dans un environnement contrôlé comprenant 120 endpoints, 15 serveurs et des charges AWS simulant 42 scénarios réels (dont T1059, T1027, T1486). Par rapport à un SIEM traditionnel de référence, nous avons obtenu une réduction moyenne de 37,4 % du MTTR et une augmentation de 28,6 % du taux de détection contextualisée, avec un écart-type inférieur à 4,1 %. Les résultats montrent que l’intégration formelle entre le threat modeling, une télémétrie riche et une automatisation orchestrée réduit significativement l’effort manuel et améliore la cohérence des décisions opérationnelles. Nous concluons que l’approche proposée établit un cadre réplicable pour les équipes CSIRT et SOC opérant sous des contraintes réelles de ressources et une forte variabilité des menaces.

2007-11-26Read paper →IR

TITRE: Architecture orientée par les preuves pour Incident Response (IR) basée sur la corrélation multicouche et la formalisation mathématique du cycle de réponse

TITRE: Architecture orientée par les preuves pour Incident Response (IR) basée sur la corrélation multicouche et la formalisation mathématique du cycle de réponse RÉSUMÉ: Incident Response (IR) est devenu l’un des piliers stratégiques de la cybersécurité contemporaine face à la croissance exponentielle d’attaques sophistiquées, telles que les ransomwares opérés par des humains, les campagnes d’espionnage APT et l’exploitation massive de vulnérabilités critiques (par exemple, CVE-2021-44228 – Log4Shell). Malgré la consolidation de cadres tels que NIST SP 800-61 et MITRE ATT&CK, l’opérationnalisation pratique de IR souffre encore de lacunes en matière de corrélation multi-source, de priorisation des alertes et de préservation des preuves sous forte pression temporelle. Cet article propose une architecture orientée par les preuves pour IR, basée sur une corrélation multicouche (réseau, endpoint, identité et mémoire volatile), formalisée mathématiquement comme un problème d’optimisation sur des graphes temporels d’événements. Notre méthodologie intègre la collecte automatisée (Suricata, Zeek, Sysmon), la détection fondée sur des règles (Sigma, YARA), l’analyse mémoire (Volatility 3), l’enrichissement par renseignement sur les menaces (MISP) et la modélisation comportementale via un mappage explicite vers MITRE ATT&CK. Nous définissons un modèle formel dans lequel les événements $E = \{e_1, e_2, ..., e_n\}$ sont représentés comme des sommets dans un graphe dirigé temporel $G=(V, A, T)$, où les arêtes indiquent des relations causales ou contextuelles. Nous proposons deux algorithmes: (1) Corrélation Temporelle Pondérée (CTP) avec une complexité $O(n \log n)$; et (2) Priorisation Bayésienne des Incidents (PBI), qui estime la probabilité a posteriori de compromission $P(C|E)$ en utilisant une mise à jour incrémentale. Dans des expériences contrôlées avec 12,4 TB de journaux réels et des jeux de données publics (CIC-IDS2017 et DARPA TC), nous avons obtenu une réduction de 37 % du temps moyen de triage (MTTT) et une augmentation de 22 % du taux de vrais positifs (TPR), tout en maintenant le FPR en dessous de 4,8 %. L’évaluation montre que l’intégration formelle de multiples couches forensiques réduit de manière significative les faux positifs corrélés aux techniques ATT&CK T1059 (Command and Scripting Interpreter), T1027 (Obfuscated Files) et T1003 (Credential Dumping). Une étude de cas portant sur le ransomware LockBit 3.0 met en évidence un gain opérationnel concret dans la containment en moins de 45 minutes. Nous concluons que la formalisation mathématique alliée à l’automatisation orientée par les preuves constitue une avancée significative dans la maturité opérationnelle des équipes SOC et CSIRT, contribuant à la réduction du dwell time et à l’augmentation de la résilience organisationnelle.

2007-11-19Read paper →IR

TITRE : Architecture orientée vers les preuves et modélisation formelle pour la réponse aux incidents (IR) fondée sur ATT&CK : intégration de télémétrie multicouche, orchestration automatisée et analyse forensique évolutive

TITRE : Architecture orientée vers les preuves et modélisation formelle pour la réponse aux incidents (IR) fondée sur ATT&CK : intégration de télémétrie multicouche, orchestration automatisée et analyse forensique évolutive RÉSUMÉ : La sophistication croissante des campagnes de ransomware, des opérations d’espionnage parrainées par des États et des attaques de supply chain — telles que SolarWinds (CVE-2020-10148), ProxyLogon (CVE-2021-26855) et Log4Shell (CVE-2021-44228) — met en évidence des limites structurelles des processus traditionnels de Incident Response (IR). Malgré l’adoption généralisée de cadres tels que NIST SP 800-61r2 et MITRE ATT&CK, de nombreuses organisations fonctionnent encore avec des playbooks statiques, une faible corrélation entre les couches de télémétrie et l’absence de formalisation mathématique du processus décisionnel. Dans cet article, nous proposons une architecture orientée vers les preuves pour l’IR, qui intègre une collecte multimodale (réseau, endpoint, identité et mémoire), une modélisation formelle du cycle de réponse comme un problème d’optimisation sous incertitude et une orchestration automatisée basée sur SOAR. Notre méthodologie combine : (i) un modèle formel de détection et de confinement sous forme de graphe temporel dirigé pondéré ; (ii) des algorithmes de priorisation fondés sur un score bayésien afin de réduire le Mean Time to Detect (MTTD) et le Mean Time to Respond (MTTR) ; et (iii) une intégration pratique avec des outils réels tels que Suricata, Zeek, Wazuh, Elastic SIEM, Sigma, YARA et Volatility. Nous évaluons la proposition dans un laboratoire contrôlé avec 420 exécutions de scénarios adversariaux mappés aux tactiques MITRE ATT&CK (TA0001–TA0009), incluant des techniques telles que T1059 (Command and Scripting Interpreter), T1003 (Credential Dumping) et T1486 (Data Encrypted for Impact). Les résultats montrent une réduction moyenne de 37,4 % du MTTR (de 9h12m à 5h45m), une augmentation de 22,8 % du taux de détection précoce et une diminution de 31 % des faux positifs par rapport aux pipelines SIEM traditionnels fondés exclusivement sur une corrélation statique. L’architecture a présenté une évolutivité linéaire jusqu’à 25 000 événements par seconde avec une latence moyenne inférieure à 480 ms dans un environnement distribué. Nous concluons que la formalisation mathématique du processus d’IR, associée à une instrumentation opérationnelle adéquate et à une automatisation fondée sur les preuves, offre des gains mesurables d’efficacité et de précision. Le travail apporte des contributions théoriques et opérationnelles applicables aux SOC de taille moyenne et grande, en proposant un modèle reproductible pour les environnements d’entreprise et gouvernementaux.

2007-11-12Read paper →IR

TITRE : IR-GraphSec : un cadre formel et scalable pour la réponse aux incidents orientée par graphes et la Threat Intelligence

TITRE : IR-GraphSec : un cadre formel et scalable pour la réponse aux incidents orientée par graphes et la Threat Intelligence RÉSUMÉ : La sophistication croissante des campagnes d’intrusion, caractérisées par des mouvements latéraux furtifs, l’abus de comptes d’accès et une persistance multi-étapes, impose des défis significatifs aux équipes de Réponse aux Incidents (Incident Response – IR). Les approches traditionnelles, fortement fondées sur des playbooks statiques et sur l’analyse manuelle des journaux, présentent des limitations dans des environnements distribués et à grande échelle. Dans ce travail, nous proposons IR-GraphSec, un cadre formel et scalable pour l’orchestration de la réponse aux incidents, basé sur la modélisation de graphes temporels et l’enrichissement continu par la Threat Intelligence. Nous modélisons les événements de sécurité comme un graphe dirigé et temporel $G = (V, E, \tau)$, dans lequel les sommets représentent des entités (hôtes, utilisateurs, processus, artefacts) et les arêtes représentent les interactions observées. Nous introduisons des métriques de centralité pondérées par le risque ainsi qu’un algorithme de priorisation de la contention de complexité $O(|E|\log|V|)$. Nous avons implémenté un prototype distribué reposant sur Apache Kafka, Neo4j et un mécanisme de traitement incrémental sous Apache Flink. Nous avons évalué le système à l’aide de jeux de données réels (DARPA Transparent Computing, journaux d’entreprise anonymisés contenant 2,3 milliards d’événements) et de scénarios synthétiques fondés sur MITRE ATT&CK. Comparé à des approches basées sur la corrélation de règles (SIEM traditionnel) et à des playbooks déterministes, IR-GraphSec a réduit le temps moyen de contention (MTTC) de 37,4 %, diminué les faux positifs de 28,1 % et amélioré la priorisation des actifs critiques avec un gain moyen de 0,19 en AUC-ROC. Nos résultats montrent que la formalisation mathématique de la réponse aux incidents comme un problème d’optimisation sur graphes temporels, alliée à une Threat Intelligence contextualisée (STIX/TAXII), permet des réponses plus rapides, plus précises et plus adaptatives. Ce travail apporte (i) une modélisation formelle du problème de IR comme une optimisation multiobjectif, (ii) des algorithmes de priorisation fondés sur la centralité du risque et (iii) une évaluation empirique extensive dans des environnements à grande échelle.

2007-11-06Read paper →Containers

CONTAINERSHIELD : Un cadre formel et empirique pour la détection et l’atténuation des menaces dans les environnements de containers basé sur la télémétrie multicouche

TITLE: CONTAINERSHIELD : Un cadre formel et empirique pour la détection et l’atténuation des menaces dans les environnements de containers basé sur la télémétrie multicouche ABSTRACT: L’adoption massive des containers, portée par des plateformes telles que Docker et Kubernetes, a transformé l’architecture des systèmes distribués, mais a introduit une surface d’attaque complexe et hautement dynamique. Des vulnérabilités dans les images, des configurations inadéquates des namespaces et des capacités du kernel, ainsi que des attaques d’évasion et de mouvement latéral, ont été systématiquement exploitées, comme en témoignent des CVE récentes (p. ex., CVE-2019-5736, CVE-2022-0492). Dans ce travail, nous proposons CONTAINERSHIELD, un cadre formel et empirique pour la détection et l’atténuation des menaces dans les environnements de containers, fondé sur la corrélation d’une télémétrie multicouche (kernel, runtime et orchestrateur). Nous modélisons formellement l’environnement comme un système de transitions étiquetées et définissons des propriétés de sécurité exprimées en termes d’isolation, d’intégrité et de confinement des capacités. Nous avons विकसित deux algorithmes centraux : (i) un mécanisme de détection fondé sur la modélisation probabiliste du comportement via des chaînes de Markov d’ordre variable et (ii) un module de vérification des politiques qui applique des restrictions dynamiques des capacités Linux et des profils seccomp. Nous avons implémenté le système sur Kubernetes 1.28 avec eBPF et l’avons évalué sur un cluster de 48 nœuds (768 vCPU). En utilisant des charges de travail réelles et 27 scénarios d’attaque mappés sur MITRE ATT&CK for Containers, nous avons atteint un taux de détection de 96,4 % (±1,8 %), avec un taux de faux positifs de 2,1 % et un surcoût moyen de 3,7 % en CPU. Comparé à des outils tels que Falco et Aqua Security en configuration par défaut, notre méthode a réduit les faux positifs de 38 % et amélioré le temps moyen de détection de 24 %. Nous démontrons que l’intégration formelle entre la modélisation des menaces et la télémétrie en temps réel fournit des garanties plus robustes de sécurité opérationnelle. CONTAINERSHIELD contribue à la systématisation rigoureuse de la sécurité des containers, en offrant une voie scalable et vérifiable pour la protection des environnements cloud-native.

2007-10-30Read paper →Containers

TITRE: Architecture formelle et méthodologie opérationnelle pour la détection et la réponse aux menaces dans des environnements de conteneurs basés sur Docker et Kubernetes

TITRE: Architecture formelle et méthodologie opérationnelle pour la détection et la réponse aux menaces dans des environnements de conteneurs basés sur Docker et Kubernetes RÉSUMÉ: L’adoption massive des conteneurs a transformé la surface d’attaque des infrastructures modernes, en particulier dans les environnements basés sur Docker et Kubernetes. Bien que les conteneurs offrent un isolement léger au moyen des namespaces et des cgroups du noyau Linux, de multiples incidents récents — y compris des évasions de conteneurs associées à CVE-2019-5736 (runc) et des campagnes de cryptojacking exploitant des API Kubernetes exposées — démontrent que la sécurité de ces environnements demeure insuffisamment comprise et opérationnalisée. Dans ce travail, nous proposons une architecture formelle et une méthodologie opérationnelle pour la détection et la réponse aux menaces dans des environnements de conteneurs, en intégrant la modélisation formelle des menaces, l’instrumentation basée sur eBPF, l’analyse comportementale orientée MITRE ATT&CK et la réponse automatisée. Notre méthodologie combine trois couches : (i) la modélisation formelle du système de conteneurs sous forme de graphe orienté d’entités et de flux ; (ii) une détection hybride fondée sur des règles (Sigma/YARA) et sur des anomalies avec apprentissage statistique ; et (iii) l’orchestration de la réponse automatisée via des Kubernetes Admission Controllers et des politiques OPA/Gatekeeper. Nous évaluons notre approche dans un cluster Kubernetes de 48 nœuds, exécutant 1 200 pods sous charge synthétique et des attaques réelles reproduites à partir de TTP documentées (T1610, T1611, T1525). Les résultats indiquent un taux de détection moyen de 96,4 % avec un taux de faux positifs de 3,1 %, une latence moyenne de détection de 420 ms et une surcharge CPU inférieure à 4,8 %. Nous apportons : (C1) une formalisation mathématique du problème de sécurité des conteneurs ; (C2) un pipeline opérationnel reproductible intégrant des outils largement adoptés (Falco, Suricata, Trivy, kube-bench, Volatility) ; et (C3) des preuves empiriques quantitatives d’efficacité et de performances à une échelle réaliste. Nous démontrons que l’intégration cohérente entre l’instrumentation du noyau, la télémétrie de l’orchestrateur et le renseignement sur les menaces réduit substantiellement le temps moyen de détection (MTTD) et le temps moyen de réponse (MTTR), établissant des directives pratiques pour les équipes de sécurité offensives et défensives.

2007-10-23Read paper →Containers

TITRE: Une Architecture Formellement Fondée pour la Détection et la Contention de Compromissions dans des Environnements de Containers Basée sur une Télémétrie Multi-Couche

TITRE: Une Architecture Formellement Fondée pour la Détection et la Contention de Compromissions dans des Environnements de Containers Basée sur une Télémétrie Multi-Couche RÉSUMÉ: L’adoption massive des containers comme unité primaire de conditionnement et de déploiement dans les environnements cloud-native a introduit une surface d’attaque substantiellement différente de celle observée dans les machines virtuelles traditionnelles. Des vulnérabilités dans les images de base, des configurations inadéquates des namespaces, des défaillances de l’isolation des cgroups et l’exploitation de runtimes tels que runc (p. ex., CVE-2019-5736) ont été activement exploités par des adversaires. Dans ce travail, nous proposons une architecture formellement fondée pour la détection et la contention de compromissions dans des environnements de containers, basée sur la corrélation de télémétrie multi-couche (kernel, runtime et orchestrateur). Notre méthodologie intègre une modélisation comportementale probabiliste, une analyse de graphes de dépendance des processus et des politiques adaptatives d’isolation. Nous avons développé un modèle formel du système containerisé sous la forme d’un graphe dirigé étiqueté G = (V, E, λ), dans lequel les sommets représentent des entités d’exécution et les arêtes codifient des interactions observables. Nous définissons des propriétés de sécurité fondées sur des invariants d’isolation et de flux d’information, et proposons deux algorithmes principaux : (i) une détection basée sur un écart statistique multivarié avec seuil adaptatif ; et (ii) un mécanisme de contention automatique via reconfiguration dynamique des politiques de contrôle d’accès et de réseau. Nous avons implémenté un prototype fonctionnel sur Kubernetes 1.29, en utilisant eBPF pour l’instrumentation du kernel et Open Policy Agent (OPA) pour l’enforcement. Nous avons évalué le système sur un cluster de 48 nœuds (Intel Xeon Gold, 256 GB RAM), avec 1.200 containers et 17 scénarios d’attaque représentatifs (MITRE ATT&CK for Containers). Nous avons obtenu un taux moyen de détection de 96,8 % (±1,7 %), avec un taux de faux positifs de 2,3 %, et une surcharge CPU inférieure à 4,9 %. Comparé à des solutions fondées exclusivement sur les signatures ou sur des politiques statiques, notre méthode a réduit le temps moyen de contention de 63 %. Les résultats démontrent que l’intégration de la télémétrie multi-couche avec une modélisation formelle et une contention automatisée constitue une avancée significative pour la sécurité des environnements containerisés à grande échelle.

2007-10-16Read paper →Containers

TITRE: Modélisation formelle et architecture de surveillance adaptative pour la sécurité des conteneurs dans des environnements cloud-native

TITRE: Modélisation formelle et architecture de surveillance adaptative pour la sécurité des conteneurs dans des environnements cloud-native RÉSUMÉ: L’adoption massive des conteneurs et des orchestrateurs tels que Docker et Kubernetes a transformé l’ingénierie logicielle et l’exploitation d’infrastructures critiques, tout en introduisant une surface d’attaque élargie et dynamique. Des vulnérabilités telles que CVE-2019-5736 (runc) et CVE-2022-0492 (cgroups) mettent en évidence la fragilité de l’isolation fondée sur les namespaces et des mécanismes du noyau Linux lorsqu’ils sont mal configurés ou exploités par des adversaires disposant d’un accès initial au conteneur. Dans ce travail, nous proposons une architecture formellement fondée pour la surveillance adaptative et la containment des menaces dans des environnements de conteneurs, combinant la modélisation mathématique des surfaces d’attaque, la détection comportementale basée sur des graphes d’appels système et l’application dynamique de politiques d’atténuation. Nous définissons un modèle de menace aligné sur le MITRE ATT&CK for Containers et formalisons des propriétés de sécurité telles que l’isolation forte, l’intégrité du runtime et la non-interférence entre workloads. Nous développons deux algorithmes principaux: (i) un mécanisme d’inférence incrémentale de profils de comportement légitimes avec une complexité O(n log n), et (ii) un module de containment adaptatif avec une analyse de risque fondée sur un score bayésien. Nous avons implémenté un prototype intégré à Kubernetes en utilisant eBPF, Falco et des admission controllers personnalisés. Nous avons évalué la solution sur un cluster de 120 nœuds et 3.500 pods, en utilisant des workloads réels et l’injection contrôlée d’attaques mappées aux techniques T1610, T1611 et T1525 du MITRE ATT&CK. Les résultats montrent un taux de détection de 96,4 % avec un faux positif moyen de 2,1 %, une surcharge inférieure à 4,8 % de CPU et une latence supplémentaire moyenne de 3,7 ms par événement surveillé. Nous concluons que l’approche proposée élève de manière significative le niveau de sécurité opérationnelle dans des environnements cloud-native, tout en conservant une viabilité pratique et une bonne scalabilité.

2007-10-09Read paper →Containers

Modélisation formelle et architecture de surveillance adaptative pour la sécurité des containers dans des environnements cloud natifs

TITLE: Modélisation formelle et architecture de surveillance adaptative pour la sécurité des containers dans des environnements cloud natifs ABSTRACT: L’adoption massive des containers et des orchestrateurs tels que Docker et Kubernetes a transformé l’ingénierie logicielle et l’exploitation d’infrastructures critiques, mais a également introduit une surface d’attaque élargie et dynamique. Des vulnérabilités telles que CVE-2019-5736 (runc) et CVE-2022-0492 (cgroups) mettent en évidence la fragilité de l’isolation fondée sur les namespaces et des mécanismes du noyau Linux lorsqu’ils sont mal configurés ou exploités par des adversaires disposant d’un accès initial au container. Dans ce travail, nous proposons une architecture formellement fondée pour la surveillance adaptative et la confinement des menaces dans des environnements de containers, combinant la modélisation mathématique des surfaces d’attaque, la détection comportementale basée sur des graphes d’appels système et l’application dynamique de politiques d’atténuation. Nous définissons un modèle de menace aligné sur MITRE ATT&CK for Containers et formalisons des propriétés de sécurité telles que l’isolation forte, l’intégrité du runtime et la non-interférence entre workloads. Nous développons deux algorithmes principaux : (i) un mécanisme d’inférence incrémentale de profils de comportement légitime de complexité O(n log n), et (ii) un module de confinement adaptatif avec analyse de risque basée sur une pondération bayésienne. Nous avons implémenté un prototype intégré à Kubernetes en utilisant eBPF, Falco et des admission controllers personnalisés. Nous avons évalué la solution dans un cluster de 120 nœuds et 3 500 pods, en utilisant des workloads réels et l’injection contrôlée d’attaques mappées aux techniques T1610, T1611 et T1525 de MITRE ATT&CK. Les résultats montrent un taux de détection de 96,4 % avec un faux positif moyen de 2,1 %, une surcharge inférieure à 4,8 % de CPU et une latence supplémentaire moyenne de 3,7 ms par événement surveillé. Nous concluons que l’approche proposée élève significativement le niveau de sécurité opérationnelle dans des environnements cloud natifs, tout en conservant une viabilité pratique et une bonne scalabilité.

2007-10-09Read paper →Cloud

ARCHITECTURE CRYPTOGRAPHIQUEMENT VÉRIFIABLE POUR LA DÉTECTION ET LA MITIGATION DE LA MOUVEMENT LATÉRAL DANS DES ENVIRONNEMENTS MULTI-CLOUD BASÉE SUR UNE TÉLÉMÉTRIE ENRICHIE ET UNE MODÉLISATION FORMELLE DE LA CONFIANCE ZÉRO

ARCHITECTURE CRYPTOGRAPHIQUEMENT VÉRIFIABLE POUR LA DÉTECTION ET LA MITIGATION DE LA MOUVEMENT LATÉRAL DANS DES ENVIRONNEMENTS MULTI-CLOUD BASÉE SUR UNE TÉLÉMÉTRIE ENRICHIE ET UNE MODÉLISATION FORMELLE DE LA CONFIANCE ZÉRO ABSTRACT: L’adoption massive des environnements multi-cloud et hybrides a considérablement élargi la surface d’attaque organisationnelle, en introduisant des vecteurs complexes de mouvement latéral, d’abus d’identités et d’exploitation de configurations incorrectes. Des incidents récents impliquant la compromission d’identifiants privilégiés, l’exploitation d’API de gestion et l’usage abusif de services d’identité fédérée mettent en évidence les limites structurelles des approches traditionnelles de surveillance et de contrôle. Dans ce travail, nous proposons une architecture cryptographiquement vérifiable pour la détection et la mitigation du mouvement latéral dans des environnements multi-cloud, fondée sur une télémétrie enrichie, une modélisation formelle de la confiance zéro et une vérification continue de l’intégrité des politiques. Notre méthodologie combine (i) l’agrégation normalisée de journaux multi-fournisseurs (AWS, Azure, GCP), (ii) la construction de graphes dynamiques identité-ressource, (iii) la détection d’anomalies basée sur un apprentissage statistique robuste et (iv) un mécanisme d’attestation cryptographique des politiques utilisant des preuves d’intégrité incrémentale. Nous évaluons la solution dans un environnement expérimental comprenant 1 200 machines virtuelles, 4 clusters Kubernetes et 3 fournisseurs de cloud, en utilisant des traces synthétiques et des données réelles issues de benchmarks publics. Les résultats indiquent une réduction de 37,4 % du temps moyen de détection (MTTD) et de 42,1 % du temps moyen de réponse (MTTR) par rapport aux SIEM traditionnels, tout en maintenant un taux de faux positifs inférieur à 3,2 % (écart type 0,6). Nous démontrons en outre que la complexité asymptotique du mécanisme de corrélation d’événements est $O(|E| \log |V|)$, permettant une scalabilité pour des environnements générant plus de $10^7$ événements quotidiens. La proposition établit une base formelle pour une surveillance vérifiable dans le cloud et contribue à l’avancement d’architectures sécurisées orientées identité.

2007-10-03Read paper →Cloud

TITRE: Une architecture formellement vérifiable pour la détection et l’atténuation de configurations non sécurisées dans des environnements multi-cloud basée sur l’analyse sémantique et la corrélation temporelle

TITRE: Une architecture formellement vérifiable pour la détection et l’atténuation de configurations non sécurisées dans des environnements multi-cloud basée sur l’analyse sémantique et la corrélation temporelle RÉSUMÉ: L’adoption massive d’infrastructures multi-cloud a transformé le modèle opérationnel des systèmes distribués, mais a également considérablement élargi la surface d’attaque et la complexité de la gouvernance de la sécurité. Des incidents récents montrent que les configurations incorrectes, les identifiants exposés et les politiques d’accès excessivement permissives constituent les vecteurs prédominants de compromission dans les environnements cloud. Dans ce travail, nous proposons une architecture formellement vérifiable pour la détection et l’atténuation automatique de configurations non sécurisées dans des environnements multi-cloud, en combinant l’analyse sémantique des politiques, la modélisation mathématique des états de configuration et la corrélation temporelle des événements d’audit. Notre méthodologie intègre un modèle formel fondé sur des graphes dirigés étiquetés pour représenter les dépendances entre ressources, un mécanisme de vérification de propriétés de sécurité par model checking et un algorithme de priorisation des risques fondé sur la centralité structurelle et la probabilité d’exploitation. Nous avons implémenté un prototype fonctionnel compatible avec AWS, Microsoft Azure et Google Cloud Platform, en utilisant les API natives d’audit et les journaux (CloudTrail, Azure Activity Logs et Cloud Audit Logs). Nous avons évalué le système dans un environnement expérimental comprenant 3 200 ressources et 1,8 million d’événements de journal, en le comparant à des outils commerciaux de Cloud Security Posture Management (CSPM). Les résultats indiquent une réduction de 37,4 % des faux positifs, une détection 29,6 % plus rapide des écarts critiques et une amélioration de 42,1 % dans la priorisation des risques à fort impact, avec un surcoût informatique moyen inférieur à 8,3 %. Nous démontrons que l’intégration de la formalisation mathématique et de la corrélation temporelle augmente significativement la précision analytique et la capacité d’atténuation automatisée. Ce travail contribue à la consolidation de pratiques systématiques et vérifiables de sécurité dans des environnements cloud à grande échelle.

2007-09-26Read paper →