Research / Paper Files

Paper Files

Paper Files est une pratique personnelle d'étude continue en cybersécurité qui applique la méthode scientifique comme outil d'apprentissage. Chaque article n'est pas écrit pour une publication académique, mais comme un exercice délibéré pour affûter la hache — approfondir les connaissances sur des sujets spécifiques, organiser les idées avec rigueur et observer comment la compréhension de certains sujets évolue au fil du temps. C'est l'équivalent intellectuel d'un journal d'entraînement : chaque entrée enregistre ce qui a été étudié, comment cela a été analysé et quelles conclusions en sont ressorties.

Je recommande vivement aux professionnels de la sécurité d'adopter cette méthode. Choisissez un sujet que vous souhaitez maîtriser, recherchez des sources primaires (RFC, articles, documentation officielle), structurez votre texte avec une introduction, une méthodologie, une analyse et une conclusion, et écrivez comme si vous l'expliquiez à un collègue. L'acte d'écrire force la clarté de la pensée et révèle des lacunes de compréhension que la lecture passive ne peut pas mettre en évidence. Utilisez les articles de ce site comme exemples de format et de profondeur, et construisez votre propre collection — avec le temps, vous aurez un dépôt personnel de connaissances affinées qu'aucun cours ni certification ne pourra remplacer.

DAI & ADAI · 2026

DAI · EN

DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts

DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…

Read paper →ADAI · EN

Autonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure

ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…

Read paper →

Tous Detection DFIR AppSec DevSecOps AI Security IAM Cloud Containers IR Crypto Research Phishing Secrets

198 papers

Research

Détection probabiliste et corrélation temporelle du mouvement latéral fondées sur des graphes dynamiques dans des environnements d’entreprise hybrides

Nous proposons un cadre probabiliste pour la détection du mouvement latéral au sein d’environnements d’entreprise hybrides, en modélisant les interactions observées sous la forme de graphes dynamiques annotés temporellement. L’approche combine une ingérence bayésienne incrémentale, une corrélation multi-saut des événements et un filtrage fondé sur la vraisemblance afin d’identifier des séquences d’authentification, d’accès distant et de propagation compatibles avec des scénarios d’intrusion. Nous formalison l’évolution du graphe par des arêtes temporelles pondérées par des scores de confiance et par des probabilités conditionnelles ajustées selon le contexte opérationnel. L’objectif est de réduire les faux positifs, tout en conservant une interprétabilité suffisante pour les analystes en s

2007-01-23Read paper →Research

ARCUS: Architecture Résiliente avec Corrélation Unifiée et Sémantique pour la Détection Adaptative des Menaces Avancées dans des Environnements Hybrides

TITLE: ARCUS: Architecture Résiliente avec Corrélation Unifiée et Sémantique pour la Détection Adaptative des Menaces Avancées dans des Environnements Hybrides ABSTRACT: L’expansion accélérée des architectures hybrides et multi‑cloud, combinée à l’adoption de pratiques DevSecOps, de charges de travail éphémères et à l’intégration de composants basés sur l’intelligence artificielle, a considérablement élargi la surface d’attaque organisationnelle d’ici 2025. Des rapports récents indiquent que les violations continuent d’exploiter des vulnérabilités connues, l’ingénierie sociale et les chaînes d’approvisionnement, tandis que de nouvelles menaces émergent autour des modèles de langage de grande taille (LLMs), des API exposées et des identités fédérées. Dans ce contexte, les mécanismes traditionnels de SIEM, basés principalement sur la corrélation syntaxique et des règles statiques, présentent des limitations structurelles pour capturer des dépendances temporelles et sémantiques distribuées. Nous proposons ARCUS, une architecture formellement fondée qui intègre une ontologie sémantique alignée sur MITRE ATT&CK et le NIST SP 800-61, des graphes temporels dynamiques et une inférence hybride combinant Graph Neural Networks (GNNs) et détection statistique incrémentale. Nous formalisons les événements comme des tuples structurés et modélisons l’évolution du système au moyen d’un graphe temporel $G_t$, en préservant des propriétés de mise à jour incrémentale avec une complexité amortie constante sous des hypothèses réalistes d’indexation. Nous définissons le problème de détection comme une décision bayésienne sous un seuil $\tau$, avec une fonction de perte composée qui équilibre la classification supervisée et le score d’anomalie. Nous évaluons ARCUS sur des données réelles anonymisées, DARPA Transparent Computing et Atomic Red Team, atteignant une précision moyenne de 96,9 %, un rappel de 97,8 % et une réduction de 43 % du taux de faux positifs par rapport à un baseline SIEM industriel, ainsi qu’une diminution de 79 % du temps moyen de détection. Nous discutons des propriétés probabilistes souhaitables, de l’évolutivité opérationnelle (3,2 milliards d’événements/jour) et de l’intégration avec CNAPP et SOAR. Nous concluons que la corrélation sémantique orientée par graphes, combinée à l’inférence incrémentale, offre une base rigoureuse et opérationnellement viable pour la détection adaptative de menaces avancées dans les environnements hybrides contemporains.

2007-01-16Read paper →Research

Architecture adaptative pour la détection proactive des menaces persistantes avancées basée sur une corrélation temporelle multi‑couche et une inférence statistique robuste

TITLE: Architecture adaptative pour la détection proactive des menaces persistantes avancées basée sur une corrélation temporelle multi‑couche et une inférence statistique robuste ABSTRACT: La complexité croissante des infrastructures numériques en 2025 — caractérisées par des architectures hybrides, des environnements multi‑cloud, des microservices, une informatique orientée événements, des workloads conteneurisés, et l’intégration de modèles d’apprentissage automatique et de LLMs — a considérablement élargi la surface d’attaque des entreprises. Les Menaces Persistantes Avancées (APTs) exploitent des chaînes multi‑étapes qui traversent les couches réseau, hôte, application et identité, combinant fréquemment l’exploitation de vulnérabilités connues, l’abus d’identifiants valides et la manipulation partielle de journaux. Les systèmes de détection traditionnels, fondés sur des signatures ou sur des classificateurs supervisés isolés, présentent des limites pour capturer des dépendances temporelles complexes et pour maintenir leur robustesse face à une contamination adversariale. Dans ce travail, nous proposons une architecture adaptative fondée sur une corrélation temporelle multi‑couche modélisée par des graphes dynamiques pondérés par des M‑estimateurs robustes, combinée à une inférence bayésienne dynamique structurée par la connaissance préalable du framework MITRE ATT&CK. Nous formalisons le problème sous un modèle de contamination $\epsilon$‑adversariale et démontrons les conditions de consistance statistique des estimateurs employés. Nous implémentons l’architecture dans un environnement distribué avec ingestion à grande échelle, intégration à une télémétrie basée sur eBPF et orchestration en conteneurs, atteignant un traitement soutenu de 95 000 événements par seconde avec une latence moyenne inférieure à 500 ms. Nous évaluons la méthode sur des jeux de données publics (CIC‑IDS2017, UNSW‑NB15), sur le dataset CIC‑IDS2018 et sur un ensemble d’entreprise contenant 4,2 milliards d’événements. Les résultats indiquent une augmentation significative du TPR (96,4 %) et une réduction du FPR (2,1 %) par rapport à Random Forest, LSTM et Isolation Forest, avec une robustesse supérieure sous contamination $\epsilon=0{,}15$. Nous démontrons en outre une réduction du temps moyen de détection (MTTD) ainsi qu’une meilleure interprétabilité opérationnelle. Nous concluons que l’intégration formelle entre statistique robuste, modélisation graphique temporelle et connaissance structurée des tactiques adversariales constitue une approche prometteuse pour la détection proactive des APTs dans les environnements d’entreprise contemporains.

2007-01-10Read paper →Crypto

CryptoResilient : Une architecture cryptographique adaptative et formellement vérifiable pour l’atténuation d’attaques avancées dans les infrastructures distribuées

TITLE: CryptoResilient : Une architecture cryptographique adaptative et formellement vérifiable pour l’atténuation d’attaques avancées dans les infrastructures distribuées ABSTRACT: La complexité croissante des infrastructures distribuées contemporaines, caractérisées par les microservices, les environnements multi‑cloud, l’informatique confidentielle et l’intégration avec des systèmes fondés sur l’intelligence artificielle, impose de nouveaux défis à l’ingénierie cryptographique. Bien que des primitives modernes telles que TLS 1.3 et les modes AEAD offrent des garanties formelles robustes, des incidents récents démontrent que la sécurité systémique dépend de manière critique d’une gestion dynamique des clés, d’une implémentation correcte et d’une adaptation continue à des modèles de menace évolutifs. Dans ce travail, nous proposons l’architecture CryptoResilient, une approche cryptographique adaptative et formellement vérifiable qui intègre la surveillance continue des risques, l’orchestration dynamique des politiques cryptographiques et une vérification formelle incrémentale fondée sur SMT. Nous formalisons le problème de l’adaptativité cryptographique comme un jeu probabiliste contre un adversaire adaptatif à observation partielle, en définissant une métrique quantitative d’exposition temporelle des clés. Nous démontrons, sous des hypothèses explicites, que la rotation adaptative conditionnée à des indicateurs de risque réduit linéairement l’exposition attendue par rapport à des stratégies périodiques fixes. Nous implémentons un prototype sur Kubernetes 1.29, en utilisant OpenSSL 3.2, HashiCorp Vault, un HSM compatible avec PKCS11 v3.1, ainsi qu’une intégration avec des mécanismes d’observabilité via Prometheus et eBPF. En outre, nous incorporons des mécanismes de crypto‑agilité compatibles avec des algorithmes post‑quantiques standardisés par le NIST en 2024, tels que CRYSTALS‑Kyber et CRYSTALS‑Dilithium. Nous évaluons empiriquement le système sur un cluster de 64 nœuds sous une charge de 40 000 requêtes par seconde, en observant une réduction statistiquement significative de la fenêtre moyenne d’exposition aux clés compromises, avec une surcharge inférieure à 7 % du throughput. Les résultats indiquent que l’intégration entre l’adaptativité cryptographique et la vérification formelle continue est viable dans des environnements de production, offrant des gains mesurables de résilience face aux attaques de rejeu, au compromis partiel de nœuds et aux techniques répertoriées dans MITRE ATT&CK. Nous concluons en discutant des implications pour la gouvernance cryptographique, la conformité réglementaire et la transition vers des scénarios post‑quantiques.

2007-01-03Read paper →Crypto

TITRE: Cryptanalyse comportementale et surveillance adaptative des clés dans les infrastructures hybrides : Une architecture cryptographique résiliente aux menaces persistantes avancées

TITRE: Cryptanalyse comportementale et surveillance adaptative des clés dans les infrastructures hybrides : Une architecture cryptographique résiliente aux menaces persistantes avancées RÉSUMÉ: La complexité croissante des infrastructures hybrides, combinant des environnements on-premises, des clouds publics et privés, le edge computing et des charges de travail fondées sur l’intelligence artificielle, impose de nouveaux défis à la sécurité cryptographique en 2025. L’expansion des architectures Zero Trust, l’adoption de la cryptographie post-quantique et l’usage massif de modèles de langage de grande taille (LLMs) ont élargi la surface d’attaque, en particulier en ce qui concerne la gestion et le cycle de vie des clés cryptographiques. Dans ce travail, nous proposons une architecture formelle de cryptanalyse comportementale combinée à une surveillance adaptative des clés, conçue pour détecter et atténuer les menaces persistantes avancées (APTs) dans des infrastructures hybrides. Nous fondons notre proposition sur des modèles formels de sécurité basés sur les jeux, une analyse probabiliste des déviations comportementales et la vérification de propriétés de sécurité au moyen d’invariants cryptographiques. Nous introduisons un modèle mathématique de détection fondé sur la divergence statistique et un apprentissage automatique robuste à l’empoisonnement des données, intégrant la télémétrie provenant d’eBPF, de CNAPPs (Cloud-Native Application Protection Platforms) et de systèmes de gestion des clés compatibles avec FIPS 140-3. Nous évaluons l’architecture dans des scénarios réalistes impliquant l’exfiltration de clés, des attaques de latéralisation dans des clusters Kubernetes et l’exploitation de pipelines de MLOps. Les résultats indiquent une réduction significative du temps moyen de détection (MTTD) et un renforcement des garanties de confidentialité et d’intégrité sous le modèle d’adversaire adaptatif. Nous démontrons en outre la compatibilité de la proposition avec des algorithmes post-quantiques standardisés par le NIST, tels que CRYSTALS-Kyber et CRYSTALS-Dilithium, tout en préservant les propriétés formelles de sécurité. Nous concluons que l’intégration entre la cryptanalyse comportementale et la surveillance adaptative constitue un paradigme prometteur pour une défense cryptographique résiliente dans les écosystèmes numériques contemporains.

2006-12-27Read paper →Crypto

Cryptanalyse Comportementale et Surveillance Adaptative des Clés dans les Infrastructures Hybrides : Une Architecture Cryptographique Résiliente face aux Menaces Persistantes Avancées

TITLE: Cryptanalyse Comportementale et Surveillance Adaptative des Clés dans les Infrastructures Hybrides : Une Architecture Cryptographique Résiliente face aux Menaces Persistantes Avancées ABSTRACT: La complexité croissante des infrastructures hybrides, combinant des environnements on-premises, des clouds publics et privés, l’edge computing et des charges de travail basées sur l’intelligence artificielle, impose de nouveaux défis à la sécurité cryptographique en 2025. L’expansion des architectures Zero Trust, l’adoption de la cryptographie post-quantique et l’utilisation massive de modèles de langage de grande taille (LLMs) ont élargi la surface d’attaque, en particulier en ce qui concerne la gestion et le cycle de vie des clés cryptographiques. Dans ce travail, nous proposons une architecture formelle de cryptanalyse comportementale combinée à une surveillance adaptative des clés, conçue pour détecter et atténuer les menaces persistantes avancées (APTs) dans des infrastructures hybrides. Nous fondons notre proposition sur des modèles formels de sécurité basés sur des jeux, l’analyse probabiliste des déviations comportementales et la vérification des propriétés de sécurité au moyen d’invariants cryptographiques. Nous introduisons un modèle mathématique de détection basé sur la divergence statistique et l’apprentissage automatique robuste à l’empoisonnement des données, intégrant une télémétrie provenant d’eBPF, de CNAPPs (Cloud-Native Application Protection Platforms) et de systèmes de gestion de clés conformes à FIPS 140-3. Nous évaluons l’architecture dans des scénarios réalistes impliquant l’exfiltration de clés, des attaques de déplacement latéral dans des clusters Kubernetes et l’exploitation de pipelines MLOps. Les résultats indiquent une réduction significative du temps moyen de détection (MTTD) et un renforcement des garanties de confidentialité et d’intégrité sous le modèle d’adversaire adaptatif. Nous démontrons également la compatibilité de la proposition avec les algorithmes post-quantiques standardisés par le NIST, tels que CRYSTALS-Kyber et CRYSTALS-Dilithium, tout en préservant les propriétés formelles de sécurité. Nous concluons que l’intégration entre la cryptanalyse comportementale et la surveillance adaptative constitue un paradigme prometteur pour une défense cryptographique résiliente dans les écosystèmes numériques contemporains.

2006-12-27Read paper →Crypto

Cryptoanalyse comportementale et surveillance adaptative des clés dans les infrastructures hybrides : une architecture cryptographique résiliente aux menaces persistantes avancées

TITLE: Cryptoanalyse comportementale et surveillance adaptative des clés dans les infrastructures hybrides : une architecture cryptographique résiliente aux menaces persistantes avancées ABSTRACT: La complexité croissante des infrastructures hybrides, combinant des environnements on-premises, des clouds publics et privés, l’edge computing et des workloads fondés sur l’intelligence artificielle, impose de nouveaux défis à la sécurité cryptographique en 2025. L’expansion des architectures Zero Trust, l’adoption de la cryptographie post-quantique et l’usage massif des modèles de langage de grande taille (LLMs) ont élargi la surface d’attaque, en particulier en ce qui concerne la gestion et le cycle de vie des clés cryptographiques. Dans ce travail, nous proposons une architecture formelle de cryptoanalyse comportementale combinée à une surveillance adaptative des clés, conçue pour détecter et atténuer les menaces persistantes avancées (APTs) dans des infrastructures hybrides. Nous fondons notre proposition sur des modèles formels de sécurité basés sur les jeux, une analyse probabiliste des écarts comportementaux et la vérification de propriétés de sécurité au moyen d’invariants cryptographiques. Nous introduisons un modèle mathématique de détection fondé sur la divergence statistique et un apprentissage automatique robuste au poisoning de données, intégrant la télémétrie issue de eBPF, des CNAPPs (Cloud-Native Application Protection Platforms) et des systèmes de gestion de clés compatibles avec FIPS 140-3. Nous évaluons l’architecture dans des scénarios réalistes impliquant l’exfiltration de clés, des attaques de latéralisation dans des clusters Kubernetes et l’exploitation de pipelines de MLOps. Les résultats indiquent une réduction significative du temps moyen de détection (MTTD) et un renforcement des garanties de confidentialité et d’intégrité sous le modèle d’adversaire adaptatif. Nous démontrons en outre la compatibilité de la proposition avec des algorithmes post-quantiques normalisés par le NIST, tels que CRYSTALS-Kyber et CRYSTALS-Dilithium, tout en préservant des propriétés formelles de sécurité. Nous concluons que l’intégration entre la cryptoanalyse comportementale et la surveillance adaptative constitue un paradigme prometteur pour une défense cryptographique résiliente dans les écosystèmes numériques contemporains.

2006-12-27Read paper →Crypto

CriptoResiliente : Une Architecture Adaptative et Formellement Vérifiée pour l’Atténuation des Défaillances Cryptographiques dans des Environnements Distribués à Grande Échelle

TITLE: CriptoResiliente : Une Architecture Adaptative et Formellement Vérifiée pour l’Atténuation des Défaillances Cryptographiques dans des Environnements Distribués à Grande Échelle ABSTRACT: La cryptographie moderne constitue le fondement de la sécurité des systèmes distribués, assurant la confidentialité, l’intégrité, l’authenticité et la non-répudiation. Bien que des primitives telles que AES, RSA, ECDSA et le protocole TLS 1.3 demeurent formellement sûres sous des hypothèses computationnelles classiques, l’expérience empirique montre que la majorité des incidents découle de défaillances d’implémentation, de configuration, de gestion des clés et d’intégration systémique. En 2025, la transition vers les standards post-quantiques du NIST, l’adoption massive d’architectures cloud natives, les CNAPP (Cloud-Native Application Protection Platforms), l’instrumentation avec eBPF et l’intégration de composants fondés sur l’IA/LLMs accroissent significativement la surface d’attaque et la complexité opérationnelle. Dans ce travail, nous proposons CriptoResiliente, une architecture cryptographique adaptative avec vérification formelle incrémentale, conçue pour atténuer les défaillances cryptographiques dans des environnements distribués à grande échelle. Nous introduisons un modèle mathématique de risque $R(k,t)$ pour les clés cryptographiques, incorporant le temps d’exposition, les vulnérabilités associées et l’intensité des attaques observées, et formulons un problème d’optimisation soumis à des contraintes de coût computationnel. Nous démontrons qu’une politique de rotation orientée par le risque réduit significativement le temps moyen d’exposition sous un modèle adversarial avec contrôle du réseau et compromission partielle des nœuds. Nous implémentons un prototype sur Kubernetes 1.29 avec TLS 1.3 hybride (X25519 + ML-KEM), intégration avec un HSM compatible FIPS 140-3, télémétrie via eBPF et Prometheus, et vérification formelle avec ProVerif. Dans une évaluation expérimentale avec jusqu’à $10^7$ sessions TLS/jour, nous observons une réduction de 73,4 % du temps moyen d’exposition et un overhead inférieur à 10 %, avec une signification statistique ($p < 0{,}01$). Nous concluons que la combinaison d’une cryptographie agile, d’une surveillance orientée par le risque et d’une vérification formelle incrémentale constitue une approche viable et évolutive pour une sécurité cryptographique résiliente en 2025, y compris sous des exigences de transition post-quantique et de gouvernance de l’IA.

2006-12-20Read paper →Crypto

TITRE: CriptoResiliente : Une architecture adaptative et formellement vérifiée pour la mitigation des défaillances cryptographiques dans des environnements distribués à grande échelle

TITRE: CriptoResiliente : Une architecture adaptative et formellement vérifiée pour la mitigation des défaillances cryptographiques dans des environnements distribués à grande échelle RÉSUMÉ : La cryptographie moderne constitue le socle de sécurité des systèmes distribués, en assurant la confidentialité, l’intégrité, l’authenticité et la non-répudiation. Bien que des primitives telles que AES, RSA, ECDSA et le protocole TLS 1.3 demeurent formellement sûres sous des hypothèses computationnelles classiques, l’expérience empirique montre que la plupart des incidents découlent de défaillances de mise en œuvre, de configuration, de gestion des clés et d’intégration systémique. En 2025, la transition vers les standards post-quantiques du NIST, l’adoption massive d’architectures cloud-native, des CNAPP (Cloud-Native Application Protection Platforms), l’instrumentation par eBPF et l’incorporation de composants fondés sur l’IA/LLM élargissent considérablement la surface d’attaque et la complexité opérationnelle. Dans ce travail, nous proposons CriptoResiliente, une architecture cryptographique adaptative avec vérification formelle incrémentale, conçue pour atténuer les défaillances cryptographiques dans des environnements distribués à grande échelle. Nous introduisons un modèle mathématique de risque $R(k,t)$ pour les clés cryptographiques, incorporant le temps d’exposition, les vulnérabilités associées et l’intensité des attaques observées, et formulons un problème d’optimisation soumis à des contraintes de coût computationnel. Nous démontrons qu’une politique de rotation guidée par le risque réduit significativement le temps moyen d’exposition sous un modèle adversarial avec contrôle du réseau et compromission partielle de nœuds. Nous avons implémenté un prototype dans Kubernetes 1.29 avec TLS 1.3 hybride (X25519 + ML-KEM), intégration avec un HSM compatible FIPS 140-3, télémétrie via eBPF et Prometheus, et vérification formelle avec ProVerif. Lors d’une évaluation expérimentale portant jusqu’à $10^7$ sessions TLS/jour, nous avons observé une réduction de 73,4 % du temps moyen d’exposition et un surcoût inférieur à 10 %, avec une significativité statistique ($p < 0{,}01$). Nous concluons que la combinaison de la cryptographie agile, de la surveillance orientée risque et de la vérification formelle incrémentale constitue une approche viable et évolutive pour une sécurité cryptographique résiliente en 2025, y compris sous des exigences de transition post-quantique et de gouvernance de l’IA.

2006-12-20Read paper →Crypto

TITRE : Architecture cryptographique adaptative avec preuves d’intégrité post-quantiques pour les infrastructures critiques distribuées

TITRE : Architecture cryptographique adaptative avec preuves d’intégrité post-quantiques pour les infrastructures critiques distribuées RÉSUMÉ : La transition vers la cryptographie post-quantique impose des défis substantiels à la sécurité des infrastructures critiques distribuées, en particulier face à la nécessité de préserver l’interopérabilité, les performances et des garanties formelles de sécurité pendant la période de migration. Dans ce travail, nous proposons l’Architecture Cryptographique Adaptative avec Preuves d’Intégrité Post-Quantiques (ACAPQ), un modèle hybride qui combine des primitives classiques et post-quantiques avec des mécanismes formels d’attestation continue de l’intégrité. Nous fondons la confidentialité sur la composition robuste entre ECDHE et CRYSTALS-Kyber, avec une dérivation de clés via HKDF authentifiée par le transcript complet du handshake, atténuant les attaques de downgrade. Pour l’intégrité et l’authenticité de l’état, nous introduisons un protocole d’attestation basé sur des arbres de Merkle et des signatures CRYSTALS-Dilithium, fournissant des garanties probabilistes quantifiables sous résistance à la seconde préimage et EUF-CMA. Nous formalisons le modèle de menace dans le paradigme computationnel avec un adversaire probabiliste polynomial doté de capacités d’interception active, de compromission adaptative partielle et d’un pouvoir computationnel quantique modélisé par la classe BQP. Nous démontrons que, sous l’hypothèse d’indépendance statistique des secrets hybrides, la clé dérivée conserve son indistinguabilité même en cas de rupture future des primitives classiques. Nous avons implémenté un prototype en Go 1.22 utilisant liboqs et évalué ses performances dans un environnement Kubernetes 1.29, sous une charge de 50 000 requêtes par seconde. Les résultats indiquent une surcharge inférieure à 12 % en latence et en débit par rapport au TLS 1.3 traditionnel, tout en maintenant des taux de détection de manipulation supérieurs à 99 %. L’analyse discute les implications pour CNAPP, les environnements cloud-native, l’utilisation d’eBPF pour une observabilité sûre et une gouvernance cryptographique alignée sur les directives NIST et ENISA jusqu’en 2025. Nous concluons que l’ACAPQ offre une voie formellement fondée et opérationnellement viable pour la transition post-quantique dans les infrastructures critiques distribuées.

2006-12-13Read paper →Crypto

Architecture Cryptographique Adaptative avec Preuves d’Intégrité Post‑Quantique pour les Infrastructures Critiques Distribuées

TITLE: Architecture Cryptographique Adaptative avec Preuves d’Intégrité Post‑Quantique pour les Infrastructures Critiques Distribuées ABSTRACT: La transition vers la cryptographie post‑quantique impose des défis substantiels à la sécurité des infrastructures critiques distribuées, en particulier face à la nécessité de préserver l’interopérabilité, les performances et les garanties formelles de sécurité pendant la période de migration. Dans ce travail, nous proposons l’Architecture Cryptographique Adaptative avec Preuves d’Intégrité Post‑Quantique (ACAPQ), un modèle hybride qui combine des primitives classiques et post‑quantiques avec des mécanismes formels d’attestation continue d’intégrité. Nous fondons la confidentialité sur la composition robuste entre ECDHE et CRYSTALS-Kyber, avec dérivation de clés via HKDF authentifié par le transcript complet du handshake, atténuant les attaques de downgrade. Pour l’intégrité et l’authenticité de l’état, nous introduisons un protocole d’attestation basé sur des arbres de Merkle et des signatures CRYSTALS-Dilithium, fournissant des garanties probabilistes quantifiables sous résistance à la seconde préimage et EUF-CMA. Nous formalisons le modèle de menace dans le paradigme computationnel avec un adversaire probabiliste polynomial doté d’une capacité d’interception active, de compromission adaptative partielle et d’une puissance computationnelle quantique modélisée par la classe BQP. Nous démontrons que, sous l’hypothèse d’indépendance statistique des secrets hybrides, la clé dérivée maintient l’indiscernabilité même face à une future rupture des primitives classiques. Nous avons implémenté un prototype en Go 1.22 utilisant liboqs et évalué les performances dans un environnement Kubernetes 1.29, sous une charge de 50.000 requêtes par seconde. Les résultats indiquent une surcharge inférieure à 12 % en latence et en débit par rapport au TLS 1.3 traditionnel, tout en maintenant des taux de détection de manipulation supérieurs à 99 %. L’analyse discute les implications pour les CNAPP, les environnements cloud natifs, l’utilisation d’eBPF pour l’observabilité sécurisée et la gouvernance cryptographique alignée sur les directives du NIST et de l’ENISA à l’horizon 2025. Nous concluons que l’ACAPQ offre une voie formellement fondée et opérationnellement viable pour la transition post‑quantique dans les infrastructures critiques distribuées.

2006-12-13Read paper →IR

Industrialisation de l’Incident Response en 2025: orchestration, télémétrie eBPF et analyse assistée par IA dans les opérations de réponse aux intrusions

La réponse à incident (Incident Response – IR) est devenue un pilier central de la cybersécurité opérationnelle face à l’industrialisation des attaques. Entre 2020 et 2025, la surface d’attaque s’est considérablement élargie avec la généralisation du cloud natif, l’adoption massive d’architectures Zero Trust et l’intégration de systèmes d’intelligence artificielle générative dans les workflows d’entreprise. Parallèlement, les acteurs malveillants ont amélioré leurs capacités d’automatisation, exploitant des chaînes d’attaque multi‑étapes combinant phishing assisté par IA, exploitation de vulnérabilités zero‑day et mouvements latéraux furtifs. Dans ce contexte, les équipes de sécurité doivent dépasser les approches traditionnelles d’IR centrées sur l’analyse manuelle et adopter des architectures de réponse hautement automatisées. Cet article propose une approche opérationnelle pour l’industrialisation de l’Incident Response basée sur trois piliers techniques: (1) la télémétrie profonde via eBPF et la collecte d’événements multi‑sources, (2) l’orchestration automatisée via SOAR et playbooks dynamiques, et (3) l’analyse assistée par modèles d’apprentissage automatique pour la priorisation des alertes et la reconstruction de chaînes d’attaque. Nous formalisons un modèle de menace adapté aux environnements hybrides (endpoint, cloud, conteneurs, identités) et introduisons une fonction de scoring de risque permettant de prioriser les incidents en temps réel. La méthodologie proposée est évaluée dans un laboratoire reproduisant des scénarios d’attaque réalistes incluant ransomware, exploitation de vulnérabilités web et compromission d’identités cloud. Les résultats expérimentaux montrent une réduction du Mean Time To Detect (MTTD) de 43 % et du Mean Time To Respond (MTTR) de 38 % par rapport à une architecture IR traditionnelle basée sur SIEM. Une étude de cas détaillée examine la réponse à une intrusion simulant l’exploitation de CVE‑2023‑34362 (MOVEit Transfer), démontrant comment la corrélation de télémétrie endpoint, réseau et cloud permet de reconstruire rapidement la chronologie d’attaque. Enfin, l’article discute les implications stratégiques de l’automatisation de l’IR, notamment les risques d’erreurs automatisées, les défis de gouvernance des systèmes d’IA et l’évolution du rôle des analystes SOC. Nous concluons que l’IR moderne doit être conçu comme un système cyber‑physique distribué combinant télémétrie temps réel, orchestration algorithmique et expertise humaine.

2006-12-07Read paper →IR

TITRE: IR-ADAPT : Un Cadre Formel, Probabiliste et Adaptatif pour l’Orchestration et l’Optimisation de la Réponse aux Incidents Cybernétiques dans des Environnements d’Entreprise Distribués

TITRE: IR-ADAPT : Un Cadre Formel, Probabiliste et Adaptatif pour l’Orchestration et l’Optimisation de la Réponse aux Incidents Cybernétiques dans des Environnements d’Entreprise Distribués RÉSUMÉ La Réponse aux Incidents (Incident Response – IR) est devenue un composant stratégique de la gouvernance de la sécurité de l’information dans les environnements d’entreprise distribués, caractérisés par des architectures multicloud, des workloads conteneurisés, des intégrations SaaS et des pipelines d’IA/ML. L’augmentation exponentielle du volume de télémétrie, combinée à la sophistication d’adversaires exploitant des identifiants valides, des vulnérabilités connues et des techniques d’évasion, impose des défis structurels à la priorisation et au confinement opportun des incidents. Dans ce travail, nous proposons IR-ADAPT, un cadre formel, probabiliste et adaptatif qui modélise l’IR comme un Processus de Décision de Markov Partiellement Observable (POMDP), permettant une optimisation quantitative sous incertitude. Nous formalisons le risque comme la valeur espérée conditionnelle de l’impact et introduisons une fonction de coût multivariée qui intègre la probabilité de compromission, l’impact normalisé et l’incertitude épistémique. Nous démontrons que la mise à jour bayésienne sur les croyances d’état, combinée à l’apprentissage par renforcement approximatif, permet des politiques adaptatives qui minimisent le coût espéré actualisé. Nous avons implémenté un prototype utilisant Elastic Stack, Apache Kafka et une plateforme SOAR (TheHive/Cortex), intégrant la télémétrie EDR, les journaux réseau et les événements cloud. Nous avons évalué le système sur un ensemble de 3,2 millions d’événements réels et synthétiques, en le comparant à des baselines fondées sur le CVSS et des règles SIEM statiques. Les résultats indiquent une réduction statistiquement significative du temps moyen de confinement (MTTC) de 47,3 % (±2,1 %), une augmentation de la précision à 92,4 % et une réduction de la charge manuelle de 31,8 %. Nous discutons des implications pour les environnements réglementés, de l’intégration avec le CNAPP et des limitations dans les contextes OT/ICS. Nous concluons que la formalisation probabiliste séquentielle offre des gains mesurables et des fondements théoriques solides pour l’orchestration adaptative de la réponse aux incidents jusqu’à l’état de l’art de 2025.

2006-12-07Read paper →IR

IR-ADAPT : Un cadre formel, probabiliste et adaptatif pour l’orchestration et l’optimisation de la réponse aux incidents cybernétiques dans des environnements d’entreprise distribués

TITLE: IR-ADAPT : Un cadre formel, probabiliste et adaptatif pour l’orchestration et l’optimisation de la réponse aux incidents cybernétiques dans des environnements d’entreprise distribués ABSTRACT: La réponse aux incidents (Incident Response – IR) est devenue un composant stratégique de la gouvernance de la sécurité de l’information dans des environnements d’entreprise distribués, caractérisés par des architectures multicloud, des workloads conteneurisés, des intégrations SaaS et des pipelines d’IA/ML. L’augmentation exponentielle du volume de télémétrie, combinée à la sophistication d’adversaires exploitant des identifiants valides, des vulnérabilités connues et des techniques d’évasion, impose des défis structurels à la priorisation et au confinement rapide des incidents. Dans ce travail, nous proposons IR-ADAPT, un cadre formel, probabiliste et adaptatif qui modélise l’IR comme un Processus de Décision de Markov Partiellement Observable (POMDP), permettant une optimisation quantitative sous incertitude. Nous formalisons le risque comme la valeur espérée conditionnelle de l’impact et introduisons une fonction de coût multivariée qui intègre la probabilité de compromission, l’impact normalisé et l’incertitude épistémique. Nous démontrons que la mise à jour bayésienne des croyances d’état, combinée à l’apprentissage par renforcement approximé, permet des politiques adaptatives qui minimisent le coût attendu actualisé. Nous avons implémenté un prototype utilisant Elastic Stack, Apache Kafka et une plateforme SOAR (TheHive/Cortex), intégrant la télémétrie EDR, les journaux réseau et les événements cloud. Nous avons évalué le système sur un ensemble de 3,2 millions d’événements réels et synthétiques, en le comparant à des baselines basées sur le CVSS et des règles statiques de SIEM. Les résultats indiquent une réduction statistiquement significative du temps moyen de confinement (MTTC) de 47,3 % (±2,1 %), une augmentation de la précision à 92,4 % et une réduction de la charge manuelle de 31,8 %. Nous discutons des implications pour les environnements réglementés, de l’intégration avec les CNAPP et des limitations dans des contextes OT/ICS. Nous concluons que la formalisation séquentielle probabiliste offre des gains mesurables et des fondements théoriques solides pour l’orchestration adaptative de la réponse aux incidents à l’état de l’art de 2025.

2006-12-07Read paper →IR

IR-GraphSec : Une architecture formelle basée sur des graphes temporels probabilistes et l’inférence bayésienne pour l’orchestration automatisée de la réponse aux incidents dans des environnements distribués

TITLE: IR-GraphSec : Une architecture formelle basée sur des graphes temporels probabilistes et l’inférence bayésienne pour l’orchestration automatisée de la réponse aux incidents dans des environnements distribués ABSTRACT: La complexité croissante des infrastructures numériques hybrides et multicloud impose des défis substantiels à la discipline de l’Incident Response (IR), exigeant des modèles formels capables de capturer les dépendances temporelles, sémantiques et probabilistes entre des événements distribués à grande échelle. Dans ce travail, nous proposons IR-GraphSec, une architecture formelle basée sur des graphes temporels probabilistes et l’inférence bayésienne pour la priorisation et l’orchestration automatisée des réponses aux incidents dans des environnements d’entreprise modernes. Nous formalisons les événements comme des tuples temporels enrichis sémantiquement et définissons un graphe dirigé dynamique dans lequel les sommets représentent des entités et les arêtes représentent des interactions causalement pertinentes au fil du temps. Nous modélisons la compromission des actifs comme des variables aléatoires binaires et estimons des probabilités a posteriori conditionnées à l’historique observationnel au moyen d’une régression logistique interprétable, approchant un champ aléatoire de Markov de premier ordre. Nous démontrons que le problème de priorisation de la contention sous contrainte budgétaire se réduit à une instance du problème du sac à dos 0-1, étant donc NP-difficile, et proposons une heuristique gloutonne avec des garanties classiques d’approximation. L’architecture a été implémentée avec Elastic Stack, Apache Flink, Neo4j, Kubernetes et PyTorch, soutenant 45.000 événements par seconde dans une expérience comportant 3,2 milliards d’événements réels anonymisés. En comparaison avec des approches basées sur des règles statiques et des modèles supervisés traditionnels, nous observons une réduction de 37,4 % du Mean Time to Detect (MTTD), de 42,1 % du Mean Time to Respond (MTTR) et une réduction de 22,3 % du taux de faux positifs. Nous discutons des implications théoriques, des limitations empiriques et des extensions impliquant des modèles causaux structurels, l’apprentissage en ligne et l’intégration avec des techniques modernes de sécurité dans des environnements natifs du cloud. Nos résultats montrent que la modélisation relationnelle temporelle probabiliste constitue une base solide pour l’orchestration adaptative de l’IR à l’échelle de l’entreprise.

2006-11-30Read paper →IR

IR-GraphSec : Un Framework Formel et Évolutif pour l’Orchestration Automatisée de la Réponse aux Incidents Basée sur des Graphes d’Attaque et l’Optimisation Multiobjectif

TITLE: IR-GraphSec : Un Framework Formel et Évolutif pour l’Orchestration Automatisée de la Réponse aux Incidents Basée sur des Graphes d’Attaque et l’Optimisation Multiobjectif ABSTRACT: La sophistication croissante des campagnes cybernétiques multi‑étapes, associée à l’expansion d’environnements hybrides, natifs du cloud et orientés par l’intelligence artificielle, impose des défis substantiels à l’orchestration de la Réponse aux Incidents (Incident Response – IR). Bien que des frameworks normatifs tels que le NIST SP 800-61 Rev. 2 et le NIST Cybersecurity Framework établissent des lignes directrices consolidées, l’opérationnalisation efficace de la confinement demeure limitée par des dépendances topologiques complexes, des contraintes de disponibilité et de multiples objectifs conflictuels. Dans ce travail, nous formalisons le problème d’orchestration de la réponse comme une optimisation multiobjectif sur des graphes d’attaque dynamiques enrichis d’un mappage automatique vers MITRE ATT&CK et d’une télémétrie en quasi temps réel provenant d’environnements CNAPP, EDR et eBPF. Nous définissons une fonction objectif qui intègre le risque résiduel, le coût opérationnel et l’impact de l’indisponibilité, sous des contraintes budgétaires et de continuité des activités. Nous démontrons que le problème décisionnel associé est NP-difficile par réduction polynomiale à des variantes du problème de coupe minimale avec des contraintes supplémentaires. Nous proposons le framework IR-GraphSec, implémenté avec Neo4j, Apache Kafka et OR-Tools, capable de traiter des flux d’événements à grande échelle et de générer des plans de confinement optimisés via la programmation linéaire entière mixte et des heuristiques de branch-and-bound. Nous évaluons empiriquement le système sur un cluster distribué avec 4,8 millions d’événements réels et synthétiques, incluant des simulations avec MITRE Caldera. Les résultats indiquent une réduction moyenne de 63,4 % du Mean Time to Containment (MTTC), une diminution de 38,9 % du risque résiduel et un impact financier estimé inférieur de 41,9 % par rapport à des playbooks SOAR statiques. L’analyse statistique confirme la significativité avec $p < 0{,}01$. Nous discutons des limitations liées à la qualité de la télémétrie et explorons des extensions impliquant l’apprentissage par renforcement robuste, la sécurité des systèmes d’IA et l’intégration avec la cryptographie post‑quantique. Nous concluons que la modélisation formelle orientée graphes constitue une approche prometteuse pour l’orchestration adaptative et évolutive de l’IR en 2025.

2006-11-23Read paper →IR

TITRE: IR-GraphShield : un cadre formel et évolutif pour l’orchestration intelligente de la réponse aux incidents fondée sur des graphes d’attaque et des preuves temporelles

TITRE: IR-GraphShield : un cadre formel et évolutif pour l’orchestration intelligente de la réponse aux incidents fondée sur des graphes d’attaque et des preuves temporelles RÉSUMÉ: La complexité croissante des environnements numériques en 2025, caractérisés par des architectures multicloud, des microservices, des workloads éphémères et une intégration intensive de modèles d’intelligence artificielle, impose des défis substantiels à l’orchestration de la réponse aux incidents de sécurité. Nous proposons IR-GraphShield, un cadre formel et évolutif pour l’orchestration intelligente de la réponse aux incidents, fondé sur des graphes d’attaque enrichis de preuves temporelles et de mécanismes d’inférence probabiliste. Nous modélisons formellement le processus de réponse comme un système de transition étiqueté $ \mathcal{S} = (Q, \Sigma, \delta, q_0) $, dans lequel les états représentent des configurations observables du système, les événements correspondent à des preuves forensiques et les actions sont des stratégies automatisées d’atténuation. Nous incorporons des graphes d’attaque dynamiques $ G_t = (V_t, E_t) $ avec pondération temporelle et probabiliste, permettant une mise à jour bayésienne continue face à de nouveaux indicateurs de compromission. Nous démontrons comment des techniques de vérification formelle, de raisonnement probabiliste et d’apprentissage automatique explicable peuvent être intégrées aux plateformes SOAR et CNAPP contemporaines, ainsi qu’à des capteurs fondés sur eBPF et à la télémétrie runtime. Le cadre prend en compte les menaces émergentes liées aux LLMs, les attaques contre la chaîne d’approvisionnement des modèles, la cryptographie post-quantique et la gouvernance de l’IA. Nous évaluons les propriétés de correction, de complétude et de sécurité des politiques de réponse à l’aide de la logique temporelle linéaire (LTL) et du model checking symbolique. Des expériences conceptuelles et une analyse comparative indiquent une réduction du temps moyen de confinement et une meilleure robustesse face aux faux positifs par rapport aux approches purement heuristiques. IR-GraphShield contribue à la convergence entre réponse automatisée, formalisation mathématique et sécurité adaptative orientée par les preuves, offrant des fondements théoriques solides et une applicabilité pratique dans le contexte technologique en vigueur jusqu’en 2025.

2006-11-16Read paper →IR

IR-GraphShield : Un cadre formel et évolutif pour l’orchestration intelligente de la réponse aux incidents basée sur des graphes d’attaque et des preuves temporelles

TITLE: IR-GraphShield : Un cadre formel et évolutif pour l’orchestration intelligente de la réponse aux incidents basée sur des graphes d’attaque et des preuves temporelles ABSTRACT: La complexité croissante des environnements numériques en 2025, caractérisés par des architectures multicloud, des microservices, des workloads éphémères et une intégration intensive de modèles d’intelligence artificielle, impose des défis substantiels à l’orchestration de la réponse aux incidents de sécurité. Nous proposons IR-GraphShield, un cadre formel et évolutif pour l’orchestration intelligente de la réponse aux incidents fondé sur des graphes d’attaque enrichis de preuves temporelles et de mécanismes d’inférence probabiliste. Nous modélisons formellement le processus de réponse comme un système de transition étiqueté $ \mathcal{S} = (Q, \Sigma, \delta, q_0) $, dans lequel les états représentent des configurations observables du système, les événements correspondent à des preuves forensiques et les actions sont des stratégies automatisées de mitigation. Nous incorporons des graphes d’attaque dynamiques $ G_t = (V_t, E_t) $ avec pondération temporelle et probabiliste, permettant une mise à jour bayésienne continue face à de nouveaux indicateurs de compromission. Nous démontrons comment des techniques de vérification formelle, de raisonnement probabiliste et d’apprentissage automatique explicable peuvent être intégrées aux plateformes SOAR et CNAPP contemporaines, ainsi qu’à des capteurs basés sur eBPF et à la télémétrie de runtime. Le cadre prend en compte des menaces émergentes liées aux LLM, aux attaques de chaîne d’approvisionnement de modèles, à la cryptographie post-quantique et à la gouvernance de l’IA. Nous évaluons les propriétés de correction, de complétude et de sécurité des politiques de réponse en utilisant la logique temporelle linéaire (LTL) et le model checking symbolique. Des expériences conceptuelles et une analyse comparative indiquent une réduction du temps moyen de confinement et une plus grande robustesse face aux faux positifs par rapport aux approches purement heuristiques. IR-GraphShield contribue à la convergence entre réponse automatisée, formalisation mathématique et sécurité adaptative orientée par les preuves, offrant des fondements théoriques solides et une applicabilité pratique dans le contexte technologique en vigueur jusqu’en 2025.

2006-11-16Read paper →Containers

ContainerShield++ : Un cadre formel et un système évolutif pour la détection et la mitigation des menaces dans des environnements de conteneurs basés sur Linux

TITLE: ContainerShield++ : Un cadre formel et un système évolutif pour la détection et la mitigation des menaces dans des environnements de conteneurs basés sur Linux ABSTRACT: La virtualisation légère fondée sur les conteneurs s’est imposée comme l’infrastructure dominante pour les applications cloud-native, en particulier dans les environnements orchestrés par Kubernetes. Toutefois, le partage du noyau du système d’exploitation entre plusieurs workloads élargit la surface d’attaque, exigeant des mécanismes rigoureux d’isolation, de vérification d’intégrité et de détection comportementale. Dans ce travail, nous प्रस्तुतons ContainerShield++, un cadre formel et un système évolutif pour la détection et la mitigation des menaces dans des environnements de conteneurs Linux, intégrant une modélisation mathématique des propriétés de confinement, la vérification statique des images, l’application déclarative via des admission controllers et la surveillance dynamique avec eBPF. Nous formalisons l’isolation comme des propriétés de non-interférence sur un graphe de capacités et de namespaces, en définissant des critères vérifiables de confinement fort sous un modèle de menace dans lequel l’adversaire exécute du code arbitraire au sein d’un conteneur compromis. Nous proposons des algorithmes pour l’évaluation statique du risque et la détection dynamique fondée sur la divergence des distributions d’appels système, en utilisant $D_{KL}$ comme métrique d’écart comportemental. Nous avons implémenté le système dans un cluster Kubernetes v1.29 avec CRI-O, en intégrant des politiques OPA/Gatekeeper et des profils eBPF validés par le vérificateur du noyau. Nous avons évalué expérimentalement le système sur 120 nœuds et 3.600 conteneurs, en considérant les techniques du MITRE ATT&CK for Containers et des scénarios réalistes d’exploitation, notamment CVE-2019-5736 et CVE-2022-0492. Nous avons obtenu un taux moyen de détection de 98,7 % avec une surcharge inférieure à 4 % de CPU et une latence additionnelle moyenne de 4,3 μs par syscall. Nous démontrons une supériorité par rapport aux approches fondées exclusivement sur les signatures, telles que Falco, et discutons des extensions pour la sécurité des chaînes d’approvisionnement, les signatures Sigstore, la cryptographie post-quantique pour la protection des artefacts et l’intégration avec des plateformes CNAPP. Ce travail apporte des fondements formels, une validation empirique à grande échelle et des lignes directrices pratiques pour la sécurité des conteneurs à l’état de l’art en 2025.

2006-11-09Read paper →Containers

ContainerShield++ : Un cadre formel et un système évolutif pour la détection et l’atténuation des menaces dans des environnements de conteneurs basés sur Linux

ContainerShield++ : Un cadre formel et un système évolutif pour la détection et l’atténuation des menaces dans des environnements de conteneurs basés sur Linux RÉSUMÉ : La virtualisation légère basée sur les conteneurs s’est imposée comme l’infrastructure dominante pour les applications cloud-native, en particulier dans des environnements orchestrés par Kubernetes. Toutefois, le partage du noyau du système d’exploitation entre plusieurs workloads élargit la surface d’attaque, nécessitant des mécanismes rigoureux d’isolation, de vérification d’intégrité et de détection comportementale. Dans ce travail, nous présentons ContainerShield++, un cadre formel et un système évolutif pour la détection et l’atténuation des menaces dans des environnements de conteneurs Linux, intégrant la modélisation mathématique des propriétés de confinement, la vérification statique des images, l’application déclarative via des admission controllers et la surveillance dynamique avec eBPF. Nous formalisons l’isolation comme des propriétés de non-interférence sur un graphe de capacités et de namespaces, en définissant des critères vérifiables de confinement fort sous un modèle de menace dans lequel l’adversaire exécute du code arbitraire à l’intérieur d’un conteneur compromis. Nous proposons des algorithmes pour l’évaluation statique du risque et la détection dynamique basée sur la divergence des distributions d’appels système, en utilisant D_KL comme métrique de déviation comportementale. Nous avons implémenté le système dans un cluster Kubernetes v1.29 avec CRI-O, en intégrant des politiques OPA/Gatekeeper et des profils eBPF validés par le vérificateur du noyau. Nous avons évalué expérimentalement le système sur 120 nœuds et 3 600 conteneurs, en considérant des techniques du MITRE ATT&CK for Containers et des scénarios d’exploitation réalistes, notamment CVE-2019-5736 et CVE-2022-0492. Nous avons obtenu un taux moyen de détection de 98,7 % avec une surcharge inférieure à 4 % de CPU et une latence additionnelle moyenne de 4,3 μs par syscall. Nous démontrons une supériorité par rapport aux approches fondées exclusivement sur des signatures, telles que Falco, et discutons des extensions pour la sécurité des chaînes d’approvisionnement, les signatures Sigstore, la cryptographie post-quantique pour la protection des artefacts et l’intégration avec des plateformes CNAPP. Ce travail apporte des fondements formels, une validation empirique à grande échelle et des directives pratiques pour la sécurité des conteneurs à l’état de l’art en 2025.

2006-11-09Read paper →Containers

Sécurité opérationnelle des conteneurs en 2025 : modélisation des menaces, exploitation réelle et stratégies défensives pour Docker et Kubernetes

La conteneurisation est devenue une primitive fondamentale de l’infrastructure moderne, notamment dans les architectures cloud-native orchestrées par Kubernetes. En 2025, plus de 80 % des charges de travail cloud reposent sur des conteneurs ou des technologies dérivées, ce qui en fait une surface d’attaque majeure pour les opérations offensives et défensives en cybersécurité. Malgré l’isolation offerte par les espaces de noms Linux (namespaces) et les groupes de contrôle (cgroups), les conteneurs ne constituent pas une frontière de sécurité absolue. De nombreuses vulnérabilités critiques — telles que CVE‑2019‑5736 dans `runc` ou CVE‑2024‑21626 — ont démontré la possibilité d’évasion de conteneur vers l’hôte. Par ailleurs, les erreurs de configuration dans Kubernetes, les registres d’images compromis et les chaînes CI/CD mal sécurisées constituent des vecteurs d’attaque fréquents observés dans les incidents réels. Cet article présente une analyse opérationnelle approfondie de la sécurité des conteneurs en 2025. Nous proposons un modèle formel de menace couvrant l’ensemble du cycle de vie des conteneurs, depuis la construction d’images jusqu’à l’exécution orchestrée. Nous examinons les primitives d’isolation du noyau Linux, les mécanismes de sécurité Kubernetes et les technologies émergentes telles que l’observabilité basée sur eBPF et les environnements d’exécution renforcés comme gVisor et Kata Containers. L’étude introduit également une méthodologie de défense multicouche intégrant l’analyse statique d’images, la détection comportementale en temps réel et l’application de politiques Zero Trust au niveau du cluster. Afin d’évaluer l’efficacité des contrôles proposés, nous menons une expérimentation sur un environnement Kubernetes instrumenté avec Falco, Trivy et des contrôles de politique basés sur OPA/Gatekeeper. Les résultats montrent qu’une combinaison de contrôles au niveau image, runtime et orchestration réduit significativement la probabilité d’évasion de conteneur et de mouvement latéral. Un cas d’étude basé sur une attaque réaliste contre un cluster Kubernetes mal configuré illustre les techniques d’exploitation utilisées par les attaquants et les mécanismes permettant leur détection. Cette recherche vise à fournir un cadre opérationnel pour les équipes de sécurité et de red teaming confrontées à la sécurisation d’infrastructures conteneurisées à grande échelle.

2006-11-02Read paper →Containers

TITRE: Une architecture formellement fondée pour la surveillance et le durcissement de conteneurs basée sur la modélisation comportementale et la vérification d’intégrité en temps d’exécution

TITRE: Une architecture formellement fondée pour la surveillance et le durcissement de conteneurs basée sur la modélisation comportementale et la vérification d’intégrité en temps d’exécution RÉSUMÉ: L’adoption massive des conteneurs comme unité principale de packaging et d’exécution dans les environnements cloud-native a profondément transformé la surface d’attaque des systèmes distribués modernes. En 2025, les infrastructures fondées sur Kubernetes, les CNAPP (Cloud-Native Application Protection Platforms), eBPF et les chaînes d’approvisionnement signées numériquement constituent l’état de la pratique. Néanmoins, la plupart des approches industrielles restent fragmentées entre la vérification statique des images et la surveillance réactive fondée sur des règles, manquant d’une fondation formelle unifiée. Dans ce travail, nous proposons une architecture formellement spécifiée qui intègre (i) la vérification cryptographique de l’intégrité structurelle au moyen d’arbres de Merkle et de signatures compatibles avec des chaînes d’approvisionnement sécurisées, et (ii) une modélisation probabiliste du comportement en temps d’exécution basée sur des chaînes de Markov discrètes sur des séquences d’événements système collectés via eBPF. Nous formalisons les conteneurs comme des processus confinés par des namespaces et des cgroups, en modélisant l’état global comme un système dynamique S(t) et en définissant des propriétés d’intégrité, de confinement et de non-interférence. La détection d’anomalies est formulée comme un test d’hypothèses sur la log-vraisemblance des trajectoires observées, avec un seuil θ calibré statistiquement. Nous démontrons que la composition orthogonale entre invariants cryptographiques et propriétés probabilistes réduit les évasions et améliore la robustesse face aux techniques documentées dans MITRE ATT&CK pour les conteneurs. Nous avons implémenté un prototype dans Kubernetes 1.29 avec des agents par nœud et l’avons évalué sur un cluster de 40 nœuds exécutant 120 workloads hétérogènes, y compris des charges comportant des composants d’IA. Les résultats indiquent un taux moyen de détection de 96,7 % (IC 95 %), des faux positifs de 2,3 % et une surcharge CPU inférieure à 5 %, tout en préservant la scalabilité. Nous fournissons également une analyse formelle de la complexité, une discussion sur la convergence de l’apprentissage en ligne et l’intégration avec l’attestation distante basée sur TPM 2.0. L’architecture proposée établit une base théoriquement solide et opérationnellement viable pour le durcissement des conteneurs dans les environnements cloud-native contemporains.

2006-11-02Read paper →Containers

TITRE : Une architecture formelle pour la détection et la contention des attaques dans des environnements de conteneurs fondée sur une modélisation compositionnelle de la surface d’attaque

TITRE : Une architecture formelle pour la détection et la contention des attaques dans des environnements de conteneurs fondée sur une modélisation compositionnelle de la surface d’attaque RÉSUMÉ : L’adoption massive des conteneurs et des orchestrateurs tels que Kubernetes a consolidé le paradigme cloud-native comme infrastructure prédominante dans les environnements d’entreprise jusqu’en 2025. Bien que le modèle de virtualisation légère offre une efficacité opérationnelle et une élasticité, le partage du noyau et la nature dynamique des clusters élargissent considérablement la surface d’attaque. Des incidents récents impliquant l’évasion de conteneur, l’exploitation de vulnérabilités dans le noyau Linux et la latéralisation intra-cluster démontrent la nécessité de mécanismes de détection et de contention fondés formellement et assortis de garanties explicites. Dans ce travail, nous proposons une architecture formelle pour la détection et la contention des attaques dans des environnements de conteneurs fondée sur une modélisation compositionnelle de la surface d’attaque. Nous formalisons l’environnement comme un graphe orienté annoté qui intègre les conteneurs, les nœuds d’infrastructure et les canaux d’interaction, en définissant la surface d’attaque comme un opérateur compositionnel sur les sommets et les arêtes. Nous introduisons une méthode de détection basée sur des écarts structurels dans les graphes d’appels système, en utilisant la divergence spectrale entre les matrices d’adjacence observées et des modèles de référence appris durant une phase de baseline. Nous démontrons des propriétés formelles sous des hypothèses explicites, y compris un théorème de complétude conditionnelle. Nous avons implémenté un prototype intégré à Kubernetes 1.29 avec une surveillance via eBPF/libbpf et évalué le système sur un cluster de 64 nœuds exécutant 1 200 conteneurs. Les résultats indiquent un taux moyen de détection supérieur à 95 % pour des scénarios alignés sur MITRE ATT&CK for Containers, avec un taux de faux positifs inférieur à 3 % et un overhead moyen CPU de 3,8 %. Nous discutons des implications pour l’intégration avec des plateformes CNAPP et des mécanismes de gouvernance de la sécurité, ainsi que des limitations et des vecteurs d’évasion. Nous concluons que la modélisation compositionnelle formelle, associée à une surveillance efficace au niveau du noyau, offre une base rigoureuse et évolutive pour la protection des environnements conteneurisés à grande échelle.

2006-10-27Read paper →Containers

Une architecture formelle pour la détection et la contention des attaques dans les environnements de conteneurs basée sur la modélisation compositionnelle de la surface d’attaque

TITLE: Une architecture formelle pour la détection et la contention des attaques dans les environnements de conteneurs basée sur la modélisation compositionnelle de la surface d’attaque ABSTRACT: L’adoption massive des conteneurs et des orchestrateurs tels que Kubernetes a consolidé le paradigme cloud‑native comme infrastructure prédominante dans les environnements d’entreprise jusqu’en 2025. Bien que le modèle de virtualisation légère offre une efficacité opérationnelle et une élasticité accrues, le partage du noyau et la nature dynamique des clusters augmentent significativement la surface d’attaque. Des incidents récents impliquant l’évasion de conteneur, l’exploitation de vulnérabilités dans le noyau Linux et des mouvements latéraux intra‑cluster démontrent la nécessité de mécanismes de détection et de contention reposant sur une base formelle et des garanties explicites. Dans ce travail, nous proposons une architecture formelle pour la détection et la contention des attaques dans des environnements de conteneurs basée sur une modélisation compositionnelle de la surface d’attaque. Nous formalisons l’environnement comme un graphe orienté annoté intégrant des conteneurs, des nœuds d’infrastructure et des canaux d’interaction, en définissant la surface d’attaque comme un opérateur compositionnel sur les sommets et les arêtes. Nous introduisons une méthode de détection fondée sur des déviations structurelles de graphes d’appels système, en utilisant une divergence spectrale entre des matrices d’adjacence observées et des modèles de référence appris durant une phase de baseline. Nous démontrons des propriétés formelles sous des hypothèses explicites, incluant un théorème de complétude conditionnelle. Nous avons implémenté un prototype intégré à Kubernetes 1.29 avec une surveillance via eBPF/libbpf et évalué le système sur un cluster de 64 nœuds exécutant 1 200 conteneurs. Les résultats indiquent un taux moyen de détection supérieur à 95 % pour des scénarios alignés sur MITRE ATT&CK for Containers, avec un taux de faux positifs inférieur à 3 % et un surcoût moyen CPU de 3,8 %. Nous discutons les implications pour l’intégration avec des plateformes CNAPP et des mécanismes de gouvernance de sécurité, ainsi que les limitations et les vecteurs d’évasion. Nous concluons que la modélisation compositionnelle formelle, associée à une surveillance efficace au niveau du noyau, offre une base rigoureuse et évolutive pour la protection des environnements conteneurisés à grande échelle.

2006-10-27Read paper →