Automatisation de tests d’intrusion d’applications web

Title :

Automatisation de tests d’intrusion d’applications web

Résumé :

Les tests d’intrusion d’applications web évaluent la manière dont les attaquants exploitent les vulnérabilités de ces applications applications.
Cependant, les pentest manuels prennent beaucoup de temps, nécessitent beaucoup de ressources et sont limités par la disponibilité d’experts qualifiés.
Il s’agit également d’une tâche difficile à automatiser en raison d’un manque crucial d’observations du comportement de ces experts humains, ce qui fourniraient une base pour modéliser ces comportements.
Cette thèse étudie le pentest web aidé par l’IA en modélisant et en reproduisant le raisonnement d’experts basé sur des données comportementales.
Nous modélisons l’évolution des connaissances des pentesters pendant les audits d’applications web.
Grâce à ce modèle, un premier framework d’automatisation est atteint sans l’aide de l’IA.
Ensuite, nous capturons le comportement des pentesters lors d’une compétition de capture du drapeau (CTF) à grande échelle.
Nous encodons les séquences d’action capturées dans des représentations de connaissances structurées et des vecteurs de taille fixe pour permettre la prise de décision automatisée.
Nous introduisons un autre framework pour le profilage des experts et évaluons plusieurs modèles d’apprentissage automatique pour la génération de recommandations.
Nos résultats démontrent que les recommandations basées sur l’IA peuvent améliorer l’efficacité des pentests tout en maintenant la prise de décision à niveau expert.

Abstract:

Web penetration testing assesses how attackers exploit vulnerabilities in web applications. However, manual pentesting is time-consuming, resource-intensive, and limited by the availability of skilled experts. It is also a task difficult to automate due to a crucial lack of observations of the behavior of these human experts, which would provide a basis for modeling their behavior. This thesis investigates AI-driven web pentesting by modeling and replicating expert reasoning based on behavioral data. We model the evolution of pentester knowledge during web application audits. Thanks to this model, a first automation framework is reached without the help of AI. Then, we capture pentester behavior during a large-scale Capture The Flag (CTF) competition. We encode captured action sequences into structured knowledge representations and fixed-size vectors to support automated decision-making. We introduce an other framework for expert profiling and evaluate multiple machine learning models for recommendation generation. Our results demonstrate that AI-based recommendations can enhance pentesting effectiveness while maintaining expert-level decision-making.