Évaluation automatisée de la sécurité des systèmes d'information par la construction de Jumeau de sécurité pour dériver et valider des chemins d'attaque

Résumé :

L'activité de nombreuses organisations repose sur le bon fonctionnement de leur système d'information (SI) malgré les attaques dont il est la cible. Cette thèse cherche à évaluer automatiquement le niveau de sécurité des SI à l'aide du concept de jumeaux de sécurité: des copies virtuelles de SI en production avec les mêmes caractéristiques du point de vue de la sécurité. D'abord, nous collectons et organisons dans un modèle de données les éléments du SI utiles pour déterminer les procédures d'attaque qui pourraient être enchaînées pour atteindre le but visé par l'attaquant. Nous encodons aussi les conditions permettant l'exploitation des procédures et les gains après leur exploitation. En particulier, nous avons travaillé sur l'exploitation de vulnérabilités connues (CVE) et le détournement d'outils et de configurations légitimes. Le modèle de données sert ensuite à construire un graphe de positions d'attaque représentant les chemins d'attaque exploitables dans le SI. Enfin, un jumeau virtuel du SI est déployé. Ce jumeau permet d'exploiter les chemins d'attaque identifiés et de proposer et tester des remédiations efficaces. Pour conclure, nous validons l'application de notre méthodologie sur plusieurs SI du monde réel utilisés en production.

Abstract:

The activity of many organizations nowadays relies on the proper functioning of their information system (IS) despite the attacks it is subjected to. This thesis aims to automatically assess the security of IS using the concept of security twins: virtual copies of IS in production presenting the same characteristics from a security point of view. First, we collect and organize, in a data model, the elements of the IS that are useful to determine which attack procedures an attacker could chain to reach his goal. We also encode les conditions under which the procedures can be exploited and the gains after their exploitation. In particular, we studied the exploitation of known vulnerabilities (CVE) and the abuse of legitimate tools and configurations. The data model then allows building an attack position graph representing attack paths that could be exploited in the IS. Lastly, a virtual twin of the IS is deployed. This twin enables the exploitation of the attack paths identified and the proposal and testing of effective remediation. To conclude, we validate the application of our methodology on multiple real-world IS used in production.