Intelligent risk-aware system for activating and deactivating policy-based response

La croissance de l'echelle des systemes d'information critiques, combinee a l'augmentation continue de la frequence et de la sophistication des attaques, rend les systemes de reponses classiques inadequats. Le systeme peut etre la cible de plusieurs attaques simultanees, qui necessitent l'activation de reponses differentes et contradictoires. En outre, une reponse peut avoir des effets collateraux, comme (i) induire un cout intrinseque sur le systeme, (ii) permettre et faciliter l'execution d'autres attaques. Ainsi, les systemes de reponse doivent etre concus d'une maniere intelligente, pour optimiser l'activation des reponses appropriees, soit pour les automatiser, soit pour fournir une assistance a la decision aux administrateurs. Alors que la majorite des modeles de reponses existants considere seulement le cout des attaques et des reponses, nous adoptons une perspective plus generale basee sur le risque. Conformement a la definition du risque, nous considerons conjointement l'impact et la vraisemblance de succes des attaques en cours dans le processus de selection de reponse. D'abord, nous proposons un workflow qui permet de reagir sur deux plans distincts, sur le plan tactique, et sur le plan strategique. La reponse tactique est composee des contremesures elementaires a portees limitees dans le systeme. Elles sont generalement liees a l'occurrence d'attaque en cours. En revanche, la reponse strategique est specifiee avec un langage formel qui permet d'exprimer des politiques de securite. Elles sont deployees globalement dans le systeme pour des menaces majeures. Ensuite, nous proposons un modele pour la reponse tactique, base sur une evaluation de risques dynamique. Quand une attaque en cours est detectee, nous evaluons le risque global en combinant l'impact potentiel avec la vraisemblance de succes de l'attaque. Les contremesures seront ordonnees par rapport a leur efficacite a reduire le risque global. Nous mettons l'accent sur le facteur de vraisemblance de succes, et nous proposons un modele dynamique pour evaluer ce parametre, en tenant compte du progres de l'attaque en cours et l'etat du systeme. Enfin, nous presentons un framework base sur les risques pour l'activation et la desactivation de la reponse strategique. Cette reponse est activee et deployee quand le risque de l'attaque en cours depasse le cout cumule de la reponse, et elle est maintenue tant que le risque reste present. Contrairement aux systemes existants, nous considerons la desactivation d'une reponse qui est effectuee lorsque le risque de l'attaque decroit, ou des lors que le cout de la reponse devient important. Dans cette these, un service VoIP a ete choisi pour valider nos propositions, tout en respectant les contraintes operationnelles et de securite.