Techniques de rôle mining pour la gestion de politiques de sécurité : application à l'administration de la sécurité réseau

Policy Mining : a Bottom-Up Approach Toward Network Security Management

• Auteur / Autrice : Safaà Hachana
• Direction : Yamine Aït-Ameur, Frédéric Cuppens, Nora Cuppens
• Type : Thèse de doctorat
• Discipline(s) : Informatique et applications
• Date : Soutenance le 04/07/2014
• Etablissement(s) : Chasseneuil-du-Poitou, Ecole nationale supérieure de mécanique et d'aérotechnique
• Ecole(s) doctorale(s) : École doctorale Sciences et ingénierie pour l'information, mathématiques (Limoges ; 2009-2018)
• Partenaire(s) de recherche : Entreprise : SWID - Cesson-Sévingné (35)
• Partenaire(s) de recherche : Autre partenaire : Ecole nationale supérieure des télécommunications de Bretagne (Brest ; 1977-2016)
• Partenaire(s) de recherche : Laboratoire : Laboratoire d'informatique et d'automatique pour les systèmes - LIAS (Poitiers ; 2012-.....)
• Jury : Président / Présidente : Radu State
• Jury : Examinateurs / Examinatrices : Nora Cuppens, Ladjel Bellatreche, Stéphane Morucci
• Jury : Rapporteur / Rapporteuse : Refik Molva, Mohand Saïd Hacid

Mots clés

Mots clés contrôlés

Boole, Algèbre de

Langages d'interrogation

Exploration de données

Ordinateurs -- Accès -- Contrôle

Entreprises -- Réseaux d'ordinateurs

Coupe-feu (sécurité informatique)

Systèmes informatiques -- Mesures de sûreté

Mots clés libres

Modèle NetRBAC

Résumé

Cette thèse est consacrée à une approcheascendante pour l’administration de la sécurité desréseaux informatiques d’un haut niveau d’abstraction.Nous montrons que le modèle Net-RBAC (Network RoleBased Access Control) s'adapte à la spécification despolitiques de contrôle d’accès des réseaux. Nousproposons une approche ascendante et automatiquebaptisée policy mining qui extrait la politique modéliséepar Net-RBAC à partir des règles de sécurité déployéessur un pare-Feu. Notre algorithme basé sur lafactorisation matricielle est capable d’adapter la plupartdes techniques de role mining existantes. Comme lesréseaux des entreprises sont souvent protégés parplusieurs pare-Feu, nous traitons le problèmed’intégration de politiques résultant de l’application depolicy mining sur chaque pare-Feu. Nous vérifions lespropriétés de sécurité reliées à la cohérence dudéploiement de la politique sur plusieurs dispositifs. Enoutre, nous proposons des outils qui assistent unadministrateur dans l’analyse des résultats du role mininget du policy mining. Nous formalisons le problème decomparaison de deux configurations de rôles et prouvonsqu'il est NP-Complet. Nous définissons un algorithme quiprojette les rôles d’une configuration dans une autre ense basant sur des expressions Booléennes. Noussoulignons que la présence de rôles ombragés dans uneconfiguration se manifeste par une augmentation de lacomplexité de la comparaison avec une autreconfiguration et présentons une solution pour détecterdifférentes anomalies d’ombrage. Chaque contribution sebase sur un cadre théorique solide, est illustrée par desexemples réels, et appuyée par des résultatsexpérimentaux.

This thesis is devoted to a bottom-Up approachfor the management of network security policies fromhigh abstraction level with low cost and high confidence.We show that the Network Role Based Access Control(Net-RBAC) model is adapted to the specification ofnetwork access control policies. We propose policymining, a bottom-Up approach that extracts from thedeployed rules on a firewall the corresponding policymodeled with Net-RBAC. We devise a generic algorithmbased on matrix factorization, that could adapt most ofthe existing role mining techniques to extract instancesof Net-RBAC. Furthermore, knowing that the large andmedium networks are usually protected by multiplefirewalls, we handle the problem of integration of Net-RBAC policies resulting from policy mining over severalfirewalls. We demonstrate how to verify securityproperties related to the deployment consistency overthe firewalls. Besides, we provide assistance tools foradministrators to analyze role mining and policy miningresults as well. We formally define the problem ofcomparing sets of roles and evidence that it is NPcomplete.We devise an algorithm that projects rolesfrom one set into the other set based on Booleanexpressions. This approach is useful to measure howcomparable the two configurations of roles are, and tointerpret each role. Emphasis on the presence ofshadowed roles in the role configuration will be put as itincreases the time complexity of sets of rolescomparison. We provide a solution to detect differentcases of role shadowing. Each of the abovecontributions is rooted on a sound theoreticalframework, illustrated by real data examples, andsupported by experiments.