Model-based IDS design pour ICS

Model-based IDS design for ICS

• Auteur / Autrice : Mohamad-Houssein Monzer
• Direction : Jean-Marie Flaus, Alaa Ghaith, Kamal Beydoun
• Type : Thèse de doctorat
• Discipline(s) : Automatique et productique
• Date : Soutenance le 12/11/2020
• Etablissement(s) : Université Grenoble Alpes en cotutelle avec Université Libanaise
• Ecole(s) doctorale(s) : École doctorale électronique, électrotechnique, automatique, traitement du signal (Grenoble ; 199.-....)
• Partenaire(s) de recherche : Laboratoire : Sciences pour la conception, l'optimisation et la production (Grenoble, Isère, France ; 2006-....) - Sciences pour la conception, l'optimisation et la production (Grenoble, Isère, France ; 2006-....)
• Jury : Président / Présidente : Abed Ellatif Samhat
• Jury : Examinateurs / Examinatrices : Youssef Laarouchi, Mohamad Nassar
• Jury : Rapporteurs / Rapporteuses : Frédéric Kratz, Rida Khatoun

Mots clés

Mots clés contrôlés

Objets coopérants (informatique)

Systèmes informatiques -- Mesures de sûreté

Systèmes de détection d'intrusion (informatique)

Systèmes embarqués (informatique)

Mots clés libres

Détection basée sur un modèle

Process aware

Système de détection d'intrusion

Cyber-Physique

Détection basée sur la connaissance

Cyber-Physical

Knowledge-Based detection

Intrusion detection system

Process aware

Model-Based detection

Résumé

Les systèmes industriels présentent des risques de sécurité liés à leurs vulnérabilités informatiques. Ces systèmes, répartis dans le monde, continuent d'être la cible d'attaques. Bien que les systèmes industriels partagent des vulnérabilités communes avec les systèmes informatiques, ils ont tendance à avoir plus de contraintes en raison de l'interaction entre les systèmes cyber et physiques.Les systèmes de détection d'intrusion donnent une visibilité au système et sont considérés comme l'une des solutions pour détecter les attaques ciblées. Il semble donc pertinent de s'appuyer sur un modèle physique du système cyber-physique pour obtenir un système de détection d'intrusion (IDS) pour les systèmes industriels. La plupart des IDS sont basés sur des règles qui définissent comment les attaques possibles sont détectées. Ces règles sont généralement utilisées pour décrire les scénarios d'attaque possibles sur les systèmes ou pour décrire le comportement normal du système. Cependant, la création et la maintenance manuels des règles pour un système complexe peuvent s'avérer être une tâche très difficile.Cette thèse propose une solution pour modéliser ICS et concevoir des IDS spécifiques pour les systèmes industriels. Un générateur de règles IDS basé sur un modèle est encore proposé, qui convertit un modèle de système en règles IDS basées sur des anomalies. Enfin, l'efficacité des règles générées est évaluée.

Industrial systems present security risks related to their IT vulnerabilities. These systems, spread over the world, continue to be targets of attacks. While Industrial systems share common vulnerabilities with IT systems, they tend to have more constraints due to the interaction between cyber and physical systems.Intrusion detection systems give visibility to the system and are considered as one of the solutions to detect targeting attacks. Hence, it seems relevant to rely on a physical model of the cyber-physical system to obtain an intrusion detection system (IDS) for industrial systems. Most IDSs are based on rules that define how possible attacks are detected. These rules are generally used to either describe possible attack scenarios on the systems or used to describe the normal system behavior of the system. However, manually creating and maintaining rules for a complex system can prove to be a very tedious and difficult task.This thesis proposes a solution to model ICS and to design specific IDS for industrial systems. A model-based IDS rule generator is also proposed, which converts a system model into anomaly-based IDS rules. Finally, the effectiveness of the generated rules is evaluated.