Analyse à posteriori des logs et détection de violation des règles de sécurité

A posteriori log analysis and security rules violation detection

• Auteur / Autrice : Farah Dernaïka
• Direction : Éric Totel
• Type : Thèse de doctorat
• Discipline(s) : Informatique
• Date : Soutenance le 13/10/2020
• Etablissement(s) : Ecole nationale supérieure Mines-Télécom Atlantique Bretagne Pays de la Loire
• Ecole(s) doctorale(s) : École doctorale Mathématiques et sciences et technologies de l'information et de la communication (Rennes)
• Partenaire(s) de recherche : Laboratoire : Lab-STICC_IMTA_CID_IRIS - Département Systèmes Réseaux, Cybersécurité et Droit du numérique - Laboratoire en sciences et techniques de l'information, de la communication et de la connaissance
• Jury : Président / Présidente : Mohand Saïd Hacid
• Jury : Examinateurs / Examinatrices : Alban Gabillon, Joaquin Garcia-Alfaro, Romain Laborde, Olivier Raynaud, Nora Cuppens, Frédéric Cuppens
• Jury : Rapporteurs / Rapporteuses : Alban Gabillon, Joaquin Garcia-Alfaro

Mots clés

Mots clés contrôlés

Langages de programmation -- Sémantique

Systèmes informatiques -- Mesures de sûreté

Accès -- Contrôle

Mots clés libres

Contrôle d’accès

Analyse des logs

Vérification temporelle

Violations

Sanctions

Access Control

Log Analysis

Temporal verification

Violations

Sanctions

Résumé

Dans certains environnements sensibles, tels que le domaine de la santé, où les utilisateurs sont généralement de confiance et où des évènements particuliers peuvent se produire, comme les situations d’urgence, les contrôles de sécurité mis en place dans les systèmes d’information correspondants ne doivent pas bloquer certaines décisions et actions des utilisateurs. Cela pourrait avoir des conséquences graves. En revanche, il est important de pouvoir identifier et tracer ces actions et ces décisions afin de détecter d’éventuelles violations de la politique de sécurité mise en place et fixer les responsibilités. Ces fonctionnalités sont assurées par le contrôle d’accès à posteriori qui se base un mécanisme de monitoring à partir des logs. Dans la littérature, ce type de contrôle de sécurité a été divisé en trois étapes qui sont : le traitement des logs, l’analyse des logs, et l’imputabilité. Dans cette thèse, nous couvrons ces trois domaines du contrôle d’accès à posteriori en apportant de nouvelles solutions, et nous introduisons des nouveaux aspects qui n’avaient pas été abordés auparavant.

In certain sensitive environments, such as the healthcare domain, where users are generally trusted and where particular events may occur, such as emergencies, the implemented security controls in the corresponding information systems should not block certain decisions and actions of users. This could have serious consequences. Indeed, it is important to be able to identify and trace these actions and decisions in order to detect possible violations of the security policy put in place and fix responsibilities. These functions are ensured by the a posteriori access control that lies on a monitoring mechanism based on logs. In the literature, this type of access control hasbeen divided into three stages: log processing, log analysis, and accountability. In this thesis, we cover these three areas of the a posteriori access control by providing new solutions, and we introduce new aspects that have not been addressed before.