Maîtrise des correctifs de sécurité pour les systèmes navals

Patch management applied to naval systems

• Auteur / Autrice : Bastien Sultan
• Direction : Yvon Kermarrec
• Type : Thèse de doctorat
• Discipline(s) : Informatique
• Date : Soutenance le 04/12/2020
• Etablissement(s) : Ecole nationale supérieure Mines-Télécom Atlantique Bretagne Pays de la Loire
• Ecole(s) doctorale(s) : École doctorale Mathématiques et sciences et technologies de l'information et de la communication (Rennes)
• Partenaire(s) de recherche : Laboratoire : Lab-STICC_IMTA_CID_IRIS - Département Logique des Usages, Sciences sociales et Sciences de l'Information - Laboratoire en sciences et techniques de l'information, de la communication et de la connaissance
• Jury : Président / Présidente : Laurent Nana Tchamnda
• Jury : Examinateurs / Examinatrices : Yvon Kermarrec, David Brosset, Joaquin Garcia-Alfaro
• Jury : Rapporteurs / Rapporteuses : Frédéric Cuppens, Bouabid El Ouahidi

Mots clés

Mots clés contrôlés

Systémique

Cyberdéfense

Évaluation du risque

Mots clés libres

Analyse de risque

Cybersécurité

Vulnérabilités

Correctifs

Risk analysis

Cybersecurity

Vulnerabilities

Patches

Résumé

Évoluant dans des environnements contraints et rassemblant dans des espaces réduits des sous-systèmes fortement critiques et hétérogènes, les navires d'aujourd'hui font partie des objets les plus complexes qui soient. À l'heure où croît à leur bord le nombre de systèmes informatiques contrôlant parfois des actionneurs d'importance cruciale, leur maintien en condition de sécurité est une problématique majeure. Les travaux présentés dans cette thèse définissent un processus de gestion des vulnérabilités et des contremesures associées adapté au contexte des systèmes industriels complexes. Ce processus s'appuie sur une méthode et un formalisme de modélisation de ces systèmes permettant d'abstraire leur comportement, discret ou continu, et leurs évolutions éventuelles – apparition d'une vulnérabilité, déploiement d'une contremesure ou survenue d'une attaque – que nous avons définis dans le cadre de ces travaux. Il repose également sur une méthode de calcul des impacts associés aux vulnérabilités, attaques et contremesures aboutissant à leur expression sous la forme d'une métrique adaptée pour la prise de décision. Ce calcul étant permis par la modélisation du système mais aussi par celle des vulnérabilités, attaques et contremesures, nous introduisons par ailleurs une méthode et un formalisme adapté – les mutations d'automates et de réseaux d'automates – permettant leur abstraction. Ces propositions théoriques et méthodologiques sont enfin confrontées à une expérimentation sur un cas fictif représentatif d'un système de propulsion et de gouverne d'un bâtiment de type ferry ou paquebot, permettant de discuter de leur pertinence et de leurs limites ainsi que d'esquisser les perspectives de recherche naissant de nos travaux.

Operating in constrained environments and composed of heterogeneous subsystems, today's ships are among the most complex objects that exist. Due to the increasing number of cyber assets among their components, patch and vulnerability management applied to naval systems is an essential process. The work detailed in this PhD thesis aims to define such a process tailored to complex cyber-physical systems. This process relies on a modelling method and formalism allowing to depict CPS behaviour and cyber events – a vulnerability discovery, a cyber attack occurrence or a patch deployment. It also relies on an impact assessment method, allowing to compute the effects of cyber events on CPS ability to fulfill their missions. These impacts are expressed through a specially designed metric aiming to help in decision-making. The process, methods, formalisms and metrics we propose in this work are then evaluated through an experimentation based on a fictitious case-study.