Recommandations d’exploration pour l’investigation d’incidents de sécurité

Exploration recommendations for the investigation of security incidents

• Auteur / Autrice : Romain Brisse
• Direction : Jean-François Lalande
• Type : Thèse de doctorat
• Discipline(s) : Informatique
• Date : Soutenance le 15/02/2024
• Etablissement(s) : CentraleSupélec
• Ecole(s) doctorale(s) : École doctorale Mathématiques, télécommunications, informatique, signal, systèmes, électronique (Rennes ; 2022-....)
• Partenaire(s) de recherche : Laboratoire : Institut de recherche en informatique et systèmes aléatoires (Rennes)
• Jury : Président / Présidente : Alexandre Termier
• Jury : Examinateurs / Examinatrices : Alexandre Termier, Maciej Korczynski, Günther Pernul, Vincent Nicomette, Frédéric Majorczyk, Laetitia Leichtnam
• Jury : Rapporteurs / Rapporteuses : Maciej Korczynski, Günther Pernul

Mots clés

Mots clés contrôlés

Apprentissage par investigation

Systèmes de recommandation (informatique)

Systèmes informatiques -- Mesures de sûreté

Mots clés libres

Cybersécurité

Investigation

Systèmes de recommandation

Réponse à incident

Cybersecurity

Investigation

Recommender systems

Incident response

Résumé

Ces dernières années, les analystes doivent faire face à des obstacles grandissants dans leur activité. Non seulement les données à investiguer sont hétérogènes, contiennent trop de dimensions, ou sont incomplètes, mais les attaques et attaquants se multiplient, créant une pénurie d'experts du domaine. De nombreux outils visent à soulager leur charge de travail, notamment pendant la réponse à incident, mais ce n'est pas suffisant. Les travaux de la thèse réalisée par Romain Brisse consistent à trouver des méthodes pour faciliter la phase investigative de la réponse à incident. Ils se focalisent notamment sur l'utilisation de systèmes de recommandation proposant des chemins d'exploration dans les journaux d'événements à investiguer. Les contributions de la thèse comportent deux systèmes de recommandation. Le premier, KRAKEN, utilise des connaissances expertes de la communauté cyber, permettant de reconnaître l'attaque observée et de recommander les champs les plus pertinents à explorer. La seconde contribution s'inscrit dans la continuité de la première, car ayant remarqué la difficulté pour un système de recommandation à comprendre l'intention d'un analyste, un deuxième système de recommandation (MIMIR) se base sur une modélisation de ces intentions pendant une investigation afin de recommander la marche à suivre dans la suite de celle-ci. Finalement, s'intéressant aux problématiques d'évaluation et de manque de données cyber, une dernière contribution est faite sous la forme d'un exercice (CERBERE) pendant lequel des données permettant non seulement l'évaluation mais aussi l'amélioration des systèmes de recommandation sont générées et investiguées par les participants.

In recent years, cybersecurity analysts have encountered growing challenges in their field. Not only are the data they investigate heterogeneous, multidimensional or simply incomplete, but also the number of attacks and attackers is increasing, leading to a shortage of experts in the domain. While numerous tools aim to alleviate their workload, particularly during incident response, they fall short. Romain Brisse's thesis work focuses on developing methods to facilitate the investigative phase of incident response, specifically leveraging recommendation systems that propose exploration paths in event logs. The thesis contributions include two recommendation systems. The first, KRAKEN, relies on expert knowledge from the cyber community to recognize attacks in data and recommend the most relevant fields to explore in order to identify them. The second contribution aligns with the first, as it addresses the challenge of recommendation systems understanding an analyst's intent. The second system, MIMIR, is based on modelling these intentions during an investigation to suggest the subsequent investigation steps. Finally, addressing evaluation challenges and the lack of cyber data in the field, a final contribution takes the form of an exercise (CERBERE) during which data for the evaluation and improvement of recommendation systems are generated and investigated by participants.