Sonde de détection d'intrusion réseau avec suivi d'état de protocole et détection d'anomalie, de la modélisation à la combinaison entre des méthodes de spécification et de fouille de données (data mining)

Network intrusion detection system with protocol state tracking and anomaly detection, from modeling to the combination of specification and data mining methods

• Auteur / Autrice : Sorithy Seng
• Direction : Joaquin Garcia-Alfaro
• Type : Thèse de doctorat
• Discipline(s) : Informatique, données, IA
• Date : Soutenance le 25/11/2024
• Etablissement(s) : Institut polytechnique de Paris
• Ecole(s) doctorale(s) : École doctorale de l'Institut polytechnique de Paris
• Partenaire(s) de recherche : Laboratoire : Télécom SudParis (Evry ; 2012-....)
• Jury : Président / Présidente : Guillaume Doyen
• Jury : Examinateurs / Examinatrices : Isabelle Chrisment, Marc Frappier
• Jury : Rapporteurs / Rapporteuses : Isabelle Chrisment, Marc Frappier

Mots clés

Mots clés contrôlés

Systèmes informatiques -- Mesures de sûreté

Systèmes de détection d'intrusion (informatique)

Mots clés libres

Cybersecurité

Détection d'intrusion

Modélisation de protocole

Système industriel

Détection d'anomalie

Cybersecurity

Intrusion detection system

Protocol Modeling

Cyber physical system

Anomaly Detection

Statechart

Résumé

Cette thèse se positionne dans le contexte des sondes de détection d'intrusion réseaux (NIDS). Elle part du constat que la grande majorité des NIDS disposent d'une vision statique des échanges réseaux : ils analysent les paquets réseaux sans tenir compte des échanges de paquets précédents. Cette vision statique limite leurs capacités à détecter des attaques se déroulant dans le temps et mettant en œuvre plusieurs paquets réseaux. Il existe bien évidemment des NIDS capables de détecter des attaques s'étalant sur plusieurs paquets, mais cela est en général réalisé à l'aide d'artifices non triviaux qui, s'ils ne sont pas correctement utilisés, peuvent pénaliser les performances globales du NIDS. Cette thèse vise alors à pallier en partie cette limitation en ajoutant aux NIDS des capacités de suivi d'état des protocoles de communication. Un tel suivi d'état permettrait d'offrir un contexte à chaque paquet, grâce à une historisation des échanges réseaux sous la forme d'états cohérents au sein de sessions d'un protocole de communication. En plus du contexte d'un paquet, un tel suivi d'état des protocoles permettrait d'identifier toute déviation au modèle du protocole et ainsi de détecter des anomalies. Pour explorer cette piste, cette thèse propose d'étudier les deux objectifs suivants:- Réaliser un état de l'art sur les NIDS et la modélisation de protocole: les travaux similaires, identifier les langages, vérifier que le suivi d'état est pertinent. Expérimenter cette piste de suivi d'état des protocoles à l'aide d'un prototype.- Définir une méthode d'inférence d'un modèle de protocole à partir d'un jeu de données. Enfin, l'état de l'art montre que, par rapport aux systèmes d'information tertiaires, les systèmes d'information industriels disposent d'un besoin accru en surveillance et que le suivi d'état et plus globalement les méthodes de détection par comportement sont plus efficaces. Un focus sera donc fait sur les cas d'usage industriels. L'état de l'art sur les NIDS en général et sur la modélisation de protocole met en évidence la pertinence d'un suivi d'état et de positionner notre proposition de suivi d'état au sein d'un NIDS parmi les moteurs de détection d'anomalie par spécification de protocole (behavior-specification-based). Il a aussi permis d'identifier plusieurs langages de modélisation tels que les ASTD (Algebraic State Transition Diagrams), les Statecharts de Harel ou LOTOS. Une nouvelle méthode d'inférence d'un modèle de protocole est proposée. Elle consiste à dériver un modèle de protocole existant en le confrontant à un cas d'usage représenté par un jeu de données, afin de définir un nouveau modèle, spécialisé sur un cas d'usage. Un prototype a été développé et une expérimentation a été réalisée à l'aide du protocole POP3.Enfin, un paradoxe a été constaté lors de l'état de l'art: depuis près de 20 ans, la littérature scientifique sur les IDS s'est essentiellement concentrée sur les méthodes basées sur les anomalies et démontre des résultats bien meilleurs que les méthodes basées sur les signatures. Or actuellement sur le marché, il n'y a que très peu de solutions s'appuyant sur des méthodes basées sur les anomalies. Ainsi, de façon connexe aux objectifs principaux de la thèse, une étude complémentaire a été réalisée et propose trois nouveaux critères de comparaison des IDS qui pourraient expliquer la faible adoption des méthodes basées sur les anomalies : la qualité d'explication des moteurs de détection, la qualité et la richesse des bases de connaissances, la facilité d'utilisation.

This thesis is positioned in the context of network intrusion detection systems (NIDS). It starts from the observation that the vast majority of NIDS have a static view of network exchanges: they analyze network packets without taking into account previous packet exchanges. This static view limits their ability to detect attacks that occur over time and involve multiple network packets. There are obviously NIDS capable of detecting attacks spread over several packets, but this is generally achieved using non-trivial tricks which, if not used correctly, can penalize the overall performance of the NIDS.This thesis then aims to partially overcome this limitation by adding state tracking capabilities of communication protocols to NIDS. Such state tracking would provide a context for each packet, thanks to a history of network exchanges in the form of coherent states within sessions of a communication protocol. In addition to the context of a packet, such state tracking of protocols would identify any deviation from the protocol model and thus detect anomalies.To explore this path, this thesis proposes to study the following two objectives:- Carry out a state of the art on NIDS and protocol modeling: similar works, identify languages, verify that state tracking is relevant. Experiment this path of protocol state tracking using a prototype.- Define a method of inferring a protocol model from a dataset.Finally, the state of the art shows that, compared to tertiary information systems, industrial information systems have an increased need for surveillance and that state tracking and more generally behavior detection methods are more effective. A focus will therefore be made on industrial use cases.The state of the art highlights the relevance of state monitoring and positions our state monitoring proposal within a NIDS among the anomaly detection engines by protocol specification (behavior-specification-based). It also identified several modeling languages such as ASTD (Algebraic State Transition Diagrams), Harel's Statecharts or LOTOS.A functional prototype of protocol state monitoring has been developed. It consists of an extension plugin for the open source NIDS Zeek. The industrial communication protocols ModbusTCP and ISO 60870-5-104 have been modeled. The modeling language used relies on Harel's Statecharts, notably using the standard SCXML format. Experimentations validated the proper functioning of state monitoring confirmed that any deviation from the model does indeed generate an anomaly and proposed additional context to the packet for the detection engine.A new method of inferring a protocol model is proposed. It consists of deriving an existing protocol model by confronting it with a use case represented by a dataset, in order to define a new model, specialized on a use case. A prototype was developed and an experiment was carried out using the POP3 protocol.Finally, a paradox was observed during the state of the art: for nearly 20 years, scientific literature on IDS has mainly focused on anomaly-based methods and demonstrates much better results than signature-based methods. But currently on the market, there are very few solutions based on anomaly-based methods. Thus, in connection with the main objectives of the thesis, a complementary study has been done and proposes three new IDS comparison criteria that could explain the low adoption of anomaly-based methods: the quality of explanation of detection engines, the quality and richness of knowledge bases and ease of use.