Collecte, analyse et exploitation des flux de communication pour la détection de cyberattaques

Collection, analysis and harnessing of communication flows for cyber-attack detection.

• Auteur / Autrice : Almamy Toure
• Direction : Antoine Gallais, Thierry Delot, Youcef Imine
• Type : Thèse de doctorat
• Discipline(s) : Informatique et applications
• Date : Soutenance le 05/07/2024
• Etablissement(s) : Valenciennes, Université Polytechnique Hauts-de-France
• Ecole(s) doctorale(s) : École doctorale polytechnique Hauts-de-France (Valenciennes, Nord ; 2021-....)
• Partenaire(s) de recherche : Laboratoire : Laboratoire d'automatique, de mécanique et d'informatique industrielles et humaines (Valenciennes, Nord ; 1994-...)
• Partenaire(s) de recherche : Etablissement délivrant conjointement le doctorat : Institut national des sciences appliquées Hauts-de-France (Valenciennes, Nord ; 2019-....)
• Partenaire(s) de recherche : Entreprise : IBM France
• Jury : Président / Présidente : Nathalie Mitton
• Jury : Examinateurs / Examinatrices : Antoine Gallais, Thierry Delot, Youcef Imine, David Espès, Florence Sèdes, Frédérique Laforest
• Jury : Rapporteurs / Rapporteuses : David Espès, Florence Sèdes
• DOI : 10.70675/dc8d68e9z1669z4ce2z8ce7zeabb0d91db86

Mots clés

Mots clés contrôlés

Cyberdéfense

Systèmes informatiques -- Mesures de sûreté

Apprentissage profond

Télécommunications -- Trafic

Mesures de sûreté

Mots clés libres

Analyse des flux chiffrés

Détection d'attaques connues et zero-Day

Génération de données de synthèse

Apprentissage profond

Profilage et analyse comportementale

Automatisation de la détection d'attaques

Analysis of encrypted network flow

Known and Zero-Day Attacks Detection

Synthetic Data Generation

Deep Learning

Profiling and Behavioral Analysis

Attack Detection Automation

Résumé

La complexité croissante des cyberattaques, caractérisée par une diversification des techniques d'attaque, une expansion des surfaces d'attaque et une interconnexion croissante d'applications avec Internet, rend impérative la gestion du trafic réseau en milieu professionnel. Les entreprises de tous types collectent et analysent les flux réseau et les journaux de logs pour assurer la sécurité des données échangées et prévenir la compromission des systèmes d'information. Cependant, les techniques de collecte et de traitement des données du trafic réseau varient d'un jeu de données à l'autre, et les approches statiques de détection d'attaque présentent des limites d'efficacité et précision, de temps d'exécution et de scalabilité. Cette thèse propose des approches dynamiques de détection de cyberattaques liées au trafic réseau, en utilisant une ingénierie d'attributs basée sur les différentes phases de communication d'un flux réseau, couplée aux réseaux de neurones à convolution (1D-CNN) et leur feature detector. Cette double extraction permet ainsi une meilleure classification des flux réseau, une réduction du nombre d'attributs et des temps d'exécution des modèles donc une détection efficace des attaques. Les entreprises sont également confrontées à des cybermenaces qui évoluent constamment, et les attaques ''zero-day'', exploitant des vulnérabilités encore inconnues, deviennent de plus en plus fréquentes. La détection de ces attaques zero-day implique une veille technologique constante et une analyse minutieuse, mais coûteuse en temps, de l'exploitation de ces failles. Les solutions proposées garantissent pour la plupart la détection de certaines techniques d'attaque. Ainsi, nous proposons un framework de détection de ces attaques qui traite toute la chaîne d'attaque, de la phase de collecte des données à l'identification de tout type de zero-day, même dans un environnement en constante évolution. Enfin, face à l'obsolescence des jeux de données et techniques de génération de données existants pour la détection d'intrusion et à la nature figée, non évolutive, et non exhaustive des scénarios d'attaques récents, l'étude d'un générateur de données de synthèse adapté tout en garantissant la confidentialité des données est abordée. Les solutions proposées dans cette thèse optimisent la détection des techniques d'attaque connues et zero-day sur les flux réseau, améliorent la précision des modèles, tout en garantissant la confidentialité et la haute disponibilité des données et modèles avec une attention particulière sur l'applicabilité des solutions dans un réseau d'entreprise.

The increasing complexity of cyberattacks, characterized by a diversification of attack techniques, an expansion of attack surfaces, and growing interconnectivity of applications with the Internet, makes network traffic management in a professional environment imperative. Companies of all types collect and analyze network flows and logs to ensure the security of exchanged data and prevent the compromise of information systems. However, techniques for collecting and processing network traffic data vary from one dataset to another, and static attack detection approaches have limitations in terms of efficiency and precision, execution time, and scalability. This thesis proposes dynamic approaches for detecting cyberattacks related to network traffic, using feature engineering based on the different communication phases of a network flow, coupled with convolutional neural networks (1D-CNN) and their feature detector. This double extraction allows for better classification of network flows, a reduction in the number of attributes and model execution times, and thus effective attack detection. Companies also face constantly evolving cyber threats, and ''zero-day'' attacks that exploit previously unknown vulnerabilities are becoming increasingly frequent. Detecting these zero-day attacks requires constant technological monitoring and thorough but time-consuming analysis of the exploitation of these vulnerabilities. The proposed solutions guarantee the detection of certain attack techniques. Therefore, we propose a detection framework for these attacks that covers the entire attack chain, from the data collection phase to the identification of any type of zero-day, even in a constantly evolving environment. Finally, given the obsolescence of existing datasets and data generation techniques for intrusion detection, and the fixed, non-evolving, and non-exhaustive nature of recent attack scenarios, the study of an adapted synthetic data generator while ensuring data confidentiality is addressed. The solutions proposed in this thesis optimize the detection of known and zero-day attack techniques on network flows, improve the accuracy of models, while ensuring the confidentiality and high availability of data and models, with particular attention to the applicability of the solutions in a company network.