Apports de la prise d'empreinte à la détection d'intrusion

Contribution of fingerprinting to intrusion detection

• Auteur / Autrice : Clément Parssegny
• Direction : Hervé Debar
• Type : Projet de thèse
• Discipline(s) : Informatique, données, IA
• Date : Inscription en doctorat le 01/10/2023
• Etablissement(s) : Institut polytechnique de Paris
• Ecole(s) doctorale(s) : École doctorale de l'Institut polytechnique de Paris
• Partenaire(s) de recherche : Laboratoire : SAMOVAR - Services répartis, Architectures, Modélisation, Validation, Administration des Réseaux

Mots clés

Mots clés libres

Détection d'intrusion

Apprentissage automatique

Prise d'empreinte

Analyse de réseaux

Intrusion detection

Machine learning

Fingerprinting

Network analysis

Résumé

Ces dernières décennies, le mouvement consistant à chiffrer (et authentifier) l'ensemble des communications transitant sur nos réseaux s'est amplifié. C'est une évolution positive du point de vue de la protection des données en transit, puisqu'elles sont moins exposées aux attaques informatiques, que ce soit en confidentialité ou en intégrité. Cependant, cette évolution a eu un impact important sur les capacités d'analyse des services en charge de la détection d'intrusion, puisque les flux chiffrés sont par nature censés être opaques à l'inspection. Il est donc nécessaire de repenser la manière de procéder pour détecter les intrusions dans nos systèmes. Une piste consiste à reposer sur des outils positionnés sur les équipements terminaux (par exemple les systèmes EDR Endpoint Detection & Response), mais il est également envisageable de continuer à travailler au niveau réseau via la prise d'empreinte (fingerprinting). Généralement, le fingerprinting repose sur une phase d'apprentissage avec un ensemble de piles maîtrisées, afin de produire une base de connaissance qui va ensuite être utilisée pour reconnaître les implémentations étudiées dans un contexte réel.

In recent decades, there has been a growing trend towards encrypting (and authenticating) all communications. This is a positive progress for protecting data in transit since it is less exposed to computer attacks, whether in terms of confidentiality or integrity. However, this development has had a significant impact on the analysis capabilities of intrusion detection services as encrypted flows are opaque to inspection. We therefore need to rethink the way we detect intrusions into systems. One way of doing this is to rely on tools installed on terminal equipments (e.g. EDR Endpoint Detection & Response systems), but it is also possible to continue working at network level via fingerprinting. Fingerprinting is usually based on a learning phase with a set of mastered stacks, in order to produce a knowledge base which can then be used to identify the studied implementations in a real context.