Une approche formelle pour la détection d'intrusion et la corrélation d'alertes

Abstract

La sécurité des systèmes informatiques est une nécessité devant les attaques qui deviennent de plus en plus sophistiquée. Malheureusement, les attaques ne viennent pas seulement de l’extérieur mais aussi de l’intérieur du réseau, d’où la nécessité d’une politique de sécurité bien définie. Les systèmes de détection d’intrusions forment un mécanisme de sécurité avancée, où la majorité des organisations ont déployé les IDSs dans leur politique de sécurité. Les IDSs nécessitent l’intervention d’un administrateur de sécurité afin d’analyser les alertes générées. Ce pendant, parmi les limites des IDSs est le nombre ingérable des alertes qui inclut un taux de faux positifs élevé ce qui empêche l’administrateur de sécurité d’analyser les vraies attaques. Dans le cadre de cette thèse, nous proposons une approche formelle à base de la logique de description non monotone J_classicjk. L’approche proposée se base sur une ontologie qui permet de représenter les informations contextuelles de façon à découvrir les vulnérabilités exploitées par l’attaquant. Le principe de cette approche repose sur le fait que certaines attaques exploitent des vulnérabilités bien spécifiques. Ces dernières existent dans un contexte bien défini où le changement de ce contexte implique la disparition de la vulnérabilité ou l’apparition d’autres. De ce point, l’administrateur de sécurité doit analyser en premier lieu les alertes pertinentes. L’approche est évaluée en utilisant une instance de l’attaque Island hopping qu’on a généré afin de générer un trafic réseau qui contient différents contextes. En outre, l’approche est évaluée sur le premier scénario LLDDOS1.0 de la base DARPA2000. D’après l’observation des résultats obtenus, notre approche représente une solution efficace pour réduire le nombre de fausses alertes permettant de traiter le changement du contexte de façon dynamique. Ainsi, nous considérons ce modèle comme un outil complémentaire au système de détection d’intrusion.