Classification non supervisée de cyberattaques par inspection de paquets

Lorsqu’un système informatique subit une cyberattaque, il peut être important pour l’organisation attaquée d’avoir des informations sur l’attaquant et sur l’attaque en cours. En effet, en ayant une bonne connaissance du cyberattaquant et de la cyberattaque que ce dernier souhaite réaliser, il est possible d’effectuer une analyse de risques pertinente et de construire une réaction défensive adaptée à l’attaque en cours. Cette classification se doit d’être automatique, en raison du nombre important de cybermenaces auquel un système informatique peut être confronté ; il serait déraisonnable d’essayer de classifier manuellement des centaines, des milliers et parfois même des millions de potentielles menaces qu’un système informatique peut subir quotidiennement. Il s’agit donc de réaliser une classification automatique de cyberattaquants et de cyberattaque. Le sujet de nos travaux présentés dans ce mémoire porte plus précisément sur la classification de cyberattaques. La classification de cyberattaques proposée sera la base d’un projet plus ample, qui réutilisera ce travail afin de construire une classification de cyberattaquants. Pour réaliser cette classification, il est compliqué de trouver des données représentatives de l’ensemble de la population cybercriminelle, car les entreprises ne divulguent pas publiquement les données des cybermenaces qu’elles subissent quotidiennement. Cependant, nous avons eu la chance de réaliser nos travaux de recherche en coopération avec l’entreprise Thales Digital Solutions, qui a mis à disposition une base de données non labellisées très pertinente pour notre objectif. Ce travail de recherche emploie alors des techniques d’apprentissage non supervisées afin de construire un modèle utilisable sur des données non labellisées. L’objectif est alors d’isoler des ensembles de données représentant différents types d’attaques dans des partitions séparées. Idéalement, on cherche donc à isoler un type d’attaque dans une partition. Ainsi, lorsqu’on a accès à de nouvelles données en temps réel, on peut leur attribuer une partition, ce qui revient à les classifier. Ceci facilite alors le travail des analystes qui ont pour but d’analyser des quantités importantes de trafic malveillant. Le modèle qui a été développé dans nos travaux de recherche a la particularité de ne s’appliquer qu’à un protocole à la fois, ce qui permet d’accéder au contenu des paquets (inspection approfondie), plutôt que de se baser uniquement sur les métadonnées de ces paquets. Dans nos travaux, le modèle a été appliqué aux protocoles Hypertext Transfer Protocol (HTTP) et Secure SHell (SSH). Afin de valider ce modèle, il s’agit de l’appliquer dans un premier temps sur des jeux de données labellisées publics. Il sera alors possible d’utiliser des métriques pour évaluer la précision du modèle, pour l’appliquer par la suite aux données non supervisées fournies par notre partenaire industriel. Ainsi, trois jeux de données labellisées différents ont été utilisés pour valider notre modèle. La validation s’est faite uniquement sur des attaques web. Avec un des jeux de données les plus utilisés dans la littérature, notre modèle a réussi à parfaitement classifier chacune des attaques. Bien que les scores permettant d’évaluer la performance de notre modèle soient moins élevés pour les deux autres jeux de données, les résultats obtenus sont tout de même très pertinents une fois interprétés. Le travail sur les données de notre partenaire industriel a révélé qu’une très grande majorité des données sont relatives à du trafic automatisé. Ce type de trafic ne comporte pas réellement de cyberattaques complexes. Néanmoins, notre classification apporte une certaine compréhension de ces données. Cette classification peut ainsi servir de base pour d’autres travaux. Il est par exemple possible d’utiliser des techniques de corrélation sur notre classification afin de détecter des scénarios de cyberattaques complexes. On pourrait aussi utiliser cette classification afin d’augmenter la précision de certaines classifications de cyberattaquants existantes. Mais afin d’utiliser notre modèle en temps réel, il faudrait l’optimiser pour améliorer sa vitesse d’exécution.