Optimisation de la sélection de techniques déceptives pour la sécurité et la cyber-résilience

Pour améliorer la cyber-résilience et la sécurité des systèmes informatiques, une possibilité est l’utilisation de stratégies déceptives telles que les stratégies de leurrage ou les stratégies de défense par cible mouvante (Moving Target Defense - MTD). Cependant, le coût de ses dernières et leur impact nécessite une optimisation de leur déploiement. Une première partie de notre travail fut la proposition d’un modèle de confrontation attaquant/ défenseur prenant en compte les différentes perceptions des joueurs ainsi que la différence de nature entre les effets des stratégies de leurrage et des stratégies de défense par cible mouvante. Il a ensuite fallu s’assurer que nous étions capables d’optimiser la sélection des stratégies déceptives dans un tel modèle. Pour cela, nous avons proposé un scénario d’attaquant basé sur la Cyber Kill Chain dont le but est de compromettre le système ; puis nous avons entraîné un agent défenseur à ralentir ou empêcher l’atteinte de cet objectif grâce à l’algorithme d’apprentissage profond par renforcement Deep Q-Network (DQN). Nos résultats montrent un ralentissement de l’attaquant face à notre agent défenseur entraîné en comparaison à des stratégies plus naïves telles l’utilisation récurrente de la même stratégie ou le choix aléatoire de la stratégie défensive. La seconde partie de notre travail fut de vérifier si l’optimisation de la sélection de techniques déceptives était toujours possible et efficace dans un environnement réel. Il a donc fallu déployer un environnement avec des stratégies MTD et de leurrage. Nous avons ensuite entraîné un agent attaquant à atteindre un objectif d’exfiltration de données sensibles dans cet environnement alors statique en déployant ou non des stratégies de leurrage. Pour cela, des contraintes sur ses observations nous ont obligé à utiliser un autre algorithme d’apprentissage profond par renforcement que DQN. Nous avons utilisé l’algorithme Proximal Policy Optimization (PPO). L’entraînement était efficace et nous avons pu observer l’influence des stratégies de leurrage. Nous avons ensuite entraîné un agent défenseur à contrer ou ralentir cet attaquant en déployant ses propres stratégies MTD ou de leurrage. Nos résultats montrent que les stratégies MTD sont très efficaces contre un agent attaquant habitué aux environnements statiques même lorsque l’intervalle d’action du défenseur est assez grand (50 actions de l’attaquant pour une action du défenseur). De cela, nous avons déduit que l’amélioration de l’agent défenseur passerait forcément par l’amélioration de l’agent attaquant notamment en adaptant sa perception et ses observations aux changements dans l’environnement.