Intrusion Detection from Heterogenous Sensors

De nos jours, la protection des systèmes et réseaux informatiques contre différentes attaques avancées et distribuées constitue un défi vital pour leurs propriétaires. L'une des menaces critiques à la sécurité de ces infrastructures informatiques sont les attaques réalisées par des individus dont les intentions sont malveillantes, qu'ils soient situés à l'intérieur et à l'extérieur de l'environnement du système, afin d'abuser des services disponibles, ou de révéler des informations confidentielles. Par conséquent, la gestion et la surveillance des systèmes informatiques est un défi considérable considérant que de nouvelles menaces et attaques sont découvertes sur une base quotidienne. Les systèmes de détection d'intrusion, Intrusion Detection Systems (IDS) en anglais, jouent un rôle clé dans la surveillance et le contrôle des infrastructures de réseau informatique. Ces systèmes inspectent les événements qui se produisent dans les systèmes et réseaux informatiques et en cas de détection d'activité malveillante, ces derniers génèrent des alertes afin de fournir les détails des attaques survenues. Cependant, ces systèmes présentent certaines limitations qui méritent d'être adressées si nous souhaitons les rendre suffisamment fiables pour répondre aux besoins réels. L'un des principaux défis qui caractérise les IDS est le grand nombre d'alertes redondantes et non pertinentes ainsi que le taux de faux-positif générés, faisant de leur analyse une tâche difficile pour les administrateurs de sécurité qui tentent de déterminer et d'identifier les alertes qui sont réellement importantes. Une partie du problème réside dans le fait que la plupart des IDS ne prennent pas compte les informations contextuelles (type de systèmes, applications, utilisateurs, réseaux, etc.) reliées à l'attaque. Ainsi, une grande partie des alertes générées par les IDS sont non pertinentes en ce sens qu'elles ne permettent de comprendre l'attaque dans son contexte et ce, malgré le fait que le système ait réussi à correctement détecter une intrusion. De plus, plusieurs IDS limitent leur détection à un seul type de capteur, ce qui les rend inefficaces pour détecter de nouvelles attaques complexes. Or, ceci est particulièrement important dans le cas des attaques ciblées qui tentent d'éviter la détection par IDS conventionnels et par d'autres produits de sécurité. Bien que de nombreux administrateurs système incorporent avec succès des informations de contexte ainsi que différents types de capteurs et journaux dans leurs analyses, un problème important avec cette approche reste le manque d'automatisation, tant au niveau du stockage que de l'analyse. Afin de résoudre ces problèmes d'applicabilité, divers types d'IDS ont été proposés dans les dernières années, dont les IDS de type composant pris sur étagère, commercial off-the-shelf (COTS) en anglais, qui sont maintenant largement utilisés dans les centres d'opérations de sécurité, Security Operations Center (SOC) en anglais, de plusieurs grandes organisations. D'un point de vue plus général, les différentes approches proposées peuvent être classées en différentes catégories : les méthodes basées sur l'apprentissage machine, tel que les réseaux bayésiens, les méthodes d'extraction de données, les arbres de décision, les réseaux de neurones, etc., les méthodes impliquant la corrélation d'alertes et les approches fondées sur la fusion d'alertes, les systèmes de détection d'intrusion sensibles au contexte, les IDS dit distribués et les IDS qui reposent sur la notion d'ontologie de base. Étant donné que ces différentes approches se concentrent uniquement sur un ou quelques-uns des défis courants reliés aux IDS, au meilleure de notre connaissance, le problème dans son ensemble n'a pas été résolu. Par conséquent, il n'existe aucune approche permettant de couvrir tous les défis des IDS modernes précédemment mentionnés. Par exemple, les systèmes qui reposent sur des méthodes d'apprentissage machine classent les événements sur la base de certaines caractéristiques en fonction du comportement observé pour un type d'événements, mais ils ne prennent pas en compte les informations reliées au contexte et les relations pouvant exister entre plusieurs événements. La plupart des techniques de corrélation d'alerte proposées ne considèrent que la corrélation entre plusieurs capteurs du même type ayant un événement commun et une sémantique d'alerte similaire (corrélation homogène), laissant aux administrateurs de sécurité la tâche d'effectuer la corrélation entre les différents types de capteurs hétérogènes. Pour leur part, les approches sensibles au contexte n'emploient que des aspects limités du contexte sous-jacent. Une autre limitation majeure des différentes approches proposées est l'absence d'évaluation précise basée sur des ensembles de données qui contiennent des scénarios d'attaque complexes et modernes. À cet effet, l'objectif de cette thèse est de concevoir un système de corrélation d'événements qui peut prendre en considération plusieurs types hétérogènes de capteurs ainsi que les journaux de plusieurs applications (par exemple, IDS/IPS, pare-feu, base de données, système d'exploitation, antivirus, proxy web, routeurs, etc.). Cette méthode permettra de détecter des attaques complexes qui laissent des traces dans les différents systèmes, et d'incorporer les informations de contexte dans l'analyse afin de réduire les faux-positifs. Nos contributions peuvent être divisées en quatre parties principales : 1) Nous proposons la Pasargadae, une solution complète sensible au contexte et reposant sur une ontologie de corrélation des événements, laquelle effectue automatiquement la corrélation des événements par l'analyse des informations recueillies auprès de diverses sources. Pasargadae utilise le concept d'ontologie pour représenter et stocker des informations sur les événements, le contexte et les vulnérabilités, les scénarios d'attaques, et utilise des règles d'ontologie de logique simple écrites en Semantic Query-Enhance Web Rule Language (SQWRL) afin de corréler diverse informations et de filtrer les alertes non pertinentes, en double, et les faux-positifs. 2) Nous proposons une approche basée sur, méta-événement , tri topologique et l‘approche corrélation d‘événement basée sur sémantique qui emploie Pasargadae pour effectuer la corrélation d'événements à travers les événements collectés de plusieurs capteurs répartis dans un réseau informatique. 3) Nous proposons une approche alerte de fusion basée sur sémantique, contexte sensible, qui s‘appuie sur certains des sous-composantes de Pasargadae pour effectuer une alerte fusion hétérogène recueillies auprès IDS hétérogènes. 4) Dans le but de montrer le niveau de flexibilité de Pasargadae, nous l'utilisons pour mettre en oeuvre d'autres approches proposées d‘alertes et de corrélation d‘événements. La somme de ces contributions représente une amélioration significative de l'applicabilité et la fiabilité des IDS dans des situations du monde réel. Afin de tester la performance et la flexibilité de l'approche de corrélation d'événements proposés, nous devons aborder le manque d'infrastructures expérimental adéquat pour la sécurité du réseau. Une étude de littérature montre que les approches expérimentales actuelles ne sont pas adaptées pour générer des données de réseau de grande fidélité. Par conséquent, afin d'accomplir une évaluation complète, d'abord, nous menons nos expériences sur deux scénarios d'étude d‘analyse de cas distincts, inspirés des ensembles de données d'évaluation DARPA 2000 et UNB ISCX IDS. Ensuite, comme une étude déposée complète, nous employons Pasargadae dans un vrai réseau informatique pour une période de deux semaines pour inspecter ses capacités de détection sur un vrai terrain trafic de réseau. Les résultats obtenus montrent que, par rapport à d'autres améliorations IDS existants, les contributions proposées améliorent considérablement les performances IDS (taux de détection) tout en réduisant les faux positifs, non pertinents et alertes en double.