Évaluation d'infrastructures sémantiques à large échelle pour la détection d'intrusion dans un centre d'opérations et de sécurité de l'information

Pour répondre à la croissance de la menace en cybersécurité, les entreprises, particulièrement les institutions financières, centralisent les ressources humaines et technologiques de sécurité dans un Security Operations Center (SOC).Cependant, le volume important d'informations à traiter par les analystes ne fait que retarder le temps de réponse en cas d'incidents. Pour accompagner les analystes de sécurité dans leur investigation, de nombreux outils analytiques ont été développés. Néanmoins, ces outils n'o˙rent pas les meilleures performances quand il s'agit de nouvelles menaces.Une des solutions étudiées est l'utilisation d'ontologies pour renforcer les capacités analytiques des analystes de sécurité. En créant un système expert s'appuyant sur l'ontologie et ses propriétés sémantiques, on pourrait améliorer la mise en relation d'événements et d'entités dans le SOC et ainsi améliorer la corrélation d'événements.Cette approche serait prometteuse si les bases de données RDF (Resource Description Fra-mework) ont la capacité de traiter en temps raisonnable les volumes de données transitant dans le SOC. C'est le sujet de notre recherche. Nous avons d'abord répertorié les caracté-ristiques pertinentes des bases de données de graphe dans le contexte d'un SOC.

Abstract

To respond to the growing cyber threat, companies, particularly financial institutions, are centralising human and technological security resources in a Security Operations Center (SOC).However, the large amount of information to be processed by the analysts only delays the incident response time. To assist security analysts in their investigation, many analytical tools have been developed. However, these tools do not o˙er the best performance when it comes to new threats.One of the solutions studied is the use of ontologies to reinforce the analytical capabilities of security analysts. By creating an expert system based on ontology and its semantic properties, one could improve the relationships between events and entities in the SOC and thus improve event correlation.This approach would be promising if RDF (Resource Description Framework) stores have the capacity to handle the volumes of data passing through the SOC in a reasonable time. This is the subject of our research. We first identified the relevant characteristics of graph databases in the context of a SOC. By relating these characteristics to the needs of di˙erent levels of security analysts in the SOC, we propose a decision guide for the choice of the RDF store according to the scenario.