Utilisation de méthodes hybrides pour la détection d'intrusion paramétrée par la politique de sécurité reposant sur le suivi des flux d'information
Abstract
Les systèmes d'information sont de nos jours de plus en plus confrontés à de nombreux risques menaçant leur sécurité. La protection de ces systèmes suppose, dans un premier temps, de définir une politique de sécurité exprimant les besoins en terme de confidentialité, intégrité et disponibilité des biens et services puis, dans un second temps, de mettre en oeuvre cette politique. Généralement, des mécanismes d'authentication et de contrôles d'accès sont déployés pour la mise en oeuvre de la politique de sécurité. Ils vérifient d'abord l'identité des utilisateurs puis s'assurent que ces derniers ont bien les autorisations nécessaires pour accéder aux ressources du système. Cependant, il est important de noter que ces approches préventives ne sont pas toujours suffisantes pour garantir les propriétés de sécurité. Elles nécessitent la vérification et le contrôle des actions des utilisateurs afin de s'assurer a posteriori que la politique est bien respectée. Intervient alors la détection d'intrusion qui n'est autre que la détection des violations de la politique de sécurité [And80]. Plusieurs modèles de systèmes de détection d'intrusion (IDS) ont été proposés depuis les travaux séminaux d'Anderson [FHS97, SCS98, KR02, ZMB03, HMZ+07]. Certaines approches, dites par scénarios, se basent sur une connaissance a priori des attaques contre le système. D'autres, dites comportementales, définissent plutôt le comportement de référence du système. Ces approches comportementales ont l'avantage de pouvoir détecter même des attaques nouvelles contrairement aux approches par scénarios. Dans le cadre de ce stage, nous nous intéressons en particulier à un modèle comportemental de détection d'intrusion, paramétré par la politique de sécurité et reposant sur le suivi du flux d'information. Ce modèle proposé par le laboratoire SSIR, a été implémenté au niveau du système d'exploitation Linux. Une deuxième implémentation a ensuite été réalisée au niveau de la machine virtuelle Java (JVM). Cette seconde implémentation (JBlare) s'intègre avec la première (Blare) et permet d'assurer un suivi dynamique du flux d'information à différents niveaux selon les applications. L'objectif de ce stage est d'étudier les techniques d'analyse statique qui pourraient être mises en oeuvre pour le suivi des flux d'information au niveau des programmes Java afin de diminuer l'impact de l'analyse dynamique et améliorer la précision du suivi.
Loading...