Models’ federation for cybersecurity analysis from an attacker's viewpoint - Archive ouverte HAL Access content directly
Theses Year : 2021

Models’ federation for cybersecurity analysis from an attacker's viewpoint

Fédération de modèles pour l’analyse de cybersécurité du point de vue d’un attaquant

(1)
1

Abstract

Cybersecurity encompasses multiple problem areas. One of those, "Cyber Threat Analysis" (CTA), intersects various domains, system modeling, attacker modeling and threat description, where each one evolves independently. CTA is covered by multiple approaches, such as penetration testing or fault injection testing. To consider a-priori analysis methods, models are required. In this manuscript, we focus on the attacker viewpoint modeling approaches. Abundance of cybersecurity's standards must be taken into account in our work. Indeed, using various Domain Specific Modeling Languages (DSMLs), the CTA's experts describe their models in a language relevant to their problem area.In this modeling context, we must consider several open research questions. Firstly, how to address the interoperability problem between heterogeneous DSMLs. Secondly, how to handle, in our modeling context, the evolving nature of CTA's methods and knowledge due to the effervescence of the research domain. To tackle these issues, in this manuscript we propose a role-based federation approach to create dynamic and adaptive attacker's viewpoints linked to existing source models. First, we define and model the attacker's viewpoint in a CTA context. Based on cybersecurity standards as source models, our definition covers all attacker's concerns in this scope. To take into account the necessity to adapt and to evolve this definition, we propose a modeling framework based on several viewpoints representing different concerns. Additionally, we construct viewpoints on viewpoints in order to represent specific concerns or interpret specific attacker behavior. Then, we present our modeling language to express viewpoints, named Role4All. The concept of role is central to our approach, allowing us to represent and to federate various DSMLs in order to generate viewpoints. Interoperability between the domain models is crucial to apply dedicated algorithms and interpretations on the attacker's viewpoints. In our work, dedicated viewpoints are used by security analysis tools to simulate attacks on a system. A case study on development and on interpretation of attacker's viewpoint validates our approach. Our case study is based on the federation of multiple domain models describing, as an example, vulnerability definition, architectures description or configuration management. In particular, we highlight the use of roles to dynamically adapt attacker's perception on the attacked system.
La cybersécurité est un domaine de recherche très étendu qui couvre de nombreux aspects. L’un d’entre eux, la modélisation et l’analyse de menaces, regroupe différents domaines qui évoluent indépendamment les uns des autres : la modélisation de systèmes, la modélisation d’attaquants et la description de menaces. Il existe un grand nombre d’approches dédiées à la modélisation et à l’analyse de la menace, telles que, des tests de pénétration ou des tests d’injection de fautes. Cependant, si l’on souhaite utiliser des approches d’analyses proactives, il est nécessaire d’utiliser des modèles pour raisonner sur ceux-ci. Dans ce manuscrit, nous nous concentrons sur l’une de ces approches : la modélisation du point de vue d’un attaquant. La littérature autour de la cybersécurité comporte un grand nombre de normes et de standards qui doivent être pris en considération dans nos travaux. Cette prolifération de solutions est particulièrement notable lorsque des experts, soumis à des problématiques spécifiques, décrivent différents modèles pour un même système. Et ce, à l’aide de langages de modélisation spécifiques à leurs domaines (DSML).Dans ce contexte de modélisation, nous devons considérer plusieurs questions de recherche, premièrement, comment résoudre le problème d’interopérabilité entre des DSMLs hétérogènes, et deuxièmement, comment gérer, dans notre contexte de modélisation, la nature évolutive des méthodes et des connaissances propres à ce domaine de recherche. Pour résoudre ces problématiques, nous proposons dans ce manuscrit une approche de fédération fondée sur les rôles. Cette dernière permet de créer des points de vue d’attaquants qui sont dynamiques, adaptatifs et en lien avec les modèles existants. Tout d’abord, nous définissons et modélisons le point de vue d’un attaquant dans le domaine de modélisation et d’analyse de la menace. La définition proposée découle des normes et des standards de la cybersécurité, elle couvre, l’ensemble des préoccupations d’un attaquant dans notre domaine d’étude. Pour tenir compte de la nécessité d’adapter et de faire évoluer notre définition, nous proposons un cadre de modélisation basé sur plusieurs points de vue représentant différents ensembles de préoccupations. De plus, nous permettons la construction de points de vue sur des points de vue, cette fonctionnalité est utilisée pour représenter des préoccupations spécifiques et pour interpréter le comportement d’un attaquant spécifique. Par la suite, nous présentons Role4All, notre langage de modélisation de points de vue. Le concept de rôle est au coeur de notre approche, car il nous permet de générer des points de vue représentant et fédérant différents DSMLs. L’interopérabilité entre les modèles est indispensable pour appliquer des algorithmes et des interprétations sur le point de vue d’un attaquant. C’est pourquoi, dans notre approche, des points de vue dédiés sont utilisés par des outils d’analyse de sécurité afin de fédérer les informations nécessairespour simuler des attaques sur un système. Nous validons notre approche au travers d’une étude de cas sur le développement et l’interprétation du point de vue d’un attaquant. Cette étude est basée sur la fédération de nombreux modèles décrivant, par exemple, des vulnérabilités, des architectures ou des configurations. En particulier, nous mettons en évidence l’utilisation des rôles pour adapter dynamiquement la perception qu’un attaquant à d’un système.
Fichier principal
Vignette du fichier
2021_bastien_drouot.pdf (5.2 Mo) Télécharger le fichier
Origin : Version validated by the jury (STAR)

Dates and versions

tel-03421082 , version 1 (09-11-2021)

Identifiers

  • HAL Id : tel-03421082 , version 1

Cite

Bastien Drouot. Fédération de modèles pour l’analyse de cybersécurité du point de vue d’un attaquant. Génie logiciel [cs.SE]. ENSTA Bretagne - École nationale supérieure de techniques avancées Bretagne, 2021. Français. ⟨NNT : 2021ENTA0003⟩. ⟨tel-03421082⟩
138 View
103 Download

Share

Gmail Facebook Twitter LinkedIn More