100 likes | 203 Views
DADDi D ependable A nomaly D etection with Di agnosis ACISI 2004. Partenaires. GET/ENST Bretagne, équipe SERES IRISA, projet ADEPT France Télécom R&D Supélec, équipe SSIR (EA 4039) Univ. d’Artois, CRIL (Centre de Recherche en Informatique de Lens). Deux grandes approches de détection.
E N D
DADDiDependable Anomaly Detectionwith DiagnosisACISI 2004 Réunion du 22 mai 2007
Partenaires • GET/ENST Bretagne, équipe SERES • IRISA, projet ADEPT • France Télécom R&D • Supélec, équipe SSIR (EA 4039) • Univ. d’Artois, CRIL (Centre de Recherche en Informatique de Lens) Réunion du 22 mai 2007
Deux grandes approchesde détection • Approche par scénarios • Définition de modèles d’attaque (signatures) • Recherche de signatures • Approche comportementale • Définition de modèles de comportement « normaux » • Recherche de déviations par rapport à cette norme • Détection potentielle de nouvelles attaques Réunion du 22 mai 2007
Nos objectifs Détection sûre de fonctionnement de nouvelles formes d’intrusions • Améliorer les approches comportementales à modèle de comportement explicite • Proposer une approche à modèle implicite • Etudier la sûreté de fonctionnement de l’IDS en lui apportant des propriétés de tolérance aux intrusions • Diagnostiquer la cause des anomalies signalées Réunion du 22 mai 2007
Tâches • Choix des attributs • IDS à modèle explicite • IDS à modèle implicite • Sûreté de fonctionnement de l’IDS • Diagnostic des alertes Réunion du 22 mai 2007
Echéances • Mai 2005 : démarrage • Fin prévue : mai 2008 • Rapport d’avancement publié en juin 2006 • Objectif de la tâche 4 légèrement revu • 4 livrables publiés en février 2007 (tâches 1 à 4, rapports) • Rapport d’avancement dû en juin 2007 ? • Choix des attributs pour le diag… • 4 protos et 1 livrable dûs en mai 2008(tâches 1 à 4 : protos ; tâche 5 : rapport) Réunion du 22 mai 2007
Risques et Impacts potentiels • Risques • Diagnostic : • possible ? • Lien tâche 1 - tâche 5 • Lien tâche 1 - tâche 2 pour la détection de nouvelles attaques • Modèle implicite : masquage des différences normales • Sûreté de l’IDS : impact sur les perf. • Impacts • IDS comportemental sûr de fnt et avec diag • Protos libres Réunion du 22 mai 2007
Agenda • 9h30- Choix des attributs et modèles implicitesSalem Benferhat et Sylvain Gombault • 10h30- Pause • 11h00- Détection et diagnostic d'anomaliesFrédéric Majorczyk • 11h30- Disponibilité de l'IDSMichel Hurfin • 12h00- Suite du projetLudovic Mé • 12h30 repas Réunion du 22 mai 2007
Suite du projet • Finalisation des protos / publications • Manip. globale : • Deux semaines complètes de trafic normal (85 Go de data) • Ces logs ne contiennent pas : http sortant, tout ce qui passe en smtp (pop3 et imap) • Attaques : logs tcpdump d'attaques contre une application web (4 attaques, 16 Mo) • Intégration des logs d'attaques dans les logs normaux à étudier Réunion du 22 mai 2007
Manip. globale Méthode explicite Apprentissage Capture trafic réel Fusion Attaques contre serveurs web Méthodeexplicite Comparaison EvaluationComparative Méthodeimplicite Extraction HTTP Réunion du 22 mai 2007