1 / 10

DADDi D ependable A nomaly D etection with Di agnosis ACISI 2004

DADDi D ependable A nomaly D etection with Di agnosis ACISI 2004. Partenaires. GET/ENST Bretagne, équipe SERES IRISA, projet ADEPT France Télécom R&D Supélec, équipe SSIR (EA 4039) Univ. d’Artois, CRIL (Centre de Recherche en Informatique de Lens). Deux grandes approches de détection.

ganit
Download Presentation

DADDi D ependable A nomaly D etection with Di agnosis ACISI 2004

An Image/Link below is provided (as is) to download presentation Download Policy: Content on the Website is provided to you AS IS for your information and personal use and may not be sold / licensed / shared on other websites without getting consent from its author. Content is provided to you AS IS for your information and personal use only. Download presentation by click this link. While downloading, if for some reason you are not able to download a presentation, the publisher may have deleted the file from their server. During download, if you can't get a presentation, the file might be deleted by the publisher.

E N D

Presentation Transcript

  1. DADDiDependable Anomaly Detectionwith DiagnosisACISI 2004 Réunion du 22 mai 2007

  2. Partenaires • GET/ENST Bretagne, équipe SERES • IRISA, projet ADEPT • France Télécom R&D • Supélec, équipe SSIR (EA 4039) • Univ. d’Artois, CRIL (Centre de Recherche en Informatique de Lens) Réunion du 22 mai 2007

  3. Deux grandes approchesde détection • Approche par scénarios • Définition de modèles d’attaque (signatures) • Recherche de signatures • Approche comportementale • Définition de modèles de comportement « normaux » • Recherche de déviations par rapport à cette norme • Détection potentielle de nouvelles attaques Réunion du 22 mai 2007

  4. Nos objectifs Détection sûre de fonctionnement de nouvelles formes d’intrusions • Améliorer les approches comportementales à modèle de comportement explicite • Proposer une approche à modèle implicite • Etudier la sûreté de fonctionnement de l’IDS en lui apportant des propriétés de tolérance aux intrusions • Diagnostiquer la cause des anomalies signalées Réunion du 22 mai 2007

  5. Tâches • Choix des attributs • IDS à modèle explicite • IDS à modèle implicite • Sûreté de fonctionnement de l’IDS • Diagnostic des alertes Réunion du 22 mai 2007

  6. Echéances • Mai 2005 : démarrage • Fin prévue : mai 2008 • Rapport d’avancement publié en juin 2006 • Objectif de la tâche 4 légèrement revu • 4 livrables publiés en février 2007 (tâches 1 à 4, rapports) • Rapport d’avancement dû en juin 2007 ? • Choix des attributs pour le diag… • 4 protos et 1 livrable dûs en mai 2008(tâches 1 à 4 : protos ; tâche 5 : rapport) Réunion du 22 mai 2007

  7. Risques et Impacts potentiels • Risques • Diagnostic : • possible ? • Lien tâche 1 - tâche 5 • Lien tâche 1 - tâche 2 pour la détection de nouvelles attaques • Modèle implicite : masquage des différences normales • Sûreté de l’IDS : impact sur les perf. • Impacts • IDS comportemental sûr de fnt et avec diag • Protos libres Réunion du 22 mai 2007

  8. Agenda • 9h30- Choix des attributs et modèles implicitesSalem Benferhat et Sylvain Gombault • 10h30- Pause • 11h00- Détection et diagnostic d'anomaliesFrédéric Majorczyk • 11h30- Disponibilité de l'IDSMichel Hurfin • 12h00- Suite du projetLudovic Mé • 12h30 repas Réunion du 22 mai 2007

  9. Suite du projet • Finalisation des protos / publications • Manip. globale : • Deux semaines complètes de trafic normal (85 Go de data) • Ces logs ne contiennent pas : http sortant, tout ce qui passe en smtp (pop3 et imap) • Attaques : logs tcpdump d'attaques contre une application web (4 attaques, 16 Mo) • Intégration des logs d'attaques dans les logs normaux à étudier Réunion du 22 mai 2007

  10. Manip. globale Méthode explicite Apprentissage Capture trafic réel Fusion Attaques contre serveurs web Méthodeexplicite Comparaison EvaluationComparative Méthodeimplicite Extraction HTTP Réunion du 22 mai 2007

More Related