Resource-Aware Layered Intrusion Detection Allocation Model

Résumé Technique : Modèle d'Allocation de Détection d'Intrusion par Couches Sensible aux Ressources

Problématique

Dans les réseaux hétérogènes modernes, la détection d'intrusions ne peut plus se limiter à un seul point d'observation. Si l'inspection des couches supérieures (Transport, Application) permet de détecter des attaques sophistiquées (injections SQL, DDoS, détournement de session), elle impose un coût computationnel et de stockage nettement plus élevé que l'inspection des couches basses (Ethernet, IP). Le défi réside dans l'arbitrage entre la visibilité de détection et la limitation des ressources disponibles, tout en tenant compte de la diversité des équipements (serveurs critiques vs capteurs IoT contraints).

Méthodologie

Les auteurs proposent de modéliser ce problème comme un programme linéaire en nombres entiers (ILP). L'objectif est de déterminer la profondeur de surveillance optimale pour chaque dispositif du réseau.

1. Paramètres du modèle :

• Variables de décision ($y_{i,l}$) : Variable binaire indiquant si le dispositif $i$ est surveillé jusqu'à la couche $l$.
• Importance ($w_i$) et Probabilité d'attaque ($p_i$) : Chaque dispositif possède un poids basé sur sa valeur stratégique et son exposition aux risques.
• Taux de détection ($d_l$) : Un taux croissant selon la profondeur de la couche (ex: 20% en couche 1, 95% en couche 4).
• Coûts ($c_l$) : Un coût croissant lié à la complexité de l'inspection par couche.

2. Fonction Objectif :
Maximiser l'efficacité globale de la détection, définie par la somme pondérée de l'importance, de la probabilité d'attaque et du taux de détection pour chaque dispositif :
$$\max \sum_{i=1}^{n} \sum_{l=1}^{4} w_i p_i d_l y_{i,l}$$

3. Contraintes :

• Budget global ($R$) : La somme des coûts de surveillance ne doit pas dépasser les ressources disponibles.
• Unicité de la profondeur : Chaque dispositif ne peut être assigné qu'à un seul niveau de profondeur de surveillance.
• Dispositifs critiques ($C$) : Obligation d'un niveau de surveillance minimal ($\alpha$) pour les équipements vitaux (ex: routeurs, bases de données).
• Faisabilité technique ($F$) : Limitation du niveau de surveillance maximal ($\beta$) pour les appareils contraints (ex: capteurs IoT ne générant pas de trafic applicatif).

Contributions Clés

• Modélisation mathématique rigoureuse : Transformation d'un problème de gestion de sécurité réseau en un problème d'optimisation combinatoire.
• Approche multicritères : Intégration simultanée de la valeur de l'actif, du risque cyber, de la capacité technique des terminaux et des limites budgétaires.
• Gestion de l'hétérogénéité : Capacité du modèle à distinguer les besoins de surveillance d'un serveur de base de données de ceux d'un capteur IoT simple.

Résultats et Évaluation

Le modèle a été implémenté et résolu à l'aide du framework d'optimisation SCIP sur un réseau test de six dispositifs.

• Allocation dynamique : Les résultats montrent que lorsque le budget est restreint, le modèle concentre les ressources sur les dispositifs à haut risque et haute importance. À mesure que le budget augmente, la surveillance s'étend aux couches plus profondes pour l'ensemble du réseau.
• Respect des contraintes : Le modèle a démontré sa capacité à respecter strictement les seuils de sécurité pour les dispositifs critiques tout en respectant les limites de faisabilité des objets connectés.
• Seuil de viabilité : L'étude identifie également les limites du système (ex: si le budget $R$ est trop faible, aucune solution satisfaisante n'est possible).

Signification et Perspectives

Ce travail offre une méthode structurée pour la planification stratégique de la cybersécurité. Contrairement aux approches purement réactives, ce modèle permet une allocation proactive et optimisée des ressources de défense. Les perspectives de recherche incluent l'application du modèle à des réseaux de plus grande envergure, la prise en compte de l'incertitude des probabilités d'attaque et l'intégration directe avec des détecteurs basés sur l'apprentissage automatique (Machine Learning).