Towards Model-based Run-time Cybersecurity: On Control-Flow Anomaly Detection, Attack Identification, and Hardware Monitoring
Cet article propose un cadre de cybersécurité au moment de l'exécution basé sur des modèles qui combine la surveillance du flux de contrôle logiciel et matériel pour surmonter le camouflage des attaquants, améliorant ainsi à la fois la détection d'anomalies et la précision diagnostique de l'identification d'attaques grâce à un processus de vérification hiérarchique.
Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète
Imaginez que vous êtes le garde de sécurité d'un château de haute technologie. Votre travail ne consiste pas seulement à vérifier qui franchit la porte d'entrée ; vous devez vous assurer qu'une fois à l'intérieur, ils ne commencent pas à réorganiser les meubles, à repeindre les fresques ou à s'introduire dans la chambre du roi. Dans le monde de l'informatique, cela s'appelle la cybersécurité. Pendant longtemps, les gardes surveillaient principalement la porte d'entrée (le réseau) pour voir si des méchants tentaient de s'introduire. Mais les hackers modernes sont astucieux ; ils parviennent parfois à s'introduire et tentent ensuite de modifier la façon dont l'ordinateur pense et se déplace, tout en se faisant passer pour un programme normal et utile.
Pour attraper ces intrus sournois, les scientifiques utilisent une méthode appelée surveillance du flux de contrôle (Control-Flow Monitoring). Imaginez qu'un programme informatique est comme une recette pour faire un gâteau. Le « flux de contrôle » est l'ordre des étapes : mélanger la farine, ajouter les œufs, cuire, puis glacer. Si la recette dit soudainement « ajouter du sel » juste après « cuire », ou si elle saute l'étape du « mélange » entièrement, quelque chose ne va pas. Les systèmes de sécurité surveillent cette recette pour voir si les étapes sont cohérentes. Si elles ne le sont pas, il s'agit d'une anomalie. Mais voici la partie délicate : un hacker intelligent peut tromper le garde. Il peut cacher l'étape « ajouter du sel » dans une partie de la recette qui ressemble à une étape normale de « nettoyage de la cuisine », ou il peut effacer la note qui dit « ajouter du sel » sur le carnet du garde. C'est ce qu'on appelle le camouflage. Le garde voit une étape étrange, mais parce que la note est manquante ou semble inoffensive, il se dit : « Oh, c'est juste une routine de nettoyage bizarre », et laisse passer.
Ce document, écrit par des chercheurs allemands, s'attaque précisément à ce problème : Comment attraper un hacker qui est doué pour effacer ses traces ? Les auteurs suggèrent une nouvelle façon ingénieuse d'aborder le problème en combinant deux types de gardes de sécurité : l'un qui travaille à l'intérieur du logiciel de l'ordinateur (l'observateur logiciel) et l'autre qui surveille depuis une boîte matérielle séparée et inviolable (l'observateur matériel). Ils soutiennent que, si l'observateur logiciel peut être trompé, l'observateur matériel est beaucoup plus difficile à duper. En utilisant les deux, on peut attraper le hacker même lorsqu'il tente de déguiser ses mouvements.
L'histoire des deux gardes
Les chercheurs commencent par expliquer comment la sécurité actuelle fonctionne. Généralement, un ordinateur possède une carte de tous les chemins valides qu'un programme peut emprunter, appelée Graphe de Flux de Contrôle (CFG). C'est comme une carte de métro montrant chaque station et chaque voie. Si le programme tente de sauter vers une station qui n'est pas sur la carte, le système déclenche une alarme. Pour comprendre pourquoi l'alarme s'est déclenchée, les équipes de sécurité utilisent ce qu'on appelle un Arbre d'Attaque (Attack Tree). Imaginez un arbre où la branche supérieure est la mauvaise chose qui s'est produite (comme « La chambre du Roi a été entrée »). Les branches en dessous sont les raisons possibles : « Le garde s'est-il endormi ? », « Quelqu'un a-t-il crocheté la serrure ? » ou « Un voleur est-il entré par les airs ? ».
Le problème, comme le soulignent les auteurs, est que l'Arbre d'Attaque n'est intelligent que par les informations qu'il reçoit. Si le hacker parvient à cacher les preuves, l'Arbre d'Attaque pourrait conclure : « Oh, le garde s'est juste endormi », alors que la vraie réponse est : « Le voleur est entré par les airs ». C'est le problème du camouflage. Le hacker manipule les propres journaux ou capteurs du logiciel afin que la partie « entrée par les airs » disparaisse du rapport.
Le héros matériel
Pour résoudre cela, le document propose un système à deux couches. La première couche est l'Observateur Logiciel, qui vit à l'intérieur de l'ordinateur. C'est comme une caméra de surveillance installée dans le couloir. Elle est bonne, mais si un hacker s'introduit dans le couloir, il peut couvrir l'objectif de la caméra ou remplacer la bande vidéo.
La seconde couche est l'Observateur Matériel. C'est la grande idée de ce document. Au lieu d'une caméra à l'intérieur du couloir, imaginez un drone séparé et invisible volant à l'extérieur des murs du château, observant le château à travers un télescope. Ce drone est connecté à la machinerie physique du château (le processeur) mais ne fait pas partie du logiciel du château. Même si un hacker prend le contrôle des systèmes internes du château, il ne peut pas facilement atteindre le drone à l'extérieur pour modifier ce qu'il voit.
Les chercheurs décrivent un scénario spécifique pour montrer comment cela fonctionne. Ils imaginent un service d'authentification (un système de connexion) pour une passerelle industrielle.
- L'Attaque : Un hacker trouve une faille dans le système de connexion. Il introduit une charge malveillante qui ressemble à une demande de « maintenance » normale. Il trompe le système pour sauter la vérification de l'Authentification Multi-Facteurs (MFA) et créer une session secrète.
- Le Camouflage : Le hacker utilise ensuite un tour spécial pour réécrire les propres journaux du logiciel. L'observateur logiciel voit un rapport qui dit : « Nous avons effectué une maintenance, puis refusé la demande, et ensuite... oh, une session a été créée, mais les journaux sont un peu désordonnés ». L'observateur logiciel se dit : « Hmm, peut-être que le système de journalisation est juste buggé. C'est un problème de bas niveau ». L'Arbre d'Attaque est d'accord et classe cela comme une erreur de configuration mineure.
- La Vérité Matérielle : Pendant ce temps, l'Observateur Matériel surveille les signaux électriques réels du processeur. Il voit le véritable chemin : le hacker a sauté d'un bloc « maintenance » directement vers un bloc « piratage », a totalement sauté la vérification MFA, et a supprimé les journaux. L'observateur matériel voit le saut illégal que l'observateur logiciel a manqué.
Le diagnostic change
Lorsque les chercheurs injectent les données de l'Observateur Matériel dans le même Arbre d'Attaque, le diagnostic change complètement. L'arbre ne voit plus un « journal buggé ». Il voit « Saut illégal », « Vérification de sécurité manquante » et « Manipulation de journaux ». Soudain, le diagnostic passe de « Faible Sévérité : Erreur de Configuration » à « Haute Sévérité : Injection de Code et Détournement de Flux de Contrôle ».
Le document montre qu'en combinant les deux, on ne fait pas que détecter plus d'attaques ; on les comprend mieux. L'observateur logiciel peut dire : « Quelque chose est bizarre », mais l'observateur matériel dit : « Voici exactement ce qu'est cette chose bizarre, et elle est dangereuse ».
Ce que cela signifie (et ce que cela ne signifie pas)
Les auteurs précisent avec prudence qu'il s'agit d'une idée préliminaire. Ils ont construit des parties de ce système et les ont testées dans des simulations, mais ils ne les ont pas encore pleinement intégrées dans un produit réel. Ils admettent qu'il existe des défis. Par exemple, le moniteur matériel n'est pas magique ; si le tampon de trace déborde (la mémoire du drone est pleine) ou si un hacker attaque le matériel physique lui-même, le système pourrait quand même échouer. De plus, lire les données matérielles prend du temps et de la puissance de calcul, on ne peut donc pas tout surveiller tout le temps.
Au lieu de cela, le document suggère une stratégie intelligente : utiliser l'observateur logiciel pour tout surveiller à moindre coût. Si l'observateur logiciel voit quelque chose de suspect, alors on réveille l'observateur matériel pour jeter un regard plus proche et plus détaillé. De cette façon, on obtient le meilleur des deux mondes : la rapidité du logiciel et la fiabilité du matériel.
En fin de compte, ce document ne prétend pas avoir résolu la cybersécurité pour toujours. Il ne promet pas un bouclier parfait. Mais il offre une nouvelle façon très prometteuse de penser le problème : Ne vous contentez pas de faire confiance au propre bulletin de notes de l'ordinateur. Faites vérifier les devoirs par un témoin indépendant. En ajoutant cette deuxième paire d'yeux indépendante, nous pouvons empêcher les hackers de cacher leurs tours à la vue de tous.
Noyé(e) sous les articles dans votre domaine ?
Recevez des digests quotidiens des articles les plus récents correspondant à vos mots-clés de recherche — avec des résumés techniques, dans votre langue.