Dans le monde numérique, la sécurité repose souvent sur une idée simple : construire un mur solide autour de l'intérieur d'un réseau et ne laisser passer rien de suspect. C'est ainsi que fonctionnent les pare-feu et les systèmes de détection d'intrusion ; ils montent la garde au périmètre, surveillant les attaquants tentant de s'introduire de l'extérieur. Cependant, cette stratégie présente un angle mort. Une fois qu'un attaquant parvient à tromper le mur extérieur et à compromettre un seul ordinateur à l'intérieur, il n'a plus besoin de briser le mur pour atteindre sa cible ultime. Au lieu de cela, il peut utiliser ce premier ordinateur compromis comme un tremplin, ou un pivot, pour sauter vers d'autres ordinateurs plus protégés au cœur du réseau. Parce que le trafic circulant entre ces ordinateurs internes semble parfaitement normal et digne de confiance, il passe inaperçu devant les gardes du périmètre. Cette technique, connue sous le nom de pivotement (pivoting), permet aux attaquants de se déplacer silencieusement à travers un réseau, volant des données ou propageant des logiciels malveillants sans jamais déclencher les alarmes conçues pour les arrêter.

Le problème est que détecter ce mouvement est incroyablement difficile. Les données qui circulent entre les ordinateurs internes ressemblent souvent au travail légitime des personnes qui les utilisent. Les solutions existantes pour attraper ces attaquants ont lutté avec un compromis difficile : elles sont soit trop lentes pour être utiles en temps réel, soit elles exigent que chaque ordinateur d'un réseau coopère (ce qui est souvent impossible dans les environnements modernes et flexibles), soit elles génèrent tellement de fausses alertes que les équipes de sécurité sont submergées et manquent les véritables menaces. Pour résoudre cela, des chercheurs de l'Université Dalhousie et de l'Université de Virginie ont développé un nouveau système appelé Stitch. Plutôt que d'essayer de surveiller l'ensemble du réseau depuis un point central, Stitch vit directement sur les ordinateurs individuels eux-mêmes. Il agit comme un observateur local qui surveille la façon dont les processus internes d'un ordinateur gèrent le trafic réseau, cherchant la signature spécifique d'un attaquant utilisant une machine pour parler à une autre.

L'idée centrale derrière Stitch est que pour attraper un pivot, vous devez relier les points entre ce qui entre dans un ordinateur et ce qui en sort, et vous devez savoir quel logiciel est responsable de ce mouvement. Les méthodes précédentes regardaient souvent uniquement le délai et la taille des paquets de données, supposant que si deux flux de données arrivaient et partaient à des moments similaires avec des tailles similaires, ils étaient connectés. Cette approche est défaillante car elle confond fréquemment le trafic courant et inoffensif avec des attaques, entraînant un déluge de fausses alertes. Stitch évite ce tâtonnement en utilisant une technologie spéciale intégrée au système d'exploitation Linux appelée eBPF. Cette technologie permet au système d'insérer en toute sécurité de petits programmes personnalisés dans le noyau (kernel) — le cœur du système d'exploitation — sans avoir besoin de ralentir l'ordinateur ou de demander la permission à tous les autres appareils du réseau.

Stitch fonctionne en traçant la vie d'un processus, qui est simplement un programme en cours d'exécution, du moment où il reçoit une donnée jusqu'au moment où il envoie une nouvelle donnée ailleurs. Lorsqu'un paquet de données arrive à un ordinateur, Stitch le étiquette et le suit au fur et mesure qu'il est transmis à un programme spécifique. Si ce programme ouvre ensuite une nouvelle connexion pour envoyer des données ailleurs, Stitch vérifie si la nouvelle connexion sortante est liée à la connexion entrante d'origine. Il le fait en surveillant les appels système — les requêtes qu'un programme fait au système d'exploitation — pour voir si le même processus qui a reçu les données est celui qui envoie les nouvelles données. Si le système détecte qu'un processus relaie le trafic d'un endroit à un autre, il vérifie alors les caractéristiques de ce trafic. Il examine le temps écoulé entre les données entrantes et sortantes ainsi que la similitude de leurs tailles.

Pour s'assurer de ne pas crier au loup, Stitch tient également un registre des destinations vers lesquelles un ordinateur envoie habituellement ses données. Si un ordinateur communique fréquemment avec un serveur spécifique pour des raisons légitimes, comme la vérification d'une base de données ou la gestion d'un compte utilisateur, Stitch apprend à reconnaître cela comme un comportement normal et l'ignore. Il ne déclenche une alerte que si le modèle de trafic ressemble à un pivot et qu'il se dirige vers une destination rarement visitée. Cette combinaison de suivi du processus logiciel, d'analyse du flux de données et d'apprentissage des habitudes normales de l'ordinateur permet à Stitch d'être hautement précis. Lors de tests utilisant des attaques simulées, Stitch a amélioré la précision de la détection d'environ 31 % par rapport aux meilleures méthodes existantes qui reposent uniquement sur le délai et la taille du trafic. Plus important encore, il a réduit le taux de fausses alertes à moins de un cinquième de un pour cent, une amélioration massive par rapport aux systèmes précédents qui signalaient souvent le trafic inoffensif comme dangereux.

Les chercheurs ne se sont pas arrêtés aux simulations. Ils ont installé Stitch sur de vrais serveurs au sein d'un grand réseau universitaire, qui dessert des milliers d'étudiants, de professeurs et de membres du personnel. Ils ont fait fonctionner le système pendant plus de 80 jours sur un serveur de faculté partagé et sur un serveur web public. Pendant cette période, le système a surveillé des millions d'événements réseau sans ralentir les serveurs ni nécessiter de modifications de la configuration de sécurité existante du réseau. Sur le serveur de la faculté, le système a identifié avec succès toutes les attaques de test lancées par les chercheurs, qui consistaient à utiliser des tunnels SSH pour déplacer des données. Il n'a généré qu'un nombre infime de fausses alertes, la plupart étant causées par des tâches administratives légitimes comme le transfert de ports pour l'accès aux bases de données. Sur le serveur web public, le système a fonctionné pendant 32 jours sans générer une seule alerte, confirmant qu'il pouvait distinguer le trafic web normal des tentatives de pivotement potentielles.

Les résultats montrent que Stitch offre un moyen pratique de se défendre contre ces attaques furtives sans nécess avoir besoin d'une refonte complète de l'infrastructure d'un réseau. Il fonctionne indépendamment sur chaque ordinateur, ce qui signifie qu'il n'importe pas si les autres appareils du réseau exécutent des logiciels différents ou si la topologie du réseau change fréquemment. Le système est léger, utilisant moins de 350 mégaoctets de mémoire et n'ajoutant presque aucune charge supplémentaire au processeur de l'ordinateur. Même sous des charges de trafic lourdes, il a maintenu sa capacité à repérer les attaques. Les chercheurs ont constaté que le système pouvait gérer des milliers de nouvelles connexions réseau par seconde tout en conservant sa capacité à tracer les chemins de données. Cette efficacité est cruciale car les réseaux modernes sont dynamiques et denses ; un outil de sécurité trop lourd ou trop lent serait impraticable pour une utilisation réelle.

En se concentrant sur la relation entre les processus logiciels et le trafic réseau, Stitch résout le problème de la distinction entre un utilisateur légitime faisant son travail et un attaquant utilisant l'ordinateur de cet utilisateur comme un pont. Il ne repose pas sur la coopération de tous les appareils du réseau, ni sur le stockage de quantités massives de données historiques pour trouver des modèles. Au lieu de cela, il observe le contexte immédiat du trafic au moment où il se produit. Les chercheurs ont démontré que cette approche est efficace contre les outils courants utilisés par les attaquants, tels que SSH, N Nmap et Chisel, qui sont fréquemment utilisés pour créer ces tunnels de pivotement. Le système a identifié avec succès ces attaques même lorsqu'elles étaient déguisées au sein d'une activité réseau normale.

Ce travail souligne également l'importance d'avoir une vision globale pour sécuriser un réseau. Se fier uniquement au périmètre n'est plus suffisant, et se fier uniquement aux statistiques de trafic est trop sujet à l'erreur. En combinant l'observation des processus système avec l'analyse des flux réseau, Stitch offre une vue plus complète de ce qui se passe à l'intérieur d'un ordinateur. Les chercheurs prévoient de rendre le code source du système public, permettant ainsi à d'autres de tester et de perfectionner leur travail. Cette transparence est destinée à aider la communauté de la sécurité plus large à améliorer les défenses contre les menaces persistantes avancées (APT), qui sont des attaques sophistiquées et de longue durée souvent lancées par des groupes organisés. Le succès de Stitch suggère qu'un passage vers une détection basée sur l'hôte et en temps réel, qui comprend le contexte du trafic, est une voie viable et nécessaire pour la sécurité des réseaux.

En fin de compte, l'article présente un système qui est à la fois précis et efficace, comblant une lacune dans les outils de sécurité actuels. Il prouve qu'il est possible de détecter les attaques de pivotement en temps réel sans générer un déluge de fausses alertes ou exiger que l'ensemble du réseau change son comportement. La capacité du système à fonctionner indépendamment sur des hôtes individuels le rend adaptable à divers environnements, des petits réseaux de bureaux aux infrastructures universitaires larges et complexes. Les conclusions suggèrent qu'en intégrant le traçage au niveau du système avec l'analyse réseau, les équipes de sécurité peuvent obtenir une vue beaucoup plus claire des menaces tapies dans leurs réseaux, leur permettant de répondre aux attaques avant qu'elles ne puissent causer des dommages importants. Ce travail est la démonstration qu'une sécurité efficace ne nécessite pas toujours un matériel plus complexe ou plus coûteux, mais plutôt une manière plus intelligente de regarder les données qui sont déjà là.