Classification et caractérisation non supervisée des attaques vers des pots de miel
Résumé
L'observation des réseaux et de leur trafic est importante pour l'estimation du risque dans l'Internet et par voie de conséquence la protection des systèmes informatiques. Cette observation se fait notamment par le biais de sondes de métrologie et de pots de miel. Mais l'analyse des quantités de données collectées, et la caractérisation des anomalies et attaques contenues dans ces traces restent des tâches aussi compliquées que fastidieuses, faites par des experts, et sont par conséquent lentes et coûteuses. Dans cet article, nous présentons une méthode non-supervisée pour classifier et caractériser les anomalies contenues dans le trafic des réseaux de pots de miel. Cette méthode autonome n'utilise ni signature, ni apprentissage, ni trafic documenté, ni connaissances préalables en matière de sécurité, ce qui constitue un progrès majeur en direction de l'apparition de systèmes de sécurité autonomes. Cet article montre finalement comment il est possible à partir des résultats de caractérisation des anomalies d'inférer les règles de filtrages qui pourront automatiquement servir à configurer les filtres des composants du réseau ou des pare-feux.
Origine : Fichiers produits par l'(les) auteur(s)