Analyse et reconstruction automatique de politiques de sécurité de composants de sécurité déployés

Automatic reconstruction and analysis of security policies from deployed security components

• Auteur / Autrice : Salvador Martinez
• Direction : Frédéric Cuppens
• Type : Thèse de doctorat
• Discipline(s) : Informatique et applications
• Date : Soutenance le 30/06/2014
• Etablissement(s) : Nantes, Ecole des Mines
• Ecole(s) doctorale(s) : Sciences et Technologies de l'Information et Mathématiques
• Partenaire(s) de recherche : Laboratoire : ATLANMOD / INRIA - EMN - Ecole nationale supérieure des Mines de Nantes - Laboratoire d'Informatique de Nantes Atlantique / LINA - ATLANMOD / INRIA - EMN
• Jury : Président / Présidente : Christian Attiogbé
• Jury : Examinateurs / Examinatrices : Jordi Cabot
• Jury : Rapporteurs / Rapporteuses : Régine Laleau, Jacky Akoka

Mots clés

Mots clés contrôlés

Rétro-ingénierie (informatique)

Systèmes informatiques -- Mesures de sûreté

Mots clés libres

Sûreté

Ingénierie dirigée par les modèles

Rétro-ingénierie

Contrôle d’accès

Security

Model-driven

Reverse-engineering

Access-Control

Résumé

La sécurité est une préoccupation essentielle pour tout système d’information. Propriétés de sécurité telles que la confidentialité, l’intégrité et la disponibilité doivent être appliquées afin de rendre les systèmes sures. Dans les environnements complexes, où les systèmes d’information sont composés par un certain nombre de sous-systèmes hétérogènes, chaque sous-système joue un rôle clé dans la sécurité globale du système. Dans le cas spécifique du contrôle d’accès, politiques de contrôle d’accès peuvent être trouvées dans différents composants (bases de données, réseaux, etc.), ces derniers étant sensés travailler ensemble. Néanmoins , puisque la plupart de ces politiques ont été mises en œuvre manuellement et / ou évolué séparément ils deviennent facilement incompatibles. Dans ce contexte, la découverte et compréhension des politiques de sécurité appliquées par le système d’information devient une nécessité critique. Le principal défi à résoudre est de combler le fossé entre les caractéristiques de sécurité dépendant du fournisseur et une représentation de plus haut niveau que exprime ces politiques d’une manière faisant abstraction des spécificités de composants concrètes, et donc, plus facile à comprendre et à raisonner avec. Cette représentation de haut niveau nous permettrait également de mettre en œuvre tous les opérations de évolution / refactoring / manipulation sur les politiques de sécurité d’une manière réutilisable. Dans ce travail, nous proposons un tel mécanisme de rétro-ingénierie et d’intégration des politiques de contrôle d’accès. Nous comptons sur les technologies de l’ingénierie dirigée par les modèles pour atteindre cet objectif .

Security is a critical concern for any information system. Security properties such as confidentiality, integrity and availability need to be enforced in order to make systems safe. In complex environments, where information systems are composed by a number of heterogeneous subsystems, each subsystem plays a key role in the global system security. For the specific case of access-control, access-control policies may be found in several components (databases, networksand applications) all, supposedly, working together. Nevertheless since most times these policies have been manually implemented and/or evolved separately they easily become inconsistent. In this context, discovering and understanding which security policies are actually being enforced by the information system comes out as a critical necessity. The main challenge to solve is bridging the gap between the vendor-dependent security features and a higher-level representation that express these policies in a way that abstracts from the specificities of concrete system components, and thus, it´s easier to understand and reason with. This high-level representation would also allow us to implement all evolution/refactoring/manipulation operations on the security policies in a reusable way. In this work we propose such a reverse engineering and integration mechanism for access-control policies. We rely on model-driven technologies to achieve this goal.