Détection d'intrusion basée sur l'analyse de compteurs matériels pour des objets connectés

Intrusion detection based on hardware counters for connected things

• Auteur / Autrice : Malcolm Bourdon
• Direction : Mohamed Kaâniche, Eric Alata
• Type : Thèse de doctorat
• Discipline(s) : Informatique
• Date : Soutenance le 29/06/2021
• Etablissement(s) : Toulouse, INSA
• Ecole(s) doctorale(s) : École doctorale Systèmes (Toulouse ; 1999-....)
• Partenaire(s) de recherche : Laboratoire : LAAS - Laboratoire d'Analyse et d'Architecture des Systèmes - Laboratoire d'analyse et d'architecture des systèmes / LAAS
• Jury : Président / Présidente : Eric Totel
• Jury : Examinateurs / Examinatrices : Mohamed Kaâniche, Eric Alata, Maryline Laurent, Isabelle Chrisment, Gilles Grimaud, Youssef Laarouchi, Pierre-François Gimenez
• Jury : Rapporteurs / Rapporteuses : Maryline Laurent, Isabelle Chrisment

Mots clés

Mots clés contrôlés

Détection des anomalies (informatique)

Systèmes informatiques -- Mesures de sûreté

Internet des objets

Mots clés libres

IoT

Internet des Objets

Sécurité

Compteur matériel de performance

Détection d’anomalies

IoT

Internet of Things

Security

Hardware performance meter

Anomaly detection

Résumé

Les objets connectés, qui forment aujourd'hui l'Internet des objets ou IoT, sont de plus en plus nombreux et offrent une grande variété de fonctionnalités. Ils font cependant face à de nombreuses attaques, comme la célèbre attaque dénommée Mirai, qui a permis à des attaquants de prendre le contrôle de centaines de milliers d'objets connectés, notamment dans le domaine qui nous intéresse plus particulièrement dans cette thèse : le domaine industriel. Même dans ces environnements souvent restreints et très contrôlés, les objets connectés ont fait face à des attaques parfois dévastatrices, comme la fameuse attaque Stuxnet visant des centrales nucléaires.Cette thèse se consacre à la protection de ces objets connectés, plus spécifiquement dans le domaine de l'énergie, pour la surveillance ou la maintenance du réseau électrique par exemple, ou encore pour l'optimisation des nouveaux moyens de consommation et de production locaux. Les objets envisagés sont identiques et déployés massivement à travers une région ou un pays.Plus spécifiquement, cette thèse porte sur la détection d'intrusions visant de tels objets connectés, en se basant sur l'analyse des déviations de comportement de ces objets. Nous proposons une solution basée sur l'observation et l'analyse de certains évènements internes au processeur via des compteurs de performances matérielles. Contrairement aux approches classiques se basant sur des détections faites au niveau des comportements logiciels, notre approche se base uniquement sur l'analyse de compteurs matériels et permet de se prémunir des malveillances qui pourraient cibler les systèmes d'exploitation par exemple.De plus, cette solution ne nécessite ni l'implication d'un expert ni de phase d'apprentissage automatique de modèle et s'adapte donc facilement aux potentielles mises à jour des objets. L'approche repose sur des algorithmes de détection de valeurs aberrantes sur des caractéristiques calculées à partir des valeurs de ces compteurs.Ces travaux incluent également la description d'expérimentations permettant de valider notre approche. Ces expérimentations ont été effectuées sur deux plateformes composées d'objets connectés représentatifs d'un environnement industriel réel et elles montrent que notre approche est pertinente vis-a-vis d'un panel varié d'attaques.

Today, the deployment of the Internet of Things (IoT) technologies is growing in all application areas. Unfortunately, the massive and fast deployment of IoT devices raises major security issues. For example, the Mirai attack took control of thousands of smart devices and used them in massive DDoS attacks. In this thesis, the environment that we envision is more controlled and restricted than usual IoT, we consider industrial deployment of devices. Even in these specific environments, some recent attacks caused serious damage, such as the Stuxnet attack targeting nuclear power plants.This thesis studies the security of these devices, specifically for energy providers massively deploying devices that manage distributed resources or equipment. These devices may be deployed to efficiently manage the energy of smart factories or monitor the infrastructure of smart grids. By design, they generally exhibit a homogeneous behavior, with a similar software and hardware architecture, and are deployed in a large geographical area such as a region or a country. The approach described in this thesis allows us to detect compromised devices among a massive population of similar devices by analyzing the processor's Hardware Performance Counters. This analysis is based on existing outlier detection algorithms, with low computational and network traffic overhead, without modeling the behavior of the applications running on the devices. This approach is then easily adaptable to devices' updates. Moreover, as we only rely on the counters' analysis, we can detect anomalies of various origins, such as a compromised OS.We performed thorough experiments based on two test platforms with various software profiles and attack payloads for the practical validation of our approach. The results obtained show that a high detection efficiency can be achieved, with low overhead and low execution time.