évaluation quantitative de la sécurité. Approche basée sur les vulnérabilités

Abstract

RÉSUMÉ. Les travaux présentés dans cet article sont consacrés à la sécurisation des systèmes d'information en se basant sur des mesures quantitatives. Les mesures ont pour but d'aider à la prévision des risques et de fournir les informations nécessaires permettant d'assurer le niveau de sécurité du système en opération. Dans cette approche, nous prenons en considération des facteurs externes ayant un impact significatif sur la sécurité du système. Nous avons identifié trois facteurs, liés au processus d'exploitation d'une vulnérabilité : le cycle de vie de la vulnérabilité, le comportement des attaquants et le comportement de l'administrateur du système. Nous avons étudié les dépendances entre ces différents facteurs et comment leur évolution pouvait impacter la sécurité du système. A partir de cette étude, nous avons défini des mesures quantitatives prenant en compte ces facteurs externes et avons modélisé, en utilisant le formalisme des SAN (Stochastic Activity Networks), le processus d'exploitation de la vulnérabilité qui conduit à la compromission du système. Nous avons distingué deux scénarios selon que la vulnérabilité est découverte par une personne malveillante ou non malveillante. En analysant une base de données de vulnérabilités, nous avons caractérisé la probabilité d'occurrence de plusieurs événements du cycle de vie de la vulnérabilité, que nous utilisons pour l'obtention de nos mesures.ABSTRACT. The objective of this work is the evaluation of information systems security using quantitative measures. These measures aim at forecasting risks and providing information to monitor the security level of the system in operation. In our approach, we take into account some environmental factors that have a significant impact on the security of the system. We have identified three such factors that are related to the vulnerability exploitation process: the vulnerability life cycle, the behavior of the attackers and the behavior of the system administrator. We have studied the dependencies between these factors and how the evolution of these factors could impact the system security. From this study, we have defined quantitative security measures taking into account these environmental factors and we have developed a model 1 re soumission à Technique et science informatiques, le 22/03/2011 2 1 re soumission à Technique et science informatiques based on Stochastic Activity Networks (SANs), describing how the vulnerability exploitation process could lead to system compromission. We have distinguished two scenarios according to whether the vulnerability is discovered by a malicious user or not. By analysing a vulnerability database, we have characterised the probability of occurrence of several events of the vulnerability life cycle. This characterization helped us to quantify the measures by processing the SAN model.