Stage R&D : Évaluation dynamique de l’impact d’une vulnérabilité sur la chaine métier d’un système d’information

Contexte du stage

Au sein de l’Institut de Recherche Technologique SystemX, situé au cœur du campus scientifique d’excellence mondiale de Paris-Saclay, vous prendrez une part active au développement d’un centre de recherche technologique de niveau international dans le domaine de l’ingénierie numérique des systèmes. Adossé aux meilleurs organismes de recherche français du domaine et constitué par des équipes mixtes d’industriels et d’académiques, ce centre a pour mission de générer de nouvelles connaissances et solutions technologiques en s’appuyant sur les percées de l’ingénierie numérique et de diffuser ses compétences dans tous les secteurs économiques.  

Vous serez encadré par un ingénieur-chercheur SystemX de l’équipe « Sécurité numérique et réseaux ». Vous travaillerez au sein du projet Européen DYNAMO dont les partenaires industriels sont TEC, CERTH, Naval Group Belgium, KPMG, Visionspace Technologies, Telelink Business Services EAD, Fondazionze Policlinico Univ. A. Gemelli, IRCCS, RHEA System, ENGIE LBE, et les partenaires académiques Univ. College Cork et Fraunhofer Institute. 

Présentation du sujet

Contexte projet
Réaliser une analyse de risque d’un système d’information (SI) est une tâche compliquée qui nécessite une expertise avérée en cybersécurité et en process métier et qui prend un temps considérable. De plus, la maintenir à jours est une tâche ardue. En effet, plusieurs paramètres évoluent dans le temps, ce qui impose aux administrateurs de devoir analyser l’impact de chaque changement et d’estimer au cas par cas le besoin ou non de redérouler l’analyse de risque depuis le début.
Parmi les éléments évolutifs, en plus des caractéristiques du SI, on trouve notamment le profil des attaquants considérés, les méthodes et les outils d’attaque ainsi que les vulnérabilités nouvellement découvertes dans chaque élément du SI.
Ainsi, offrir aux administrateurs un outil leur permettant d’évaluer l’impact sur leur système de chaque évolution ou changement au regard de l’analyse de risque en vigueur pourrait indéniablement leur faciliter l’ajustement de leur politique de sécurité avec l’objectif de la continuité de service ; en particulier décider (ou non), de la nécessité de relancer un processus d’analyse de risque gourmand en ressources expertes et très chronophage. 

Objectifs du stage 
L’objectif du stage est de proposer et tester une approche innovante permettant, à travers une analyse orientée « couverture des évènements redoutés » au sens EBIOS RM [4], d’évaluer l’impact d’une nouvelle vulnérabilité sur le niveau de sécurité du SI. Ainsi, l’administrateur disposera d’un indicateur sur le degré d’exposition de son SI à la nouvelle menace ainsi que sur la capacité du SI à assurer la continuité du service. 

Missions 

• Etat de l’art   
• Méthodes de gestion des vulnérabilités. 
• Méthodes et outils de gestion de la surface d’attaque (CAASM) 
• Méthodes de génération automatique et dynamique des graphes d’attaque y compris celles basées IA . 
• Proposition d’une méthode d’exploration des graphes d’attaque orientée couverture des évènements redoutés. 
• Implémentation de la méthode proposée sur un cas d’usage dans le cadre du projet DYNAMO.

Références bibliographiques
[1] A. Boudermine, R. Khatoun and J. -H. Choyer (2022) « Attack Graph-based Solution for Vulnerabilities Impact Assessment in Dynamic Environment, » 5th Conference on Cloud and Internet of Things (CIoT), Marrakech, Morocco, pp. 24-31, doi: 10.1109/CIoT53061.2022.9766588.
[2] Lallie, Harjinder Singh, Debattista, Kurt and Bal, Jay (2020) A review of attack graph and attack tree visual syntax in cyber security. Computer Science Review, 35. 
[3] Jianping Zeng, Shuang Wu, Yanyu Chen, Rui Zeng, Chengrong Wu (2019) « Survey of Attack Graph Analysis Methods from the Perspective of Data and Knowledge Processing », Security and Communication Networks, https://doi.org/10.1155/2019/2031063
[4] https://www.ssi.gouv.fr/entreprise/management-du-risque/la-methode-ebios-risk-manager/  

Profil et compétences

De formation : BAC +5 Université Master 2 ou école d’ingénieur 3 année, dans le domaine de la sécurité informatique, ou de l’intelligence artificielle. 

Compétences :

• Solides bases en administration système et/ou réseaux. 
• Bonne connaissance en développement (Python, Web).
• Outils de déploiement automatique (Ansible, Docker, Puppet, Openstack). 
• Bonne connaissance Cyber (EBIOS, Metasploit et frameworks d’attaque).
• Connaissances en Intelligence Artificielle (Machine Learning, IA Symbolique, IA Générative) serait un plus. 

Aptitudes personnelles :

• Bon relationnel.
• Avoir envie de travailler en collaboration.
• Aimer les défis et verrous technologiques/scientifiques.
• Curiosité et esprit d’innovation.

Merci d’indiquer la référence du stage dans l’objet de votre mail de candidature, d’y joindre CV, lettre de motivation, lettre(s) de recommandation et relevés de notes.