99 research outputs found
Moniteur hybride de flux d'information pour un langage supportant des pointeurs
National audienceLes nouvelles approches combinant contrÎle dynamique et statique de flux d'information sont prometteuses puisqu'elles permettent une approche permissive tout en garantissant la correction de l'analyse réalisée vis-à -vis de la non-interférence. Dans ce papier, nous présentons une approche hybride de suivi de flux d'information pour un langage gérant des pointeurs. Nous formalisons la sémantique d'un moniteur sensible aux flux de données qui combine analyse statique et dynamique. Nous prouvons ensuite la correction de notre moniteur vis-à -vis de la non-interférence
The Cardinal Abstraction for Quantitative Information Flow
International audienceQualitative information flow aims at detecting information leaks, whereas the emerging quantitative techniques target the estimation of information leaks. Quantifying information flow in the presence of low inputs is challenging, since the traditional techniques of approximating and counting the reachable states of a program no longer suffice. This paper proposes an automated quantitative information flow analysis for imperative deterministic programs with low inputs. The approach relies on a novel abstract domain, the cardinal abstraction, in order to compute a precise upper-bound over the maximum leakage of batch-job programs. We prove the soundness of the cardinal abstract domain by relying on the framework of abstract interpretation. We also prove its precision with respect to a flow-sensitive type system for the two-point security lattice
Automatic Generation of Correlation Rules to Detect Complex Attack Scenarios
International audienceIn large distributed information systems, alert correlation systems are necessary to handle the huge amount of elementary security alerts and to identify complex multi-step attacks within the flow of low level events and alerts. In this paper, we show that, once a human expert has provided an action tree derived from an attack tree, a fully automated transformation process can generate exhaustive correlation rules that would be tedious and error prone to enumerate by hand. The transformation relies on a detailed description of various aspects of the real execution environment (topology of the system, deployed services, etc.). Consequently, the generated correlation rules are tightly linked to the characteristics of the monitored information system. The proposed transformation process has been implemented in a prototype that generates correlation rules expressed in an attack description language
Automatiser la construction de rÚgles de corrélation : prérequis et processus
National audienceLes systÚmes d'entreprise sont aujourd'hui composés de plusieurs dizaines, centaines ou milliers d'entités communiquant potentiellement avec des machines externes inconnues. Dans ces systÚmes de nombreux détecteurs, sondes et IDS sont déployés et inondent les systÚmes de supervision de messages et d'alertes. La problématique d'un administrateur en charge de la supervision est alors de détecter des motifs d'attaques contre le systÚme au sein de ce flot de notifications. Pour cela, il dispose d'outils de corrélation permettant d'identifier des scénarios complexes à partir de ces notifications de bas niveau. Cependant, la spécification de ces scénarios demande d'avoir au préalable construit les rÚgles de corrélation adéquates. Ce papier se focalise sur une méthode de génération de rÚgles de corrélation et des prérequis nécessaires à cette opération. Il évalue ensuite le travail requis pour obtenir de telles rÚgles dans le cas d'un processus de génération automatisé
On Detection of Erratic Arguments
Abstract. Due to the erratic nature, the value of a function argument in one normal program execution could become illegal in another normal execution context. Attacks utilizing such erratic arguments are able to evade detections as fine-grained context information is unavailable in many existing detection schemes. In order to obtain such fine-grained context information, a precise model on the internal program states has to be built, which is impractical especially monitoring a closed source program alone. In this paper, we propose an intrusion detection scheme which builds on two diverse programs providing semantically-close functionality. Our model learns underlying semantic correlation of the argument values in these programs, and consequently gains more accurate context information compared to existing schemes. Through experiments, we show that such context information is effective in detecting attacks which manipulate erratic arguments with comparable false positive rates. Key words: Intrusion detection, system call argument, diversity
RRABIDS, un systÚme de détection d'intrusion pour les applications Ruby on Rails
RRABIDS (Ruby on Rails Anomaly Based Intrusion Detec- tion System) est un systĂšme de dĂ©tection d'intrusion au niveau applicatif pour des applications Web Ă©crites avec le framework Ruby on Rails. Le but de cet IDS est de fournir un outil de dĂ©tection des attaques contre les donnĂ©es dans le cadre d'applications Web. Cet IDS comportemental se fonde sur l'apprentissage d'invariants dynamiques pendant une phase d'observation du comportement normal de l'application pour dĂ©fi nir son profi l de rĂ©fĂ©rence. Dans une deuxiĂšme phase, ce profi l est utilisĂ© pour vĂ©rifi er Ă l'exĂ©cution que le comportement normal de l'application est respectĂ©, en instrumentant automatiquement l'application Web. Les premiers rĂ©sultats sont encourageants et montrent que des classes d'attaques classiques contre les donnĂ©es (telles que des injections SQL, ou des modi cations de paramĂȘtres de requĂȘtes) sont dĂ©tectĂ©es par les mĂ©canismes mis en place
Techniques de détection d'erreur appliquées à la détection d'intrusion
Ce document constitue un dossier de demande d'inscription a l'Habilitation a Diriger des Recherches. Il résume 10 années d'activités professionnelles passées en tant qu'enseignant-chercheur sur le campus de Rennes de Supelec. Ce document est constitue de deux parties. La premiÚre partie propose une présentation du candidat qui prend la forme d'un curriculum vitÊ, d'une présentation des activités d'enseignement et d'une présentation des activités de recherche. L'ensemble se termine par une liste de publications. La seconde partie est une synthÚse d'une partie des activités de recherche menées ces dix derniÚres années. Un état de l'art pose les concepts sur lesquels reposent ces travaux. Ensuite quatre activités de recherche sont présentées, chacune d'elle mettant en évidence la pertinence de certaines techniques de détection d'erreur dans le domaine de la détection d'intrusion
Detecting illegal system calls using a data-oriented detection model
Part 9: Intrusion DetectionInternational audienceThe most common anomaly detection mechanisms at application level consist in detecting a deviation of the control-flow of a program. A popular method to detect such anomaly is the use of application sequences of system calls. However, such methods do not detect mimicry attacks or attacks against the integrity of the system call parameters. To enhance such detection mechanisms, we propose an approach to detect in the application the corruption of data items that have an influence on the system calls. This approach consists in building automatically a data-oriented behaviour model of an application by static analysis of its source code. The proposed approach is illustrated on various examples, and an injection method is experimented to obtain an approximation of the detection coverage of the generated mechanisms
Essai de détection de souches de Staphylococcus Aureus de sensibilité diminuée aux glycopeptides à l'hÎpital de Rangueil - Toulouse
BORDEAUX2-BU Santé (330632101) / SudocSudocFranceF
- âŠ