votre rôle

Vous effectuerez un travail de thèse sur l’ Utilisation de la provenance pour la cybersécurité en environnement opérationnel .

La provenance, dans le contexte des systèmes informatiques et de la sécurité, fait référence à l'ensemble des informations qui documentent l'histoire et l'origine des données et des processus au sein d'un système informatique. Elle permet de retracer le cheminement et les transformations subies par les données, ainsi que les interactions entre les différents composants du système pour analyser les causes et les conséquences des opérations effectuées sur le système. Son utilisation en sécurité couvre notamment les domaines de la détection des menaces, de l’investigation d’intrusions et de l'analyse forensique.

La problématique centrale de la provenance est la recherche d’un équilibre entre la granularité des données de provenance (détails fins) et leur complétude (vue d'ensemble), tout en gérant le volume de données généré, pour optimiser leur analyse et interprétation [1].

L’objectif de la thèse est de proposer des mécanismes et méthodes (semi) automatiques avec passage à l’échelle, de découverte et analyse des liens de causalité fine entre évènements affectant les objets système à des fins de cybersécurité en investigation et interprétation d’historiques d’attaque. Le point de départ de la thèse pour lever les verrous scientifiques et techniques connus de la provenance est de revisiter fondamentalement ses pratiques actuelles en matière de collecte des logs système, en considérant l’apport de la technologie eBPF [2] qui permet d’injecter à chaud et d’exécuter des programmes sur évènement au niveau noyau Linux pour collecter ces logs système.

Trois apports combinables d’une collecte des logs basée eBPF méritent d’être examinés lors de cette thèse pour améliorer les approches actuelles de la provenance : une collecte à grain fin programmable, un accès au contexte en temps réel incluant l'état du système au moment de l'exécution supervisée et une injection à chaud des sondes permettant leurs activations, désactivations et mises à jour dynamiques. La thèse pourra utilement s’appuyer sur les outils open source eAudit [3], SysFlow [4] et CamFlow [5].

La supervision sécurité est aujourd’hui trop locale, à la fois dans le temps et dans l’espace, et trop statique. Il est attendu de cette orientation proposée dans cette thèse des avancées en matière d’investigation du déroulement d’une attaque, avec des évènements de sécurité interprétables avec la connaissance des évènements antérieurs et postérieurs (composante temps), avec la prise en compte du contexte distant interagissant via le réseau avec ces évènements (composante espace) et enfin avec une supervision et en particulier une collecte possiblement adaptative (composante dynamicité). À titre d’objectif, révisable en fonction des enseignements de la thèse, les contributions produites seront évaluées avec une investigation post-mortem d’une attaque de type rançongiciel.

votre profil

- Connaissances en informatique avec notamment une compréhension approfondie des systèmes d'exploitation (Linux)

- Connaissances en sécurité informatique : comprendre les principes fondamentaux de la sécurité des systèmes d'exploitation, les mécanismes de défense et les méthodes d'attaque

- Compétences en mathématiques : connaissance des graphes et des algorithmes pour traiter les grands graphes

- Compétences en programmation : être capable de développer des outils et des scripts pour collecter, analyser et traiter les données de provenance système. La maîtrise des langages de programmation C et Python est requise.

- Aptitudes de la recherche : formulation de problèmes, conception et implémentation d'expériences, analyse de résultats et rédaction d'articles scientifiques (un excellent niveau en anglais est requis).

Le candidat devra être diplômé d’une école d’ingénieur ou titulaire d’un Master Recherche dans le domaine de l'informatique avec une spécialisation en sécurité et/ou une pratique personnelle significative en sécurité.

[1] Sok: History is a vast early warning system: Auditing the provenance of system intrusions, INAM, Muhammad Adil, CHEN, Yinfang, GOYAL, Akul, et al. In : 2023 IEEE Symposium on Security and Privacy (SP). IEEE, 2023. p. 2620-2638

[2] eBPF—introduction, tutorials & community resources.

[3] eAudit: A Fast, Scalable and Deployable Audit Data Collection System, R Sekar, H Kimm, R Aich - 2024 IEEE Symposium on Security and Privacy (SP)

[4]

[5] M. Pasquier, J. Singh, D. Eyers and J. Bacon, "Camflow: Managed Data-Sharing for Cloud Services," in IEEE Transactions on Cloud Computing, vol. 5, no. 3, pp. 472-484, 1 July-Sept. 2017

le plus de l'offre

Le doctorant sera intégré(e) au sein de l'équipe de recherche DPI à Caen qui comprend une quinzaine de permanents et accueille plusieurs doctorants et post-doctorants, dans divers domaines de recherche en sécurité. Le doctorant pourra s’appuyer sur les résultats antérieurs de l’équipe en recherche en sécurité système.

La thèse donnera lieu à publication de plusieurs articles dans des conférences au meilleur niveau scientifique et le doctorant bénéficiera en interne pour d’éventuels dépôts de brevets du support d’un conseil brevet pour valoriser ses contributions (département « Intellectual Property and Licensing » d’Orange Innovation Research).

Le candidat développera des compétences techniques pointues, recherchées et rares en sécurité système. Au sein d'Orange Innovation, il aura l'opportunité d'alimenter avec une vue opérateur ses réflexions en recherche pour apprécier leur valeur en termes d'innovation, à la fois dans le domaine de l'IT (microservices, Cloud Native Computing) et dans celui des réseaux (NFV conteneurisés, 5G).

Cette recherche en sécurité est intimement nourrie par l’évolution des infrastructures virtualisées IT et réseau qui deviennent programmables avec la softwarisation des infrastructures et la généralisation récente de la technologie eBPF, automatisables et intelligentes.

entité

L’ambition de la Division Innovation est de porter plus loin l’innovation d’Orange et de renforcer son leadership technologique, en mobilisant nos capacités de recherche pour nourrir une innovation responsable au service de l’humain, éclairer les choix stratégiques du Groupe à long terme et influencer l’écosystème digital mondial.
Nous formons les expertes et les experts des technologies d’aujourd’hui et de demain, et veillons à une amélioration continue de la performance de nos services et de notre efficacité. La division Innovation rassemble, dans le monde, 6000 salariés dédiés à la recherche et l’innovation dont 740 chercheurs. Porteurs d’une vision globale avec une grande diversité de profils (chercheurs, ingénieurs, designers, développeurs, data scientists, sociologues, graphistes, marketeurs, experts en cybersécurité…), les femmes et les hommes de Innovation sont à l’écoute et au service des pays, des régions et des business units pour faire d’Orange un opérateur multiservices de confiance.

Au sein de Innovation, vous serez intégré(e) à l’équipe DPI en charge de maintenir un haut niveau d'expertise en sécurité pour le Groupe Orange. Les travaux menés par les chercheur(e)s de DPI portent notamment sur la sécurité système, la cryptographie et la protection des données personnelles. Vous ferez partie d’un écosystème de recherche côtoyant des ingénieurs d'études en anticipation chargés de la mise en œuvre concrète de concepts nouveaux notamment en cybersécurité.

Thèse Utilisation de la provenance pour la cybersécurité en environnement opérationnel cloud F/H