Security based on behavioral analysis of embedded functions on integrated modular avionics platforms

Aujourd’hui, le transport aérien est l’un des modes de transport les plus sûrs pour lequel les risques d'incidents depuis les débuts de l'aviation ne cessent de diminuer. Ces dernières décennies ont vu les systèmes avioniques évoluer (connectivité, partage de ressources, COTS) afin d’améliorer l’expérience passager et réduire les coûts. Si ces évolutions sont maîtrisées d’un point de vue safety, elles induisent néanmoins de nouveaux vecteurs d’attaque d’un point de vue security. Au regard des attaques récentes sur des systèmes embarqués ou critiques, il devient primordial d’anticiper ce type de menace pour l'avionique. Récemment, plusieurs études ont vu le jour concernant la sécurité des systèmes avioniques. La plupart se concentrent sur les interfaces de l’aéronef (moyens de communication ou de mises à jour logicielles) ou sur la phase de développement (analyses de risques, tests de vulnérabilités). Quelques travaux proposent des mesures de défense en profondeur (durcissement d’OS, détection d’intrusion), notamment pour se protéger d’attaquants internes.Dans cette thèse, nous prenons l’hypothèse qu’une application malveillante s’est introduite sur un calculateur avionique. Plus précisément, nous étudions donc la mise en place d’un système de détection d’intrusion au sein d’un calculateur avionique. Étant donné l’environnement considéré, nous avons formalisé six objectifs spécifiques relatifs à l’efficacité de détection, la durée de vie de l’aéronef, les performances, l’impact temps-réel, l’impact sur la sûreté, et la certification. Pour y répondre, nous proposons une approche complète permettant d’intégrer un système de détection d’intrusion sur un calculateur, en se basant sur le processus de développement IMA (Integrated Modular Avionics). Cette approche propose de modéliser le comportement normal d’une application avionique pendant la phase d’intégration, en s’appuyant sur les caractéristiques statiques et déterministes des applications avioniques, et sur les moyens déjà existants pour la safety. Ce modèle de comportement normal est ensuite embarqué à bord de l’aéronef et permet de détecter toute déviation de comportement pendant la phase d’opération. En complément, une fonction d’analyse d’anomalies embarquée offre un premier niveau de diagnostic à bord, et une certaine flexibilité une fois l’aéronef en opération.Cette approche a été implémentée sur deux cas d’étude afin de valider sa faisabilité et d’évaluer ses capacités de détection et sa consommation de ressources. Un outil d’injection d’attaque a été réalisé afin de pallier au manque de moyens existants pour tester notre approche. Plusieurs solutions de détection comportementale ont été proposées et évaluées, en se basant sur deux types de modèles : OCSVM et Automate temporisé. Deux implémentations sur calculateur embarqué ont permis d’observer de très bons résultats en termes d’efficacité de détection et d’utilisation des ressources. Enfin, l’implémentation de la fonction d’analyse d’anomalies et les expérimentations associées ont donné des résultats encourageants quant à la possibilité d’embarquer un tel système sur un aéronef.Today, air transportation is one of the safest transportation modes, with a continuous reduction in the risk of accidents since the early days of aviation. In recent decades, several advances have been achieved in avionics systems (such as connectivity, resource sharing, COTS) to improve the passenger experience and reduce costs. While these evolutions have been well managed from safety point of view, nevertheless, from the security point of view, they have led to new attack vectors. Considering recent attacks on embedded or critical systems, it is becoming essential to anticipate the potential malicious modification of an aircraft application in future systems. Recently, several studies have been carried out to improve aircraft security. Most of them focus on the aircraft interfaces (communication means or software updates) or on the development phase (risk analysis, vulnerability tests). A few works proposed in-depth defense measures (OS hardening, intrusion detection), in particular to protect against internal attackers.In this thesis, we assume that a malicious application was introduced inside an avionics computer. More specifically, we study the development of an intrusion detection system within an avionics computer. Taking into account the specific constraints related to avionics applications, we have formalized six specific objectives to develop such solution, related to detection efficiency, aircraft lifetime, performance, real-time impact, safety impact, and certification. To fulfill these objectives, this thesis presents a comprehensive approach to integrate an anomaly-based intrusion detection system into an avionics computer, based on the IMA (Integrated Modular Avionics) development process. The normal behavior of an avionics application is modeled during the integration phase, based on the static and deterministic characteristics of avionics applications, and on the existing means that have been developed for safety. This model of normal behavior is then embedded onboard the aircraft and allows to detect any deviation of behavior during the operation phase. In addition, an on-board anomaly analysis function offers a first level of on-board diagnosis and some flexibility once the aircraft is in operation.This approach has been implemented on two case studies to validate its feasibility and assess its detection capabilities and resource consumption. Firstly, an attack injection tool was developed in order to compensate for the lack of existing means to test our approach. Then, several behavioral detection solutions were proposed and evaluated, based on two types of models: OCSVM and Timed Automata. Two of them were implemented in an embedded prototype, and provided very good results in terms of detection efficiency and resource consumption. Finally, the anomaly analysis function has also been implemented, and the associated experiments showed encouraging results regarding the possibility to embed such a system onboard an aircraft