Génération automatique de règles de corrélation pour la détection d'attaques complexes

National audienceDans les systèmes d'information répartis, des systèmes de corrélation sont nécessaires pour traiter le grand nombre d'alertes de sécurité élémentaires et y identifier des motifs d'attaques complexes. Cependant, la complexité du système rend difficile l'écriture de règles de corrélation à la fois précises et correctes. Dans ce papier, on se propose de montrer qu'il est possible, à partir d'un arbre d'attaque construit par un expert, de générer automatique-ment des règles de corrélation exhaustives qui seraient fastidieuses et difficiles à énumérer à la main. Les règles de corrélation ainsi générées sont étroitement liées aux caractéristiques du système surveillé (topologie, services déployés, etc.). Ce processus de transformation est implémenté dans un prototype générant des règles de corrélation exprimées dans le langage de description d'attaque ADeLe