Détection d'Attaques Microarchitecturales dans des Dispositifs à Ressources Limitées avec un Mécanisme de Sécurité Local-Distant

IoT and IIoT have made their way into our daily lives, and with them the dangers associated with their use. These usually inexpensive devices often lack security features or security guarantees because of a desire to reduce development costs. This lack of security comes despite the use of IoT in many critical applications, such as medical devices, industrial sensors, etc,. As they remain vulnerable, they are increasingly targeted by attackers, increasing the cost of recovery due to cyber-attacks year over year. Traditional security techniques, such as antivirus software, can successfully identify known threats, but they cannot cope with the increasing amount of malware and malware obfuscation techniques. Malware are typically applications that are covertly inserted to compromise the confidentiality, integrity, or availability of systems. Obfuscation is a technique used by malware authors to modify the behavior and code, but not the actual final goal, of the malicious application to bypass security mechanisms implemented in the system. One of the most well-known IoT malware is Mirai, which infected many IoT devices to create a botnet to launch a DDoS attack. But due to the complexity of modern systems, a new class of Software Attacks Targeting Hardware Vulnerabilities (SATHV) has emerged. This class of attack, which traditionally targets high-end computers such as desktops, is increasingly being used on IoT devices. This is because these devices are equipped with more complex systems to meet increasing demands on computing and memory resources, such as the emergence of edge-computing and edge-device Machine Learning (ML). This new class of attacks is particularly dangerous because they can extract sensitive information from the system by exploiting hardware vulnerabilities and also remain undetected by traditional security solutions such as antivirus or dynamic analysis of API calls. This is driving security designers to implement more robust security mechanisms. A hot area of research in recent years has been the use of low-level micro-architectural events to provide us with information about the operation of various hardware components. We are able to measure these micro-architectural events using special registers called Hardware Performance Counters (HPCs). Using this low-level information, we can profile the operation of the components under normal and malicious conditions. Using ML techniques, researchers are trying to train their systems to recognize the behavior of the system under normal and under attack conditions. But despite the improvements in malware detection and accuracy that these ML-HPCs techniques have shown, these security solutions do not fit the context of IoT devices. IoT are characterized by their low compute and memory resources, and any implementation that imposes significant overhead on the system will not be adopted by IoT vendors. Also, IoT devices are connected to the Internet and exchange data with a data center, so communication bandwidth is as important as computing resources. In this work, we investigate the ability of ML-HPCs techniques to defend against SATHV and cyber-attacks at runtime. We use low-level information provided by the HPCs to build a robust model against malware and obfuscated malware. We pay particular attention to microarchitectural attacks, which have been a major security threat to systems in recent years due to their ability to leak unprivileged information undetected. We also propose a novel technique to detect malware in low-resource devices such as IoT. The proposed idea aims to accurately detect malicious activities on the edge-device while taking into account all the constraints that modern IoT devices bring, such as over-heads in performance, memory, and communication bandwidth. We implement and evaluate the proposed idea and show that it is capable of efficiently detecting malware in modern low-resource devices.Les dispositifs de l'internet des objets (IoT) et de l'IoT industriel (IIoT) sont de plus en plus présents dans le monde, notamment dans applications critiques, telles que les appareils médicaux ou les systèmes industriels. Pour des raisons de coûts et de temps de développements optimisés, la mise en place de sécurité dans ces solutions est souvent mal ou pas prise en compte. Ce manque de sécurité et leur connexion à des réseaux de grande envergure en font une cible de choix pour des attaquants. Les solutions de sécurité traditionnelles, telles que les logiciels antivirus, peuvent identifier avec succès les menaces connues, mais ne peuvent pas faire face au nombre croissant de logiciels malveillants et à leurs techniques d'obscurcissement. Ces logiciels malveillants sont généralement des applications qui sont insérées discrètement pour compromettre la confidentialité, l'intégrité ou la disponibilité d’un système. L'un des malwares IoT les plus connus est le malware Mirai, qui a infecté de nombreux dispositifs IoT pour créer un botnet et lancer une attaque par déni de service distribué (DDoS). La complexité des architectures de processeurs récents a introduit une nouvelle classe d'attaques logicielles ciblant des vulnérabilités matérielles (SATHV). Cette classe d'attaque, qui vise traditionnellement les ordinateurs haut de gamme comme les ordinateurs de bureau, peut également être appliquée aux dispositifs IoT. En effet, ces appareils sont équipés de processeurs plus complexes pour répondre aux demandes croissantes en matière de ressources de calcul et de mémoire, comme l'émergence de l'edge-computing ou du Machine Learning (ML). Ces nouvelles attaques sont particulièrement dangereuses car elles peuvent extraire des informations sensibles du système et ne peuvent être détectées par des solutions de sécurité traditionnelles comme les antivirus ou par l’analyse dynamique des appels système.Cette situation pousse les concepteurs de sécurité à mettre en œuvre des mécanismes de sécurité plus robustes. Ces dernières années, un état de l’art important s’est constitué sur l'utilisation de données provenant des micro-architectures pour fournir des informations sur le fonctionnement de divers composants matériels afin de détecter des attaques. Ces événements micro-architecturaux peuvent être récupérés à l'aide de registres spéciaux appelés compteurs de performances matérielles (HPC), provenant de l'unité de surveillance des performances (PMU). Grâce à ces informations de bas niveau, il est possible d’établir un profil de fonctionnement du processeur dans des conditions normales et malveillantes à l'aide de techniques de machine learning (ML). Malgré les améliorations en matière de détection de logiciels malveillants, ces solutions de sécurité ne sont pas toujours adaptées aux contraintes des solutions IoT qui disposent de faibles ressources de calcul et de mémoire et une bande passante de communication restreinte pour la remontée de données.Dans cette thèse, nous étudions la capacité des techniques ML-HPCs à détecter les attaques de type SATHV en temps réel. Nous utilisons les informations de bas niveau fournies par les HPCs pour construire un modèle robuste contre cette classe de logiciels malicieux. Nous accordons une attention particulière aux attaques micro-architecturales, qui ont constitué une menace majeure pour la sécurité des systèmes ces dernières années en raison de leur capacité à faire fuiter des informations sensibles sans être détectées. Nous proposons également une nouvelle technique pour détecter avec précision ces logiciels malveillants dans des dispositifs embarqués en prenant en compte leurs limitations en terme de performance, de mémoire et de bande passante. Nous mettons en œuvre et évaluons l'idée proposée et montrons qu'elle est capable de détecter efficacement les logiciels malveillants dans les dispositifs modernes à faibles ressources