Gestion de la sécurité : une nouvelle approche par système multi-agents Karima Boudaoud, Charles McCathieNevile CUI- Université de Genève/ W3C-INRIA GRES ’2001 - Marrakech - Maroc

Plan Problématique Systèmes multi-agents Système multi-agents pour la gestion de la sécurité Conclusion

Plan Problématique Systèmes multi-agents Système multi-agents pour la gestion de la sécurité Conclusion

Problématique Une solution plus efficace Réseaux Systèmes Utilisateurs Organisations Attaques Réseaux Systèmes Services Complexité Gestion de Sécurité Une solution plus efficace

Gestion de la sécurité Mise en place de mécanismes préventifs Protection des données et des ressources Mise en place de politiques de sécurité Définition et application des politiques de sécurité Violation d’une politique = attaque Mise en place d ’outils de sécurité Détection des attaques de sécurité Systèmes de détection d’intrusions (SDI) Mise en place de mécanismes de réponse Mesures à prendre en cas d’attaque

Systèmes de détection d’intrusions (1) Collecte locale Entités de surveillance SDIs centralisés Architecture Monolithique + Analyse centralisée Entité centrale SDIs distribués Architecture Distribuée Détection locale Entités d’analyse + Coopération (information) Pas d’entité centrale

Systèmes de détection d’intrusions (2) En cas d’attaque/ défaillance Un point de rupture Difficulté de mise à jour Nouvelles méthodes de détection SDIs Traditionnels Difficulté de s’adapter aux changements Evolution du comportement des utilisateurs Nouvelles ressources/ applications + Déploiement à grande échelle Analyse par une seule entité

Systèmes de détection d’intrusions (3) SDI existants Réseaux et systèmes bien définis Non adaptés à des environnements dynamiques Solution idéale Réseaux et systèmes dynamiques Adaptée à l’évolution et à la dynamicité des besoins de sécurité Futurs SDIs Adaptatifs & Flexibles

Caractéristiques idéales d’un SDI (1) Distribution attaques = comportements anormaux sur différents éléments du réseau détection par un seul système = trop compliqué + beaucoup d’échanges de messages distribuer les fonctions de surveillance parmi plusieurs entités Autonomie distribution des données = trafic de données excessif (problème de congestion) analyse locale + détection comportement intrusif local utiliser des entités autonomes

Caractéristiques idéales d’un SDI (2) Délégation dynamicité des réseaux = adapter les tâches de gestion de sécurité délégation continue de nouvelles tâches de détection déléguer la détection des attaques aux entités autonomes Communication et Coopération difficulté pour une entité individuelle de détecter les attaques réparties besoin de corréler les analyses faites par les entités autonomes communiquer + coopérer = détection coordonnée des attaques

Systèmes multi-agents Plan Problématique Systèmes multi-agents Système multi-agents pour la gestion de la sécurité Conclusion

Les systèmes multi-agents Coordination SMA Autonomie Agent Délégation Coopération Pro-activité Réactivité Adaptabilité Sociabilité Communication

Un système multi-agents pour la gestion de la sécurité Solution proposée Caractéristiques d’un bon SDI Similitudes Propriétés des SMAs Un système multi-agents pour la gestion de la sécurité

Système multi-agents pour la gestion de la sécurité Plan Problématique Systèmes multi-agents Système multi-agents pour la gestion de la sécurité Conclusion

Système multi-agents proposé Conception SMA (J. Ferber, D. Kinny, M. Wooldridge) Spécifier les politiques Identifier les attaques Distribuer la tâche de détection Détecter les attaques Structure organisationnelle Architecture interne Rôles Interactions Attitudes mentales Fonctions

Modèle organisationnel Administrateur Agent gestionnaire des politiques de sécurité Groupe gestionnaire Agent gestionnaire global Agent gestionnaire intermédiaire Agent gestionnaire intermédiaire Groupe surveillant local Agent local Agent local Agent local Agent local Dépendance hiérarchique Reports d’informations Communication & coopération agents

Architectures d’agents Architectures Agents Agents réactifs Agents hybrides Agents délibératifs réaction rapide pour des problèmes simples pas de raisonnement complexe agents délibératifs + réactifs solution pour des problèmes complexes capacité de raisonnement Architecture choisie détection rapide d’attaques simples détection d’attaques complexes

Architecture interne d’un agent Agent/ administrateur Actions Diagnostic Réseaux Rapports/alarmes Evénements de sécurité Evénements filtrés Informations Filtrage Délibération Coordination

Plan Conclusion Problématique Systèmes multi-agents Système multi-agents pour la gestion de la sécurité Conclusion

Conclusion Systèmes de détection d’intrusions Solution difficulté des SDIs de s’adapter à des environnements dynamiques nécessité de systèmes flexibles + adaptatifs Solution similitudes entre propriétés SMAs et caractéristiques d’un bon SDI systèmes multi-agents approprié pour remplir les nouveaux besoins de sécurité Travaux courants implémentation d’un prototype pour la détection d’attaques connues, en utilisant la plate-forme DIMA (Z. Guessoum, LIP6-France) Travaux futurs implémentation d’un algorithme d’apprentissage pour la détection d’attaques non connues