Doctorant - Planification et orchestration adaptatives et automatisées des réponses à incidents (H/F)

Sujet de thèse :
Objectifs de la thèse :
Dans son rapport d’incidentologie, interCERT France révèle que MTTR (Mean-Time-To-Respond) moyen, i.e. le temps moyen de résolution des incidents de cybersécurité une fois détecté, est de 28,5 jours dans les grandes entreprises. Ce chiffre souligne les limites des méthodes actuelles, souvent trop lentes pour faire répondre à des menaces en constante évolution et de plus en plus sophistiquées. Face à cette réalité, la nécessité de solutions de cybersécurité automatisées et adaptatives devient urgente.
Les solutions de type SOAR (Security Orchestration, Automation and Response) ou XDR
(eXtended detection and response) ont récemment vu le jour pour tenter de répondre à cette problématique en promettant d’automatiser l’orchestration d’une partie des processus de sécurité afin d'améliorer la rapidité et l'efficacité de la détection et réponse aux incidents.
Cette automatisation (qui peut être aussi de la semi-automatisation car les procédures peuvent inclure des actions effectuées par des êtres humains) se fait au moyen de scripts appelés playbooks qui décrivent les séquences d’actions à mener en cas d’incident.
Cependant, créer des playbooks est une tâche complexe qui nécessite de prévoir pour chaque type d’incidents les actions précises à mener. Bien qu'il puisse exister des playbooks « prêts à l'emploi » fournis par les éditeurs de SOAR1, ces playbooks nécessitent la plupart du temps des modifications importantes afin qu’ils soient adaptés à l’environnement cible. De plus, les playbooks représentent des comportements de réaction rigides, définis a priori. En effet, une fois chargés dans le SOAR, les playbooks ne changent plus. Cela pose un problème car, par exemple si deux incidents sont détectés dans une même période, il est possible d’avoir deux réponses conflictuelles provenant de deux playbooks différents. L’objectif de cette thèse est donc de proposer un cadriciel permettant de planifier, d’orchestrer et de déployer dynamiquement des réponses globales aux incidents. Ces actions de réponse à incidents élicitées seront adaptées à l’environnement à protéger et pourront être réajustées selon l’évolution du niveau de détection/compréhension des incidents. Le mécanisme de planification devra aussi trouver le meilleur compromis entre le niveau de sécurité et l’impact des mesures de sécurité sur les services et donc l’activité de l’organisation. Enfin les mesures de sécurité pourront soit être déployées automatiquement, soit être proposées sous la forme d’une aide à la prise de décision par exemple pour les cellules décisionnelles de gestion de crise dans le cas de la gestion de crise cyber.

Verrous scientifiques et approches envisagées :
Les verrous scientifiques sont les suivants :
1. Qualification des incidents et déduction des situations de sécurité – Nous travaillerons sur la qualification des incidents de sécurité afin de déterminer leur importance et
Voir plus sur le site emploi.cnrs.fr...