Université de Rennes 1 Reacting to “n-day” vulnerabilities in information systems Réagir aux vulnérabilités “n-day” dans les systèmes d’information Sécurité informatiqueCyberdéfenseProtection de l'information (informatique) Information Systems -- Security MeasuresCyberdefenseInformation Security Systèmes informatiques -- Mesures de sûreté Cyberdéfense Protection de l'information (informatique) Les vulnérabilités n-day sont des vulnérabilités logicielles et matérielles publiques, récemment divulguées, mais pas encore bien connues. Des vulnérabilités n-day passées comme Heartbleed, Shellshock et EternalBlue ont déjà eu un impact important sur des milliers de systèmes d'information et organisations autour du globe. Durant les premiers jours après la divulgation d'une vulnérabilité, les informations préliminaire à propos de celle ci ne sont pas disponibles dans un format lisible automatiquement, ce qui retarde l'usage de processus automatisés de gestion de vulnérabilité. Cette situation créée une période de temps où seule une coûteuse analyse manuelle peut être utilisée pour réagir à une nouvelle vulnérabilité car aucune donnée n'est disponible pour des analyses automatisées moins coûteuses. Nous proposons plusieurs contributions visant d'une part à automatiquement analyser les vulnérabilités récemment divulguées pour prédire leurs propriétés inhérentes (comme le logiciel ou matériel qu'elles affectent, ou leur sévérité), et d'autre part à automatiquement évaluer le risque qu'elles posent à un système d'information donné. Nos contributions prennent place dans une stratégie complète de mitigation du risque posé par les vulnérabilités pour les systèmes d'information. N-day vulnerabilities are public, recently disclosed, but not well-known software and hardware vulnerabilities. Past n-day vulnerabilities such as Heartbleed, Shellshock, and EternalBlue already had important real-world impact on thousands of information systems and organizations across the world. One difficulty for proper defense against n-day vulnerabilities is that during the first days after a vulnerability disclosure, preliminary information about the vulnerability is not available in a machine readable format, delaying the use of automated vulnerability management processes. This situation creates a period of time when only expensive manual analysis can be used to react to new vulnerabilities because no data is available for cheaper automated analysis yet. We propose several contributions to automatically analyze newly disclosed vulnerabilities to predict inherent properties such as the software or hardware they affect, and automatically evaluate the risk they pose in the context of a specific information system. We highlight how our contributions take part in a greater end-to-end strategy aiming at mitigating the risk faced by information system because of n-day vulnerabilities. Electronic Thesis or DissertationText en application/pdf1 : 2168 Kohttps://ged.univ-rennes1.fr/nuxeo/site/esupversions/c8f1bcde-2060-44a1-b330-9f72f137cd13 Elbaz Clément 1987-12-22 FR 257439641 clem.ds@gmail.com 2021REN1S021 http://www.theses.fr/2021REN1S021 2021-03-30 Informatique Universite de Rennes 1thesis.degree.grantor_1 02778715X Doctorat non ouiMorinChristineintervenant_1059647485RillingLouisintervenant_2093829086PinchinatSophieintervenant_3097578754Badonnel Rémiintervenant_6112299733BeaugnonAnaëlintervenant_7241166004RomanoskySashaintervenant_8257440054DebarHervéintervenant_4103969284FestorOlivierintervenant_5075032449 MATHSTICecoleDoctorale_1 204770424 INRIA-RENNES partenaireRecherche_1 133175863 ddc:004 MorinChristineRillingLouisPinchinatSophieDebarHervéFestorOlivierBadonnel RémiBeaugnonAnaëlRomanoskySashaUniversite de Rennes 1Sciences et technologie, medecine, pharmacie, odontologie, droit, economie, gestion, philosophieMATHSTICÉcole doctorale Mathématiques et sciences et technologies de l'information et de la communication (Rennes) INRIA-RENNES ASCII PDF 2220493