Évaluation quantitative de la sécurité. Approche basée sur les vulnérabilités

Les travaux presentes dans cet article sont consacres a la securisation des systemes d'information en se basant sur des mesures quantitatives. Les mesures ont pour but d'aider a la prevision des risques et de fournir les informations necessaires permettant d'assurer le niveau de securite du systeme en operation. Dans cette approche, nous prenons en consideration des facteurs externes ayant un impact significatif sur la securite du systeme. Nous avons identifie trois facteurs, lies au processus d'exploitation d'une vulnerabilite : le cycle de vie de la vul-nerabilite, le comportement des attaquants et le comportement de l'administrateur du systeme. Nous avons etudie les dependances entre ces differents facteurs et comment leur evolution pou-vait impacter la securite du systeme. A partir de cette etude, nous avons defini des mesures quantitatives prenant en compte ces facteurs externes et avons modelise, en utilisant le forma-lisme des SAN (Stochastic Activity Networks), le processus d'exploitation de la vulnerabilite qui conduit a la compromission du systeme. Nous avons distingue deux scenarios selon que la vulnerabilite est decouverte par une personne malveillante ou non malveillante. En analysant une base de donnees de vulnerabilites, nous avons caracterise la probabilite d'occurrence de plusieurs evenements du cycle de vie de la vulnerabilite, que nous utilisons pour l'obtention de nos mesures. ABSTRACT. The objective of this work is the evaluation of information systems security using quantitative measures. These measures aim at forecasting risks and providing information to monitor the security level of the system in operation. In our approach, we take into account some environmental factors that have a significant impact on the security of the system. We have identified three such factors that are related to the vulnerability exploitation process: the vulnerability life cycle, the behavior of the attackers and the behavior of the system administrator. We have studied the dependencies between these factors and how the evolution of these factors could impact the system security. From this study, we have defined quantitative security measures taking into account these environmental factors and we have developed a model 1 re soumission a Technique et science informatiques, le 22/03/2011