Thèse Cyberdéfense délivrée par les infrastructures virtualisées du cloud F/H

Description de l'offre

about the role

Votre rôle est d'effectuer un travail de thèse sur la « cyberdéfense délivrée par les infrastructures virtualisées du cloud».

Le cloud computing a connu un essor indéniable ces dernières années et reste un enjeu majeur pour un opérateur télécom comme Orange. La virtualisation [1] est un des principaux outils utilisé pour encapsuler (dans des « Virtual Machines », VM) les applicatifs dans le cloud [2], qu'il soit public, privé ou hybride. Pour optimiser les ressources dans ces infrastructures mutualisées du cloud, un serveur est amené à héberger (exécuter) plusieurs VMs en parallèle.

Cependant, si la virtualisation de niveau matériel permet de garantir pour partie une isolation logicielle entre applicatifs hébergés, elle ne garantit pas l'isolation matérielle. Concrètement, une VM corrompue, en s'appuyant sur le matériel commun d'exécution, peut potentiellement exploiter des vulnérabilités pour espionner l'exécution et les données d'une autre VM, comme le montre l'actualité récente autour de l'attaque spectre [3] divulguée par les équipes Google et depuis corrigée par les fabricants de microprocesseurs et les éditeurs de systèmes d'exploitation.

Depuis quelques années, toujours en vue d'optimiser les ressources, de nouvelles formes de virtualisation ont été proposées avec une « frontière de virtualisation » séparant le domaine virtualisé du virtualiseur, positionnée dans des couches logicielles plus hautes. Typiquement, les conteneurs permettent d'héberger sur un même serveur plusieurs applicatifs tout en diminuant l'empreinte mémoire de chaque applicatif. D'un point de vue sécurité, ce n'est plus simplement le matériel qui est partagé entre les applicatifs mais également le système d'exploitation du serveur, ajoutant de nouveaux moyens d'action aux conteneurs corrompus pour espionner les applicatifs co-hébergés.

Il est donc déterminant pour l'hébergeur de disposer d'outils permettant de sécuriser son infrastructure d'exécution mutualisée. La difficulté pour un hébergeur est de sécuriser non seulement ses plateformes d'hébergement mais aussi les VMs hébergées alors qu'il ne peut imposer à ses clients l'installation d'anti-virus dans leurs VMs ou conteneurs, ni ne peut actuellement contrôler leur niveau de sécurisation interne.

Le défi scientifique et technique consiste à exécuter un anti-virus depuis l'infrastructure et donc à l'extérieur de la VM, du conteneur ou encore de l'unikernel, tout en lui donnant accès à des informations suffisantes pour superviser la sécurité des applications hébergées.

Nos premiers travaux sur la technique dite d'introspection [4 ] NoGap ont démontré qu'il était possible depuis le serveur (hyperviseur) d'accéder non seulement à l'empreinte mémoire d'une VM, mais également à l'ensemble des flots d'exécutions de cette dernière. Nous avons ainsi démontré qu'un anti-virus installé hors de la VM pouvait analyser cette dernière avec autant d'efficacité que s'il était installé à l'intérieur, pour détecter des processus cachés [5].

La suite de ces travaux consisterait à chercher à généraliser et unifier ce principe de cyberdéfense délivrée par l'infrastructure. Aussi, la question centrale de cette thèse est la suivante.

Dans un monde où la frontière de virtualisation existe sous différentes formes (VM, conteneur, unikernel) et où les couches basses système des piles logicielles virtualisées continuent d'évoluer profondément, des approches génériques de défense de niveau infrastructure sont-elles possibles ?

Se référer à la section 3 « Le plus de l'offre » ci-dessous, pour des informations détaillées sur la mission scientifique et les principales activités associées à la thèse.

about you

Vous êtes diplômé(e) d'une école d'ingénieur ou titulaire d'un Master Recherche dans le domaine de l'informatique, avec idéalement une spécialisation en sécurité.

Les compétences recherchées sont des connaissances pointues en systèmes d'exploitation, avec, si possible une spécialisation sur la virtualisation et les hyperviseurs. Des connaissances fortes en sécurité, et plus particulièrement en sécurité des systèmes sont un élément indispensable pour pouvoir mener à bien ces recherches dans de bonnes conditions.

Par ailleurs, l'autonomie, la curiosité, et l'ouverture d'esprit seront particulièrement appréciées pour ces travaux de recherche. Le dynamisme, la force de proposition, et les capacités de communication sont des qualités également requises pour ce poste.

L'anglais sera prépondérant tout au long de la thèse, aussi bien en lecture (état de l'art), en écriture (rédaction d'articles) qu'à l'oral (présentation des résultats lors de conférences internationales). Un bon niveau est donc également souhaité.

Une expérience dans la conception et/ou le développement de systèmes de virtualisation (hyperviseurs) ou de mécanismes systèmes (programmation noyau) ou de mécanismes de sécurité des infrastructures seront des atouts pour ce poste.

Une expérience antérieure dans un contexte de type recherche serait un plus.

additional information

L'objectif de la thèse est d'examiner, pour différentes alternatives de technique de virtualisation des infrastructures, les abstractions logicielles observables de part et d'autre de la frontière de virtualisation dans le but d'étudier les limites et les apports de mécanismes de défense du domaine virtualisé exploitables au niveau du virtualiseur.

Dans cette thèse, on considérera tout particulièrement les nouvelles possibilités apportées par le virtualiseur (comparativement à une sécurité traditionnelle basée utilisateur) : i) l'isolation et le niveau élevé de privilèges du virtualiseur, ii) la vue multi-domaines virtualisés et iii) les services du virtualiseur tels que l'allocation dynamique de ressources, en particulier pour la réaction aux attaques.

Les principaux verrous scientifiques identifiés sont les suivants :

·  la définition de techniques de détection d'intrusions basée sur l'observation depuis le virtualiseur du comportement des domaines virtualisés, au niveau système. On attend de ce traitement bas niveau de la sécurité qu'il puisse améliorer la généricité de la détection vis-à-vis des particularités d'exécution de la grande variété possible d'attaques,
·  la définition de techniques de réaction aux intrusions depuis le virtualiseur,
·  la prise en compte de la pluralité des alternatives de virtualisation et la recherche de techniques de défense génériques au niveau virtualiseur.

Le planning proposé serait le suivant :

·  Année 1

o Analyse de l'état de l'art dans les deux grands domaines identifiés ci-dessus : virtualisation des infrastructures et techniques de défense contre les attaques (détection de niveau système et réaction)

o Définition de mécanismes de détection à partir d'informations qu'il est possible de collecter au niveau virtualiseur d'une part et de techniques de réaction au niveau du virtualiseur d'autre part

·  Année 2

o Prototypage des mécanismes de détection et de réaction proposés, interfacés avec deux types de virtualiseur : virtualisation de niveau matériel (hyperviseur KVM ou moniteur unikernel) d'une part et de niveau système d'exploitation (docker) d'autre part

o Définition et constitution d'une base d'attaques et collecte au niveau virtualiseur de l'activité générée, en vue d'évaluer la capacité des techniques proposées à détecter les intrusions à partir de ces informations collectées au niveau virtualiseur,

o Expérimentations et évaluation des taux de détection avec la base d'attaques considérée, caractérisation de la généricité des principes proposés vis-à-vis des attaques et des types de virtualisation. Evaluation des techniques de réaction aux intrusions

·  Année 3

o Finalisation des expérimentations.

o Rédaction du manuscrit de thèse

o Préparation de la soutenance.

department

Vous rejoindrez le département Sécurité d'Orange Labs Services qui regroupe une soixantaine de collaborateurs aux compétences pointues dans les domaines de la sécurité des réseaux (IP, mobiles), des terminaux (smartphones, Box, Set-Top-Box…), des systèmes (OS, Secure Elements…), du cloud (compute et stockage), de la cryptographie, de la protection des données personnelles, et de la détection et prévention des attaques informatiques.

Plus spécifiquement, vous serez intégré(e) à l'équipe de recherche située à Caen (14) de ce département.

Qu'est ce qui fait la valeur ajoutée de cette offre ?

Vous ferez partie d'un écosystème de recherche spécialisé dont les contributions sont fédérées dans le projet de recherche interne " End-to-end Security & Dependability" au sein du domaine de recherche Orange "Trust and Security". Le doctorant pourra s'appuyer sur des résultats de recherche antérieurs de l'équipe d'accueil, dans le domaine de l'introspection de machines virtuelles notamment.

La thèse donnera lieu à publication de plusieurs articles dans des conférences au meilleur niveau scientifique et le doctorant bénéficiera pour ses dépôts de brevets du support d'un ingénieur brevet (département « Intellectual Property and Licensing » d'Orange Labs Recherche).

Références :

1] Chris Horne. “Understanding full virtualization, paravirtualization and hardware assist”. In: White paper, VMware Inc (2007)

[2] Mell, P. and Grance, T. (2010), “The NIST definition of cloud computing”, 2011

[3] Kocher, P.; Genkin, D.; Gruss, D.; Haas, W.; Hamburg, M.; Lipp, M.; Mangard, S.; Prescher, T.; Schwarz, M. & Yarom, Y. Spectre Attacks: Exploiting Speculative Execution ArXiv e-prints, 2018

[4] Hebbal, Y., Laniepce, S., & Menaud, J. M. Virtual Machine Introspection: Techniques and Applications. In 10th IEEE International Conference on Availability, Reliability and Security (ARES), 2015

[5] Y. Hebbal, S. Laniepce et JM Menaud. « Hidden process detection using kernel functions instrumentation ». In IEEE Conference on Dependable and Secure Computing (DSC), 2017

contract

Thesis