Methodology for socio-organizational characterization of IP addresses applied to security
Méthodologie de caractérisation socio-organisationnelle des adresses IPs appliquée à la sécurité
Résumé
The Internet is a key system in contemporary society. It is a complex system distributed among numerous organizations with a variety of roles and interests. Since their emergence, cyber-attacks have become valuable assets, giving rivals advantages, for example in the political or economic spheres. We need to analyze these attacks, identify their singularities and the mechanisms they rely on, in order to counter them. This will enable more accurate and relevant signatures to be established, and help in the development of countermeasures. One aspect of attack analysis is the infrastructures used by attackers to generate attacks. Numerous tools are now available to characterize the technical aspects of the machines that make up these infrastructures. But as attacks take place in a social, political, economic and organizational environment, we claim that it is necessary to evaluate these machines from an organizational point of view.
This thesis proposes an original methodology for categorizing IP addresses, using 6 labels describing two axes: a technological axis and an organizational axis. We also present an investigation tool, IPSeen, which implements this methodology, and assigns labels to IP addresses. It is based on various data sources: Wikidata, RDAP, Onyphe, GeoIPLite. Two versions of IPSeen are proposed and evaluated in this work. These two versions differ in terms of speed and accuracy. Finally, we apply our methodology to a real command-and-control infrastructure monitoring dataset. The analysis produced offers a description of the infrastructures of the organizations that maintain the machines participating in the attack infrastructures. We show that our approach provides essential light on the understanding of attacks, complementing the many technical characterizations otherwise available.
Internet est un système clé dans la société contemporaine. Il s'agit d'un système complexe réparti entre de nombreuses organisations ayant une variété de rôles et d'intérêts. Depuis leur création, les cyberattaques sont devenues des actifs précieux, car elles donnent aux rivaux des avantages, par exemple dans les domaines politique ou économique. Il est nécessaire d'analyser ces attaques, d'identifier leurs singularités et les mécanismes sur lesquels elles s'appuient afin de les contrer. Cela permettra d'établir des signatures plus précises et plus pertinentes et aidera la conception des contre-mesures. Un des aspects d'analyse des attaques sont les infrastructures utilisées par les attaquants pour générer les attaques. De nombreux outils aujourd'hui permettent de caractériser l'aspect technique des machines qui composent ces infrastructures. Mais comme les attaques ont lieu dans un environnement social, politique, économique et organisationnel, nous revendiquons qu'il est nécessaire d'évaluer ces machines d'un point de vue organisationnel.
Cette thèse propose une méthodologie originale de catégorisation des adresses IP, à l'aide de 6 étiquettes décrivant deux axes : un axe technologique et un axe organisationnel. Nous proposons également un outil d'investigation, IPSeen, qui implémente cette méthodologie, en affectant les étiquettes aux adresses IP. Il s'appuie sur différentes sources de données : Wikidata, RDAP, Onyphe, GeoIPLite. Deux versions d'IPSeen sont proposées et évaluées dans ce manuscrit. Ces deux versions se différencient par leur rapidité et leur niveau de précision. Enfin, nous appliquons notre méthodologie à un ensemble de données réelles de suivi d'infrastructure de type "command and control". L'analyse produite propose une description des infrastructures des organisations qui administrent les machines participant aux infrastructures d'attaques. Nous montrons que notre approche apporte un éclairage essentiel sur la compréhension des attaques, en complément des nombreuses caractérisations techniques par ailleurs disponibles.
| Origine | Fichiers produits par l'(les) auteur(s) |
|---|---|
| Licence |
