Léa Kenmogne

Résumé:

La cybersécurité des systèmes de contrôle industriel est  un domaine de recherche qui a pris de l'ampleur autour des années 2010, suite à l'attaque emblématique Stuxnet. Cet incident a mis en évidence une nouvelle catégorie de cybermenaces, capables de cibler les processus physiques contrôlés par les systèmes industriels tout en échappant aux méthodes de détection traditionnelles. La multiplication de telles attaques au fil du temps (Industroyer, BlackEnergy) revèle le besoin de s'interesser à la détection de ces intrusions. 

L'objectif de cette thèse est de développer un système de détection d'intrusions propre aux systèmes industriels pour détecter les attaques orientées processus. Ces attaques dites "furtives" ne violent pas nécessairement les protocoles de communication et ne génèrent pas de traffic suspect, ce qui les rend difficiles à identifier par des systèmes basés sur des signatures ou des modèles comportementaux conventionnels.

Dans ce contexte, les approches conventionnelles de cybersécurité montrent leurs limites, en particulier face aux attaques orientées processus qui manipulent les états internes du système sans altérer visiblement les communications. Nous proposons une approche basée sur l’intelligence artificielle, et plus particulièrement sur l’intelligence artificielle explicable avec un double objectif:  détecter les comportements anormaux, tout en fournissant aux opérateurs humains des explications compréhensibles des prédictions faites par le modèle. Notre méthodologie se décline en trois étapes: une analyse du processus à étudier afin de comprendre comment il fonctionne dans son entièreté; ensuite, nous faisons un benchmark des modèles pour choisir le plus adapté pour la détection des intrusions dans le processus étudié et nous entrainons ce modèle. Enfin, nous appliquons trois méthodes d'explicabilité (SHAP, LIME et LEMNA) pour comprendre les prédictions faites par le modèle.

Nous avons appliqué cette  méthodologie à un processus industriel simulé et à un jeu de données industriel (SWaT). Les résultats montrent que l'explicabilité permet de comprendre les décisions du modèle en identifiant les variables qui influencent une alerte et permet aussi de revéler d’autres propriétés de sécurité violées et qui étaient invisibles par les approches basées sur les spécifications. L’intégration de ces techniques dans  les IDS en temps réel pourrait donc améliorer considérablement la capacité des systèmes industriels à faire face à des cybermenaces de plus en plus sophistiquées.