|
 |
|
|
|
Abstractions Lab annonce la publication de la version 0.6 d'IDPS-ESCAPE, désormais disponible sur GitHub. Cette version poursuit l'évolution initiée avec l'introduction du sous-système RADAR dans la version 0.4 et renforce considérablement la position d'IDPS-ESCAPE en tant que plateforme SOAR (Security Orchestration, Automation, and Response) ouverte, modulaire et axée sur la recherche.
Après l'extension fonctionnelle apportée tout au long de la série v0.5, la version v0.6 met l'accent sur la consolidation, la robustesse et la maintenabilité. Cette version améliore les scénarios opérationnels de RADAR, renforce la transparence grâce à une documentation détaillée et refactorise la couche d'automatisation afin de prendre en charge l'évolution à long terme et la reproductibilité. L'ensemble de scénarios actuel comprend la détection basée sur les signatures pour les connexions suspectes, la détection basée sur une liste blanche GeoIP et un scénario de détection des anomalies utilisant RRCF pour surveiller les changements de volume des journaux.
Principales nouveautés de la version 0.6
Scénarios RADAR améliorés sur des données Wazuh réelles
Cette version ajoute de nouvelles configurations de scénarios de détection d'anomalies dans les volumes de journaux RADAR, notamment des scripts d'ingestion, une logique de transformation et des définitions de pipeline. Ces améliorations permettent une agrégation et une détection des anomalies plus précises sur la télémétrie Wazuh réelle, renforçant ainsi le modèle de détection hybride de RADAR qui combine des approches basées sur les signatures et sur l'apprentissage automatique.
La détection des connexions suspectes a été affinée grâce à des règles améliorées et à une logique de détection en ligne simplifiée, ce qui augmente la robustesse tout en réduisant la complexité opérationnelle.
Automatisation refactorisée de l'infrastructure en tant que code
Une amélioration architecturale majeure dans la version 0.6 est la refonte des playbooks Ansible de Wazuh Manager. Les tâches précédemment contenues dans un grand fichier monolithique ont été modularisées en composants clairement délimités couvrant le bootstrap, la configuration de l'hôte, les décodeurs, les règles, les réponses, OSSEC, Filebeat, les listes et la mise en scène. Cette modification améliore la lisibilité, la maintenabilité et l'extensibilité de la pile de déploiement.
Pour des raisons d'exhaustivité et de traçabilité, le playbook monolithique d'origine a été conservé dans une archive au sein du référentiel.
Une meilleure compréhension du fonctionnement interne du RADAR
IDPS-ESCAPE v0.6 présente une documentation technique complète décrivant le pipeline d'exécution interne de run-radar.sh. Ce nouveau document détaille le workflow RADAR en trois étapes (ingestion des données, création de détecteurs et configuration des moniteurs), renforçant ainsi l'importance accordée par le projet à la traçabilité, à l'explicabilité et à la reproductibilité des expériences en matière de sécurité.
La documentation relative au déploiement pour l'activation automatisée de Wazuh et RADAR via Ansible a été affinée, fournissant ainsi une référence opérationnelle plus claire pour les environnements de recherche et de production.
Améliorations en matière de fiabilité et d'exactitude
IDPS-ESCAPE v0.6 corrige plusieurs problèmes liés à RADAR, notamment des bogues susceptibles d'endommager les scénarios précédemment installés en fonction de l'ordre d'exécution. L'image Docker RADAR CLI a été corrigée, et plusieurs modèles de scénarios et lacunes dans la documentation ont été résolus. Les améliorations apportées à la gestion de la connectivité, aux webhooks et au traitement des alertes renforcent encore la stabilité du runtime.
Disponibilité
IDPS-ESCAPE v0.6 est désormais disponible en version gratuite et open source sur GitHub :
https://github.com/AbstractionsLab/idps-escape
Le référentiel comprend une documentation mise à jour, l'automatisation du déploiement, les spécifications techniques et les artefacts de validation. Les commentaires et contributions de la communauté sont les bienvenus.
Roadmap
Calcul hybride des risques à l'aide d'une détection basée sur l'apprentissage automatique (ML) et sur les signatures
Intégration du sous-système DECIPHER de SATRAP pour améliorer les détections RADAR grâce à l'enrichissement CTI et aux playbooks
Intégration de Flowintel dans le cycle de détection RADAR via DECIPHER
Nouveaux scénarios RADAR : connexion suspecte hybride (basée sur le ML + basée sur la signature)
Refonte d'ADBox v2.0
Intégration d'ADBox et de RADAR
Intégration des objets de menace OpenTide
Risk-aware Anomaly Detection-based Automated Response (Réponse automatisée basée sur la détection des anomalies et la prise en compte des risques)
L'équipe IDPS-ESCAPE est heureuse d'annoncer une mise à jour majeure du sous-système RADAR, qui offre de nouvelles capacités SOAR pour la détection et la réponse automatisées aux menaces dans les centres d'opérations de sécurité (SOC) modernes.
L'équipe IDPS-ESCAPE est heureuse d'annoncer une mise à jour majeure du sous-système RADAR, qui offre de nouvelles capacités SOAR pour la détection et la réponse automatisées aux menaces dans les centres d'opérations de sécurité (SOC) modernes.
Cette version introduit trois nouveaux scénarios de détection RADAR :
Détection des connexions suspectes: identifie les comportements de connexion anormaux, tels que les accès depuis des lieux ou à des heures inhabituelles.
Détection des attaques DDoS : surveille les pics de trafic indiquant des attaques par déni de service distribué.
C2 Malware Communication : signale les modèles de trafic cachés liés aux serveurs de commande et de contrôle.
Pour prendre en charge ces scénarios, la mise à jour inclut un cadre de test RADAR automatisé rendu possible par Ansible. Ce cadre rationalise le déploiement, la simulation d'attaques, l'ingestion de données et l'évaluation statistique, facilitant ainsi le test et la validation des stratégies de détection.
Un module d'évaluation des expériences permettant de calculer la précision, le rappel et d'autres indicateurs de performance.
Ensembles de données sélectionnés pour l'évaluation comparative des expériences RADAR.
Scripts de déploiement Infrastructure-as-Code (IaC) pour le serveur et les agents Wazuh, permettant une configuration rapide et reproductible.
Cette version s'appuie sur l'approche hybride de détection des anomalies combinant les modèles d'apprentissage profond d'ADBox et l'algorithme Robust Random Cut Forest (RCF) via OpenSearch, offrant une résilience contre les interférences adversaires et les faux positifs.
Découvrez la version complète et la documentation sur GitHub.
Roadmap
Ajout de nouveaux scénarios d'utilisation réutilisables pour RADAR et ADBox ;
Hybridation des scénarios RADAR : AD + détection basée sur les signatures ;
Combinaison de l'AD classique et du deep learning, dans notre cas : RRCF + MTAD-GAT ;
Intégration du moteur SATRAP pour une CTI avancée en temps réel sur un graphe de sécurité du système combiné à la CTI mondiale ;
Conversion des dépendances des actifs OpenTRICK vers un graphe de sécurité du système SATRAP ;
Intégration d'OpenTide ;
Interconnexion d'ADBox et de RADAR ;
ADBox : ajout de la prise en charge des fonctionnalités catégorielles ;
ADBox : ajout d'un mécanisme d’entraînement de modèle automatique (en ligne) (basé sur des politiques, par exemple calendrier, critères personnalisés, etc.) ;
Stabilisation de la mise en œuvre actuelle et amélioration de sa résilience/tolérance aux pannes, en particulier lorsqu'il s'agit de traiter des données brutes manquantes ou mal formées.
Utilisez le formulaire suivant pour enregistrer votre organisation afin de mettre en place un canal de signalement utilisant le WBaaS (Whistleblowing as a Service) d'itrust consulting.
[wpforms id="14043"]
Whistleblowing as a Service is a service provided by itrust consulting that enables employees to report violations of laws and regulations within an organisation without fear of negative consequences.
Depuis le 17 décembre 2023 (date d'activation de la loi luxembourgeoise A232 sur les lanceurs d'alerte), un canal dédié au signalement interne est obligatoire pour les entreprises de plus de 50 salariés et les communes de plus de 10 000 habitants.
Les entreprises qui souhaitent utiliser ce service d'itrust consulting doivent s'inscrire ici pour mettre en place un canal de signalement.
Le site web permettant de signaler les infractions est le suivant https://wbaas.itrust.lu
Une fois votre commande confirmée, votre entreprise sera ajoutée à la liste des partenaires utilisant ce service de reporting WBaaS.
Nous sommes heureux d'annoncer la version stable de C5-DEC CAD Version 1.0.sur GitHub.
C5-DEC CAD est un outil complet conçu pour soutenir la création et l'évaluation de systèmes informatiques sécurisés selon les normes des Critères Communs (CC), depuis le développement de logiciels sécurisés et la gestion méticuleuse de la documentation, jusqu'aux évaluations de sécurité basées sur les Critères Communs et à la gestion de projet.
La version 1.0 de C5-DEC CAD permet de créer des environnements de développement pour des solutions informatiques sécurisées, dotées d'une suite d'outils intégrés permettant d'exécuter le cycle de vie du développement logiciel selon la méthodologie C5-DEC. Cette version comprend également des améliorations et des corrections par rapport aux versions précédentes, améliorant principalement les capacités et la présentation des rapports ETR et des modèles de documentation de projet.
Principales caractéristiques de C5-DEC CAD
Quelles sont les nouveautés de C5-DEC v1.0 ?Création d'un nouveau projet
Pour commencerTéléchargez la dernière version depuis notre dépôt GitHub et explorez la documentation complète. N'hésitez pas à nous faire part de vos commentaires et de vos questions à l'adresse info@abstractionslab.lu.
RoadmapNous continuerons à améliorer la CAO C5-DEC avec de nouvelles fonctionnalités et des améliorations. Voici quelques-unes des fonctionnalités prévues :
