Avis de tempête sur Internet

En 2016, un cyberpirate britannique défrayait la chronique en attaquant simultanément tous les routeurs de l’opérateur allemand Deutsche Telekom, grâce à une faille informatique qui n’avait pas été détectée. Il paralysait ainsi plus d’1,25 millions d’internautes, et causait des millions d’euros de dégâts. 24 heures avant cette cyberattaque mémorable, les chercheurs du Laboratoire de Haute Sécurité (LHS), une plateforme commune à Inria et au Loria avec laquelle Jérôme François travaille en étroite collaboration, avaient repéré un pic d’activité inhabituel dans les flux de données sur internet. Ils savaient qu’il y avait un « problème » et que « quelque chose » allait se passer… mais quoi ? où ? et quand ?… Mystère ! « Le projet ThreatPredict vise à développer les outils nécessaires pour faire de telles prédictions de façon suffisamment fine pour permettre d’alerter les cibles et leur donner la possibilité de se protéger, ou au moins de se préparer, » explique Jérôme François.

Les chercheurs de l’équipe RESIST, avec le soutien de la plateforme LHS, utilisent un système très élaboré pour identifier et analyser les flux de données sur internet. Ils disposent de plus de 4000 adresses IP – l’équivalent de l’adresse postale pour des ordinateurs ou des objets connectés – qui ne correspondent à aucune machine physique. Ces adresses IP sont néanmoins connectées à tout le réseau internet et reçoivent le même flux d’informations et d’attaques que n’importe quelle machine réelle. Plus précisément, chacune de ces adresses reçoit entre 8000 et 10000 cyberattaques par jour. La météo est agitée sur internet !

Les scientifiques peuvent visualiser les flux d’informations reçues par ces 4000 adresses IP et ainsi évaluer la quantité d’informations échangées. Lors d’une cyberattaque de grande envergure, la quantité de données échangées sur internet augmente de façon significative : les scientifiques peuvent ainsi savoir qu’il va « se passer quelque chose ». D’autre part, ils récupèrent également les informations envoyées à ces adresses « fantômes » pour les analyser. Ils affinent ainsi leur compréhension des mécanismes des cyberattaques et espèrent identifier des marqueurs de prédiction fiables.

Ces milliers d’attaques peuvent cibler un pays, une région, ou un service précis comme dans l’attaque contre Deutsche Telekom. Pour le moment, les chercheurs peuvent affiner leurs prédictions jusqu’à identifier une zone géographique-cible, ou des entreprises d’un certain domaine d’activités, mais pas encore la victime, machine ou personne, précise. De la même façon, la temporalité des attaques reste très difficile à anticiper sur la base seule de l’observation et de l’analyse des flux de données.

L’originalité du projet ThreatPredict réside dans la combinaison de ces données techniques avec l’analyse en temps réel des sentiments, opinions, et émotions exprimés sur Twitter, ainsi qu’avec des données de contexte, comme par exemple des événements sportifs ou géopolitiques ou la publication de données économiques sur les entreprises. Ces informations plus qualitatives et sociétales permettent d’affiner les prédictions et de les relier à des revendications sociales ou politiques qui peuvent s’exprimer sur internet par le biais de cyberattaques. « De grands événements nationaux ou internationaux, tels que les Jeux Olympiques ou des élections, coïncident généralement avec des cyberattaques qu’il serait utile de pouvoir anticiper précisément, » explique Ghita Mezzour, dont l’équipe a intégré l’analyse des sentiments sur Twitter pour la prédiction.

D’ici à 2020, quand ThreatPredict s’arrêtera, les scientifiques ambitionnent donc de combiner les données quantitatives et qualitatives issues de leurs analyses pour créer un outil fiable et précis de prédiction des cyberattaques, et de le tester. « Nous devons être absolument sûrs de nos prédictions pour éviter les fausses alertes qui nuiraient à notre crédibilité, » conclut Jérôme François. En effet, dans ce domaine comme pour la météo, mieux vaut éviter de crier à la pluie…

S’il est pour le moment impossible de prédire une cyberattaque, les chercheurs de l’équipe projet RESIST ont néanmoins mis à disposition du grand public et des experts un certain nombre d’outils utiles :

Mots-clés : Prédiction Cybersécurité RESIST ThreatPredict Jérôme François

Article rédigé par Isabelle Kling d’Inria Nancy – Grand Est