Il est évident aujourd'hui que le trafic Internet est bien plus complexe et irrégulier qu'escompté, ce qui nuit grandement à un fonctionnement efficace des réseaux, ainsi qu'à la garantie de niveaux de performances et de qualité de service (QdS) satisfaisants. En particulier, le comportement du réseau est surtout mis à mal lorsque le trafic contient des anomalies importantes. Différentes raisons peuvent être à la source de ces anomalies, comme les attaques de déni de service (DoS), les foules subites ou les opérations de maintenance ou de gestion des réseaux. De fait, la détection des anomalies dans les réseaux et leurs trafics est devenue un des sujets de recherche les plus chauds du moment. L'objectif de cette thèse a donc été de développer de nouvelles méthodes originales pour détecter, classifier et identifier les anomalies du trafic. La méthode proposée repose notamment sur la recherche de déviations significatives dans les statistiques du trafic par rapport à un trafic normal. La thèse a ainsi conduit à la conception et au développement de l'algorithme NADA : Network Anomaly Detection Algorithm. L'originalité de NADA - et qui garantit son efficacité - repose sur l'analyse du trafic selon 3 axes conjointement : une analyse multi-critères (octets, paquets, flux, ...), multi-échelles et selon plusieurs niveaux d'agrégations. A la suite, la classification repose sur la définition de signatures pour les anomalies de trafic. L'utilisation des 3 axes d'analyse permettent de détecter les anomalies indépendamment des paramètres de trafic affectés (analyse multi-critères), leurs durées (analyse multi-échelles), et leurs intensités (analyse multi-niveaux d'agrégation). Les mécanismes de détection et de classification d'anomalies proposés dans cette thèse peuvent ainsi être utilisés dans différents domaines de l'ingénierie et des opérations réseaux comme la sécurité des réseaux, l'ingénierie du trafic ou des réseaux superposés, pour citer quelques exemples. Une contribu tion importante de la thèse a trait à la méthode de validation et d'évaluation utilisée pour NADA. NADA a ainsi été validé sur une base de trace de trafic contenant des anomalies documentées, puis évalué sur les principales traces de trafic disponibles. Les résultats obtenus sont de très bonne facture, notamment lorsqu'ils sont comparés avec ceux obtenus par d'autres outils de détection d'anomalies. De plus, la qualité des résultats est indépendante du type de trafic analysé et du type d'anomalie. Il a été en particulier montré que NADA était capable de détecter et classifier efficacement les anomalies de faible intensité, qui sont apparues comme des composantes essentielles des attaques DOS. NADA apporte donc une contribution intéressante en matière de sécurité réseau.

Durant les vingt dernières années, l'intérêt pour la sécurité lors du développement et l'exploi\-tation des systèmes d'information n'a cessé de croître. Les méthodes de gestion des risques de sécurité sont des outils méthodologiques, qui aident les organisations à prendre des décisions rationnelles sur la sécurité de leur système d'information. Les retours d'expérience sur l'utilisation de telles approches montrent une réduction considérable des pertes liées aux problèmes de sécurité. Aujourd'hui, ces méthodes sont généralement construites autour d'un processus bien structuré. Cependant, le produit issu des différentes étapes de la gestion des risques est encore très largement informel et souvent pas assez analytique. Ce manque de formalisme est un frein à l'automatisation de la gestion des informations relatives aux risques. Un autre inconvénient des méthodes actuelles est qu'elles sont généralement destinées à évaluer a posteriori comment les systèmes d'information déjà existants gèrent les risques, et sont difficilement applicables a priori, pendant la conception de tels systèmes. Enfin, chaque méthode utilisant souvent une terminologie qui lui est propre, il est difficile de combiner plusieurs méthodes afin de profiter des points forts de chacune. Afin de répondre aux problèmes mentionnés ci-dessus, notre contribution propose une approche basée sur la modélisation de la gestion des risques, utilisable dans les phases amont de conception de systèmes d'information. Cette approche est fondée sur une étude des concepts propres au domaine.<br /><br />Notre démarche scientifique se compose de trois étapes successives. La première étape vise à définir un modèle conceptuel de référence relatif à la gestion des risques de sécurité. La méthode de recherche adoptée propose de fonder le modèle sur une étude approfondie de la littérature. Les différents standards de gestion des risques et/ou de sécurité, un ensemble de méthodes représentatives de l'état actuel de la pratique, ainsi que les travaux scientifiques se rapportant au domaine, ont été analysés. Le résultat est une grille d'alignement sémantique des concepts de la gestion des risques de sécurité, mettant en évidence les concepts-clés intervenant dans une telle démarche. Sur base de cet ensemble de concepts est ensuite construit le modèle du domaine de la gestion des risques. Ce modèle a été confronté aux experts du domaine, provenant du monde de la standardisation, des méthodes de gestion des risques et du monde scientifique. <br /><br />La deuxième étape de notre recherche enrichit ce modèle du domaine avec les différentes métriques utilisées lors de l'application d'une méthode de gestion des risques. La démarche proposée combine deux approches pour la détermination des métriques. La première est la méthode Goal-Question-Metric (GQM) appliquée sur notre modèle de référence. Elle permet de se focaliser sur l'atteinte du meilleur retour sur investissement de la sécurité. La seconde enrichit les métriques identifiées par la première approche, grâce à une étude de la littérature basée sur les standards et méthodes étudiés lors de la première étape. Une expérimentation sur un cas réel de ces métriques a été réalisée, dans le cadre de l'accompagnement d'une PME vers la certification ISO/IEC 27001.<br /><br />Enfin, dans une troisième étape, nous relevons dans la littérature un ensemble de langages de modélisation conceptuelle de la sécurité de l'information. Ces langages sont issus essentiellement du domaine de l'ingénierie des exigences. Ils permettent donc d'aborder la sécurité lors des phases initiales de la conception de systèmes d'information. Nous avons évalué le support conceptuel proposé par chacun d'eux et donc le manque à combler afin d'être à même de modéliser intégralement les différentes étapes de la gestion des risques. Le résultat de ce travail permet de formuler une proposition d'extension du langage Secure Tropos et une démarche d'utilisation de cette évolution dans le cadre de la gestion des risques, illustrée par un exemple.

Les espaces périurbains font partie de la ville contemporaine, mais n'offrent pas toutes les fonctions réunies dans les espaces centraux de l'agglomération. Pour que les individus ayant fait le choix de vivre dans ces espaces puissent réaliser leurs programmes <br />d'activité, la mobilité est alors une compétence nécessaire. C'est l'analyse de la relation entre habiter et circuler dans les espaces périurbains qui fonde ce travail de recherche. Le constat de la préférence pour le mode de transport automobile n'est plus à faire, toutefois il convient de comprendre pourquoi ce mode de déplacement éclipse tout autre. Les conditions et fondements du choix modal ont été interrogés, il est apparu que les individus périurbains agissent comme des acteurs à rationalité limitée. <br />L'étude des parcours empruntés révèle que les automobilistes périurbains ne privilégient pas un type de voirie plutôt qu'un autre. Mais une fois le choix de l'itinéraire effectué celui-ci est rarement remis en question. Les usagers s'adaptent aux réseaux qu'ils trouvent. De ces pratiques de déplacement découle une question fondamentale : la sécurité des déplacements est-elle prise en compte par les automobilistes périurbains ? Il apparaît que le risque routier est accepté avec un certain fatalisme, les périurbains l'ont intégré à leurs pratiques de déplacement, il se présente comme un coût auquel ils consentent et qui ne saurait remettre en cause leur choix de vie.

La distribution de clé quantique (QKD - Quantum Key Distribution) est une technologie permettant d'assurer au niveau théorique l'inviolabilité des clés transmises. Cependant, certains problèmes d'ordre pratique de mise en œuvre restent ouverts, en particulier, concernant l'augmentation de la portée d'application de QKD. L'objectif de la thèse est de répondre aux deux questions colérées suivantes : (1) comment de construire des réseaux QKD de grande taille; (2) comment sécuriser les relais des clés QKD. Nous avons proposé, dans un premier temps, un modèle permettant de garantir la sécurité de la transmission de clés dans un réseau QKD de grande taille en utilisant un routage stochastique. L'efficacité de ce procédé est démontrée à l'aide de la théorie de la percolation. Dans un deuxième temps, nous avons exploré la sécurité des modèles de relais des clés QKD et arrivons à proposer quatres nouveaux modèles capables à étendre la portée de QKD.

Contributions principales Les éléments précédents identifient les principes de conception de base pour construire un canevas logiciel d'auto-protection. Différentes technologies peuvent être choisies pour réaliser ces principes. Les contributions principales de cette thèse décrivent des mécanismes développés et mis en œuvre pour réaliser notre canevas logiciel d'auto-protection. Il s'agit des éléments suivants : - Une architecture a trois couches pour l'auto-protection : un espace d'exécution fournit un environnement d'exécution pour des applications; un plan de contrôle supervise l'espace d'exécution ; et un plan autonome guide le plan de contrôle en prenant en compte l'etat du systeme, l'evolution des risques, la strategie de securite definie par l'administrateur, et les preferences de l'utilisateur. - Une approche du contrôle d'acces a base d'attributs: l'approche proposee (appelee G-ABAC) exprime les politiques d'autorisation en se basant sur des attributs. Cette approche apporte a la fois une neutralite vis-a-vis du modele de contrôle d'acces, et une flexibilite permettant des manipulations elementaires sur ces politiques. - Un canevas logiciel a base de politiques pour realiser la gestion autonome de la securite : l'approche a base de politiques a montre ses avantages pour l'administration des systemes complexes et dynamiques. Un canevas logiciel autonome de politiques de securite (ASPF) fournit une solution coherente et decentralisee pour administrer les politiques d'autorisation pour les systemes pervasifs a grande echelle. L'integration des patrons autonomes ameliore egalement la souplesse et la facilite d'adaptation au contexte. - Un noyau de securite embarque pour l'application des politiques de contrôle d'acces : les politiques d'autorisation denies precedemment sont appliquees par une architecture d'autorisation au niveau du systeme d'exploitation. Ce noyau appele VSK contrôle l'acces aux ressources d'une maniere dynamique an de reduire le surcoût des mecanismes d'autorisation. Ce mecanisme permet egalement de supporter dierents types de politiques d'autorisation. - Un langage dedie (Domain-Specic Language ou DSL) pour la specication de politiques d'adaptation : toutes les adaptations de notre canevas logiciel d'auto-protection de bout en bout sont contr^olees par des strategies de haut niveau appelees politiques d'adaptation. Un DSL tenant compte de nombreux facteurs pour les decisions d'adaptation. est deni pour specier ces politiques.

Récemment, les experts en sécurité ont reconnu le fait que le phénomène global de cybercriminalité est devenu mieux organisé et plus consolidé. Même s'il existe des indices probables indiquant les origines, les causes et les conséquences de ces nouvelles activités malveillantes sur Internet, peu d'affirmations peuvent être réellement soutenues par des preuves scientifiques. En particulier, un certain nombre de questions subsiste concernant l'attribution des attaques et l'organisation des activités cybercriminelles. La contribution principale de ce travail est le développement d'une méthode analytique permettant d'aborder de manière systématique le problème de l'attribution d'attaque dans le cyber-espace. Le caractère innovant de l'approche choisie consiste à combiner une technique de regroupement basée sur les graphes, avec une méthode de fusion de données inspirée par le domaine de l'analyse décisionnelle multicritères (MCDA). Plus spécifiquement, nous démontrons qu'il est possible d'analyser des phénomènes d'attaque distribués à partir de différents points de vue qui peuvent être combinés systématiquement, tout en modélisant de manière adéquate les propriétés comportementales des phénomènes étudiés. Cette méthode d'analyse globale de menaces permet non seulement d'attribuer différents événements à une même cause d'origine ou à un même phénomène, mais l'aspect sans doute le plus intéressant est qu'elle facilite aussi l'analyse des modes opératoires des attaquants, offrant ainsi à l'analyste une meilleure compréhension des stratégies réellement utilisées par les cybercriminels.

Les utilisateurs qui coopèrent sur des réseaux non fiables ont souvent besoin d'établir une confiance initiale; cette étape peut etre très délicate si elle implique l'échange d'informations sensibles, telles l'affiliation à une société secrète ou à des services de renseignement. Le mécanisme de la poignée de main secrète fournit une solution à ce problème. La poignée de main secrète est un protocole qui permet à deux utilisateurs de vérifier mutuellement des propriétés et, en cas de correspondance simultanée, de partager une clé pour sécuriser les communications. Le protocole assure qu'aucune entité malveillante n'apprenne quelque-chose en interagissant avec des utilisateurs légitimes ou en écoutant les échanges du protocole. Dans cette thèse, nous présentons plusieurs nouveaux protocoles visant à fournir de nouvelles fonctionnalités ou à fixer les lacunes des protocoles existants dans la littérature. Dans un premier temps, nous nous concentrons sur un nouveau concept de poignée de main secrète appelé vérification dynamique contrôlée, qui généralise les autres variantes du protocole. Nous étudions ensuite le problème de la révocation des titres pour la poignée de main secrète, en présentant une approche grâce à laquelle nous pouvons obtenir la révocation pour chacune des différentes variantes du protocole connues dans la littérature. En outre, nous étudions deux protocoles de poignées de main secrète décentralisés: l'un où un certain nombre d'entités distinctes peut gérer le protocole, et l'autre où le système est auto-géré par ses utilisateurs. Enfin, nous étudions deux cas d'utilisation de ce protocole, le premier impliquant des réseaux sociaux en ligne et le second couvrant la gestion d'une chaîne d'approvisionnement.

Nous avons proposé une architecture de sécurité apte à répondre aux besoins généraux de sécurité de des systèmes hétérogènes distribués ouverts à grande échelle. Nous avons procédé à d'importants travaux de terrain pour déterminer les limitations et les failles des solutions de sécurité actuellement proposées pour ces systèmes et pour établir quels sont les véritables besoins que doit satisfaire l'architecture de sécurité, de manière à réduire les pertes de performances et à assurer une sécurité robuste. Nous avons notamment identifié l'analyse des besoins, l'analyse du risque, la modélisation des menaces et la faisabilité de mise en œuvre. Le concept de virtualisation des services de sécurité est introduit pour les services en question. Il est nécessaire de disposer d'une totale liberté de choix des mécanismes de sécurité sous-jacents. Du point de vue de la sécurité, la virtualisation de la définition d'un service tient compte des besoins de sécurité qui permettent d'accéder à ce service. Il permet à chaque terminaison participante d'exprimer la politique qu'elle souhaite voir appliquer lorsqu'elle s'engage dans un échange sécurisé avec une autre terminaison. Un mécanisme configurable d'appel des services de sécurité est proposé pour répondre aux besoins de sécurité des différentes catégories d'utilisateurs. Cette approche permet de faire évoluer l'infrastructure de sécurité avec des effets moindres sur les fonctionnalités de gestion des ressources, qui sont encore en pleine phase d'évolution. En outre, elle permet aux utilisateurs et aux fournisseurs de ressources de configurer l'architecture de sécurité en fonction de leurs besoins et de leur niveau de satisfaction.

Les réseaux ad hoc sont des réseaux sans fil et mobile sans aucune infrastructure, et le routage ad hoc est très différent de celui des réseaux traditionnels. Pour la sécurisation du routage ad hoc, il faut contrer non seulement les attaques actives, mais aussi des comportements égoïstes. De plus, il faut éviter la dégradation de performance causée par les mécanismes de sécurité. Dans cette thèse, nous présentons d'abord une classification de vulnérabilités du routage ad hoc, avec laquelle le modèle 'l'arbre des attaques' est utilisé. La séparation des objectives et des mécanismes d'attaques va nous permettre de repérer facilement quelles sont les attaques à contrer pour un objectif de sécurité donné. Ensuite, nous avons proposé quelques mécanismes de sécurité pour le routage des réseaux ad hoc, tout en limitant la dégradation de QoS due à ces mécanismes. Premièrement, un schéma de watchdog sécurisé appelé SWAN a été proposé. Il garantit l'authentification dans la supervision de watchdog et réduit le besoin de stockage du watchdog. Deuxièmement, nous proposons TRP qui est un protocole de routage réactif sécurisé intégrant un modèle de confiance. Troisièmement, deux mécanismes de sécurité appelé respectivement HPLS et TCSec ont été proposés pour sécuriser le protocole de routage proactive OLSR. Les simulations sur les mécanismes de sécurité que nous proposons dans cette thèse montrent qu'ils sont robustes et performants. Finalement, nous décrivons nos considérations pour concevoir un nouveau protocole de routage ad hoc sécurisé dès le départ, et quelques perspectives dégagées par les travaux de cette thèse.

La thèse présente les conclusions d'une étude sur les ajustements de la performance réalisée par des opérateurs dans le cadre des travaux de routine. Les résultats se présentent sous la forme d'une théorie et d'une méthode. Les ajustements sont les modifications apportées au flux naturel du travail pour éviter une situation considérée comme indésirable, pour compenser un manque temporaire de ressources, d'équipement, et de temps, ou pour établir ou maintenir le contrôle sur le fonctionnement d'un système socio-technique. La thèse décrit un certain nombre d'événements dans lesquels de tels ajustements ont eu lieu, et identifie les raisons des ajustements et leurs conséquences tant pour la sécurité que pour la productivité. L'identification de ces deux éléments dirige la recherche vers le développement d'une classification des ajustements en termes de conditions de travail, d'objectifs fondamentaux et d'effets observables. Cette classification peut être utilisée par toute personne intéressée par le maintien d'un juste équilibre entre la sécurité et la productivité, en indiquant les pratiques qui doivent être facilitées et améliorées, et celles qui devraient être réduites ou totalement évitées. La thèse s'appuie sur des données obtenues à partir de l'observation de diverses activités menées à bord de plates-formes de production de gaz naturel en mer du Nord. L'utilisation de la classification est décrite comme une méthode pour comprendre les ajustements de performances. Les recherches futures devrait aller dans le sens d'un affinage de la classification proposée ici, ainsi que dans le développement de méthodes pour appuyer la gestion des ajustements de performances.