Search

This thesis concerns new detection methods for the security of heterogenous IoT systems, and fits within the framework of the SecureIoT European project. We have first proposed a solution exploiting the process mining together with pre-treatment techniques, in order to build behavioral models, and identifying anomalies from heterogenous systems. We have then evaluated this solution from datasets coming from different application domains : connected cars, industry 4.0, and assistance robots.. This solution enables to build models that are more easily understandable. It provides better detection results than other common methods, but may generate a longer detection time. In order to reduce this time without degrading detection performances, we have then extended our method with an ensemble approach, which combines the results from several detection methods that are used simultaneously. In particular, we have compared different score aggregation strategies, as well as evaluated a feedback mechanism for dynamically adjusting the sensitivity of the detection. Finally, we have implemented the solution as a prototype, that has been integrated into a security platform developed in collaboration with other European industrial partners.; Cette thèse porte sur de nouvelles méthodes de détection pour la sécurité des systèmes IoT hétérogènes, et s'inscrit dans le cadre du projet européen Secure IoT. Nous avons tout d'abord proposé une solution utilisant le process mining couplé à un pré-traitement des données, pour construire des modèles de comportement et identifier des anomalies à partir de données hétérogènes. Nous avons évalué cette solution à partir de jeux de données issus de plusieurs domaines d'applications différents : véhicules connectés, industrie 4.0, robots d'assistance. Cette solution permet de construire des modèles plus facilement compréhensibles. Elle obtient des meilleurs résultats de détection que d'autres méthodes usuelles, mais demande un temps de traitement plus long. Pour réduire ce dernier sans dégrader les performances de détection, nous avons ensuite étendu notre méthode à l'aide d'une approche ensembliste, qui permet de combiner les résultats de plusieurs méthodes de détection utilisées simultanément. En particulier, nous avons comparé différentes stratégies d'agrégation des scores. Nous avons aussi évalué un mécanisme permettant d'ajuster dynamiquement la sensibilité de la détection. Enfin, nous avons implanté la solution sous la forme d'un prototype, qui a été intégré à une plateforme de sécurité développée avec des partenaires européens.

The emergence of the Software-Defined Networking paradigm has supported the development of new network monitoring schemes thanks to network programmability. The first purpose of SDN is to centralize the network intelligence at the control plane with a stateless data plane (i.e., network elements, switches). As a result, the network monitoring functions require the help of the remote controller or the extension of existing data plane protocols. In recent years, efforts have been made to make the data plane more programmable and stateful, permitting customized functions deployment and offloading many applications to network elements (e.g., forwarding devices). For example, the data plane programmability can be enabled by the P4 language that defines how packets are processed in a switch pipeline and supports stateful packet processing. However, P4 does not provide intuitive stateful abstractions to model behavioral attacks. Therefore, rethinking on the general abstractions to model and track a complex and stateful behavior in the data plane is necessary. To exploit the opportunities offered by a programmable data plane, including stateful and real-time packet processing, we need models which are simple enough to be deployed on a programmable switch with respect to the existing primitives that remain limited and, at the same time, capable of capturing a complex behavior.Meantime, attackers exploit vulnerabilities present in protocols used in the core of the Internet, such as TCP and DNS. However, the proposed solutions to detect these attacks require modifying the protocol implementation at the end-hosts or having a negative impact on benign flows. Therefore, patching at the scale of the Internet would require much time for deployment, such as in the case of DNSSEC. In this thesis, we address these shortcomings by designing a security function (i.e., an attack mitigation approach) that can be deployed in an SDN programmable data plane. We propose an abstraction based on an Extended Finite State Machine (EFSM) to model an attack behavior. To detect sophisticated attacks such as multi-step attacks, we extend it with Petri Net to synchronize the detection of a set of attack steps. We present how these models can be mapped to P4 primitives so that we can detect and react against an attack within the network. We present three attacks from Layer-3, Layer-4, and Layer-7 of the OSI model, namely the ECN protocol abuse, the Optimistic ACK attack, and the recent DNS multi-step cache poisoning attack. Our approach does not require modifying protocol implementation at the end hosts. Besides, our solution leverages programmable data planes, enabling flow tracking and reaction against attacks in real-time within the network.; L'émergence du paradigme des réseaux définis par logiciel (SDN) a favorisé le développement de nouveaux mécanismes de surveillance des réseaux grâce à leur programmabilité. Le premier objectif de SDN est de centraliser l'intelligence du réseau au niveau d'un plan de contrôle avec un plan de données sans état (i.e., des éléments de réseau, des commutateurs). Par conséquent, les fonctions de surveillance du réseau nécessitent l'aide du contrôleur distant ou l'extension des protocoles de plan de données existants. Ces dernières années, des efforts ont été faits pour rendre le plan de données plus programmable et plus apte à supporter un traitement à état, ce qui permet de déployer des fonctions personnalisées et de décharger de nombreuses applications sur les éléments du réseau. Par exemple, la programmabilité du plan de données peut être assurée par le langage P4 qui définit la manière dont les paquets sont traités dans un pipeline d'un commutateur et qui prend en charge le traitement à état des paquets. Cependant, le langage P4 ne fournit pas d'abstractions à états intuitives pour modéliser les attaques comportementales. Il est donc nécessaire de reconsidérer des abstractions générales pour modéliser et surveiller un comportement complexe et à état dans le plan de données. Pour exploiter les opportunités offertes par un plan de données programmable, notamment le traitement des paquets à état et en temps réel, nous avons besoin de modèles suffisamment simples pour être déployés sur un commutateur programmable, tout en respectant les primitives existantes qui restent limitées, et en même temps, capables de capturer un comportement complexe. Parallèlement, les attaquants exploitent les vulnérabilités présentes dans les protocoles utilisés au cœur de l'Internet, tels que TCP et DNS. Cependant, les solutions proposées pour détecter ces attaques nécessitent de modifier l'implémentation des protocoles au niveau des hôtes finaux ou ont un impact négatif sur les flux bénins. Par conséquent, corriger les vulnérabilités à l'échelle de l'Internet nécessiterait beaucoup de temps pour le déploiement, comme dans le cas de DNSSEC. Dans cette thèse, nous abordons ces lacunes en définissant une fonction de sécurité (c'est-à-dire une approche de détection et d'atténuation des attaques) qui peut être déployée dans un plan de données programmable de SDN. Nous proposons une abstraction reposant sur une machine à états finis étendue (EFSM) pour modéliser le comportement d'une attaque. Pour détecter des attaques sophistiquées telles que les attaques à étapes multiples, nous l'étendons avec un réseau de Petri pour synchroniser la détection d'un ensemble d'étapes d'attaque. Nous présentons comment ces modèles peuvent être mappés aux primitives P4 afin de pouvoir détecter et agir contre une attaque au sein du réseau. Nous présentons trois attaques de la couche 3, la couche 4 et la couche 7 du modèle OSI (Open System Interconnection), à savoir l'abus du protocole ECN (Explicit Congestion Notification), l'attaque Optimisitic ACK et la récente attaque DNS par empoisonnement du cache. Notre approche ne nécessite pas de modifier l'implémentation du protocole au niveau des hôtes finaux. En outre, notre solution s'appuie sur des plans de données programmables, permettant la surveillance des flux et la réaction contre les attaques en temps réel au sein du réseau.

Most of our daily activities are carried out over the Internet, from file-sharing and social networking to home banking, online-teaching and online-blogging. Considering file-sharing as one of Internet top activities, different architectures have been proposed, designed and implemented, leading to a wide set of file-sharing networks with different performances and goals. This digital society enables as well users' profiling. As Internet users surf the World Wide Web, every sent or received packet passes through several intermediate nodes until they reach their intended destination. So, an observer will be able to determine where a packet comes from and where it goes to, to monitor and to profile users' online activities by identifying to which server they are connected or how long their sessions last. Meanwhile, anonymous communications have been significantly developed to allow users to carry out their online activities without necessarily revealing their real identity. Our contribution is twofold. On the one hand, we consider hybrid file-sharing environments, with a special focus on widely deployed real-world networks and targeting two defined goals. The first goal is to improve content indexation in the BitTorrent file-sharing environment, enabling BitTorrent content to be indexed in the Kad distributed has table and leading to a more robust BitTorrent system. The second goal is to improve content availability in the I2P file-sharing environment. We allow I2P users to anonymously access public BitTorrent content and we obtain a fully anonymous file-sharing environment, including anonymous content indexation and anonymous content distribution. On the other hand, we focus on the understanding of anonymous environments through extensive monitoring. We characterise the I2P network, targeting the entire anonymous environment and its anonymous services. We consider different aspects of the network, such as the number of users, their characteristics as well as the number of anonymous services available. Through long-term measurements on the network and along with different correlation analyses, we are able to characterise a small group of users using a specific anonymous service, such as the users from a particular city performing anonymous file-sharing, La plupart de nos activités quotidiennes sont aujourd'hui rythmées et régies par Internet, qu'il s'agisse de partage de fichiers, d'interaction sur les réseaux sociaux, de banques et de cours en ligne, ou encore de publication de blogs. En ce qui concerne le partage de fichiers, l'une des activités les plus pratiquées sur Internet, diverses solutions ont déjà été proposées, créées et implantées, pour constituer des réseaux de partage de fichiers aux performances et objectifs parfois très différents. Cette société du numérique permet le profilage des utilisateurs. Chaque information envoyée ou reçue sur Internet va ainsi traverser une série de noeuds intermédiaires jusqu'à atteindre sa destination. Un observateur pourra ainsi déterminer la provenance et la destination des paquets et de ce fait surveiller et profiler les activités des utilisateurs en identifiant le serveur auquel ils se connectent ou la durée de leur session. Parallèlement, les communications anonymes se sont développées afin de permettre aux utilisateurs d'utiliser Internet sans que leur identité ne soit nécessairement révélée.Notre contribution se veut double. Nous nous intéressons tout d'abord aux environnements de partage de fichiers hybrides en nous focalisant sur des réseaux réels largement déployés. Nous visons, au travers de cette étude, deux objectifs. Le premier consiste en l'amélioration du système d'indexation de contenu au sein de l'environnement de partage de fichiers BitTorrent. Il s'agit, plus précisément, de renforcer le système BitTorrent par le biais d'une indexation de son contenu dans la table de hachage distribuée Kad. Notre second but est d'améliorer les conditions d'accès au contenu ainsi que sa disponibilité au sein de l'environnement I2P de partage de fichiers. Nous permettons aux utilisateurs d'I2P d'accéder anonymement au contenu public de BitTorrent et nous aboutissons ainsi à un environment de partage de fichiers totalement anonyme, indexation et distribution du contenu comprises. Nous centrons ensuite notre analyse sur une meilleure compréhension des environnements anonymes par le biais d'une surveillance à grande échelle. Nous définissons les caractéristiques du réseau I2P, en visant l'intégralité de l'environnement anonyme et son large champ d'activités et de services anonymes. Nous analysons les différents aspects du réseau, comme le nombre des utilisateurs, leurs caractéristiques ainsi que le nombre de services anonymes disponibles. Au travers des mesures et évaluations réalisées à long terme sur le réseau, couplées à différentes analyses de corrélation, nous avons réussi à identifier et caractériser un petit groupe d'individus exécutant un service anonyme spécifique comme, par exemple, les habitants d'une même ville utilisant une application anonyme de partage de fichiers

Most commonly used collaborative systems are provided by large service providers. While these collaborative services offer very interesting functionalities, they feature certain limitations. Most of the platforms hosting these collaboration services rely on a central authority and placepersonal information in the hands of a single large corporation which is a perceived privacy threat. Users must provide and store their data to vendors of these services and have to trust that they will preserve privacy of their data, but they have little control over the usage of their data after sharing it with other users. Moreover, these systems do not scale well in terms of the number of users and their modifications. Furthermore, user communities cannot deploy these kind of service applications since they generally rely on costly infrastructures rather than allowing sharing infrastructure and administration costs. My research work aims to move away from centralized authority-based collaboration towards a large scale trust-based peer-to-peer collaboration where control over data is given to users who can decide with whom to share their data. The main advantages of peer-to-peer collaborative systems are high scalability, resilience to faults and attacks and a low deployment barrier for new services. My contributions are structured around two axes of research: collaborative data management and trustworthy collaboration.In order to provide efficient data availability, data is typically replicated and users are allowed to concurrently modify replicated data. One of the challenges is to develop optimistic replication algorithms that maintain consistency of the shared data in the face of concurrent modifications. These algorithms have to be reliable, i.e. after the reception of all modifications the data copies have to converge. These algorithms also have to be scalable, i.e. have a complexity that does not depend on the number of users. These algorithms have also to be explainable, i.e. their decision must be comprehensible by users and therefore user intentions must be preserved. In the first part of this manuscript I present my contributions to the design of various optimistic data replication and their evaluation in terms of their complexities but also by means of experimental design with users. I also present my contributions on group awareness specifically on what information should be provided to users to prevent conflicting changes and to understand divergence when conflicts cannot be avoided.In this large scale peer-to-peer collaboration where users cannot remember the interactions with all collaborators a main question is how to choose the trusted collaborators in order to share them the data. A main challenge is how to assess users trust according to their past behaviour during collaboration in order to be able to predict their future behavior. In the second part of this manuscript I present a contract-based collaboration model where contracts are specified by the data owners when they share the data and user trust is assessed according to the observation of adherence to or violation of contracts. I also present a hash chain based authenticators approach for ensuring integrity and authenticity of logs of collaboration. For testing the proposed trust-based collaboration model, I designed a user experiment employing trust game and relying on a computational trust metric according to user exchanges in this game.I finally present my future research directions around secure and trustworthy collaborative data management.

Modern low-voltage microgrid systems rely on distributed and cooperative control approaches to guarantee safe and reliable operational decisions of their inverter-based distributed generators (DGs). However, many sophisticated cyber-attacks can target these systems, deceive their traditional detection methods and cause a severe impact on the power infrastructure. In this thesis, we systematically study the vulnerabilities and threats of distributed controlled microgrid systems. We design a novel attack named "measurement-as-reference" (MaR) attack and take it as a typical stealthy attack example to theoretically analyze the attack impact on the microgrid system and use numerical simulation results to verify the analysis. We provide mathematical models of possible false data injection (FDI) and denial of service (DoS) attacks in a representative distributed and cooperative controlled microgrid system. We propose a secure control framework with an attack detection module based on machine learning techniques. To validate the effectiveness of this framework, we implement two typical attacks, MaR attack and delay injection attack, on a hardware platform modeled after a microgrid system. We collect datasets from the platform and validate the performance of multiple categories of machine learning algorithms to detect such attacks. Our results show that tree-based classifiers (Decision Tree, Random Forest and AdaBoost) outperform other algorithms and achieve excellent performance in detecting normal behavior, delay injection and false data attacks.; Les micro-réseaux électriques s'appuient sur des approches de contrôle distribuées et coopératives pour garantir des décisions opérationnelles sûres et fiables de leurs générateurs distribués (DG). Cependant, de nombreuses cyber-attaques sophistiquées peuvent viser ces systèmes, tromper leurs méthodes de détection traditionnelles et avoir des conséquences importantes sur l'infrastructure électrique. Dans cette thèse, nous étudions les attaques ciblant les systèmes de contrôle associés à ces micro-réseaux. Nous avons développé dans un premier temps une nouvelle attaque nommée MaR (Measurement as Reference) qui cible les consignes de synchronisation échangées entre les entités du système de contrôle. Nous avons analysé par simulation numérique l'impact de cette attaque sur la stabilité du micro-réseau et la convergence du système de contrôle vers une consigne commune. Nous avons également développé des modèles d'analyse des attaques de type injection de fausses données et déni de service sur ces systèmes pour étudier leurs impacts et leur détection. Ensuite, nous avons proposé un framework qui permet de détecter ces attaques, en se basant sur l'apprentissage automatique des caractéristiques des paquets réseau échangés entres les entités d'un système de contrôle distribué. Nous avons mis en œuvre une plate-forme expérimentale représentative d'un micro-réseau électrique et son système de contrôle pour collecter des jeux de données et valider notre framework, en particulier son module de détection des attaques.Enfin, nous avons évalué les performances de différents algorithmes d'apprentissage automatique pour détecter les attaques que nous avons introduites sur la plate-forme expérimentale. Nos résultats montrent que les algorithmes basés sur les techniques d'arbres, à l'image des arbres de décision, les forêts aléatoire et AdaBoost offrent les meilleures performances en termes de précision et de justesse pour détecter les différentes attaques et les distinguer.

The protection of the Internet users’ privacy has made every web service offer some security by using encryption. Thus, it is now impossible to use classical tools anymore, like DPI (deep pakets inspection), in order to detect malicious behaviour on the Internet. The main target of this thesis is to find new ways to monitor malicious behaviours despite the use of encryption (HTTPS). This new solution should, nevertheless, follow tree guidelines: passivity, transparency and privacy preservation. According to the works in the state of the art for encrypted traffic monitoring, they mainly focus about protocols or services detection but not about the detections of the users' behavior inside a service. The first objective is to construct a monitoring solution in order to detect some behaviour inside a web service protected by HTTPS used with HTTP/1.1. We develop an example which detects requests related to non-legitimate keywords on Images search engine by only monitoring the encrypted traffic. The solution reconstructs the size of the encrypted HTTP objects and builds a footprint of the related traffic by using the Kernel Density estimation method (KDE). The evaluation of this traffic classification when monitoring 10 000 keywords achieved an accuracy of more than 99% considering an open world scenario. Despite, this solution is very effective when monitoring HTTP/1.1 traffic, it shows some limitation when dealing with HTTP/2 traffic because of its impact on the traffic. Thus, the second goal is to adapt our knowledge for purposes of detecting keywords when HTTPS is used with HTTP/2. This new method is structured around some features collected on the encrypted traffic and use supervised machine learning (random forest) to classify them. The solution called H2Classifier is evaluated over four very used services (Amazon, Google, Google Images and Google Maps) and achieve a TPR between 61 and 98% depending of the service when monitoring 2000 keywords (per service) considering open world scenario. Finally, H2Classifier evaluated over the time, against new services and with new configurations too.; L'usage du chiffrement pour protéger la vie privée des utilisateurs est devenue la norme pour l'ensemble des services web. Ainsi, il n'est plus possible d'utiliser les outils habituels, tel que l'inspection de paquet, pour détecter des comportements illicites sur Internet. L'enjeu principal de cette thèse est donc de trouver de nouvelles solutions alternatives pour superviser certains comportements utilisateur dans du trafic HTTPS, tout en respectant trois principes : passivité, transparence et respect de la vie privée. Ce besoin est réel car dans le domaine de l'analyse de trafic chiffré, l'état de l'art s'est développé principalement autour de la reconnaissance des protocoles ou des services mais pas sur la détection des actions utilisateur. Un premier objectif de cette thèse est de superviser des mots-clés recherchés sur un moteur de recherche d'images lors de l'usage de HTTPS couplé avec HTTP/1.1. Cette solution passe par la reconstruction des tailles d'objets HTTP pour construire des signatures du trafic avec la méthode de l'estimation par noyau (KDE). Lors de l'évaluation de cette solution afin de détecter l'utilisation de plus de 10 000 mots-clés sur le service Google Images, notre solution de classification atteint un taux de justesse de plus de 99% en considérant un scénario en monde ouvert. Cette approche convient pour du trafic chiffré HTTP/1.1 mais voit ses performances limitées face à du trafic HTTP/2, car cette version de HTTP à un fort impact sur le trafic. Ainsi, dans un deuxième temps, l'objectif est d'adapter nos connaissances pour réaliser de la détection sur du trafic HTTPS couplé avec HTTP/2. Cette nouvelle solution de supervision, s'articule autour de caractéristiques observables sur du trafic chiffré et adaptées pour HTTP/2. Les caractéristiques couplées à une solution d'apprentissage supervisé (les forêts d'arbres décisionnels) permettent la création d'un modèle de classification. Cette solution nommé H2Classifier est évaluée sur plusieurs services très utilisés (Amazon, Google, Google Images et Google Maps) et affiche un TPR entre 61 et 98% dépendant du service considéré, lors de la supervision de 2000 mots-clés (par service) dans le cadre d'un scénario en monde ouvert. Finalement H2Classifier est également testé dans différentes situations permettant d'évaluer l'impact du temps, des services et des configurations sur ce nouvel outil de supervision.

The protection of the Internet users’ privacy has made every web service offer some security by using encryption. Thus, it is now impossible to use classical tools anymore, like DPI (deep pakets inspection), in order to detect malicious behaviour on the Internet. The main target of this thesis is to find new ways to monitor malicious behaviours despite the use of encryption (HTTPS). This new solution should, nevertheless, follow tree guidelines: passivity, transparency and privacy preservation. According to the works in the state of the art for encrypted traffic monitoring, they mainly focus about protocols or services detection but not about the detections of the users' behavior inside a service. The first objective is to construct a monitoring solution in order to detect some behaviour inside a web service protected by HTTPS used with HTTP/1.1. We develop an example which detects requests related to non-legitimate keywords on Images search engine by only monitoring the encrypted traffic. The solution reconstructs the size of the encrypted HTTP objects and builds a footprint of the related traffic by using the Kernel Density estimation method (KDE). The evaluation of this traffic classification when monitoring 10 000 keywords achieved an accuracy of more than 99% considering an open world scenario. Despite, this solution is very effective when monitoring HTTP/1.1 traffic, it shows some limitation when dealing with HTTP/2 traffic because of its impact on the traffic. Thus, the second goal is to adapt our knowledge for purposes of detecting keywords when HTTPS is used with HTTP/2. This new method is structured around some features collected on the encrypted traffic and use supervised machine learning (random forest) to classify them. The solution called H2Classifier is evaluated over four very used services (Amazon, Google, Google Images and Google Maps) and achieve a TPR between 61 and 98% depending of the service when monitoring 2000 keywords (per service) considering open world scenario. Finally, H2Classifier evaluated over the time, against new services and with new configurations too.; L'usage du chiffrement pour protéger la vie privée des utilisateurs est devenue la norme pour l'ensemble des services web. Ainsi, il n'est plus possible d'utiliser les outils habituels, tel que l'inspection de paquet, pour détecter des comportements illicites sur Internet. L'enjeu principal de cette thèse est donc de trouver de nouvelles solutions alternatives pour superviser certains comportements utilisateur dans du trafic HTTPS, tout en respectant trois principes : passivité, transparence et respect de la vie privée. Ce besoin est réel car dans le domaine de l'analyse de trafic chiffré, l'état de l'art s'est développé principalement autour de la reconnaissance des protocoles ou des services mais pas sur la détection des actions utilisateur. Un premier objectif de cette thèse est de superviser des mots-clés recherchés sur un moteur de recherche d'images lors de l'usage de HTTPS couplé avec HTTP/1.1. Cette solution passe par la reconstruction des tailles d'objets HTTP pour construire des signatures du trafic avec la méthode de l'estimation par noyau (KDE). Lors de l'évaluation de cette solution afin de détecter l'utilisation de plus de 10 000 mots-clés sur le service Google Images, notre solution de classification atteint un taux de justesse de plus de 99% en considérant un scénario en monde ouvert. Cette approche convient pour du trafic chiffré HTTP/1.1 mais voit ses performances limitées face à du trafic HTTP/2, car cette version de HTTP à un fort impact sur le trafic. Ainsi, dans un deuxième temps, l'objectif est d'adapter nos connaissances pour réaliser de la détection sur du trafic HTTPS couplé avec HTTP/2. Cette nouvelle solution de supervision, s'articule autour de caractéristiques observables sur du trafic chiffré et adaptées pour HTTP/2. Les caractéristiques couplées à une solution d'apprentissage supervisé (les forêts d'arbres décisionnels) permettent la création d'un modèle de classification. Cette solution nommé H2Classifier est évaluée sur plusieurs services très utilisés (Amazon, Google, Google Images et Google Maps) et affiche un TPR entre 61 et 98% dépendant du service considéré, lors de la supervision de 2000 mots-clés (par service) dans le cadre d'un scénario en monde ouvert. Finalement H2Classifier est également testé dans différentes situations permettant d'évaluer l'impact du temps, des services et des configurations sur ce nouvel outil de supervision.

Internet is a mondial content network and its use grows since several years. Content delivery such as P2P or video streaming generates the main part of the Internet traffic and Named Data Networks (NDN) appear as an appropriate architecture to satisfy the user needs. Named-Data Networking is a novel clean-slate architecture for Future Internet. It has been designed to deliver content at large scale and integrates several features such as in-network caching, security, multi-path. However, the lack of scalable routing scheme is one of the main obstacles that slow down a large deployment of NDN at an Internet-scale. As it relies on content names instead of host address, it cannot reuse the traditional routing scheme on the Internet. In this thesis, we propose to use the Software-Defined Networking (SDN) paradigm to decouple data plane and control plane and present SRSC, a new routing scheme for NDN based on SDN paradigm. Our solution is a clean-slate approach, using only NDN messages and the SDN paradigm. We implemented our solution into the NS-3 simulator and perform extensive simulations of our proposal. SRSC show better performances than the flooding scheme used by default in NDN. We also present a new NDN testbed and the implementation of our protocol SRSC, a Controlled-based Routing Scheme for NDN. We implemented SRSC into NDNx, the NDN implementation, and deployed it into a virtual environment through Docker. Our experiments demonstrate the ability of our proposal to forward Interest, while keeping a low computation time for the Controller and low delay to access Content. Moreover, we propose a solution to easily deploy and evaluate NDN network, and we compare SRSC with NLSR, the current routing protocol used in NDNx; Parmi les architectures orientées contenu, l'architecture NDN (Named-Data Networking) a su agréger la plus importante communauté de chercheurs et est la plus aboutie pour un Internet du futur. Dans le cadre de l'architecture NDN, au cours de ce doctorat, nous nous sommes concentrés sur les mécanismes de routage adaptés à cette nouvelle vision du réseau. En effet, la capacité à acheminer une requête vers la destination est fondamentale pour qu'une architecture réseau soit fonctionnelle et cette problématique avait été très peu étudiée jusqu'alors. Ainsi, dans ce manuscrit, nous proposons le protocole de routage SRSC (SDN-based Routing Scheme for CCN/NDN), qui repose sur l'utilisation du paradigme des réseaux logiciels (Software-Defined Networks\\, SDN). SRSC utilise un contrôleur capable de gérer le plan de contrôle du réseau NDN. En centralisant l'ensemble des informations telles que la topologie du réseau, la localisation des différents contenus et le contenu des mémoires cache des nœuds du réseau, le contrôleur va pouvoir établir la meilleure route pour acheminer les requêtes vers le contenu. SRSC permet également un routage de type anycast, c'est à dire qu'il permet d'acheminer les requêtes vers le nœud le plus proche qui dispose des données, permettant d'optimiser la distribution des requêtes dans le réseau et de répartir la charge parmi tous les nœuds. De plus, SRSC utilise uniquement les messages Interest et Data de l'architecture NDN et tient son originalité du fait qu'il s'affranchit complètement de l'infrastructure TCP/IP existante. Dans un premier temps, SRSC a été évalué via simulation avec le logiciel NS-3 où nous l'avons comparé à la méthode d'inondation des requêtes, appelée flooding, initialement proposée par NDN. SRSC a ensuite été implanté dans NDNx, l'implantation open source de l'architecture NDN, puis déployé sur notre testbed utilisant la technologie Docker. Ce testbed permet de virtualiser des nœuds NDN et d'observer un réel déploiement de cette architecture réseau à large échelle. Nous avons ainsi évalué les performances de notre protocole SRSC sur notre testbed virtualisé et nous l'avons comparé au protocole NLSR, (Named-Data Link State Routing Protocol), le protocole de routage du projet NDN

In this thesis, we provide a privacy preserving for monitoring HTTPS services. First, we first investigate a recent technique for HTTPS services monitoring that is based on the Server Name Indication (SNI) field of the TLS handshake. We show that this method has many weakness, which can be used to cheat monitoring solutions.To mitigate this issue, we propose a novel DNS-based approach to validate the claimed value of SNI. The evaluation show the ability to overcome the shortage. Second, we propose a robust framework to identify the accessed HTTPS services from a traffic dump, without relying neither on a header field nor on the payload content. Our evaluation based on real traffic shows that we can identify encrypted HTTPS services with high accuracy. Third, we have improved our framework to monitor HTTPS services in real-time. By extracting statistical features over the TLS handshake packets and a few application data packets, we can identify HTTPS services very early in the session. The obtained results and a prototype implementation show that our method offers good identification accuracy, high HTTPS flow processing throughput, and a low overhead delay; Dans cette thèse, nous dressons tout d'abord un bilan des différentes techniques d'identification de trafic et constatons l'absence de solution permettant une identification du trafic HTTPS à la fois précise et respectueuse de la vie privée des utilisateurs. Nous nous intéressons dans un premier temps à une technique récente, néanmoins déjà déployée, permettant la supervision du trafic HTTPS grâce à l'inspection du champ SNI, extension du protocole TLS. Nous montrons que deux stratégies permettent de contourner cette méthode. Comme remédiation, nous proposons une procédure de vérification supplémentaire basée sur un serveur DNS de confiance. Les résultats expérimentaux montrent que cette solution pragmatique est efficace. Ensuite, nous proposons une architecture qui permet l'identification des services dans le trafic HTTPS, en se basant sur l'apprentissage automatique. Nous avons ainsi défini un nouvel ensemble de caractéristiques statistiques combinées avec une identification à deux niveaux, identifiant d'abord le fournisseur de services, puis le service, selon notre évaluation à partir de trafic réel. Enfin, nous améliorons cette architecture afin de permettre l'identification du trafic en temps réel en ne considérant que les premiers paquets des flux plutôt que leur totalité. Pour évaluer notre approche, nous avons constitué un dataset comportant les flux complets de chargement des principaux sites web et l'avons rendu public pour comparaison. Nous présentons également un prototype de logiciel reconstituant les flux HTTPS en temps réel puis les identifiant

The growing interest for the Internet of Things (IoT) has resulted in the large scale deployment of Low power and Lossy Networks (LLN). These networks are strongly constrained in terms of resources and communicate using unstable links. In this context, existing routing protocols for traditional networks do not cope with all these constraints. The IETF has proposed a new routing protocol called RPL based on IPv6 and specifically designed for these environments. The RPL protocol is however exposed to a large variety of attacks. The deployment of security mechanisms may also be quite expensive for the nodes. Therefore, LLN networks present new challenges in terms of monitoring and security. In this thesis we propose to investigate a security-oriented monitoring approach for addressing the trade-off between security and cost in the IoT. In a first stage, we assess security threats faced by these networks by identifying and classifying attacks through a dedicated taxonomy. We also quantify the consequences of two major attacks called DAG inconsistency attacks and version number attacks causing over-consumption of node resources. We then focus our work on security solutions for RPL-based IoT. We propose a local strategy for addressing DAG inconsistency attacks. In order to detect complex attacks such as version number attacks and to complement our node-level approach, we design a security-oriented distributed monitoring architecture for RPL networks. This solution allows us to preserve constrained nodes energy by performing monitoring and detection activities on dedicated nodes. We quantify the performance and the cost of this architecture and the deployed detection modules.; L'intérêt grandissant pour l'Internet des Objets (IdO) s'est traduit par le déploiement à grande échelle de réseaux dits LLN. Ceux-ci sont fortement contraints en matière de ressources et communiquent via des liens instables. Les protocoles de routages existants pour les réseaux traditionnels ne sont pas adaptés à ces caractéristiques. L'IETF a proposé un nouveau protocole de routage appelé RPL fondé sur IPv6 et spécifiquement conçu pour ces environnements. Cependant, il est exposé à de nombreuses attaques et la mise en place de mécanismes de sécurité représente un coût considérable. Les réseaux LLN introduisent donc de nouveaux enjeux quant à leur supervision et leur sécurité. Dans le cadre de cette thèse, nous étudions une approche de supervision pour la sécurité de l'IdO tout en limitant son coût. Nous évaluons tout d'abord les menaces auxquelles sont soumis les réseaux RPL en les classifiant au travers d'une taxonomie. Nous quantifions également les conséquences de deux attaques appelées l'attaque d'incohérence DAG et l'attaque du numéro de version. Nous nous concentrons ensuite sur les solutions pour la sécurité dans les réseaux RPL. Nous proposons une stratégie locale qui limite les attaques d'incohérences DAG et nous présentons une architecture de supervision distribuée orientée sécurité pour détecter des attaques complexes comme les attaques sur le numéro de version et compléter notre approche locale. Celle-ci nous permet de préserver l'énergie des nœuds en effectuant les activités de surveillance et de détection sur des nœuds dédiés. Nous quantifions ensuite les performances de cette architecture ainsi que la stratégie de détection proposée.

The growing interest for the Internet of Things (IoT) has resulted in the large scale deployment of Low power and Lossy Networks (LLN). These networks are strongly constrained in terms of resources and communicate using unstable links. In this context, existing routing protocols for traditional networks do not cope with all these constraints. The IETF has proposed a new routing protocol called RPL based on IPv6 and specifically designed for these environments. The RPL protocol is however exposed to a large variety of attacks. The deployment of security mechanisms may also be quite expensive for the nodes. Therefore, LLN networks present new challenges in terms of monitoring and security. In this thesis we propose to investigate a security-oriented monitoring approach for addressing the trade-off between security and cost in the IoT. In a first stage, we assess security threats faced by these networks by identifying and classifying attacks through a dedicated taxonomy. We also quantify the consequences of two major attacks called DAG inconsistency attacks and version number attacks causing over-consumption of node resources. We then focus our work on security solutions for RPL-based IoT. We propose a local strategy for addressing DAG inconsistency attacks. In order to detect complex attacks such as version number attacks and to complement our node-level approach, we design a security-oriented distributed monitoring architecture for RPL networks. This solution allows us to preserve constrained nodes energy by performing monitoring and detection activities on dedicated nodes. We quantify the performance and the cost of this architecture and the deployed detection modules.; L'intérêt grandissant pour l'Internet des Objets (IdO) s'est traduit par le déploiement à grande échelle de réseaux dits LLN. Ceux-ci sont fortement contraints en matière de ressources et communiquent via des liens instables. Les protocoles de routages existants pour les réseaux traditionnels ne sont pas adaptés à ces caractéristiques. L'IETF a proposé un nouveau protocole de routage appelé RPL fondé sur IPv6 et spécifiquement conçu pour ces environnements. Cependant, il est exposé à de nombreuses attaques et la mise en place de mécanismes de sécurité représente un coût considérable. Les réseaux LLN introduisent donc de nouveaux enjeux quant à leur supervision et leur sécurité. Dans le cadre de cette thèse, nous étudions une approche de supervision pour la sécurité de l'IdO tout en limitant son coût. Nous évaluons tout d'abord les menaces auxquelles sont soumis les réseaux RPL en les classifiant au travers d'une taxonomie. Nous quantifions également les conséquences de deux attaques appelées l'attaque d'incohérence DAG et l'attaque du numéro de version. Nous nous concentrons ensuite sur les solutions pour la sécurité dans les réseaux RPL. Nous proposons une stratégie locale qui limite les attaques d'incohérences DAG et nous présentons une architecture de supervision distribuée orientée sécurité pour détecter des attaques complexes comme les attaques sur le numéro de version et compléter notre approche locale. Celle-ci nous permet de préserver l'énergie des nœuds en effectuant les activités de surveillance et de détection sur des nœuds dédiés. Nous quantifions ensuite les performances de cette architecture ainsi que la stratégie de détection proposée.

National audience; Ce rapport présente le travail que j’ai réalisé chez Inria, dans l’équipe MADYNES, pendant mes neuf semaines de stage. Ce dernier s’inscrit à la suite de ma deuxième année à TELECOM Nancy et a porté sur l’étude du filtrage de flux HTTPS 1 . Le protocole HTTPS est de plus en plus utilisé pour accéder, de manière sécurisée, à du contenu sur le web. Il permet de s’assurer que les données n’ont pas été altérées, ni même lues par un tiers, entre l’envoi du message et sa réception par un serveur. Les récentes découvertes d’un des membres de l’équipe MADYNES ont montré que certains systèmes de filtrage actuels (basés sur le paramètre SNI de TLS) ont des limites et pouvaient être facilement contournées, notamment dans le cas du filtrage sur le protocole HTTPS mis en place dans des pare-feux. Pour commencer, j’ai étudié les différentes techniques de filtrage sur le web, et notamment dans le cas du web chiffré. J’ai analysé le fonctionnement du protocole HTTPS, et en particulier le protocole TLS (Transport Layer Security) qui fournit la couche de sécurité. J’ai ensuite implanté une extension pour le navigateur Firefox permettant à un utilisateur d’accéder à des services malgré la présence de filtres. Puis, j’ai développé un collecteur de flux HTTPS qui devrait fournir une base d'étude pour créer un nouveau filtrage, reposant sur des techniques automatiques.

National audience; In this document, we concentrate on the anonymous I2P network. We focus on the architecture of this network and on MADYNES's monitoring architecture which enables us to collect information about the I2P network, its users and the deployed anonymous applications. Our objectives are two-fold. In the first place, we aim to improve different components of the monitoring architecture, especially the geolocation application we use to locate the I2P users, as well as the website employed to show our I2P statistics. In the second place, we show that, by using a monitoring platform, we are able to de-anonymize the I2P network users exploiting different flaws in the network's design.; Dans ce document, nous nos concentrons sur le réseau anonyme I2P. Nous nous focalisons sur l'architecture de ce réseau et sur l'architecture de supervision développée par l'équipe MADYNES, qui permet de collecter des informations sur le réseau I2P, ses utilisateurs et les applications déployées. Notre objectif est double. D'une part, nous améliorons différents composants de l'architecture, notammentt l'application de géolocalisation utilisée pour localiser les utilisateurs I2P ainsi que le site web montrant les statistiques sur I2P. Deuxièmement, nous montrons qu'en exploitant les failles dans la conception du réseau, nous sommes capables de désanonymiser les activités des utilisateurs I2P.

International audience; BitTorrent is a fast, popular, P2P filesharing application focused on fast propagation of content. Its trackerless approach uses a DHT based on Kademlia to search for sources when the hash of the metadata of the content to transfer is known. On the other hand, the eMule network use the old ED2K protocol for filesharing including a system of priorized queues, but indexation is done through a solid Kademlia based DHT, named Kad. The Kad DHT stands for a search engine, wich provides an extra level to map keywords to file identifiers. We propose an hybrid approach, compatible with both P2P file-sharing networks, which has the Kad advantages on indexation and the BitTorrent throughput for transfer while maintaining backward compatibility with both of these networks. To validate our proposal we developed a prototype which supports content indexation provided by the Kad network and is able to transfer files using the BitTorrent protocol without losing compatibility. Using this prototype, we measured the propagation of new content in clusters of aMule clients, BitTorrent clients, hybrid clients, and a mix of them. Comparing the propagation velocity of content propagation in each scenario, we conclude the development of a full implementation would significantly benefit the users. Finally we describe the evolution the prototype needs before being distributed as production quality software.

National audience

National audience; Les réseaux pair à pair (P2P) sont les applications les plus utilisées sur l'Internet pour le partage de fichiers entre des millions d'utilisateurs. Ces réseaux sont souvent le support d'activités malveillantes et frauduleuses. De plus en plus d'utilisateurs utilisent des procédures d'anonymisation sur ces réseaux rendant difficile la supervision de ces contenus malveillants et des pairs associés. Pour maintenir cet anonymat le réseau I2P est basé sur différents algorithmes cryptographiques. L'objectif du stage était de trouver des vulnérabilités dans la sécurité et l'anonymat qu'offre I2P. Afin de comprendre le travail réalisé, nous présentons d'abord quelques notions sur le protocole I2P et l'outil AVISPA utilisé pour la modélisation des protocoles cryptographiques. Puis, nous décrivons l'attaque possible que nous avons mis en évidence.

The purpose of this thesis is to design and implement new monitoring solutions which are able to deal with the security issues affecting data stored in large structured P2P networks (DHT). There are two major types of issues. First, P2P networks are used to spread illegal contents whose activity is difficult to monitor accurately. Second, the indexation of regular contents can be corrupted (Sybil attack).We first designed a new approach to monitor contents based on the insertion of distributed probes in the network to take control of the indexation mechanism. The probes can attract all the related requests for a given content and assess the peers intent to access it by generating very attractive honeypots. We describe the weaknesses of the network allowing our solution to be effective despite recent protection mechanisms. We then present the services offered by our monitoring architecture and we evaluate its efficiency on KAD. We also present a real deployment whose purpose is to study pedophile contents on this network.Then, we focus on data integrity in distributed hash tables. We performed large scale monitoring campaigns on the KAD network. Our observations show that it suffers from a very harmful pollution of its indexation mechanism affecting 2/3 of the shared files and from a large number of localized attacks targeting contents. To mitigate these threats, we propose a new efficient way to detect attacks by analysing the distribution of the peers' ID found around an entry after a DHT lookup and a counter-measure which can protect the peers at a negligible cost. Finally, we evaluate our solution in real P2P networks.; L'objectif de cette thèse est de concevoir et d'appliquer de nouvelles méthodes de supervision capables d'appréhender les problèmes de sécurité affectant les données au sein des réseaux P2P structurés (DHT). Ceux-ci sont de deux types. D'une part les réseaux P2P sont utilisés pour diffuser des contenus illégaux dont l'activité est difficile à superviser. D'autre part, l'indexation des contenus légitimes peut être corrompue (attaque Sybil).Nous proposons tout d'abord une méthode de supervision des contenus basée sur l'insertion de sondes et le contrôle du mécanisme d'indexation du réseau. Celle-ci permet d'attirer l'ensemble des requêtes des pairs pour un contenu donné, puis de vérifier leur intention en générant des appâts très attractifs. Nous décrivons ainsi les faiblesses du réseau permettant la mise en oeuvre de notre méthode en dépit des protections existantes. Nous présentons les fonctionnalités de notre architecture et en évaluons l'efficacité sur le réseau P2P KAD avant de présenter un déploiement réel ayant pour but l'étude des contenus pédophiles.Nous considérons ensuite la sécurité des données indexées dans une DHT. Nous supervisons le réseau KAD et montrons que celui-ci est victime d'une pollution particulièrement néfaste affectant 2/3 des fichiers mais aussi de nombreuses attaques ciblées affectant la sécurité des contenus stockés. Nous proposons un moyen de détecter efficacement cette dernière attaque en analysant la distribution des identifiants des pairs autour d'une référence ainsi qu'une contre-mesure permettant de protéger les pairs à un coût négligeable. Nous terminons par l'évaluation de la protection au sein de réseaux P2P réels.

The purpose of this thesis is to design and implement new monitoring solutions which are able to deal with the security issues affecting data stored in large structured P2P networks (DHT). There are two major types of issues. First, P2P networks are used to spread illegal contents whose activity is difficult to monitor accurately. Second, the indexation of regular contents can be corrupted (Sybil attack). We first designed a new approach to monitor contents based on the insertion of distributed probes in the network to take control of the indexation mechanism. The probes can attract all the related requests for a given content and assess the peers intent to access it by generating very attractive honeypots. We describe the weaknesses of the network allowing our solution to be effective despite recent protection mechanisms. We then present the services offered by our monitoring architecture and we evaluate its efficiency on KAD. We also present a real deployment whose purpose is to study pedophile contents on this network. Then, we focus on data integrity in distributed hash tables. We performed large scale monitoring campaigns on the KAD network. Our observations show that it suffers from a very harmful pollution of its indexation mechanism affecting 2/3 of the shared files and also from a large number of localized attacks targeting contents. To mitigate these threats, we propose an efficient way to detect attacks by analysing the distribution of the peers' ID found around an entry after a DHT lookup and a counter-measure which can protect the peers at a negligible cost. Finally, we evaluate our solution in real P2P networks.; L'objectif de cette thèse est de concevoir et d'appliquer de nouvelles méthodes de supervision capables d'appréhender les problèmes de sécurité affectant les données au sein des réseaux P2P structurés (DHT). Ceux-ci sont de deux types. D'une part les réseaux P2P sont utilisés pour diffuser des contenus illégaux dont l'activité est difficile à superviser. D'autre part, l'indexation des contenus légitimes peut être corrompue (attaque Sybil). Nous proposons tout d'abord une méthode de supervision des contenus basée sur l'insertion de sondes et le contrôle du mécanisme d'indexation du réseau. Celle-ci permet d'attirer l'ensemble des requêtes des pairs pour un contenu donné, puis de vérifier leur intention en générant des appâts très attractifs. Nous décrivons ainsi les faiblesses du réseau permettant la mise en œuvre de notre méthode en dépit des protections existantes. Nous présentons les fonctionnalités de notre architecture et en évaluons l'efficacité sur le réseau P2P KAD avant de présenter un déploiement réel ayant pour but l'étude des contenus pédophiles. Nous considérons ensuite la sécurité des données indexées dans une DHT. Nous supervisons le réseau KAD et montrons que celui-ci est victime d'une pollution particulièrement néfaste affectant 2/3 des fichiers mais aussi de nombreuses attaques ciblées affectant la sécurité des contenus stockés. Nous proposons un moyen de détecter efficacement cette dernière attaque en analysant la distribution des identifiants des pairs autour d'une référence ainsi qu'une contre-mesure permettant de protéger les pairs à un coût négligeable. Nous terminons par l'évaluation de la protection au sein de réseaux P2P réels.

Part 3: Policy Management; International audience; Enterprises nowadays are subscribing access to several Internet Service Providers (ISPs) for reliability, redundancy and better revenues underlying the service extension, while providing good Quality of Service (QoS). In this paper, a dynamic decision-making framework is presented for Session Initiation Protocol (SIP) based voice/video call routing in multihomed network. The decision engine takes multiple criteria into account while computing the routing decision (attributes from context of the request, platform’s latest conditional parameters, business objectives of the company, etc.). Two Multi-Criteria Decision Making (MCDM) methods, namely Grey Relational Analysis (GRA) and an extended version of Technique for Order Preference by Similarity to Ideal Solution (TOPSIS) are used for decision calculation in outsourcing and provisioning enforcement modes respectively. The proposed solution gives higher throughput and lower call dropping probability while fulfilling the desired goals, taking into account the multiple attributes for choosing the best alternative.

Part 6: PhD Workshop: Monitoring and Security; International audience; Integrated management copes with management of heterogeneous and complex systems in a multi-level dimension (network, systems, services). In this context, monitoring activity has to be concerned with efficiency and autonomy. This paper presents work in progress to define a framework for self-adaptive monitoring relying on the characterization of governability, adaptability and configurability.

Part 6: PhD Workshop: Monitoring and Security; International audience; One way to build large-scale autonomous systems is to develop open peer-to-peer architectures in which peers are not pre-engineered to work together and in which peers themselves determine the social norms that govern collective behaviour. A major practical limitation to such systems is security because the very openness of such systems negates most traditional security solutions. We propose a programme of research that addresses this problem by devising ways of attack detection and damage limitation that take advantage of social norms described by electronic institutions. We have analysed security issues of open peer-to-peer multi-agent systems and focused on probing attacks against confidentiality. We have proposed a framework and adapted an inference system, which shows the possibility of private information disclosure by an adversary. We shall suggest effective countermeasures in such systems and propose attack response techniques to limit possible damages.

Part 1: Security Management; International audience; VoIP infrastructures are exposed to a large variety of security attacks, but the deployment of security safeguards may deteriorate their performance. Risk management provides new perspectives for addressing this issue. Risk models permit to reduce these attacks while maintaining the quality of such a critical service. These models often suffer from their complexity due to the high number of parameters to be configured. We therefore propose in this paper a self-configuration strategy for support- ing runtime risk management in VoIP architectures. This strategy aims at automatically adapting these parameters based on an econometric feedback mechanism. We mathematically describe this self-configuration strategy, show how it can be integrated into our runtime risk model. We then evaluate its deployment based on a proof-of-concept prototype, and quantify its performance through an extensive set of simulation results.

Part 2: PhD Workshop: Autonomic Network and Service Management; International audience; The Intensive Care Unit is a complex, data-intensive and critical environment in which the adoption of Information Technology is growing. As physicians become more dependent on the computing technology to support decisions, raise real-time alerts and notifications of patient-specific conditions, this software has strong dependability requirements. The dependability challenges are expressed in terms of availability, reliability, performance, usability and maintenance of the system. Our research focuses on the design and development of a generic autonomous ICU service platform. COSARA is a computer-based platform for infection surveillance and antibiotic management in ICU. During its design, development and evaluation, we identified both technological and human factors that affect robustness. We presented the identified research questions that will be addressed in detail during PhD research.

Part 5: P2P and Aggregation Schemes; International audience; This paper presents a diffusive load balancing algorithm for peer-to-peer systems. The algorithm reduces the differences of the available capacities of the nodes in the system using service migrations between nodes in order to obtain similar performance for all nodes. We propose algorithms for handling homogeneous services, i.e., services with equal resource requirements, and for heterogeneous services, i.e., services with diverse resource requirements. We have investigated the effect of load balancing in a simulated peer-to-peer system with a skip-list overlay network. Our simulation results indicate that in case that the churn (nodes joining or leaving) is negligible, a system that hosts services with small resource requirements can maintain equal performance for all nodes with a small variance. In case that churn is high, a system that hosts homogeneous services with large resource requirements can maintain equal node performance within a reasonable variance requiring only few service migrations.

Part 5: P2P and Aggregation Schemes; International audience; Recently, numerous management approaches have emerged in order to manage networks and services in a decentralized and autonomous way. Some of them propose to minimize their cost by using a situated view when collecting aggregates for the decision making process, while others propose to improve their accuracy by using a more conventional approach which is global view. So far, little attention is given to the evaluation of situated view while many studies propose to evaluate global approaches. As a consequence, there is no work in the literature that compares the performance of situated and global aggregation schemes. Being able to choose the suitable approach for a given context is still a real challenge. Mastering it will ensure the e fficiency of the autonomous management system. In this paper, we present a comparative study of situated and global schemes deployed over large scale and dynamic networks. We consider two factors: network and information dynamics. We implement typical aggregation schemes from each category and then we compare them according to the accuracy of the estimated aggregates and the e ciency of the decision making process.

Part 6: PhD Workshop: Monitoring and Security; International audience; This paper describes a protocol detection using statistic information about a flow extended by packet sizes and time characteristics, which consist of packet inter-arrival times. The most common way of network traffic classification is a deep packet inspection (DPI). Our approach deals with the DPI disadvantage in power consumption using aggregated IPFIX data instead of looking into packet content. According to our previous experiments, we have found that applications have their own behavioral pattern, which can be used for the applications detection. With a respect to current state of development, we mainly present the idea, the results which we have achieved so far and of our future work.

Part 2: PhD Workshop: Autonomic Network and Service Management; International audience; The autonomic paradigm has been introduced in order to cope with the growing complexity of management. In that context, autonomic networks and systems are in charge of their own configuration. However, the changes that are operated by these environments may generate vulnerable configurations. In the meantime, a strong standardization effort has been done for specifying the description of configuration vulnerabilities. We propose in this paper an approach for integrating these descriptions into the management plane of autonomic systems in order to ensure safe configurations. We describe the underlying architecture and a set of preliminary results based on the Cfengine configuration tool.

Part 2: PhD Workshop: Autonomic Network and Service Management; International audience; Nowadays, even with the existence of many Cloud Providers (CP) in the market, it is still impossible to see CPs who guarantee, or at least offer, an SLA specification to Cloud Users (CU) interests: not just offering percentage of availability, but also guaranteeing specific performance parameters for a certain Cloud application. Due to (1) the huge size of CPs’ IT infrastructures and (2) the high complexity with multiple inter-dependencies of resources (physical or virtual), the estimation of specific SLA parameters to compose Service Level Objectives (SLOs) with trustful Key Performance Indicators (KPIs) tends to be inaccurate. This paper proposes the initial design and preliminary approach for an SLA Support System for CC (SLACC) in order to estimate in a formalized methodology - based on available CC infrastructure parameters - what CPs will be able to offer/accept as SLOs or KPIs and, as a consequence, which increasing levels of SLA specificity for their customers can be reached.

Part 2: PhD Workshop: Autonomic Network and Service Management; International audience; To cope with the ever-growing number of wired and wireless networks, we introduce the notion of so-called symbiotic networks. These networks seamlessly operate across layers and over network boundaries, resulting in improved scalability, dependability, and energy efficiency. This particular Ph.D. research focuses on software services operating in such symbiotic networks. When two or more networks merge, the services provided on them may be combined into a service composition that is much more than the sum of its parts. Driven by two distinct use cases, we aim to enable fully autonomous service composition and resource provisioning. For the first use case, an in-building over-the-top service platform, we describe a software architecture and a set of generic resource provisioning algorithms. The second use case, which focuses on wireless body area networks, will allow us to expand our research domain into highly dynamic symbiotic network environments, where services appear and disappear more frequently.

Part 3: Policy Management; International audience; Our cities are already covered by a myriad of diverse wireless access networks. The most ubiquitous access networks are the well organized homogeneous and centralized operator-based cellular networks that sustain their business model on a captive client basis. However, a new billing paradigm is rising, where a client can choose to connect to the provider that best comply with his/her current requirements and context. Inside this paradigm, this paper presents a distributed, rule-based pricing strategy aimed to improve the quality of service and to increase the global income of a service provider. The performance and reliability of the rule-based decisions is supported by a Finite State Transducers-based inference machine specially designed to manage networking systems. We show, with simulations, that, using our strategy, the operators can make the new billing paradigm profitable while the clients benefit from the economic advantages of competition and of the quality given by a pricing-based network balance mechanism.

National audience; Nous proposons une modélisation de la construction d'un réseau WDM protégé comme l'extension du problème classique de couverture des arêtes d'un graphe. Un ensemble de résultats est donné pour la réalisation de l'instance All-to-All sur un réseau en anneau.