Génération de scripts d'attaque pour la validation de la sécurité
Résumé
Dans le présent article, les auteurs présentent une approche originale pour produire des scripts d'attaque destinés à la validation de la sécurité de systèmes d'information et d'applications. L'objectif est de découvrir les vulnérabilités potentielles qu'un attaquant pourrait exploiter pour causer des défaillances de la sécurité d'un système. Ils utilisent des modèles d'attaque pour spécifier les failles du système et déduire les scénarios correspondant aux attaques. Ces scénarios sont affinés en scripts d'attaque génériques avec l'aide du patron Attaque, de la règle événement-condition-action, du test dirigé par les mots-clés et de diagrammes UML. Les scripts d'attaque génériques sont ensuite convertis en scripts exécutables par un outil de test. Les scripts d'attaque sont générés dans un format qui est indépendant de l'outil utilisé, c'est-à-dire qu'ils sont réutilisables. Les scripts d'attaque exécutables peuvent simuler des attaques réelles. Des exemples sont donnés pour illustrer l'utilisation de l'approche