Orchestration proactive pour la sécurité des systèmes distribués // Adaptive Orchestration for Proactive Security in Distributed Systems

Dans un contexte où les architectures distribuées deviennent de plus en plus hétérogènes et dynamiques, la surface d’attaque s’élargit et impose de repenser la sécurité au-delà des mécanismes défensifs traditionnels.

Les approches de sécurité proactive, et notamment le Moving Target Defense (MTD), visent à perturber l’adversaire en modifiant régulièrement la configuration du système (adresses réseau, réallocation de conteneurs, déploiement de leurres). Néanmoins, ces stratégies restent généralement statiques, limitées à un seul mécanisme et indépendantes de l’état matériel sous-jacent. Par ailleurs, les contre-mesures au niveau du cache (partitionnement, randomisation, ordonnancement) sont rarement intégrées à la logique décisionnelle des orchestrateurs.

L’objectif de la thèse est de concevoir un cadre d’orchestration MTD adaptatif et conscient de l’état matériel, capable d’ajuster dynamiquement les stratégies de défense en fonction de la charge, des performances et de la vulnérabilité observée. L’idée centrale est d’alimenter un agent d’apprentissage par renforcement avec des informations issues des compteurs matériels et des métriques locales de sécurité liées au cache partagé, afin qu’il sélectionne la meilleure combinaison de stratégies MTD selon le contexte observé.

Les contributions attendues concernent la définition d’une métrique locale de sécurité intégrant l’état du cache, la modélisation du système sous forme de graphe reliant services, ressources et surfaces d’attaque, la conception d’un agent RL décisionnel unifié pour la sélection automatique des stratégies, et enfin une évaluation multicritère (sécurité, performance, énergie) sur un cas d’usage automobile réaliste.

Cette thèse vise à rapprocher la vision système et la vision matérielle pour construire des orchestrateurs de confiance capables d’anticiper et d’adapter les défenses face à des attaques évolutives, ouvrant la voie à une sécurité proactive intelligente et matériellement informée dans les systèmes distribués.
------------------------------------------------------------------------------------------------------------------------------------------------------------------------
------------------------------------------------------------------------------------------------------------------------------------------------------------------------

Modern distributed architectures are becoming increasingly heterogeneous and dynamic, expanding the attack surface and challenging traditional, static security mechanisms. To address these challenges, proactive defense approaches, and particularly Moving Target Defense (MTD), have been introduced to disrupt attackers by regularly modifying the system configuration — for instance, by randomizing network addresses, reallocating containers, or deploying decoy services. However, most existing strategies remain static, rely on a single defense mechanism, and ignore the underlying hardware state. In parallel, hardware-level countermeasures such as cache partitioning, randomization, and scheduling have been proposed against side-channel attacks, yet they are seldom integrated into the decision logic of orchestration frameworks.

The objective of this PhD is to design an adaptive MTD orchestration framework that is aware of the underlying hardware state, capable of dynamically adjusting defense strategies according to system load, performance, and observed vulnerability. The central idea is to feed a reinforcement learning (RL) agent with information derived from hardware performance counters and local security metrics linked to shared cache dynamics, enabling it to select the optimal combination of MTD strategies based on the current system context.

The expected contributions include the definition of a hardware-informed local security metric capturing cache behavior, the graph-based modeling of dependencies between services, resources, and attack surfaces, the design of a unified RL-based decision agent for adaptive MTD selection, and a multi-criteria evaluation (security, performance, energy) on a realistic automotive use case.

This thesis aims to bridge system-level and hardware-level perspectives to build trustworthy orchestrators capable of anticipating and adapting defenses against evolving threats, paving the way toward intelligent and hardware-aware proactive security in distributed systems.
------------------------------------------------------------------------------------------------------------------------------------------------------------------------
------------------------------------------------------------------------------------------------------------------------------------------------------------------------

Pôle fr : Direction de la Recherche Technologique
Pôle en : Technological Research
Département : Département Systèmes et Circuits Intégrés Numériques (LIST)
Service : DSCIN
Laboratoire : Laboratoire Environnement de Conception et Architecture
Date de début souhaitée : 01-10-2026
Directeur de thèse : ASAVOAE Mihail
Organisme : CEA
Laboratoire : DRT/DSCIN/DSCIN/LECA

Public/private mixed funding

Pôle fr : Direction de la Recherche Technologique
Pôle en : Technological Research
Département : Département Systèmes et Circuits Intégrés Numériques (LIST)
Service : DSCIN