Antivirus Cognitif - CEDR Haute Assurance

Authentification Requise

Cognitive EDR - Accès Restreint

Email

PIN Militaire (4 chiffres)

____

Tentatives restantes: 3

Pas de compte ?

Compte admin pré-configuré:

hts.investigation@gmail.com

Clé secours: g0d_...YxjCAYsE4Q

Statut Protection

PROTEGE

Dernière menace: 14h32 - Contenue

Capteurs Actifs

7/7

Process, File, Network, Persistence, Identity

Mode Opérationnel

CONTAIN

Auto-containment actif

Flux Temps Réel (Capteurs) 0

Initialisation des capteurs...

Moteur Cognitif (IA Fédérée)

LLM1 - Interprétation [IDLE]

Transforme événements bruts en contexte sémantique

Event: mass_rename_entropy_spike
Classification: potential_encryption_behavior

LLM2 - Corrélation [IDLE]

Fusion multi-signaux + baseline machine

Correlation: 0 signals
Risk Score: 0.00

LLM3 - Décision [IDLE]

Policy Engine + Justification

En attente de corrélation...

Incidents Détectés

Aucun incident actif - Surveillance en cours

Policy Engine - Règles Actives

Version: 2.1.0 | Signée: 0x3f2a... | Dernière mise à jour: 2024-01-15

MIL-001-A

CRITIQUE

Détection Ransomware Aggressif

SI:

mass_rename (>100 fichiers) ET

entropy_spike (>7.5) ET

process_signature = unknown ET

new_domain_dns = true

ALORS:

FREEZE_PROCESS_TREE

ISOLATE_NETWORK

SNAPSHOT_FORENSIC

Active depuis 45 jours - 1 déclenchement

MIL-002-B

ELEVÉ

Exfiltration Data Suspecte

SI:

new_outbound_domain ET

egress_volume > 100MB ET

process_age < 5min

ALORS:

CONTAIN_NETWORK_PROCESS

REVOKE_WRITE_SENSITIVE

Active - 0 déclenchement

MIL-003

PERSISTENCE

Installation Persistence Multiple

SI:

(registry_run OR scheduled_task OR service_install) ET

privilege_escalation_detected

ALORS:

ISOLATE_PROCESS

ALERT_ADMIN

MIL-004

INTEGRITY

Protection Anti-Tamper

SI:

capteur_offline OR log_tampered OR

tpm_attestation_fail

ALORS:

SAFE_MODE_IMMEDIATE

SNAPSHOT_ALL_STATES

ROLLBACK_AVAILABLE

MIL-005-C

COGNITIF

Protection Anti-Binaires Natifs (C++ & Go)

SI:

binary_signature MATCH "go1." OR

binary_signature MATCH "GCC:" OR

compiler_id IN ["g++", "clang", "rustc"] OR

section_name ".text" HAS golang_type OR

import_table HAS stdcpp OR runtime.go

ALORS:

BLOCK_IMMEDIATE

QUARANTINE_BINARY

LOG_COMPILER_ORIGIN

Active - Heuristiques signatures PE/ELF

Statut Protection:

Bloqués (1h): 0

Dernière détection: Aucune

Mémoire & Baseline

Mémoire 1 (Court terme)

TTL: 15min

Événements live: 1,247

Mémoire 2 (Baseline)

Machine Profile

Signée: Oui | 45 jours données

mem0 (Long terme)

Historique Incidents

12 incidents | Scellé TPM

Threat Intelligence Temps Réel

Connexion active aux feeds: CERT-FR, VirusTotal, AbuseIPDB

Mon Réseau Actuel

IP Publique: Scanning...

ISP: ...

Localisation: ...

DNS: ...

Alertes CERT-FR en Direct

Connexion au feed CERT-FR...

Scanner de Menaces Réseau

Journal d'Incident Réel (Live)

En attente d'événements réseau...

Configuration Système - Mode Production

Mode Opérationnel Actif

En mode production, le système analyse réellement votre trafic réseau et interroge les bases de données de menaces. Nécessite des clés API pour VirusTotal et AbuseIPDB.

Clés API Threat Intelligence

VirusTotal API Key

Clé pré-remplie (mode démonstration)

AbuseIPDB API Key

Vérification de réputation IP

Paramètres de Protection

Auto-containment menaces critiques

Alertes webhook temps réel

Surveillance DNS over HTTPS

Architecture Technique Détaillée

1. Vue Globale (Pipeline Sécurisé)

CONFIDENTIEL

⚠️ ARCHITECTURE INTERNE - NE PAS DIFFUSER

┌─────────────────────────────────────────────────────────────────┐
│                    ROOT OF TRUST (TPM 2.0)                      │
│         Secure Boot + Measured Boot + Disk Encryption           │
└─────────────────────────────────────────────────────────────────┘
                              │
┌─────────────────────────────────────────────────────────────────┐
│                  OS IMMUABLE (A/B Partitions)                   │
│           Read-Only Root + Overlay /tmp + Atomic Rollback       │
└─────────────────────────────────────────────────────────────────┘
                              │
        ┌─────────────────────┼─────────────────────┐
        │                     │                     │
┌───────▼──────┐    ┌────────▼────────┐   ┌────────▼────────┐
│   CAPTEURS   │    │  COGNITIVE CORE │   │  POLICY ENGINE  │
│  (Isolés)    │    │   (3 LLM Tiers) │   │   (Java Core)   │
└───────┬──────┘    └────────┬────────┘   └────────┬────────┘
        │                     │                     │
        └──────────┬─────────┴──────────┬──────────┘
                   │                    │
        ┌──────────▼──────────┐  ┌──────▼──────┐
        │   NORMALISATION     │  │   MÉMOIRE   │
        │   (Sémantique)      │  │  (3 Tiers)  │
        └──────────┬──────────┘  └─────────────┘
                   │
        ┌──────────▼──────────┐
        │   GARDE-FOU SORTIE  │◄─── Crypto Validation
        │  (Action Control)   │     Signature + Hash-Chain
        └──────────┬──────────┘
                   │
        ┌──────────▼──────────┐
        │   JOURNAL MILITAIRE │◄─── Append-Only + TPM Sign
        │   (Preuve)          │
        └─────────────────────┘

2. Capteurs (7 Modules)

Process Monitor ● Actif

Creation, parent-child, cmdline, hash, signature

File System Watch ● Actif

Write bursts, mass rename, entropy calc, sensitive access

Network Probe ● Actif

DNS queries, new domains, egress volume, protocol anoms

Persistence Guard ● Actif

Registry Run, Scheduled Tasks, Services, WMI, Drivers

Identity Tracker ● Actif

Sessions, tokens, privilege escalation, UAC patterns

Memory Mapper ● Actif

High-level memory map, injection detection

Integrity Checker ● Actif

Capteur health, loopback validation

3. Format Événements (JSON)

{
  "event_id": "evt_8473f2a",
  "timestamp": "2024-01-15T14:41:32Z",
  "type": "semantic",
  "category": "potential_encryption_behavior",
  "confidence": 0.94,
  "source_sensors": ["file", "process", "network"],
  "payload": {
    "process": {
      "pid": 4521,
      "name": "svchost-fake.exe",
      "path": "/tmp/.X11-unix/...",
      "hash_sha256": "a1b2c3...",
      "signature": null,
      "parent_pid": 1,
      "cmdline": "svchost-fake -e /docs"
    },
    "file_activity": {
      "renamed_count": 247,
      "entropy_mean": 7.8,
      "target_extensions": [".pdf", ".docx"],
      "write_speed_mbps": 1200
    },
    "network": {
      "dns_queries": ["suspicious-c2.ru"],
      "new_domain": true,
      "egress_bytes": 0
    }
  },
  "context": {
    "user": "john.doe",
    "session_id": "sess_993",
    "baseline_deviation": 0.89
  }
}

4. MVP Roadmap 48h

Jour 1 - Fondation

• Capteurs Process + File (eBPF/ETW)
• Normalisation JSON sémantique
• Mémoire 1 (court terme) + TTL
• Détection entropy + mass rename

Jour 2 - Action

• LLM1/2/3 (mock/stub si besoin)
• Policy Engine (Java core)
• Actions: FREEZE + CONTAIN
• Journal + Rapport PDF
• Dashboard 3 écrans

5. Anti-Tamper & Durcissement

Protection Système

• Capteurs watchdog mutuels

• Heartbeat cryptographique

• Redémarrage auto en 5s

Intégrité Logs

• Append-only filesystem

• Hash-chain (SHA-256)

• Signature TPM 2.0

Résilience

• Mode Fail-Closed

• Safe Mode auto-trigger

• A/B Partition rollback