Brevet FR2770066A1 — publié le 19990423

Procédé pour générer les filtres destinés à éviter les risques d'intrusion des réseaux informatiques interconnectés. Le domaine de l'invention est celui des réseaux informatiques interconnectés. Le caractère ouvert des réseaux informatiques selon le protocole Internet offre bien des facilités. Toutefois, il apporte aussi son lot de dangers, risques d'intrusion des réseaux, difficultés pour se protéger. n existe des matériels et des logiciels permettant d'effectuer un filtrage des paquets utilisant le protocole Internet. Toutefois, la maîtrise de ce filtrage pour l'application de politiques de sécurité exigeantes est difficile et complexe. L'invention concerne un procédé pour générer de manière simple et automatique les filtres, utilisant le protocole Internet, destinés à éviter les risques d'intrusion des réseaux informatiques interconnectés. Les termes qui seront ci-après utilisés pour exposer la solution technique selon l'invention, ont les définitions suivantes: - On désigne par "réseau" un ou des intervalles fermés (au sens topologique du terme) d'adresses du Protocole internet. - On désigne par "objets" les éléments constitutifs d'un réseau. Ainsi, sans que cette énumération soit exhaustive, sont des objets au sens de la présente invention : les ordinateurs, les équipements informatiques, les serveurs, les imprimantes, les réseaux (physiques ou logiques), les sous-réseaux (physiques ou logiques), les équipements de filtrage, les pare-feu, les utilisateurs ou groupes d'utilisateurs, les applications informatiques. Un objet est caractérisé par son type et par son nom. Par exemple un routeur filtrant est un type d'objet, de même un ensemble de réseaux est un type d'objet. Un objet possède une ou plusieurs adresses ou un ou plusieurs intervalles fermés d'adresses. - On désigne par "protocole" une convention précisant les règles et les spécifications techniques à respecter dans le domaine des télécommunications afin d'assurer l'interopérabilité des objets. - On désigne par "protocole de communication" un protocole, tel que par exemple le protocole Internet, définissant une technique de transfert de données. - On désigne par "protocole d'application" ou "service" un protocole définissant une technique d'échange de données ou de commandes pour une application définie. - On désigne par "classe" l'ensemble des adresses ayant les mêmes lois de communication. Une classe peut réunir d'autres classes. Les classes sont des objets au sens de la présente description de l'invention. - On désigne par "loi de communication" une loi autorisant ou interdisant pour le protocole d'application concerné, la communication entre un couple d'objets, un couple de classes ou un couple mixte (classe, objet). - On désigne par "domaine de sécurité" un ensemble d'objets interconnectés sur lequel s'applique des lois de communication spécifiques à chaque objet ou générales. - On désigne par "lien" ou "connexion", les connexions physiques (les câbles des réseaux par exemple) reliant les objets entre eux. Un réseau est un ensemble d'objets interconnectés. - On désigne par "routeur" un équipement permettant l'interconnexion de réseaux disjoints. - On désigne par "filtre" les moyens techniques permettant de mettre en oeuvre les lois de communication. Par exemple la programmation d'un routeur permet de contrôler la possibilité de communiquer entre deux réseaux disjoints. Par extension on appelle routeur filtrant tout équipement perrnettant le filtrage du protocole Internet. Les objectifs visés par la présente invention, à savoir: la génération de manière simple et automatique des filtres destinés à éviter les risques d'intrusion des réseaux informatiques interconnectés, sont atteints à l'aide d'un procédé consistant à utiliser de manière itérative une interface graphique pour: - créer et visualiser les objets et les classes du domaine de sécurité, - sélectionner et visualiser les protocoles d'application pour lesquels des filtres doivent être créés, - dessiner sur l'interface graphique, au moyen de courbes fléchées, pour chaque protocole d'application préalablement sélectionné, les lois de communication. Le dessin de ces courbes fléchées représentatives des lois de communication permet de créer simultanément et instantanément la création des filtres associés aux routeurs filtrants et s'appliquant aux objets concernés. A cet effet et selon une étape complémentaire du procédé: - on convertit les données graphiques représentatives des lois de communication en données de programmation des routeurs filtrants. Le procédé selon l'invention permet d'utiliser l'interface graphique pour visualiser la politique de sécurité du domaine de sécurité et pour la modifier le cas échéant. De préférence, on modifie les lois de communication entre objets ou classes sur l'interface graphique en sélectionnant des protocoles d'application prédéterminés. La présente invention concerne également un système pour générer de manière simple et automatique les filtres, selon le protocole Internet, destinés à éviter les risques d'intrusion des réseaux informatiques interconnectés. Le dit système consiste à utiliser une interface graphique associée à un terminal de calcul et des moyens de commande interagissant avec l'interface graphique pour: - créer et visualiser les objets et les classes du domaine de sécurité, - sélectionner et visualiser les protocoles d'application pour lesquels des filtres doivent être créés, - dessiner sur l'interface graphique, au moyen de courbes fléchées, pour chaque protocole d'application préalablement sélectionné, les lois de communication. Le dessin de ces courbes fléchées représentatives des lois de communication permet de créer simultanément et instantanément la création des filtres associés aux routeurs filtrants et s'appliquant aux objets concernés. A cet effet et selon une caractéristique complémentaire, le système comprend des moyens de calcul pour: - convertir les données graphiques représentatives des lois de communication en données de programmation des routeurs filtrants. Le système selon l'invention permet d'utiliser l'interface graphique pour visualiser la politique de sécurité du domaine de sécurité et pour la modifier le cas échéant. De préférence, pour modifier les lois de communication entre objets ou classes sur l'interface graphique, les moyens de commande comportent des moyens pour sélectionner des protocoles d'application prédéterminés. D'autres caractéristiques et avantages de l'invention apparaîtront à la lecture de la description de variantes de réalisation de l'invention, données à titre d'exemple indicatif et non limitatif, et de: - la figure 1 présentant une vue schématique en perspective du système selon l'invention; - la figure 2 présentant l'écran de visualisation pendant la phase de création des objets et plus particulièrement des réseaux du domaine de sécurité; - la figure 3 présentant l'écran de visualisation pendant la phase de création des objets et plus particulièrement des routeurs du domaine de sécurité; - la figure 4 présentant l'écran de visualisation après que les liens entre les objets aient été spécifiés (dans le cas représenté le routeur est interconnecté par des liens physiques à cinq réseaux); - les figures 5 et 6 présentant l'écran de visualisation pendant la phase de création des classes du domaine de sécurité; - la figure 7 présentant l'écran de visualisation pendant la phase de sélection des protocoles d'application et de dessin des lois de communication. On va maintenant décrire la figure 1 qui représente une vue schématique en perspective du système selon l'invention. Le terminal de calcul 1 comporte un écran de visualisation 2 autrement appelé interface graphique. Le terminal est commandé par l'utilisateur 3 au moyen d'un clavier 4 et d'un boîtier de commande 5 (une souris). Ces organes de commande permettent, de manière usuelle, de déplacer un pointeur 6 sur l'écran de visualisation 2. Le terminal de calcul est interconnecté par une liaison câble 7 à au moins un routeur filtrant programmable 8. Ce routeur est lui même interconnecté aux réseaux 9 par des liens 10. On va maintenant décrire la figure 2 qui représente l'écran de visualisation pendant la phase de création des objets et plus particulièrement des réseaux du domaine de sécurité. La partie droite de la barre d'outil 1 1 de l'écran de visualisation 2 comporte cinq icônes : 12 sélection, 13 routeur filtrant, 14 réseau, 15 classe, 16 loi de communication, dont on décrira ci-après les fonctions. A gauche de la barre d'outil 1 1 se trouve les icônes 50: fichier, édition, couper, coller. De manière usuelle, ces outils permettent, lorsqu'ils sont sélectionnés et activés par le pointeur 6 actionné par le boîtier de commande 5, d'ouvrir des fichiers, d'enregistrer l'interface graphique, d'en couper ou d'en coller des parties. Une fenêtre ouverte 17 comporte la liste des services 18 autrement appelés protocoles d'application dans la description. Afin de créer la représentation graphique d'un réseau sur l'interface graphique 2, I'utilisateur utilise la souris S pour activer au moyen du pointeur 6 I'icône 14. Les représentations graphiques des réseaux apparaissent sur l'écran de visualisation 2, sous forme de nuages, 19, 20, etc. Au moyen de l'outil de sélection 12,1'utilisateur peut sélectionner, déplacer et disposer à sa convenance les réseaux. Dans l'exemple représenté, le réseau 20 dénommé "sécurisé" a été sélectionné. En agissant sur le boîtier de commande 5 l'utilisateur peut ouvrir des fenêtres de dialogue 21, 22 sur l'écran 2 afin d'entrer les propriétés du réseau, notamment les adresses 24. L'utilisateur procède de manière itérative pour créer les autres réseaux. On va maintenant décrire la figure 3 qui représente l'écran de visualisation pendant la phase de création des objets et plus particulièrement des routeurs du domaine de sécurité. Afin de créer la représentation graphique d'un routeur 25 sur l'interface graphique 2,1'utilisateur utilise la souris 5 pour activer au moyen du pointeur 6 l'icône 13. La représentation graphique du routeur 25 apparaît sur l'écran de visualisation 2. Au moyen de l'outil de sélection 12,1'utilisateur peut sélectionner, déplacer et disposer à sa convenance le routeur 25 sur l'interface graphique 2. Dans l'exemple représenté, le routeur 25 dénommé "routeur" a été sélectionné. En agissant sur le boîtier de commande 5 l'utilisateur peut ouvrir des fenêtres de dialogue 26 sur l'écran 2 afin d'entrer les propriétés du routeur notamment ses spécifications (la marque du constructeur et du logiciel associé) ainsi que les spécifications (les noms) des réseaux avec lesquels le routeur est interfacé. Les liens ou les connexions entre les réseaux 19 "Internet", 20 "Sécurisé", 20a "Dmz", 20b "Central", 20c "Commerce", et le routeur 25 sont représentés sur l'interface graphique 2 par des traits 27, 28, 28a, 28b, 28c (figure 4). L'utilisateur procède de manière itérative pour créer les autres routeurs et spécifier leurs liens avec les réseaux. On va maintenant décrire les figures 5 et 6 qui représentent l'écran de visualisation pendant la phase de création des classes du domaine de sécurité. Afin de créer la représentation graphique d'une classe 30 sur l'interface graphique 2,1'utilisateur utilise la souris 5 pour activer au moyen du pointeur 6 I'icône 13. La représentation graphique de la classe 25 apparaît sur l'écran de visualisation 2. Au moyen de l'outil de sélection 12,1'utilisateur peut sélectionner, déplacer et disposer à sa convenance la classe 30 sur l'interface graphique 2. Dans l'exemple représenté la classe 30 dénommée "classe" a été sélectionnée. En agissant sur le boîtier de commande 5 I'utilisateur peut ouvrir des fenêtres de dialogue 31, 32 sur l'écran 2 afin d'entrer les propriétés de la classe notamment les adresses du réseau "Dmz" 20 appartenant à la classe 30 "classe". Un trait de couleur gris pale 31 permet de visualiser l'appartenance de la classe 20a au réseau "Dmz" 20a (figure 6). La classe 32 dénommée "classe-central-commerce" a été spécifiée de telle sorte qu'elle inclut des adresses du réseau 20b "Central" et des adresses du réseau 20c "Commerce". Aucun trait ne relie la classe 32 "classe-central-commerce" aux réseaux 20b "Central" et 20c "Commerce". On visualise ainsi sur l'interface graphique 2 que la classe 32 "classecentral-commerce" regroupe des objets présents dans les réseaux "Central" et "Commerce". L'écran 2 de la figure 6 représente, dans le cas particulier décrit, le domaine de sécurité ainsi que les objets (réseaux, routeur) et les classes de ce domaine de sécurité. L'utilisateur procède de manière itérative pour créer les autres classes et compléter le domaine de sécurité. On va maintenant décrire la figure 7 qui présente l'écran de visualisation pendant la phase de sélection des protocoles d'application et de dessin des lois de communication. L'utilisateur actionne le boîtier de commande 5 pour déplacer le pointeur 6 et sélectionner puis activer dans la fenêtre services (protocoles d'application) 18, le protocole d'application concerné. La liste des protocoles d'application apparaissant dans la fenêtre services 18 est proposée par défaut, l'utilisateur a la possibilité d'en ajouter d'autres. Dans le cas décrit le protocole d'application sélectionné est le protocole 40 "smtp". Par défaut, la" loi de communication ", c'est-à-dire la loi autorisant ou interdisant pour le protocole d'application concerné, la communication entre un couple d'objets, un couple de classes ou un couple mixte classe, objet) est une loi d'interdiction. Pour définir la politique de sécurité associée au protocole d'application 40 "smtp" sélectionné, l'utilisateur procède comme il sera ci-après décrit en se référant à deux cas particuliers. Dans le premier cas, pour mettre en place une loi d'autorisation du réseau "Internet" 19 vers la classe "classe" 30, I'utilisateur utilise la souris 5 pour activer au moyen du pointeur 6 I'icône 16. I1 spécifie alors au moyen d'une fenêtre de dialogue qu'il s'agit d'une loi d'autorisation. Ensuite l'utilisateur positionne le pointeur 6 sur le réseau "Internet" 19, actionne le boîtier de commande 5 pour sélectionner le réseau "Internet" 19, déplace le pointeur 6 du réseau "Internet " 19 vers la classe "classe" 30 et la sélectionne. Une ligne fléchée 41 colorée en vert est ainsi dessinée sur l'interface graphique 2, la pointe de la flèche étant orientée vers la classe "classe" 30. L'utilisateur procède de la même façon pour mettre en place une loi d'autorisation de la classe "classe" 30 vers le réseau "Internet" 19. n dessine ainsi une autre ligne fléchée 42 colorée en vert, la pointe de la flèche étant orientée vers le réseau "Internet" 19. L'utilisateur a ainsi visualisé sur l'interface graphique que les équipements informatiques appartenant à la classe 30 "classe" du sous-ensemble du réseau 20a "Dmz", peuvent communiquer dans les deux sens avec les objets du réseau "Internet" 19. Dans le deuxième cas, pour mettre en place une loi d'autorisation du réseau "Central" 20b vers la classe 30 "classe" et une loi d'interdiction de la classe 32 "classecentral-commerce" vers la classe 30 "classe", I'utilisateur procède comme précédemment, en spécifiant au moyen de la fenêtre de dialogue la loi d'autorisation et celle d'interdiction. I1 dessine ainsi deux lignes fléchées, l'une 43 colorée en vert, I'autre 44 colorée en rouge. L'utilisateur a ainsi visualisé sur l'interface graphique que les équipements informatiques du réseau 20b "Central" peuvent communiquer avec le sousensemble des équipements informatiques du réseau 20a "Dmz", appartenant à la classe 30 "classe" mais que par contre les équipements informatiques des réseaux 20b "Central" et 20c "Commerce" appartenant à la classe 32 "classecentra-commerce" ne peuvent pas communiquer avec le sous-ensemble des équipements informatiques du réseau 20a "Dmz", appartenant à la classe 30 "classe". Lorsqu'il y a conflit de loi, c'est la loi d'interdiction qui l'emporte sur la loi d'autorisation. L'utilisateur procède de manière itérative pour sélectionner les autres protocoles d'application et dessiner les lois de communication qui leur sont associés. Le dessin de ces courbes fléchées représentatives des lois de communication permet de créer simultanément et instantanément la création des filtres associés aux routeurs filtrants et s'appliquant aux objets concernés. A cet effet, le terminal de calcul 1 comprend des moyens de calcul la pour convertir les données graphiques correspondant aux lois de communication en données de programmation des routeurs filtrants 8. Les données de programmation sont transférées du terminal de calcul 1, par la liaison 7, vers le routeur filtrant 8 dont les paramètres de filtrage sont ainsi automatiquement et rapidement réglés. REVENDICATIONS 1. Procédé pour générer de manière simple et automatique les filtres, selon le protocole internet, destinés à éviter les risques d'intrusion des réseaux informatiques interconnectés ; le dit procédé comprenant la mise en oeuvre d'une interface graphique (2) pour, de manière itérative: - créer (13, 14, 15), et visualiser (2) les objets (20, 25) et les classes (30, 32) du domaine de sécurité, - sélectionner (12), et visualiser (18) les protocoles d'application (40) pour lesquels des filtres doivent être créés, - dessiner (16) sur l'interface graphique (2), au moyen de courbes fléchées (41, 42, 43, 44), pour chaque protocole d'application (40) préalablement sélectionné, les lois de communication. (de sorte que le dessin de ces courbes fléchées permet de représenter les lois de communication du domaine de sécurité) 2. Procédé selon la revendication 1, tel que pour créer les filtres associés aux routeurs filtrants (25) et s'appliquant aux objets (20), concernés, - on convertit les données graphiques représentatives des lois de communication en données de programmation des routeurs filtrants (8, 25). 3. Procédé selon l'une des revendication 1 ou 2, tel que pour modifier la politique de sécurité du domaine de sécurité, - on modifie les lois de communication (41, 42, 43, 44) entre objets (20) ou classes (30), sur l'interface graphique (2), en sélectionnant des protocoles d'application prédéterminés. 4. Système pour générer de manière simple et automatique les filtres, selon le protocole internet, destinés à éviter les risques d'intrusion des réseaux informatiques interconnectés ; le dit système comprend une interface graphique (2) associée à un terminal de calcul (1) et des moyens de commande (4, 5) interagissant de manière itérative avec l'interface graphique (2) pour: - créer (13,14,15) et visualiser (2) les objets (20, 25) et les classes (30) du domaine de sécurité, - sélectionner (12) et visualiser (18) les protocoles d'application (40) pour lesquels des filtres doivent être créés, - dessiner (16) sur l'interface graphique (2), au moyen de courbes fléchées (41, 42, 43, 44), pour chaque protocole d'application (40) préalablement sélectionné, les lois de communication, (de sorte que le dessin de ces courbes fléchées permet de représenter les lois de communication du domaine de sécurité) 5. Système selon la revendication 4 tel que, pour créer les filtres associés aux routeurs filtrants (25) et s'appliquant aux objets concernés, le système comprend des moyens de calcul (la) pour: - convertir les données graphiques représentatives des lois de communication en données de programmation des routeurs filtrants (8, 25). 6. Système selon les revendications 4 ou 5 tel que, pour modifier la politique de sécurité du domaine de sécurité, les moyens de commande (4, 5) comportent des moyens pour sélectionner des protocoles d'application prédéterminés.