Brevet FR2806503A1 — publié le 20010921

Procédé dispositif d'analyse de trafic d'une pluralité de systèmes informatiques pare-feu La presente invention concerne un procédé et un dispositif d'analyse de trafic d'une pluralité de systèmes informatiques pare-feu. Pour mémoire, un pare-feu est un composant informatique interposé dans un réseau d'ordinateurs entre un groupement déterminé de machines et le reste réseau. Le pare-feu permet de protéger le groupement de machines contre des intrusions non autorisées ou pour gérer l'accès à certaines machines groupement. Le pare-feu a pour fonction essentielle d'identifier et contrôler précisément toutes les informations qui le traversent, tels que accès au reste du réseau, les demandes d'accès au groupement machines. Ainsi, le pare-feu permet d'autoriser ou de refuser l'accès au groupement machines, par une machine du reste du réseau et donc de protéger le groupement de machines. Pour chaque événement intervenant sur un pare-feu, c'est-à-dire pour chaque information relative à la sécurité traversant le pare-feu, ce dernier génere un enregistrement d'audit dans un fichier constitué ensemble d'enregistrements relatifs à la sécurité (en anglais "security audit trait"). Tous les audits sont ensuite transmis vers un administrateur central. Cet administrateur central est, par exemple, constitué d'une machine groupement de machines, traite spécifiquement les informations reçues pare-feu pour vérifier l'efficacité d'une politique de sécurité mise en place sur le pare-feu vérifie également si une machine du groupement de machines a été utilisée il courant qu'un administrateur soit dédié à l'administration de plusieurs groupements de machines et donc de plusieurs pare-feu. Ainsi, selon antérieur, cet administrateur reçoit systématiquement tous les audits tous les pare-feu. Ensuite cet administrateur traite les informations envoyées le pare-feu par l'intermédiaire d'applications spécifiques. Pour un réseau machines, comprenant par exemple une centaine de pare-feu, la quantité d'informations transmises par les pare-feu vers l'administrateur est considerable en volume et peut être de l'ordre de l'ordre de 20 à 30 Giga octets par jour. De plus, le débit qui est alors nécessaire pour que tous les pare-feu puissent envoyer leurs audits vers l'administrateur atteint 2 à 3 Mégabits seconde en régime permanent. Par conséquent, une telle quantité d'information monopolise une grande quantité de ressources de l'administrateur et le flux d'informations entre les pare feu et l'administrateur encombre inutilement le réseau de communication. La présente invention a donc pour objet de pallier les inconvénients de l'art antérieur en proposant un procédé d'analyse trafic d'une pluralité de systèmes informatiques pare-feu permettant réduire la quantité d'informations échangées entre une pluralité pare-feu et un administrateur central. Ainsi, le procédé d'analyse de trafic selon l'invention se caractérise en ce qu'il comprend: - une étape de mémorisation, de chaque évenement relatif à la sécurité survenant sur chaque pare-feu (100, 200, 300) pendant une durée déterminée, par l'intermédiaire d'un enregistrement d'audit sur le pare-feu (100, 200, 300) sur lequel survient l'événement relatif à la sécurité- une étape de traitement des enregistrements d'audits enregistrés, par au moins un agent spécifique (1100, 2100, 3100) implanté sur le pare-feu (100, 200, 300) ou sur une machine (110, 210, 310) locale de traitement connectée au pare-feu, - une étape d'envoi des informations relatives au résultat du traitement vers l'administrateur (2) central. La présente invention a aussi pour objet de pallier les inconvénients de l'art antérieur en proposant un dispositif d'analyse de trafic d'une pluralité de systèmes informatiques pare-feu permettant de réduire la quantité d'informations échangées entre une pluralité de pare-feu et un administrateur central. Le dispositif d'analyse de trafic selon l'invention se caractérise en ce que chaque pare-feu (100, 200, 300) génère un enregistrement d'audit pour chaque événement relatif à la sécurité survenant sur le groupement (10, 30) de machines auquel il est connecté, chaque pare-feu (100, 200, 300) comprend des moyens de mémorisation de tous les audits générés pare-feu pendant une période déterminée, des moyens (111, 211, 1) transmission pendant une période déterminée des audits mémorises chaque audit, à des moyens (1100, 2100, 3100) de traitement de tous audits transmis, les moyens (1100, 2100, 3100) de traitement étant implantés sur le pare-feu (100, 200, 300), respectivement sur une machine (110, 210, 310) locale de traitement connectée au pare-feu (100, 200, 300) par une liaison privilégiée, le pare-feu (100, 200, 300) respectivement machine (110, 210, 310) locale de traitement comportant des moyens (1 , 2101, 3101) de transfert, à un intervalle de temps déterminé, des résultats du traitement vers des moyens (41) de récupération implantés sur l'administrateur (2) central. L'invention, avec ses caractéristiques et avantages, ressortira plus clairement à la lecture de la description faite en référence aux dessins annexés dans lesquels - figure 1 représente un diagramme de l'architecture du dispositif selon l'invention, - figure 2 représente un diagramme de l'architecture d'un système centralisé traitement d'audits de sécurité, - figures 3A et 3B représentent le diagramme des relations entre un pare et l'administrateur central. figure 2 représente schématiquement le fonctionnement d'un système sécurité centralisé. La sécurité s'entend ici par la protection de l'accès à machines d'un groupement (10, 20, 30) de machines vis-à-vis d'une ou plusieurs autres machines n'appartenant pas à ce groupement de machines. Le groupement (10, 20, 30) de machines est, exemple, connecté à d'autres machines par l'intermédiaire d'un réseau (3) de communication, par exemple, un réseau grand distance (WAN, world ares network) tel qu'Internet. Le terme machine désigne tout matériel informatique tel qu'une station d'un réseau d'ordinateurs, un serveur, un routeur etc... Comme explique précédemment pour chaque groupement (10, 30) de machines, un pare-feu (100, 200, 300) assure la sécurité des echanges entre les machines d'un groupement (10, 20, 30) de machine et les machines extérieures aux groupements (10, 20, 30) de machines. Pour ce faire, le pare- respectif (100, 200, 300) est installé entre chaque groupement 20, 30) respectif de machines et le réseau grande distance pour contrôler les informations entrant et sortant du groupement (10, 20, 30) machines. Selon l'art antérieur, toutes les operations de contrôle et vérification d'accès réalisées par chaque pare- (100, 200, 300), font l'objet d'un compte rendu ou audit. Un enregistrement d'audit comprend des informations caractérisant un transfert données entre une machine du groupement 20, 30) de machines surveillé par le pare-feu respectif (100, 200, 300) et réseau (3) grand distance. Ainsi, un audit peut comprendre - la date de génération de l'enregistrement d'audit, - le générateur de l'enregistrement, c'est-à-dire le pare- émetteur. Le pare-feu émetteur est identifié par un numéro d'identification. même, le type d'enregistrement d'audit ainsi que l'application génératrice l'audit sont inclus dans l'audit, - l'identification de la source et du destinataire du message. L'identification de la source et du destinataire est réalisée par l'intermédiaire de l'adresse IP, du numéro du port et du nom de la machine source ou du nom de la machine destinataire. De même le protocole de communication utilisé pour transmettre le message est par exemple de type , UDP, ICMP ...etc En fonction du type d'enregistrement, le contenu du message peut comporter: - la taille du message, - le nombre de paquets de données échangés, - l'état de la connexion, - l'identification de l'utilisateur, si un événement relatif à la sécurité a eu lieu, les règles de filtrage appliquées, les actions entreprises par les pare-feu, - éventuellement, le message en entier. Tous les enregistrements générés par chaque pare- (1 200, 300) sont ensuite systématiquement transmis à l'administrateur central. L'administrateur (2) exploite ensuite ces enregistrements reçus pare-feu (100, 200, 300), d'une part, pour vérifier si la politique de sécurité du groupement (10, 20, 30) de machines est effective et d'autre pour détecter des utilisations non autorisées d'une ou plusieurs machines du groupement (10, 20, 30) de machines et déterminer comment ces utilisations frauduleuses ont été réalisées (fonction d'audit de sécurité). L'utilisation frauduleuse d'une machine est détectée par l'exploitation des informations reçues par l'administrateur (2) en provenance des pare-feu (100, , 300). Cette exploitation prend deux formes distinctes. première consiste à analyser les enregistrements et à détecter schémas (succession d'enregistrements relatifs à la sécurité) qui sont caractéristiques d'une tentative d'intrusion, d'une intrusion ou d'un abus dans l'utilisation des moyens informatiques. Ces techniques de reconnaissance sont utilisables pour toutes les atteintes à la sécurité connues, répertoriées caractérisées par leur signature. La seconde forme d'exploitation consiste à s'intéresser aux atteintes à la sécurité inédites et donc à détecter des comportements -standards. Pour ce faire, des techniques statistiques relevant de l'analyse de trafic sont utilisées. En effet, en effectuant une analyse du trafic entre les groupements de machines et le réseau (3) grande distance, l'administrateur (2) peut détecter des anomalies dans ce trafic par rapport à un trafic normal référence. Ces anomalies peuvent alors être révélatrices d'un éventuel problème dans la sécurité. Selon l'art antérieur, un système (1) informatique peut comprendre au moins un réseau local d'entreprise, formant au moins un groupement 0, 20, 30) de machines, communiquant avec un administrateur central au travers d'un réseau grande distance (3). Chaque réseau local d'entreprise comprend au moins un équipement informatique (101, 201, 301), appelé ressource ou machine. Dans une approche de gestion distribuée sécurité l'ensemble du système informatique (1), chaque groupement 20, 30) surveillé par un pare-feu (100, 200, 300). Comme explique précédemment, lorsque le système informatique (1) comprend un grand nombre groupes (10, 20, 30) de machines et par conséquent un grand nombre pare-feu (100, 200, 300), le trafic sur le réseau local et surtout sur le réseau (3) grande distance est surchargé par les informations transmises par les pare-feu (100, 200, 300) vers l'administrateur central De plus, la quantité d'informations reçues par l'administrateur (2) en provenance des pare-feu (100, 200, 300) devient trop importante pour permettre une exploitation efficace de ces informations. première solution pour résoudre ce problème consisterait, d'une part à augmenter les capacités de traitement de l'administrateur et d'autre part à accroitre également le taux de transfert de données du réseau grande distance reliant l'administrateur et les pare-feu. Cette solution est coûteuse car elle nécessite une modification importante de l'infrastructure du réseau grande distance. De plus, cette solution est limitée. En effet, quelle que soit l'augmentation des caractéristiques du réseau grande distance ou de l'administrateur, ces caractéristiques permettent la gestion effective nombre limité de pare-feu. Or, compte tenu de l'évolution actuelle systèmes informatiques (1), il est difficile de prévoir quelle sera progression du nombre de groupements de machines gérés par un seul administrateur central. Par conséquent, il est difficile de prévoir caractéristiques optimales d'un administrateur. Le principe de l'invention n'est pas d'adapter les caractéristiques matériel utilisé au nombre de groupements de machines à gérer. contraire le principe de l'invention consiste à modifier l'architecture service d'analyse de trafic et le fonctionnement des machines existantes pour que le volume d'informations transmises, puis traitées l'administrateur central soit sensiblement constant ou au moins inférieur à un seuil déterminé pour que la quantité d'informations reçues l'administrateur soit exploitable. Pour ce faire, les audits de sécurité d'un groupement de machines sont traités localement. Ainsi, le pare-feu ne transmet plus systématiquement tous les enregistrements relatifs à la sécurité vers l'administrateur central. Cependant, pour que l'administrateur puisse réaliser une analyse globale trafic sur le système informatique, les résultats des traitements locaux audits de sécurité des pare-feu sont transmis à l'administrateur. Ainsi, quantité transmise d'informations sur le réseau grande distance est réduite. En effet, le traitement local des audits permet d'extraire et de synthétiser uniquement les informations pertinentes, caractéristiques de l'utilisation normale ou anormale d'une ou plusieurs machines du groupement machines contrôlé par le pare-feu. Selon la figure 1, représentant l'architecture d'un système informatique conforme au principe de l'invention, chaque groupement 20, 30) de machines comprend une machine (100, 110, 200, 210, 300, 0) réalisant localement le traitement des enregistrements d'audits générés le pare-feu (100, 200, 300). La machine de traitement est par exemple, soit le pare-feu (100, 200, 300) -même, soit une machine de traitement (110, 210, 310) bénéficiant d'une liaison privilégiée et protégée avec le pare-feu (100, 200, 300) de sorte pare-feu ne transmette ses enregistrements qu'à cette machine de traitement. Selon l'invention, le traitement consiste en une analyse statistique trafic entre les machines du groupement (10, 20, 30) de machines surveille pare-feu et le réseau (3) grand distance. Selon l'invention, chaque pare-feu (100, 200, 300) mémorise, par exemple dans un fichier compte rendu (en anglais "log file") tous les enregistrements qu'il a generés pendant une durée déterminée. Cette mémorisation peut être réalisee par un agent spécifique de mémorisation. Lorsque la période déterminee est écoulée, le fichier de compte rendu est récupéré par la machine traitement. Cette récupération du fichier de compte rendu est initiée realisée, par exemple, directement par l'agent spécifique de mémorisation. La machine de traitement réalise ensuite l'analyse du fichier de compte rendu pour extraite tous les enregistrements. L'analyse de trafic proprement dite est alors effectuée et consiste essentiellement en une quantification des informations échangées entre les machines du groupement 20, 30) de machines et des machines extérieures au groupement 20, 30) de machines. Ainsi, toutes les informations qui ne concernent pas directement l'échange d'informations entre les machines du groupement (10, 20, 30) de machines et des machines extérieures au groupement (10, 20, 30) de machines n'est pas pris en compte. Le résultat de l'analyse de trafic est en fait la comptabilisation et le classement par type des caractéristiques des informations échangées entre les machines du groupement (10, 20, 30) de machines et des machines extérieures au groupement (10, 20, 30) de machine. Ce résultat de l'analyse est mémorisé ensuite dans un fichier de compte rendu, mis à jour après chaque analyse d'un nouveau fichier de compte rendu d'audit. Le fichier de compte rendu d'analyse est transmis périodiquement vers l'administrateur central (2). titre d'exemple, un compte rendu va contenir une caractérisation de toutes les connexions qui ont eu lieu entre une machine groupement de machines et une machine extérieure au groupement 20, 30) de machines. Chaque connexion fait l'objet d'un enregistrement. L'analyse de ces enregistrements réalisée par la machine de traitement consiste, par exemple, à compter le nombre de connexions et à déterminer la quantité d'informations échangée par unité de temps. Cette analyse statistique du trafic permet de définir si trafic entre les machines du groupement (10, 20, 30) de machines surveillées par le pare- (100, 200, 300) et le réseau (3) grande distance est conforme au trafic attendu et par conséquent de détecter un éventuel problème de sécurite " l'analyse statistique révèle un trafic anormal par rapport au trafic attendu. L'analyse locale des audits générés par chaque pare- , ainsi que l'envoi résultats de l'analyse vers l'administrateur, est réalisee selon une période determinée, par une pluralité d'agents spécifiques dont l'architecture est décrite en référence à la figure 3A. Comme expliqué précédemment, ces agents sont implantés, soit sur le pare-feu (100, 200, 300), soit sur une machine 10, 210, 310) de traitement. Selon l'invention, chaque pare-feu, génère pluralité d'audits. Un premier agent (111, 211, ) spécifique implanté sur le pare-feu mémorise chaque audit dans un fichier de compte rendu. Selon une période déterminée, le premier agent 1 , 211, 311) spécifique transmet le fichier de compte rendu d'audit vers moins un deuxième agent (1100, 2100, 3100) spécifique implanté, soit la machine de traitement, soit directement sur le pare-feu. Chaque deuxième agent (1100, 00, 3100) spécifique est dédié à une tâche particulière d'analyse de trafic. Chaque deuxième agent (1100, 2100, 3100) spécifique mémorise ensuite résultat de l'analyse dans un fichier de compte rendu d'analyse. L'envoie périodique du fichier de compte rendu d'analyse réalisé par un troisième agent (1101, 2101, 3101) de transfert qui a, comme action principale, mettre en forme les résultats des analyses de trafic générés par les deuxièmes agents (1100, 2100, 3100) spécifiques pour les envoyer vers un agent de récupération (41) de l'administrateur central. Cet agent (41) récupération reçoit donc tous les résultats des analyses de tous deuxièmes agents (1100, 2100, 3100) spécifiques de tous les pare-feu gérés par l'administrateur. Cet agent (41) de récupération met alors en forme résultats reçus pour les mémoriser, par exemple, dans une base de données (40), par exemple, du type relationnel. Cette base de données (40) peut alors être exploitée pour vérifier le trafic sur l'ensemble des machines géré par l'administrateur (2). Cette exploitation peut être réalisée, soit automatiquement par une application particulière dédiée à l'analyse de trafic, soit manuellement par un opérateur spécialisé. A titre d'exemple, une série non limitative de fonctions d'analyse trafic va à présent être décrite. Une première fonction consiste à filtrer paquets données de sorte que les paquets de données relatifs aux informations de gestion du pare-feu ne soient pas pris en compte dans l'analyse trafic. deuxième fonction, par exemple, réalisée à la suite de première fonction, permet de filtrer les attaques détectées par le pare-feu, sorte que attaques détectées par le pare-feu soient comptabilisées classées type d'attaque, puis mémorisées, par exemple dans un fichier. troisième fonction, par exemple, réalisée à la suite de première fonction, permet de filtrer les informations relatives aux connexions réalisées avec le groupement de machines, de sorte que toutes les actions relatives a une connexion telle que l'ouverture, la fermeture ou réinitialisation de la connexion soient comptabilisées et classées par type d'action, puis mémorisées, par exemple, dans un fichier. Une quatrième fonction, par exemple réalisée à la suite de première fonction, permet de filtrer les informations relatives aux paquets données rejetés de sorte que tous les paquets soient comptabilisés classés type de paquets de données, puis mémorisés, par exemple dans un fichier. quatre fonctions ainsi que chaque fonction d'analyse de transfert trafic sont mises en ceuvre par un deuxième agent specifique. variante de réalisation représentée à la figure 3B fonctionne sur le principe l'invention, mais dans un contexte où le nombre pare-feu est très important. Dans ce cas, la quantité d'informations correspondant au résultat l'analyse locale est trop important pour être exploitée par l'administrateur. En effet, même si l'application du principe selon l'invention permet reduire considérablement la quantité d'informations transmises vers l'administrateur central, cela s'avère insuffisant. En effet, si nombre de pare- augmente, la quantité d'informations exploitees par l'administrateur augmente également et peut atteindre ainsi un niveau trop important pour être géré par l'administrateur. Ainsi, selon l'invention, le procédé d'analyse de trafic comprend une étape de réorganisation liens entre les differents agents lorsque la quantité d'information produite une pluralité ressources devient trop importante. Selon l'invention, au moins un niveau (50) intermédiaire d'analyse de trafic est mis en place entre les pare-feu l'administrateur. L'analyse de trafic intermédiaire est mise en oeuvre, soit sur au moins une machine (50) spécifique d'un des groupements de machines (10, 20, 30, fig. 1) du système (1, fig. 1) informatique géré par l'administrateur (2, fig. 1) central, soit par au moins un pare-feu (100, 200, 300, fig. 1 Cette analyse intermédiaire consiste, d'une part à centraliser les résultats l'analyse de trafic d'un nombre maximum déterminé, soit de pare-feu, soit de machines spécifiques dédiées à l'analyse de trafic intermédiaire du niveau inférieur, et d'autre part à transmettre les résultats de l'analyse intermédiaire, soit vers l'administrateur central, soit vers une machine spécifique dédiée à l'analyse de trafic intermédiaire du niveau supérieur. Selon la figure 3B, un niveau d'analyse intermédiaire comprend un agent (501) de récupération, tel que défini précédemment. Cet agent de récupération (501) effectue également une synthèse et une synchronisation des résultats de l'analyse de trafic de façon à extraire de l'ensemble des résultats reçus sur une période de temps déterminée, les informations caractéristiques du trafic du niveau d'analyse de trafic inférieur. L'information concernant la période de temps est contenue dans le fichier contenant les résultats transmis par des pare-feu, ou des machines spécifiques dédiées à l'analyse de trafic intermédiaire du niveau inférieur. La synthèse des résultats est basée sur le même principe que l'analyse de trafic. d'autres termes, l'objectif de la synthèse est de comptabiliser et de classer les différents événements survenus sur les pare-feu (100, 200, 300). A titre d'exemple, si une machine extérieure a établi une connexion avec plusieurs machines appartenant à des groupes de machines différents, la synthèse va consister, par exemple, à compter le nombre de connexion de machine extérieure ainsi que la quantité totale d'informations que machine extérieure a transmise et reçue. Ce niveau d'analyse de trafic inférieur est effectué sur résultats d'analyse provenant, soit des pare-feu ou des machines (1 210, 310) transmettant leurs résultats vers l'agent de récupération 1 soit d'un nombre déterminé de machines réalisant une analyse intermediaire de trafic d'un niveau inférieur. Le résultat de la synthèse des résultats d'analyse trafic est mémorisé dans un fichier de compte rendu d'analyse intermédiaire qui est transmis selon une période déterminée vers un agent (502) transfert ayant une fonction identique à l'agent de transfert (1101, 2101, 01) décrit en référence à la figure 3B. Cet agent (1101, 2101, 3101) de transfert envoie les informations, soit vers l'administrateur (2) central qui exploite ses informations, tel que décrit précédemment, soit vers un niveau supérieur d'analyse intermédiaire de trafic pour une nouvelle analyse intermediaire. Ainsi, la mise en place d'analyses intermédiaires de trafic permet à un seul administrateur central de réaliser l'analyse de trafic nombre quelconque et variable dans le temps de pare-feu et donc de machines. En effet, lorsque le nombre de pare-feu augmente, il suffit, si necessaire, d'ajouter un niveau d'analyse de trafic intermédiaire pour quantité d'informations exploitée par l'administrateur central ne dépasse un seuil déterminé. Cette réorganisation peut être déployée, par exemple, partir de l'administrateur central. La configuration de l'analyse de trafic peut être définie de façon unique puis personnalisée pour chaque pare- chaque machine d'analyse intermédiaire de trafic par l'intermédiaire d'outils locaux de configuration. De même, plusieurs configurations types d'analyse de trafic peuvent être déployées sur des groupes déterminés de pare- sur des machines d'analyse intermédiaire de trafic. Ainsi, le procédé d'analyse de trafic selon l'invention caractérise en ce qu'il comprend: - une étape de mémorisation de chaque événement relatif à la sécurité survenant sur chaque pare-feu (100, 200, 300) pendant durée déterminée, par l'intermédiaire d'un enregistrement d'audit le pare-feu (100, 200, 300) sur lequel survient l'événement relatif à la sécurite, - une étape de traitement des enregistrements d'audit, au moins un agent spécifique (1100, 2100, 3100) implanté sur le pare-feu 00, 200, 300) ou sur une machine (110, 210, 310) locale de traitement connectée au pare-feu, - une étape d'envoi des informations relatives au resultat du traitement vers l'administrateur (2) central. Selon un autre mode de réalisation, l'étape de traitement consiste en une analyse de trafic de données entre le réseau (3) grande distance et les machines du groupement (10, 20, 30) de machines. Selon un autre mode de réalisation, l'étape d'envoi des informations relatives au résultat traitement vers l'administrateur central est précédée d'au moins une étape traitement intermédiaire. Selon un autre mode de réalisation, une étape de traitement intermédiaire comprend - une étape réception du résultat du traitement réalisé par un nombre déterminé pare-feu ou par un nombre déterminé d'étapes de traitement intermédiaire, - une étape synthèse des résultats reçus. Selon un autre mode de réalisation, l'envoi des résultats des traitements est effectué selon un intervalle de temps déterminé. Selon un autre mode de réalisation, l'étape de mémorisation s'effectue dans un fichier constitué d'un ensemble d'enregistrements relatifs à la sécurité. De même, dispositif d'analyse de trafic selon l'invention se caractérise en ce chaque pare-feu (100, 200, 300) génère un enregistrement d'audit pour chaque événement relatif à la sécurité survenant sur le groupement 30) de machines auquel il est connecté, chaque pare-feu (100, 200, 300) comprend des moyens de mémorisation de tous les audits générés par pare- pendant une période déterminée, des moyens (111, 211, 311) de transmission pendant une période déterminée des audits mémorisés de chaque audit, a des moyens (1100, 2100, 3100) de traitement de tous les audits transmis, les moyens (1100, 2100, 3100) de traitement étant implantés pare-feu (100, 200, 300), respectivement sur une machine (110, 210, 0) locale de traitement connectée au pare-feu (100, 200, 300) par une liaison privilégiée, le pare-feu (100, 200, 300) respectivement la machine (110, 210, 310) locale de traitement comportant des moyens (1101, 2101, 3101) de transfert, à un intervalle de temps déterminé, des résultats du traitement vers des moyens (41) de récupération implantés sur l'administrateur (2) central. Selon un autre mode de réalisation, le dispositif comprend au moins une machine (50) traitement intermédiaire comprenant, des moyens (501) de récupération destinés à collecter les résultats des traitements audits d'un nombre déterminé de pare-feu (100, 200, 300) à des intervalles de temps déterminés, moyens (501) d'analyse et de fusion resultats reçus et des moyens (502) de transmission, à des intervalles temps déterminés, des resultats vers des moyens (41, 501) de récupération implantés soit sur l'administrateur (2) central, soit sur une machine (50) de traitement intermédiaire. Selon un autre mode de réalisation, les moyens (111, 21 , 1) de transmission, les moyens (1100, 2100, 3100) de traitement et moyens (1101, 2101, 31 ) de transfert comprennent des agents specifiques, chaque agent specifique étant une entité de programmation élémentaire et d'exécution. Selon un autre mode de réalisation, les moyens (41, ) de récupération, moyens (501) d'analyse et les moyens (502) de transmission comprennent des agents spécifiques, chaque agent specifique étant une entite de programmation élémentaire et d'exécution. Selon un autre mode de réalisation, les moyens (1100, 21 3100) de traitement sont des moyens d'analyse du trafic entre les machines de chaque groupement (10, 20, 30) de machines et le réseau grande distance. Selon un autre mode de réalisation, les moyens d'analyse trafic réalisent l'un des traitements suivant: - filtrage des paquets de données échangés entre les groupements de machines et le réseau grande distance de sorte que les paquets de données relatifs aux informations de gestion du pare-feu ne soient pris en compte, - filtrage des attaques détectées par le pare-feu de sorte les attaques detectées par le pare-feu soient comptabilisées et classées par type d'attaque, puis mémorisées dans un fichier, - filtrage des informations relatives aux connexions réalisées avec le groupement de machines de sorte que toutes les actions relatives à une connexion telle que l'ouverture, la fermeture ou la réinitialisation de connexion soient comptabilisées et classées par type d'action, puis mémorisées dans un fichier, - filtrage des informations relatives aux paquets de données rejetées, de sorte tous les paquets soient comptabilisés et classés par type paquets données, puis mémorisés dans un fichier. doit être évident pour les personnes versées dans l'art que présente invention permet des modes de réalisation sous de nombreuses autres formes spécifiques sans l'éloigner du domaine d'application l'invention comme revendiqué. Par conséquent, les présents modes réalisation doivent être considérés à titre d'illustration mais peuvent être modifiés dans le domaine défini par la portée des revendications jointes. REVENDICATIONS 1. Procédé d'analyse de trafic d'un système ) informatique comprenant une pluralité de groupement (10, 20, 30) de machines, chaque groupement de machines étant relié à un réseau (3) grande distance au travers d'un pare-feu (100, 200, 300) assurant la protection la surveillance groupement (10, 20, 30) respectif de machines, tous pare-feu (100, 300) étant connectés à un administrateur (2) central, caractérisé en ce le procédé comprend: - une étape de mémorisation de chaque événement relatif à la securité survenant sur chaque pare-feu (100, 200, 300) pendant une durée determinée, par l'intermédiaire d'un enregistrement d'audit sur le pare-feu (1 200, 300) sur lequel survient l'événement relatif à la securité, - une étape de traitement des enregistrements d'audits, par au moins un agent spécifique (1100, 2100, 3100) implanté sur le pare-feu (100, 200, 300) ou sur une machine (110, 210, 310) locale de traitement connectée au pare-feu, - une étape d'envoi des informations relatives au résultat du traitement vers l'administrateur (2) central. 2. Procédé d'analyse de trafic d'une pluralite de systèmes informatiques pare-feu selon la revendication 1, caractérisé en ce que l'étape traitement consiste en une analyse de trafic de données entre le réseau grande distance et les machines du groupement 20, 30) de machines. 3. Procédé d'analyse de trafic d'une pluralite de systèmes informatiques pare-feu selon la revendication 1 ou 2, caractérisé en ce que l'etape d'envoi des informations relatives au résultat du traitement vers l'administrateur central est précédée d'au moins une étape de traitement intermédiaire. 4. Procédé d'analyse de trafic d'une pluralite de systèmes informatiques pare-feu selon la revendication 1 ou 2, caractérisé en ce qu'une étape de traitement intermédiaire comprend - une étape de réception du résultat du traitement réalisé par un nombre déterminé de pare-feu ou par un nombre déterminé d'étapes de traitement intermédiaire, - une étape de synthèse des résultats reçus. 5. Procédé d'analyse de trafic d'une pluralite de systèmes informatiques pare-feu selon l'une des revendications 1 à caractérisé en ce que l'envoi des résultats des traitements est effectué selon un intervalle de temps déterminé. 6. Procédé d'analyse de trafic d'une pluralite de systèmes informatiques pare-feu selon l'une des revendications 1 à caractérisé en ce que l'étape de mémorisation s'effectue dans un fichier constitué d'un ensemble d'enregistrements relatifs à la sécurité. 7. Dispositif d'analyse de trafic d'un système ) informatique comprenant une pluralité de groupements (10, 20, 30) de machines, chaque groupement 20, 30) de machines étant relié à un réseau (3) grande distance au travers d'un pare-feu (100, 200, 300) assurant protection et la surveillance groupement (10, 20, 30) de machines, tous les pare-feu (100, 200, 300) étant connectés à un administrateur (2) central, le dispositif étant caracterisé en ce que chaque pare-feu (100, 200, 300) génère un enregistrement pour chaque événement relatif à la sécurité survenant sur le groupement 0, 20, 30) de machines auquel il est connecte, chaque pare- feu (100, , 300) comprend des moyens de mémorisation de tous les audits génerés par le pare-feu pendant une période déterminee, des moyens (111, 211, 1) de transmission pendant une période déterminée des audits mémorisés chaque audit, à des moyens (1100, 2100, 3100) de traitement de tous les audits transmis, les moyens (1100, 2100, 3100) de traitement étant implantes sur le pare-feu (100, 200, 300), respectivement sur une machine (110, 210, 310) locale de traitement connectée au pare- (100, 300) par une liaison privilégiée, le pare-feu (100, 300) respectivement la machine (110, 210, 310) locale de traitement comportant moyens (1101, 2101, 3101) de transfert, à un intervalle temps determiné, des résultats du traitement vers des moyens (41) de récupération implantés sur l'administrateur (2) central. 8. Dispositif d'analyse de trafic d'un système informatique comprenant une pluralité de groupements de machines selon la revendication 7, caractérisé en ce que le dispositif comprend au moins une machine (50) de traitement intermédiaire comprenant, des moyens (501) de recupération destinés à collecter les résultats des traitements des audits d'un nombre déterminé de pare-feu (100, 200, 300) à des intervalles temps déterminés, des moyens (501) d'analyse et de fusion des résultats reçus et moyens (502) de transmission, à des intervalles de temps determinés, résultats vers des moyens (41, 501) de récupération implantes soit sur l'administrateur (2) central, soit sur une machine (50) de traitement intermédiaire. 9. Dispositif d'analyse de trafic d'un système informatique comprenant une pluralité de groupements de machine selon la revendication ou 8, caractérisé en ce que les moyens (111, 211, 311) de transmission, moyens (1100, 2100, 3100) de traitement et les moyens (1 01 2101, de transfert comprennent des agents spécifiques, chaque agent specifique étant une entité de programmation élémentaire et d'exécution. 10. Dispositif d'analyse de trafic d'un système informatique comprenant une pluralité de groupements de machine selon la revendication caractérisé en ce que les moyens (41, 501) de récupération, les moyens (501) d'analyse et les moyens (502) de transmission comprennent des agents spécifiques, chaque agent spécifique étant une entité de programmation élémentaire et d'exécution. 11. Dispositif d'analyse de trafic système (1) informatique comprenant une pluralité de groupements machine selon la revendication 8, caractérisé en ce que les moyens (11 3100) de traitement sont des moyens d'analyse du trafic entre machines de chaque groupement (10, 20, 30) de machines et le réseau grande distance. 12. Dispositif d'analyse de trafic système (1) informatique comprenant une pluralité de groupements machine selon l'une des revendications 7 à 11, caractérisé en ce que moyens d'analyse du trafic réalisent l'un des traitements suivant: - filtrage des paquets de données échangés entre les groupements de machines et le réseau grande distance sorte que les paquets de données relatifs aux informations de gestion pare-feu ne sont pas pris en compte, - filtrage des attaques détectées pare-feu de sorte les attaques détectées par le pare-feu soient comptabilisés et classées par type d'attaque, puis mémorisées dans un fichier, - filtrage des informations relatives aux connexions réalisées avec le groupement de machines, de sorte que toutes actions relatives à une connexion tel que l'ouverture, la fermeture ou la réinitialisation de la connexion soient comptabilisées et classées par type d'action, puis mémorisées dans un fichier, - filtrage des informations relatives paquets de données rejetées, de sorte que tous les paquets soient comptabilisés et classés par type de paquets de données, puis mémorisés dans fichier.