Brevet FR2842000A1 — publié le 20040109

Procédé et système de détection d'intrusion dans un réseau informatique. La présente invention concerne le domaine de la sécurité informatique. Plus particulièrement, l'invention concerne un procédé et un système de détection d'intrusion dans un réseau informatique, c'est-àdire dans un réseau d'ordinateurs. Les réseaux informatiques, tels que les réseaux locaux LAN, qui correspondent par leur taille à des réseaux intra-entreprises, voire les réseaux étendus ou WAN, qui sont destinés à transplanter des données numériques sur des distances à l'échelle d'un pays, sont communément utilisés dans de nombreux domaines pour permettre un accès à des informations, créer et éditer des fichiers ainsi que pour communiquer, par exemple par courrier électronique. Généralement, en particulier lorsqu'on considère les réseaux locaux intraentreprises, ces réseaux constituent une structure relativement fermée, mais restent cependant accessibles de l'extérieur par l'intermédiaire du réseau Internet. Dans ce cas, le réseau devient vulnérable à des attaques par des tiers non autorisés, qui peuvent ainsi avoir accès à des informations ou fichiers confidentiels mémorisés dans les ordinateurs du réseau, en accédant à ceux-ci par l'intermédiaire des ports. par lesquels ces ordinateurs sont raccordés au réseau. Comme on le conçoit, à défaut de pouvoir empêcher de manière certaine l'accès à ces réseaux, l'un des soucis majeurs des exploitants de tels réseaux est de pouvoir détecter les intrusions du réseau afin d'entreprendre toutes les démarches nécessaires pour en conserver l'intégrité. Certains types de dispositifs de détection d'intrusion élaborés à cet effet effectuent en temps réel une surveillance du réseau informatique de manière à contrôler le trafic de données entre les ordinateurs. La technique de détection d'intrusion mise en oeuvre au sein de tels systèmes est basée sur le calcul de signatures électroniques de paquets de données prélevés sur le réseau et sur une comparaison de ces signatures avec des signatures obtenues au cours d'une phase d'apprentissage préalable et qui correspondent chacune à un type d'attaque. Ce type de technique permet une détection en temps réel d'intrusions dans le réseau. Elle présente néanmoins un inconvénient majeur, relatif au fait qu'elle nécessite une analyse complète des paquets extraits du réseau en vue d'en déterminer la signature. Ainsi, l'analyse de ces paquets, aussi bien lors de la surveillance du réseau que lors de la phase d'apprentissage, est relativement longue à mettre en oeuvre. En outre, elle nécessite de disposer d'une base de données dans laquelle sont stockées les signatures de l'ensemble des attaques dont le réseau peut faire l'objet, ce qui augmente la durée des calculs mis en oeuvre. Par conséquent les temps de calcul, qui sont liés à la quantité de signatures à analyser, sont relativement longs. Le but de l'invention est donc de pallier ces inconvénients et de fournir un procédé et un système de détection d'intrusion capables de détecter toute intrusion et ce, de manière efficace et sans nécessiter de mettre en oeuvre des calculs de complexité rédhibitoire. Ainsi, selon l'invention, il est proposé un procédé de détection d'intrusion dans un réseau informatique par contrôle de l'activité du réseau, selon lequel, au cours d'une première phase d'apprentissage on analyse le réseau pour acquérir des valeurs de caractéristiques relatives au trafic de données dans le réseau et au cours d'une deuxième phase de surveillance du réseau on acquiert des valeurs desdites caractéristiques et l'on traite les valeurs des caractéristiques acquises au cours des première et deuxième phases pour en déduire une probabilité d'intrusion dans le réseau. Il n'est donc pas nécessaire de procéder à un traitement complet des paquets de données extraits du réseau, dans la mesure o la détection des intrusions s'effectue par analyse de caractéristiques représentatives des données véhiculées sur le réseau et non pas par analyse des paquets de données. Selon un mode de mise en oeuvre, au cours des première et deuxième phases, on extrait périodiquement l'en-tête de paquets de données véhiculés sur le réseau et l'on élabore successivement des vecteurs statistiques à partir de caractéristiques contenues dans les entêtes extraits, chaque vecteur étant élaboré à partir des en-têtes extraits des paquets extraits pendant une période de temps. Par exemple, les vecteurs statistiques comportent des coordonnées élaborées à partir du nombre de paquets de chaque type examinés au cours de ladite période de temps. On notera que les vecteurs statistiques sont élaborés en ligne ou horsligne. Selon une autre caractéristique de ce procédé, la phase de surveillance comporte une étape d'extraction d'un nombre de vecteurs statistiques prédéterminé au moyen d'une fenêtre glissante et une étape de filtrage des vecteurs successivement extraits au cours de l'étape d'extraction au moyen de filtres modélisant chacun un aspect du trafic dans le réseau et apte à détecter une anormalité du trafic en ce qui concerne ladite caractéristique. Selon encore une autre caractéristique de ce procédé, les filtres sont élaborés chacun à partir d'une population de fonctions de base, en appliquant à cette population de fonctions des stimuli comprenant des intrusions prédéterminées et en sélectionnant et en modifiant les fonctions de base de manière à obtenir une détection de l'intrusion par le filtre. En variante, les filtres sont élaborés chacun à partir d'une population de fonctions de base en appliquant à cette population de fonctions des stimuli correspondant à des échantillons de trafic et en sélectionnant et en modifiant les fonctions de base de manière à obtenir une modélisation du trafic normal. De préférence, une étape de normalisation de chaque filtre est prévue, de manière à obtenir, en sortie de filtre, un nombre réel compris entre 0 et 1 traduisant le risque d'intrusion du réseau. Selon un mode de mise en oeuvre, ce procédé comporte en outre une étape de synthèse de la sortie des filtres de manière à obtenir, en sortie, un résultat réel compris entre 0 et 1 traduisant la probabilité d'intrusion et une étape d'élaboration d'une grandeur traduisant la différence entre la sortie des filtres et un ensemble de données correspondantes représentatives d'un trafic normal. Enfin, selon un mode de mise en oeuvre particulier, le procédé comporte en outre une étape d'analyse de paquets correspondant à une intrusion détectée. Selon l'invention, il est également proposé un système de détection d'intrusion dans un réseau informatique pour la mise en oeuvre d'un procédé tel que défini ci-dessus. Selon une caractéristique générale de ce système, celui-ci comprend des moyens d'extraction de l'en-tête de paquets de données véhiculés dans le réseau, des moyens de calcul de vecteurs statistiques à partir de caractéristiques véhiculées par les en-têtes délivrés par les moyens d'extraction pendant une période de temps prédéterminée, et des moyens d'analyse des vecteurs statistiques délivrés par les moyens de calcul pour en déduire une probabilité d'intrusion dans le réseau. Selon une autre caractéristique de ce système, les moyens d'analyse comportent des filtres aptes à modéliser chacun un aspect du réseau et recevant en entrées les vecteurs statistiques. Selon un mode de réalisation, le système comporte en outre un module d'apprentissage assurant une analyse du réseau et comprenant des moyens pour élaborer les filtres à partir d'une population de fonctions de base, chaque filtre étant élaboré en appliquant à cette population de fonctions des stimuli qui correspondent à des échantillons de trafic, et en adaptant les fonctions de base de manière à obtenir un filtre apte à détecter une intrusion. Selon un mode de mise en oeuvre, ce système constitue un module de détection destiné à équiper un système pare-feu raccordé au réseau informatique. D'autres buts, caractéristiques et avantages de l'invention apparaîtront à la lecture de la description qui va suivre, donnée uniquement à titre d'exemple non limitatif, et faite en référence aux dessins annexés, sur lesquels: -la figure 1 est une vue générale de réseaux informatiques montrant l'installation d'un système de détection d'intrusion conforme à l'invention; -la figure 2 est un schéma synoptique général illustrant la structure d'un système de détection d'intrusion conforme à l'invention; -la figure 3 est un organigramme montrant les principales phases du procédé de détection d'intrusion selon l'invention; -la figure 4 est un organigramme illustrant l'élaboration des filtres d'analyse des vecteurs statistiques; et -les figures 5 et 6 sont des courbes illustrant la sortie du module d'analyse du réseau du système de la figure 2, en présence d'une intrusion. Sur la figure 1, on a représenté de manière schématique des réseaux informatiques ou d'ordinateurs, désignés par les références numériques générales 10, 12 et 14. Par exemple, dans l'exemple de configuration représenté, les réseaux désignés par les références 12 et 14 font partie d'un réseau privé virtuel (VPN " Virtual Private Network ", en anglais), c'est-à-dire un réseau étendu privé créant des liaisons entre des réseaux d'entreprises à travers des réseaux publics. Comme on le voit sur cette figure 1, entre le réseau privé virtuel VPN et le réseau désigné par la référence 10, est placé un module parefeu 16 destiné à empêcher des intrusions dans le réseau en entrée duquel il est placé. Ainsi, par exemple, le pare-feu 16, qui est placé à l'extérieur du réseau privé VPN, est destiné à empêcher toute intrusion dans ce dernier et, en particulier, tout flux de données entre le réseau 10, d'une part, et les réseaux 12 et 14 du réseau VPN, d'autre part. Le module pare-feu 16 est constitué par un module de type classique, approprié pour l'utilisation envisagée. Il ne sera donc pas décrit en détail par la suite. On notera cependant que, comme indiqué précédemment, bien qu'il soit destiné à éviter toute intrusion dans le réseau privé VPN, il ne permet pas d'empêcher une telle intrusion de façon certaine. Ainsi, conformément à l'invention, le module pare-feu 16 est associé à un ou deux systèmes de détection d'intrusion, désigné par la référence numérique générale 18. Ce système est destiné, d'une part, à détecter toute intrusion dans le réseau VPN et, d'autre part, à déterminer le type d'intrusion effectué. On notera que, dans l'exemple de réalisation représenté, le module de détection 18 a été placé au voisinage du module pare-feu 16. Bien entendu, un tel module peut être positionné en tout point du réseau dont il assure la surveillance. Sur la figure 2, on a représenté la structure générale d'un système de détection d'intrusion conforme à l'invention. Sur cette figure, on reconnaît le module pare-feu 16 auquel le système de détection 18 est associé, ainsi qu'un réseau informatique R, schématiquement représenté. Comme cela sera décrit en détail par la suite, le système 18 de détection d'intrusion procède à une analyse de signaux d'en-tête de paquets de données extraits du trafic du réseau R, élabore successivement des vecteurs statistiques à partir du contenu de ces entêtes, puis analyse ces vecteurs statistiques pour en déduire une probabilité d'intrusion dans le réseau. Ainsi, comme on le conçoit, ce système de détection 18 ne procède pas à l'analyse complète des paquets véhiculés sur le réseau R, ce qui permet de réduire de manière considérable les calculs mis en oeuvre. Comme on le voit sur la figure 2, ce système 18 de détection d'intrusion comporte essentiellement un module d'apprentissage 20, permettant au système 18 de connaître le comportement du réseau d'une part, lors du fonctionnement normal et, d'autre, en présence d'intrusions, ainsi qu'un module 22 d'analyse du réseau R assurant l'analyse en temps réel du trafic, en particulier l'extraction de l'en-tête des paquets P de données circulant sur le réseau R, l'élaboration des vecteurs statistiques, et l'analyse de ces derniers pour l'élaboration de signaux d'alarme A en cas de détection d'intrusion, ainsi que l'élaboration d'un historique d'alarmes 24. Lors de la phase d'apprentissage, le réseau est soumis à un trafic TCP/IP labellisé, c'est-à-dire un trafic comprenant des intrusions type connu. Le trafic est alors analysé, à partir des en-têtes des paquets, pour connaître le comportement du réseau en présence de telles attaques. Il est ainsi possible de détecter, lors de la phase d'analyse, d'une part les attaques de même nature que celles qui ont été générées lors de l'apprentissage, mais également des attaques d'autres types, c'est-à-dire inconnues, dans la mesure o, lors de l'apprentissage, la connaissance du comportement du trafic en l'absence d'intrusions permet de détecter des comportements anormaux et donc des intrusions de type inconnu. Plus particulièrement, lors de la phase d'apprentissage, il est procédé à l'élaboration de filtres capables chacun de modéliser un aspect du trafic. Ces aspects modélisés peuvent être de diverses natures, telles le volume du trafic, le type de protocole, les machines impliquées, les numéros de ports, etc... Ces filtres sont élaborés, à partir du trafic labellisé, de manières qu'ils permettent chacun une détection la plus fiable possible d'une anomalie, en ce qui concerne l'aspect du réseau qui leur correspond. En se référant maintenant à la figure 3, ce système 18 fonctionne de la façon suivante. Lors de l'analyse du réseau R, le module d'analyse 22 extrait tout d'abord du trafic TCP/IP 26 présent sur le réseau un ensemble d'échantillons de paquets Si, S2,...., SP, et ce, de manière périodique. En effet, comme on le sait un tel trafic est constitué d'un ensemble de paquets constitués chacun d'un signal utile et d'un signal d'en-tête véhiculant, notamment, les informations relatives au contenu du signal utile, tels que le protocole ICMP utilisé pour générer les informations contrôlant le trafic, ou le protocole ARP permettant de traduire les adresses IP en adresses Ethernet, et ainsi d'assurer la circulation des paquets à l'intérieur du réseau Ethernet. Comme on le conçoit, le nombre d'échantillons, c'est-à-dire de paquets extraits du trafic, dépend de l'activité du réseau. A partir de ces échantillons, le module d'analyse 22 procède à l'extraction des signaux d'en-tête des paquets correspondants, puis procède à l'élaboration de paramètres statistiques à partir de ces entêtes (étape 28). Par exemple, ces paramètres sont élaborés en dénombrant la quantité d'en-têtes lus, la quantité de paquets extraits, le nombre de paquets véhiculés en utilisant un protocole ICMP (" Internet Control Message Protocol ", en anglais), le nombre de paquets véhiculés selon le protocole ARP (" Adress Resolution Protocol ", en anglais), l'adresse de la machine qui envoie, l'adresse de la machine qui reçoit, le port sur lequel le parquet est envoyé, etc... Des vecteurs statistiques sont élaborés périodiquement à partir de ces paramètres. En d'autres termes, les vecteurs sont chacun élaborés à partir des paquets extraits pendant une période de temps. Ils sont donc chacun formés à partir des paramètres statistiques correspondant à un nombre de paquets reçus pendant une période de temps prédéterminée. On dispose alors d'un ensemble de vecteurs Vl, V2,..., VN, qui résument chacun le contenu d'un ensemble de paquets extraits du trafic. Par exemple, ces vecteurs sont élaborés successivement toutes les cinq secondes à partir d'environ 1000 paquets, bien entendu en fonction de l'activité du réseau. Ces vecteurs Vl, V2,..., VN sont alors présentés en entrée d'un ensemble de k filtres (étape 32) obtenus par apprentissage préalable par le module d'apprentissage 20, comme indiqué précédemment et comme cela sera décrit en détail en référence à la figure 4. Chacun de ces filtres reçoit en entrée l'ensemble des vecteurs élaborés et fournit en sortie un nombre réel compris entre 0 et 1 traduisant le caractère normal ou non de l'aspect du réseau modélisé par ce filtre. Par exemple, les filtres utilisent une fenêtre glissante pour prendre successivement en compte un ensemble de vecteurs et analyser la portion de trafic qu'ils représentent. Par exemple, la fenêtre glissante utilisée est une fenêtre de 5OxN cases de manière à prendre en compte dix vecteurs de N coordonnées, N étant par exemple égal à 30, la fenêtre étant déplacée, après chaque analyse, d'un pas correspondant à un vecteur. En sortie des filtres, le module d'analyse 22 fournit ainsi un résultat constitué d'un ensemble de k nombres réels compris entre 0 et 1, qui représentent chacun une caractéristique du trafic. Ces k réels sont alors présentés en entrée d'un module de synthèse 36 pour être combinés de manière à délivrer, en sortie, un résultat sous la forme, d'une part, d'une probabilités traduisant la probabilité d'intrusion dans le réseau R et, d'autre part, d'une distance d par rapport à un trafic normal. Ce calcul de distance est par exemple effectué en calculant une distance séparant un vecteur élaboré à parti des k réels issus des filtres 32 et un vecteur correspondant à un trafic normal. De préférence, les paquets incriminés sont en outre analysés pour déterminer le type d'attaque effectué. Les résultats sont alors stockés dans l'historique 24. Par exemple, les paquets incriminés sont analysés en détectant, par exemple à partir de l'en-tête de ces paquets, la machine ayant reçu ces paquets, les ports qui ont été ouverts, traduisant la préparation d'une attaque, en analysant les messages sans réponse et répétés à plusieurs reprises, les demandes de synchronisation observées, Il est ainsi possible, après détection d'une intrusion, de déterminer par analyse, d'une part, de l'en-tête et, d'autre part, du signal utile, la nature de l'attaque ou de l'intrusion observée. Le signal utile n'étant analysé qu'après détection d'une intrusion, la lourdeur des calculs est considérablement diminuée, dans la mesure o la détection de l'intrusion ne s'effectue que par analyse des en-têtes. il En se référant à nouveau à la figure 2, le module d'apprentissage comporte essentiellement une base d'apprentissage 38 obtenue en observant le comportement du réseau soumis à un trafic labellisé au cours d'une phase d'apprentissage préalable, en extrayant des échantillons et en élaborant des vecteurs statistiques obtenus à partir de ces échantillons. Cette base d'apprentissage est présentée en entrée d'un module d'apprentissage 40 proprement dit pour générer les filtres 32 utilisés pour l'analyse des vecteurs statistiques Vl, V2,..., VN. Pour ce faire, en se référant maintenant à la figure 4, pour procéder à l'élaboration de ces filtres 32, le module d'apprentissage 40, lequel peut être intégré au module d'analyse 22, dispose d'une population de fonctions ou filtres de base F, correspondant chacune à un filtre susceptible de modéliser un aspect du trafic. La procédure d'élaboration de ces fonctions de base F est une procédure à la portée d'un homme du métier. Elle ne sera pas décrite en détail par la suite. On notera cependant qu'elle constitue une population pouvant évoluer dynamiquement en fonction des attaques détectées en cours de la phase d'apprentissage, de manière à adapter le système de détection au réseau auquel il appartient. La procédure d'élaboration des filtres 32 à partir des filtres de base s'effectue de manière itérative filtre par filtre, c'est-à-dire successivement pour chaque aspect du trafic à considérer, en soumettant les vecteurs statistiques aux filtres de la base et en sélectionnant et modifiant ces filtres jusqu'à obtenir un filtre apte à modéliser un aspect du trafic, c'est-à-dire apte à détecter une anormalité en ce qui concerne cet aspect. Ainsi, pour l'élaboration d'un filtre 32, au cours d'une première étape 42 de la phase d'apprentissage, les vecteurs statistiques contenus dans la base d'apprentissage 38 sont présentés en entrée de la population de filtres de base F. Cette base d'apprentissage est élaborée de manière qu'elle comporte des vecteurs correspondant à du trafic normal et à des attaques. On notera à cet égard, comme mentionné précédemment, que le système de détection est en mesure de détecter des intrusions autres que celles qui sont dans la base d'apprentissage dans la mesure o les données relatives au trafic normal permettent de détecter du trafic anormal. Lors de l'étape 44 suivante, la sortie des filtres est analysée de manière à détecter si les attaques contenues dans la base ont été correctement détectée, en ce qui concerne l'aspect du trafic examiné. En cas de défaut détection, lors des étapes 46 à 52 suivantes, les fonctions sont modifiées et sélectionnées de manière itérative jusqu'à obtenir une détection correcte. Ainsi, lors de la phase 46 suivante, on sélectionne les opérateurs que l'on combine (étape 48) ou que l'on modifie (étape 50) de manière à former de nouvelles fonctions (étape 52). La procédure retourne alors à l'étape 42 précédemment mentionnée, de manière que le filtre ainsi élaboré reçoive un nouveau stimulus. Cette procédure est répétée jusqu'à ce que l'on obtienne une correspondance entre un résultat attendu et la sortie du filtre au cours de l'étape 44. Si tel est le cas, lors de l'étape 54 suivante, le meilleur filtre est retenu. Les filtres suivant sont alors successivement élaborés, selon la même procédure, pour modéliser un autre aspect du trafic. Cependant, pour ce faire, on considère la sortie du ou des filtres précédemment calculés de manière que les filtres ne délivrent pas une sortie identique. A l'issu de cette phase d'élaboration des filtres, on dispose dès lors d'un ensemble de filtres complémentaires capables conjointement de détecter des attaques et de déterminer leur nature. Ainsi, au cours de la phase d'analyse, l'ensemble des filtres ainsi élaborés est utilisé pour procéder au filtrage des vecteurs VI, V2, VN pour la détection des intrusions. On a représenté, sur les figures 5 et 6, les résultats fournis par le système de détection d'intrusion qui vient d'être décrit. Sur ces figures, l'axe horizontal représente l'axe des temps, correspondant à une analyse en temps réel d'un trafic d'un réseau, la courbe a correspond à une distance par rapport à un trafic normal et la courbe b correspond à un signal d'alarme correspondant à une combinaison entre une probabilité d'intrusion, la distance par rapport à un trafic normal et un niveau de confidentialité. Ce signal d'alarme est positionné à un niveau haut, uniquement lorsque la distance par rapport à un trafic normal et une probabilité d'alarme sont élevées. On notera enfin que l'invention n'est pas limitée au mode de réalisation décrit. En effet, dans l'exemple de réalisation décrit précédemment, la phase d'apprentissage s'effectue à partir d'un trafic labellisé, c'est-àdire à partir d'un trafic contenant des attaques prédéterminées et connues. Il est également possible, en variante, de réaliser l'apprentissage uniquement à partir d'un trafic normal, c'est-à-dire un trafic correspondant à un fonctionnement usuel du réseau. Il n'est alors pas nécessaire de générer des attaques connues pour réaliser l'apprentissage. Un telle variante permet en outre de réaliser l'apprentissage alors que le réseau est en exploitation. Il n'est en effet plus nécessaire de prévoir un arrêt du réseau pour procéder à la phase d'apprentissage ou de réaliser cette phase à des horaires décalés. Ce mode de mise en oeuvre est fondé sur le principe selon lequel, même en présence d'attaques, au moins 90 % du trafic est normal. Ainsi en réalisant l' apprentissage en prélevant des échantillons de trafic sur le réseau, en élaborant des vecteurs statistiques, et en synthétisant les filtres à partir de ces vecteurs, les filtres ainsi élaborés modélisent des aspects d'un trafic considéré comme normal, avec une erreur relativement faible. REVENDICATIONS 1-Procédé de détection d'intrusion dans un réseau informatique, par contrôle de l'activité du réseau (R), caractérisé en ce qu'il comporte une première phase d'apprentissage au cours de laquelle on analyse le réseau pour acquérir des valeurs de caractéristiques relatives au trafic de données dans le réseau et une deuxième phase de surveillance du réseau au cours de laquelle on acquiert des valeurs desdites caractéristiques et l'on traite les valeurs des caractéristiques acquises au cours des première et deuxième phases pour en déduire une probabilité d'intrusion dans le réseau. 2-Procédé de détection d'intrusion selon la revendication 1, caractérisé en ce qu'au cours des première et deuxième phases, on extrait périodiquement l'en-tête de paquets (P) de données véhiculées sur le réseau et l'on élabore successivement des vecteurs statistiques (Vi, V2,.. ., VN) à partir de caractéristiques contenues dans les en-têtes extraits, chaque vecteur étant élaboré à partir des en-têtes extraits des paquets extraits pendant une période de temps. 3-Procédé de détection d'intrusion selon la revendication 2, caractérisé en ce que les vecteurs statistiques (Vi, V2,..., VN) comportent des coordonnées élaborées à partir du nombre de paquets de chaque type examinés au cours de ladite période de temps. 4-Procédé de détection d'intrusion selon l'une des revendications 2 et 3, caractérisé en ce que les vecteurs statistiques (Vi, V2,..., VN) sont élaborés en ligne. 5-Procédé de détection d'intrusion selon l'une des revendications 2 et 3, caractérisé en ce que les vecteurs statistiques (VI, V2,..., VN) sont élaborés hors ligne. 6-Procédé de détection d'intrusion selon l'une quelconque des revendications 1 à 5, caractérisé en ce que la phase de surveillance comporte une étape d'extraction d'un nombre de vecteurs statistiques prédéterminé au moyen d'une fenêtre glissante et une étape de filtrage des vecteurs successivement extraits au cours de l'étape d'extraction au moyen de filtres (32) modélisant chacun un aspect du trafic dans le réseau et apte à détecter une anormalité du trafic en ce qui concerne ladite caractéristique. 7-Procédé de détection d'intrusion selon la revendication 6, caractérisé en ce que les filtres (32) sont élaborés chacun à partir d'une population (F) de fonctions de base, en appliquant à cette population de fonctions des stimuli comprenant des intrusions prédéterminées et en sélectionnant et en modifiant les fonctions de base de manière à obtenir une détection de l'intrusion. 8-Procédé de détection d'intrusion selon la revendication 6, caractérisé en ce que les filtres (32) sont élaborés chacun à partir d'une population de fonctions de base en appliquant à cette population de fonctions des stimuli correspondant à des échantillons de trafic et en sélectionnant et en modifiant les fonctions de base de manière à obtenir une modélisation du trafic normal. 9-Procédé de détection d'intrusion selon l'une des revendications 7 et 8, caractérisé en ce qu'il comporte en outre une étape de normalisation de chaque filtre de manière à obtenir, en sortie de filtre, un nombre réel compris entre 0 et 1 traduisant le risque d'intrusion du réseau. -Procédé de détection d'intrusion selon l'une quelconque des revendication 6 à 9, caractérisé en ce qu'il comporte une étape de synthèse de la sortie des filtres de manière à obtenir, en sortie, un résultat réel compris entre 0 et 1 traduisant la probabilité d'intrusion et une étape d'élaboration d'une grandeur traduisant la différence entre la sortie des filtres et un ensemble de données correspondantes représentatives d'un trafic normal. 1l-Procédé de détection d'intrusion selon l'une quelconque des revendications 1 à 10, caractérisé en ce qu'il comporte en outre une étape d'analyse de paquets correspondant à une intrusion détectée. 12-Système de détection d'intrusion dans un réseau informatique, pour la mise en ouvre d'un procédé selon l'une quelconque des revendications 1 à 11, caractérisé en ce qu'il comprend des moyens d'extraction de l'en-tête de paquets de données véhiculés dans le réseau, des moyens de calcul de vecteurs statistiques (Vl, V2,..., VN) à partir de caractéristiques véhiculées par les en-têtes délivrés par les moyens d'extraction pendant une période de temps prédéterminée, et des moyens d'analyse (40) des vecteurs statistiques délivrés par les moyens de calcul pour en déduire une probabilité d'intrusion dans le réseau. 13-Système de détection d'intrusion selon la revendication 12, caractérisé en ce que les moyens d'analyse comportent des filtres aptes à modéliser chacun un aspect du réseau et recevant en entrées les vecteurs statistiques. 14-Système de détection selon la revendication 13, caractérisé en ce qu'il comporte en outre un module d'apprentissage (20) assurant une analyse du réseau et comprenant des moyens pour élaborer les filtres à partir d'une population (F) de fonctions de base, chaque filtre étant élaboré en appliquant à cette population de fonctions des stimuli qui correspondent à des échantillons de trafic, et en adaptant les fonctions de base de manière à obtenir un filtre apte à détecter une intrusion. -Système de détection d'intrusion selon l'une des revendications 10 et 11, caractérisé en ce qu'il constitue un module de détection destiné à équiper un système pare-feu raccordé au réseau inf ormatique.