Brevet FR2838843A1 — publié le 20031024

DISPOSITIF D'ADAPTATION DYNAMIQUE DE FILTRES DE DONNEES L'invention concerne le domaine du traitement de donnees, et plus particulierement celui du filtrage de don nees au niveau d'u n point d' un reseau public ou p rive raccorde a un autre reseau public ou prive ou raccorde a des terminaux d'utilisateurs. Le filtrage de donnees est generalement assure par des serveurs informatiques equipes d'un dispositif de traitement de type pare-feu (plus connu sous le nom anglais >). Un pare-feu est habituellement destine a assurer la protection de reseaux prives (ou internee), de type LAN, ou de terminaux d'utilisateurs isoles contre les attaques ou intrusions exterieures provenant generalement d'un reseau public (ou externe), de type WAN, tel qu'lnternet. 11 peut egalement servir a limiter 1'acces d'utilisateurs d'un reseau prive a un reseau public, eVou proteger le serveur a l'egard des deux reseaux, interne et externe. Pour assurer l'une au moins des fonctions precitees, ou en d'autres termes pour pouyoir filtrer les paquets de donnees re,cus par le serveur dans lequel il est implante, le pare-feu doit etre configure. Pour ce faire, on utilise o generalement des regles primaires (ou elementaires) definissant des filtres. La configuration du pare-feu a done pour objet de lui faire appliquer une suite ordonnee (au sens mathematique du terme) de filtres actifs. A reception d'un paquet de donnees, on confronte les caracteristiques du paquet a celles des filtres de la suite ordonnee, de sorte que seuls poursuivent leur chemin les s paquets presentant des caracteristiques compatibles avec celles des filtres. La configuration d'un pare-feu est une operation delicate effectuee manuellement par l'administrateur du reseau auquel il appartient. Du fait de cette intervention manuelle, statique, la configuration peut etre fonctionnellement correcte mais inadaptee ou non optimale. Wile peut meme s'averer erronee. Dans tous les cas, cela ce traduit generalement par une degradation des performances du serveur. Les reseaux evoluant frequemment, les pare-feux doivent etre regulierement reconfigures, ce qui non seulement multiplie les risques d'erreur ou d'inadaptation, mais egalement entrane une perte de temps importante pour l'administrateur du reseau. L'invention a done pour but de resoudre tout ou partie des inconvenients precites, en proposant un dispositif d'adaptation dynamique des filtres de pare-feu prenant en compte, en temps reel, tent les modifications et evolutions du parametrage du reseau ou des services offerts par le reseau, que les evenements non previsibles. Wile propose a cet effet un dispositif de traitement de donnees, destine a etre implante dans un serveur informatique pouvant recevoir des donnees primaires (ou paquets de donnees) et transmettre ces donnees primaires apres application, par des moyens de controle (de type pare-feu), de traitements specifiques reposant sur des regles primaires. Ce dispositif se caracterise par le fait qu'il comprend i) une premiere table dans laquelle vent stockees les >), sous une forme parametrable, en correspondence d'identifiants primaires, (chaque ensemble ou meta-regle primaire comprenant au moins une regle primaire), et ii) des moyens de gestion destines a etre couples aux moyens de contr61e et o capables de selectionner dans la premiere table certains identifiants primaires et, a reception de donnees auxiliaires representatives de parametres de fonctionnement, delivrees par les moyens de controle consecutivement a la reception de donnees secondaires par le serveur, pour selectionner dans la premiere table l'un au moins des identifiants primaires et lui associer les donnees auxiliaires re,cues, de maniere a (re)definir les traitements specifiques. On entend ici par > des donnbes (ou valeurs) qui dolvent etre attribuees a des parametres de fonctionnement des regles primaires d'une meta-regle que l'on souhaite mettre en ceuvre dans des o moyens de contr61e, tels qu'un pare-feu, consecutivement a la reception de donnees secondaires par le serveur. Par ailleurs, on entend ici par reseau, comme par exemple l'ajout d'une carte. De la sorte, les moyens de gestion peuvent reconfigurer, de fa,con dynamique et sans intervention humaine, les moyens de controle chaque fois que cela stavere necessaire, a partir des meta-regles primaires definies et stockees dans la premiere table et des informations (donnees auxiliaires) fournies par le serveur. Selon une autre caracteristique de ['invention, le dispositif peut comprendre une seconde table, accessible aux moyens de gestion (et de preference incorporee dans ceux-ci, tout comme la premiere table), dans laquelle vent stockes des identifiants secondaires en correspondence, chacun, d'au moins un identifiant primaire selectionne (ou active) associe a s des donnees auxiliaires (c'est-a-dire ceux qui designent des meta-regles mises en ceuvre dans les moyens de controle avec des parametres de fonctionnement representes par les donnees auxiliaires). Dans ce cas, il est avantageux que les moyens de gestion puissent, a reception des donnees auxiliaires, determiner s'il leur correspond deja dans la seconde table des 2 o identifiants secondaires selectionnes, de maniere a leur associer de nouvelles donnees auxiliaires destinees a adapter les traitements specifiques. Cela permet de ne modifier que la partie de la configuration qui doit l'etre et non l'integralite de celle-ci. Certaines meta-regles primaires selectionnees peuvent etre regroupees dans la seconde table en meta-regles secondaires egalement representees par des identifiants secondaires, associes a des donnees auxiliaires. Un identifiant secondaire peut etre identique, ou non, a un identifiant primaire. Par exemple, une meta-regle primaire pourra posseder le meme identifiant (primaire) dans les premiere et seconde tables si elle n'est mise en ceuvre que sous un unique parametrage (ou jeu de donnees auxiliaires) dans le pare-feu. En revanche, une meta-regle primaire devra porter un identifiant secondaire different de son identifiant primaire lorsqu'elle est mise en ceuvre sous plusieurs parametrages differents dans le pare-feu. Ces meta-regles (primaires) et > meta-regles (secondaires) permettent de reduire encore plus les temps de (re)configuration. Preferentiellement, les moyens de gestion comprennent une multiplicite de soul-modules de gestion destines chacun a gerer ['association de donnees auxiliaires a une ou plusieurs meta-regles primaires ou secondaires (I'important etant que les soul-modules operent une partition des metaregles primaires ou secondaires dont ils vent responsables), et vent o agences, a reception des donnees auxiliaires, pour determiner parmi les soul-modules de gestion celui qui leur correspond. Cela facilite ['operation de reconfiguration et permet egalement d'en reduire la duree. Par ailleurs, les moyens de gestion peuvent etre agences, a reception de certaines donnees auxiliaires, pour supprimer de la seconde table l'un au moins des identifiants secondaires stockees (cela revient a deselectionner ou desactiver une meta-regle primaire ou secondaire au niveau des moyens de contrOle). Ils peuvent etre egalement agences, a reception de donnees complementaires communiquees par le serveur, pour ajouter, supprimer ou modifier dans la seconde table des meta-regles primaires ou secondaires ou o des donnees auxiliaires associees aux meta-regles primaires ou secondaires. En outre, les moyens de gestion et les tables font preferentiellement partie d'un > pare-feu gerant un pare-feu equipant le serveur et comportant les moyens de contrGle. L'invention concerne en outre un pare-feu equipe d'un dispositif du : type de celui presente ci-avant. L'invention conceme egalement un procede de traitement dynamique de donnees consistent a appliquer a des donnees primaires recues par un serveur informatique, des traitements specifiques a partir de regles primaires, de sorte que les donnees primaires re,cues soient traitees avant d'etre o transmises par ledit serveur. Ce procede se caracterise par le fait qu'il comprend une etape preliminaire dans laquelle on stocke dans une premiere table des ensembles de regles primaires (ou meta-regles d'au moins une regle primaire), sous une forme parametrab le, en correspondence d' identifiants primai res, pu is on selectionne dans la premiere table certains identifiants primaires et, a reception de donnees auxiliaires representatives de parametres de fonctionnement, delivrees par le serveur consecutivement a la reception de donnees secondaires, on selectionne dans la premiere table l'un au moins des identifiants primaires et on associe a cet identifiant primaire les donnees auxiliaires, de maniere a definir les traitements specifiques. Selon une autre caracteristique de ['invention, lors de l'etape preliminaire on stocke dans une seconde table des identifiants secondaires en correspondence, chacun, d'au moins un identifiant primaire selectionne associe a des donnees auxiliaires. Certaines meta-regles primaires peuvent etre regroupees dans la seconde tab le en meta-reg les second ai res representees par des identifiants secondaires. Selon une autre caracteristique de ['invention, on peut paralleliser, d'une part, la selection dans la premiere table des meta-regles primaires, et d'autre part, la modification dans la seconde table des donnees secondaires associees a l'identifiant secondaire representatif des metaregles primaires ou secondaires selectionnees. Par ailleurs, le procede peut permettre, a reception de certaines donnees auxiliaires, la suppression de l'une au moins des meta-regles primaires ou secondaires stockees dans la seconde table. De meme, le procede peut permeKre, a reception de donnees complementaires communiquees par le serveur, I'ajout, la suppression ou la modification dans la seconde table de meta-regles primaires ou secondaires. Le dispositif et le procede selon ['invention vent tout particulierement adaptes, bien que de fa,con non exclusive, au filtrage de donnees dans les reseaux de telecommunications publics et prives. o D'autres caracteristiques et avantages de ['invention appara^'tront a l'examen de la description detaillee ci-apres, et des dessins annexes, sur lesquels: - la figure 1 illustre de fagon tres schematique un serveur raccorde a deux reseaux prive et public et equipe d'un dispositif selon ['invention, - la figure 2 est un diagramme bloc detaillant de fa,con schematique un exemple de realisation d'un dispositif selon ['invention. Les dessins annexes sont, pour l'essentiel, de caractere certain. En consequence, ils pourront non seulement servir a completer ['invention, mais aussi contribuer a sa definition, le cas echeant. Dans la description qui suit, comme illustre sur la figure 1, il sera fait reference a un dispositif de traitement de donnees 1 implante dans un serveur informatique 2, installe a un ncaud (ou point) de liaison entre un reseau public (ou externe) 3 et un reseau prive (ou interne) 4. Mais, le serveur pourrait etre implante en de nombreux autres endroits, comme par exemple chez un prestataire de services, ou chez un cable-operateur. Le reseau public 3 est. par exemple, le reseau Internet, et le reseau prive 4 est. par exemple, un reseau local de type LAN (pour Network >>) raccorde a une multiplicite de terminaux d'utilisateurs. Bien entendu, le dispositif 1 pourrait etre implante dans un bo^'tier externe, de type equipement auxiliaire, raccorde au serveur 2, celui-ci etant alors directement raccorde au reseau externe (Internet). zo Dans l'exemple illustre, le serveur est de type >, dans la mesure ou les paquets de donnees (primaires) entrants et sortants vent sensiblement identiques. Ce serveur 2 est par exemple destine a l'echange de donnees vocales. II est par exemple equipe de plusieurs cartes electroniques qui communiquent sur le reseau interne 4. L'une de ces cartes z permet l'acces au reseau externe 3 (ici Internet). Wile comporte done des interfaces WAN (ADSL, ISDN, Ethernet). Chaque carte possede ses propres privileges, notamment en matiere de type de trafic qu'elle peut generer sur le reseau interne 4, compte tenu des autres materiels informatiques de ce reseau interne. o De preference, le serveur 2 heberge egalement des services configurables ou parametrables, comme par exemple un module de courrier electronique, un module Intranet, un module de reseau prive virtuel (plus connu sous l'acronyme anglais VPN (pour a virtual Private Network>), et analogue. Le serveur 2 est egalement equipe d'un pare-feu (ou >) 5 destine principalement, comme cela est bien connu de l'homme de ['art, a filtrer les paquets de donnees primaires recus, soit du reseau externe 3, via ['interface d'entree/sortie 6, soit du reseau interne 4, via 1'interface d'entree/sortie 7. Le pare-feu (ou coupe-feu) 5 permet ainsi de proteger les terminaux d'utilisateurs Ti, ou ici le reseau prive 4, des agressions et attaques provenant du reseau exterieur 3. Tout type de filtrage peut etre envisage, des lors qu'il repose sur ['application de regles elementaires (ou primaires) parametrables aux paquets de donnees primaires re,cus par le serveur 2. 11 peut etre generalise a ['ensemble d'un reseau, ou a des soul-parties d'un reseau, ou encore adapte a chaque utilisateur. Dans ce dernier cas, le filtrage porte egalement sur l'authentification de l'utilisateur. Bien entendu, le pare-feu peut etre configure de maniere a assurer d'autres fonctions que le filtrage. 11 peut notamment enregistrer certaines informations echangees entre les terminaux d'utilisateurs et le reseau externe. o Generalement, il s'agit de sauvegarder dans une memoire, adaptee a cet effet les coordonnees des connexions precedemment acceptees (adresse de l'utilisateur, adresses (par exemple URL) des pages consultees sur les differents sites, date et heure de la consultation). 11 peut egalement etre configure de maniere a faire remonter l'analyse des paquets de donnees dans z les couches superieures du modele OSI du pare-feu, par exemple de sorte que led it pare-feu decide d u rejet ou de l'acceptation d'u n paquet en fonction d'elements appartenant a sa couche applicative. 11 peut en outre etre configure de maniere a garder une trace de certains paquets echanges (mode >) eVou a modifier le contenu de certains paquets (mode K NAT >>, :o pour Network Adress Translation - par exemple pour le masquage des adresses IP du reseau interne). 11 peut egalement etre configure pour assurer la detection de virus. Dans l'exemple illustre, le pare-feu 5 constitue une partie du dispositif selon ['invention 1. Mais, dans une variante, le dispositif 1 pourrait etre simplement couple a un pare-feu >, afin de gerer et controler dynamiquement sa configuration. On se refere maintenant a la figure 2 pour decrire en detail un exemple de dispositif de traitement (1) selon ['invention. Comme indique precedemment, dans cet exemple le dispositif 1 comporte, tout d'abord, un module de controle constituent le pare-feu (ou firewall) 5. Ce pare-feu etant sensiblement identique aux pare-feux o traditionnels (ou natifs), il ne sera done pas decrit en detail. Sa structure en couche, notamment, sera ignoree dans ce qui suit, dans la mesure ou elle est parfaitement connue de l'homme de ['art. Le module pare-feu 5 est destine a recevoir du serveur 2 les paquets de donnees primaires, recus par l'une de ses interfaces d'entree/sortie 6 et 7, afin de leur appliquer des traitements specifiques (ou filtrages) definis a partir de regles elementaires (ou primaires) parametrables. Plus precisement, le module pare-feu 5 fait initialement ['objet d'une configuration reposant sur ['implantation d'une suite ordonnee de regles primaires parametrables definissant des filtres actifs, de sorte que lesdits o filtres puissent etre appliques aux paquets, sequentiellement et de fagon ordonnee en fonction de leurs caracteristiques propres, telles que les adresses sources et de destination, les interfaces reseaux d'entree et de sortie, les protocoles d'echange au dessus d'lP, tels que TCP, UDP ou ICMP (par exemple dans le cas d'lnternet), ou encore en fonction de parametres propres au protocole d'echange, tels que les ports source et de destination dans le cas de TCP et UDP, ou le type de paquet dans le cas d'lCMP. Generalement, la configuration d'un pare-feu doit interdire tout trafic par defaut et les filtres actifs ne dolvent autoriser que certains sous ensembles de trafic qui doivent l'etre. Par exemple un routeur connectant un o reseau interne a Internet peut mettre en cauvre les regles simplifiees suivantes: accepter des paquets relatifs a un paquet precedemment accepte; À accepter les paquets venant du reseau interne (LAN) et allant vers Internet, par exemple lorsqu'ils vent de type HTTP ou HTTPS (TCP/80 et TCP/443); À accepter les paquets venant du LAN a direction du routeur7 par exemple lorsqu'ils vent de type DNS (UDP/53) ou Echo Request (ICMP, type echo request); À accepter les paquets relatifs au serveur de messagerie situe sur le LAN d'une l'entreprise et d'adresse specifiee a ** >>, par exemple les paquets SMTP (TCP/25) venant d'lnternet et allant vers le LAN a l'adresse *@*, ou les paquets SMTP et POP3 (TCP/25 et TCP/110) venant de l'adresse ** et allant vers Internet. En fonction des resultats du filtrage, le module pare-feu 5 delivre au serveur 2 soit les donnees primaires traitees, c'est-a-dire filtrees et eventuellement completees eVou modifiees, soit un message de rejet des s donnees primaires re,cues. Bien entendu, les donnees primaires peuvent aussi ne faire que traverser le serveur apres leur acceptation par le module pare-feu 5. Le dispositif 1 comprend un module de gestion 8 pour optimiser la suite ordonnee de regles elementaires definissant la configuration du serveur, o mais surtout pour permettre qu'il soit reconfigure dynamiquement, de fa, con optimale, chaque fois que le serveur 2 (ou son module pare-feu 5) re, coit des donnees secondaires correspondent, par exemple, a une modification sur le reseau interne 4, ou a un evenement imprevu sur le reseau interne 4 ou externe 3, tout en lui assurant un haut niveau de securite. s Plus precisement, le module de gestion 8 est destine a adapter, de fa, con dynamique, la configuration du module pare-feu 5, d'une premiere part, aux caracteristiques physiques (ou materielles) du serveur 2, comme par exemple le nombre de cartes electroniques qu'il contient, le type de ces cartes, ou la topologie du reseau interne 4, d'une deuxieme part, a la o configuration de fonctionnement du serveur, par exemple pour qu'il puisse assurer certains services internee eVou externes, parametrables, et par consequent evolutifs, avec d'eventuelles restrictions specifiques pour certains terminaux eVou sur la presence d'une licence d'utilisation, et d'une troisieme part, a ['apparition d'evenements imprevus internee eVou externes, tels que des attaques non rdpertoriees, ou des attaques repertoriees, telles que par exemple des tentatives de connexion sur des services hebergees (http, VPN, telnet), des tentatives de sondage de port (a port scanning >>), des modifications de trafic sur les interfaces LAN / WAN, telles que des connexionsideconnexions a un service ou site Internet, des liens avec des terminaux distants, ou des apparitions/disparitions de tunnels securises (ou cryptes) associes a un procede d'authentification, ou encore des stimuli generes lors de ['execution de taches par les services ou par une carte. Pour remplir les fonctions precitees, le module de gestion 8 comporte un premier module de configuration 9 couple a un second module de > 10, egalement appele a meta-pare-feu >> et couple au module pare- feu 5. Lorsque le serveur 2 re,coit des donnees secondaires relatives a des modifications de caracteristiques physiques (ou materielles), a des (modifications de) parametres de service, ou a des informations > (stimuli), il genere des donnees auxiliaires (ou complementaires) a destination du module de gestion 8, pour lui demander de zo (re)configurer son module pare-feu 5. A reception de ces donnees auxiliaires, le module de gestion 8 les communique a son premier module de configuration 9. Le module de configuration 9 est un organe de decision qui decide de l'opportunite d'apporter des modifications a la configuration en cours du module pare-feu 5, tandis que le mete pare-feu 10 est charge de sa mise en ceuvre pratique. Le mete pare-feu 10 comporte un soul-module d'interface 11 (ou a moteur>>) , couple au module pare-feu 5 et a au moins une premiere memoire 12 dans laquelle est stockee une premiere table T1 de o correspondence entre des donnees definissant des regles elementaires (ou primaires) parametrables et des identifiants primaires. Plus precisement, on stocke dans la premiere table des defi n itions/p rototypes d 'ensembles (ou classes) de reg les elementa ires (ou primaires), appeles meta-regles (primaires). Chaque meta-regle est dediee a une categoric de filtrage choisie. Chaque ensemble ou classe (ou metaregle primaire) comprend au moins une regle elementaire ou primaire, mais generalement, il faut plusieurs rbgles elementaires pour definir un filtrage. Un identifiant primaire est associe a chaque classe de regles ou meta-regle primaire. Les meta-regles possedent done chacune une definition (ou un prototype) stockee dans la premiere table T1. Ces definitions vent preferentiellement produites a ['aide d'un outil de compilation, dans la phase de conception du dispositif, compte tenu du module pare-feu 5 et de son utilisation. En fait, I'outil de compilation prod u it des meta-reg les dont le contenu est conforme au module pare- feu 5 (ou qui peuvent se traduire par des regles primaires equivalentes et comprehensibles par le module pare-feu ). Le premier module de configuration 9 conna^'t la iiste des identifiants primaires des meta- regles, et le type de donnees auxiliaires auxquels ils correspondent. Par consequent, a reception de donnees auxiliaires (indiquant par exemple qu'une nouvelle connexion IP, de type ISDN, a ete requise par un terminal du reseau interne 4), le premier module de configuration 9 peut en zo deduire, d'une part, leur(s) type(s) et par consequent la ou les meta- regles qu'il doit associer a ces donnees auxiliaires pour que le module pare-feu 5 puisse etre (re)configure. II fournit alors au moteur 11 du mete pare-feu 10 le ou les identifiants primaires et les donnees auxiliaires (ou valeurs de parametres) associees. Dans un premier exemple de realisation, a reception des identifiant(s) primaire(s) et donnees auxiliaires (ou valeurs de parametres), le moteur 11 extrait de la premiere table T1 la definition associee et attribue aux parametres des meta-regles primaires designees les valeurs (ou donnees auxiliaires) re,cues. II genere ainsi une ou plusieurs nouvelles metaregles o primaires qu'il transmet au module pare-feu 5, pour qu'elle(s) se substitue(nt) a celle(s) qui etai(en)t devenues inadaptee(s), ou pour qu'elles les completent. Ce mode de realisation permet de ne modifier que la partie de la configuration du module pare-feu 5 qui est concernee par les donnees auxiliaires fournies par le serveur 2. Ce mode de realisation est avantageux lorsque le module pare-feu 5 peut fournir ses parametres de configuration de facon simple et rapide. Dans ce cas, le moteur 11 peut en effet savoir queue est la configuration en cours dans le module pare- feu 5 et ne proceder qu'a la modification des parametres ayant evolue. En revanche, ce premier mode de realisation peut ne pas etre optimal, lorsque le module pare-feu 5 n'est pas concu pour fournir ses parametres de configuration ou ne peut le faire de fa,con simple et rapide. En effet, puisque l'on ne conna^'t pas la meta-regle primaire qui est activee dans le module pare-feu 5, il faut recalculer integralement toutes ses regles avec les valeurs de parametres fournies, ce qui peut s'averer assez long lorsque cette classe comprend de nombreuses regles elementaires. Cela peut aussi s'averer difficile voire impossible, notamment dans le cas d'evenements aleatoires, car cela suppose la sauvegarde de toutes les donnees caracteristiques de tous les evenements et le parametrage des regles primaires du module pare-feu 5, ce qui reviendrait a deporter la table T2, dont il est question ci-apres, a un niveau amont du traitement. Le dispositif selon ['invention peut done se decliner sous une forme zo legerement differente, illustree sur la figure 2. Dans ce second exemple de realisation, le mete pare-feu 10 comprend une seconde memoire 13, couplee au moteur 11 et dans laquelle se trouve stockee une seconde table T2 de correspondence entre des identifiants secondaires et des identifiants primaires, qui designent des meta-regles primaires cites > (ou selectionnees) du fait qu'elles participant a la configuration en cours du module pare-feu 5, associees a des donnees auxiliaires definissant les valeurs en cours des parametres des metaregles participant a cette configuration. En d'autres termes, la configuration en cours du module pare- feu 5 est stockee dans la seconde memoire 13. o Certains identifiant secondaires peuvent etre identiques a certains identifiants primaires, par exemple lorsqu'une meta-regle primaire n'est mise en ceuvre que sous un unique parametrage (ou jeu de donnees auxiliaires) dans le module pare-feu 5. En revanche, un identifiant secondaire est different d'un identifiant primaire des lors que la metaregle primaire correspondante est mise en couvre sous plusieurs parametrages differents dans le module pare-feu 5. Preferentiellement, le premier module de configuration 9 conna^t la liste des identifiants secondaires et le type de donnees auxiliaires auxquels ils correspondent. Par consequent, a reception des identifiant(s) secondaire(s) et valeurs fournis par le premier module de configuration 9, le moteur 11 inspecte tout d'abord la seconde table T2 de maniere a determiner si le ou lesdits identifiants secondaires s'y trouvent stockes en correspondence de donnees auxiliaires (ou valeurs), eventuellement differentes de celles re, cues. Si tel n'est pas le cas, il procede comme dans le premier mode de realisation. II extrait done de la premiere table T1 la definition de la meta-regle associee a l'identifiant secondaire ou primaire recu et attribue aux parametres de cette meta-regle les valeurs (ou donnees auxiliaires) re,cues. II peut egalement prendre la decision d'effacer des meta-regles de ia seconde table T2. Dans ce cas il reconstruit au prealable ['ensemble des regles primaires associees aux anciennes donnees auxiliaires et les efface du module pare- feu 5. La modification d'une meta-regle suppose aussi ['effacement prealable o de son ancienne version lorsque le module pare-feu 5 ne propose pas de moyens simples pour identifier les regles primaires activees (ce que l'on peut supposer puisque le m eta pare-feu permet d'apporter un moyen simple d'identification des meta-regles a ['aide d'un identifiant secondaire). II genere ainsi une classe de nouvelles regles elementaires qu'il s transmet au module pare-feu 5, pour qu'elle se substitue a celle qui etait devenue inadaptee, ou pour qu'elle complete les meta-regles deja activees. Puis, il stocke dans la seconde table T2 I'identifiant secondaire de la meta- regle et les donnees auxiliaires associees, puisqu'elles definissent desormais une partie de la configuration en cours. o En revanche, si l'identifiant primaire ou secondaire est present dans la seconde table T2, il extrait les donnees auxiliaires associees a cet identifiant primaire et ne remplace que celles qui doivent etre changees. Bien entendu, il peut egalement rajouter des donnees auxiliaires (ou valeurs) si de nouveaux parametres ont ete introduits par le premier module de configuration 9. 11 transmet ensuite au module pare-feu 5 la ou les meta-regles modifiees, ou la ou les nouvelles meta-regles parametrees, pour qu'elles se substituent a celles devenues inadaptees, ou viennent les completer. Puis, il stocke dans la seconde table T2 les nouvelles donnees auxiliaires en correspond ence de i' identifiant second a ire et d e l'id entifiant prima ire associes, puisqu'elles definissent desormais une partie de la configuration en cours. Afin d'accelerer encore plus les traitements de reconfiguration, on peut egalement constituer dans la seconde table T2 des classes de classes (ou classes de meta-regles primaires) constituent des meta-regles secondaires. Dans ce cas, on associe ces meta-regles secondaires a des identifiants secondaires qui vent egalement stockes dans la seconde table T2 en correspondence des identifiants primaires et donnees auxiliaires associes, 1orsque ces meta-regles secondaires vent activees (ou selectionnees) avec lesdites donnees auxiliaires. On peut egalement instaurer dans les tables de correspondence des niveaux de priorite entre regles d'une meta-regle primaire, ou entre meta- regles primaires d'une meta-regle secondaire, ou encore entre meta-regles o primaires ou secondaires. De preference, le moteur 11 est agence pour supprimer de la seconde table T2, sur ordre du premier module de configuration 9, des identifiants secondaires associes a des meta-regles primaires qui ne vent plus actives dans le module pare-feu 5. Egalement de preference, le moteur 11 est agence pour ajouter ou modifier dans la seconde table T2, sur ordre du premier module de configuration 9, des identifiants secondaires associes a de nouvelles meta-regles primaires ou secondaires, ou bien ajouter ou supprimer d'une meta-regle secondaire une ou plusieurs meta-regles primaires. 11 peut egalement etre agence pour fusionner au sein d'une meme meta-regle o secondaire, sur ordre, des meta-regles primaires ou secondaires appartenant a au moins deux meta-regles primaires ou secondaires differentes, ou bien scinder une meta-regle primaire ou secondaire, sur ordre, en au moins deux meta-regles primaires ou secondaires, de maniere a creer de nouvelles definitions de filtres. Les ordres transmis par le premier module de configuration 11 res u ltent de p reference d ' instructions (ou don nees com plementa ires) recues du serveur 2. Deux exemples de sauvegarde de donnees dans la seconde table T2 vont maintenant etre decrits a titre illustratif. Comme indique precedemment, la premiere table T1 comporte des definitions ou prototypes de meta-regles primaires en correspondence d'identifiants primaires. Par exemple, I'identifiant o primaire > designe ['ensemble (ou jeu) de trots prototypes de regles primaires: À Regle 1: Flow=FromLanToWan Source=$1 Protocol=tcp DestinationPort=smtp Action=ACCEPT À Regle 2: Flow=FromLanToWan Source=$1 Protocol=tcp DestinationPort=pop3 Action=ACCEPT À Regle 3: Flow=FromWanToLan Destination=$1 Protocol=tcp DestinationPort= smtp Action=ACCEPT Cette meta-regle Email permet l'echange de courrier electronique entre un serveur de courrier electronique sur le reseau interne (LAN) et le o serveur de l'ISP sur Internet. Wile ne comporte qu'un seul parametre a $1 >> (ou donnee auxilliaire) qui correspond a l'adresse IP du serveur de courrier electronique sur le LAN. Ce parametre est transmis par l'intermediaire d'une syntaxe particuliere aux trots prototypes de regles primaires. Les autres parametres (a Protocol=tcp, DestinationPort=smtp >> ou ), caracterisant les reg les primaires, vent definis de maniere statique dans ltentree de la premiere table. Lorsque l'on veut activer la meta-regle primaire Email avec une adresse de serveur 10.0.0.1 (ou donnee auxiliaire), on sauvegarde dans la :o seconde table T2 I'identifiant primaire Email associe a l'adresse 10.0. 0.1, en correspondence d'un identifiant secondaire qui peut etre egalement, dans cet exemple, Email. Dans la seconde table T2 cela peut s'exprimer sous la forme: Email 10.0.0.1 >>. Cette sauvegarde peut etre obtenue a ['aide d'une commande du type a metafirewall add Email 10.0.0.1 >>. Si l'on doit ulterieurement modifier l'adresse du serveur ou supprimer la meta-regle Email, on lancera respectivement les commandes add Email 20.0.0.1 >> et a metafirewall delete Email >>. Si, I'installation evolue, par exemple du fait qu'elle dispose d'un second serveur de courrier electronique d'adresse a 10.0.0.2 >>, et que l'on o veut gerer les deux serveurs a ['aide d'une unique meta-regle secondaire, on peut associer a celle-ci l'identifiant secondaire >. Pour sauvegarder dans la seconde table T2 cet identifiant secondaire designant une meta-regle secondaire, et les donnees auxiliaires associees, on lance les commandes a metafirewall addin Serveur Email 10.0.0.1 >> et S a metafirewall appendin Serveur Email 10.0.0.2 >> Dans la seconde table T2 cela peut s'exprimer sous la forme: À Serveur-> Email 10.0.0.1 Email 10.0.0.2 Si cela s'avere necessaire, on pourra effacer la meta-regle Serveur o par la commande a metafirewall delete Serveur >>. Bien que cela ne soit pas une obligation, le premier module de configuration 9 peut etre subdivise en plusieurs soul-modules de configuration charges chacun de ['activation et de la parametrisation (parametres auxiliaires) d'un ensemble distinct de meta-regles (primaires :; eVou secondaires), de sorte qu'a reception de donnees primaires seul soit appele le module qui leur est associe. Dans ce cas, chaque soulmodule est agence pour adresser une sous-partie du moteur 11, elle meme couplee a une sous-partie de la premiere table T1. Des liens de dependence peuvent exister entre modules. Dans ce cas l'appel d'un module implique qu'il appelle o lui meme les modules dont il depend ou auxquels il est associe. Cela peut permettre de reduire encore plus le temps necessaire au calcul d'une reconfiguration. Le module de configuration 9 et le mete pare-feu 10 ont ete decrits ci- avant sous la forme de deux modules couples, mais separes. Mais, ils pourraient ne faire qu'un unique module 8. Par ailleurs, on a decrit un dispositif constituent a lui seul un parefeu. Mais, le dispositif selon ['invention pourrait ne pas comporter le module pare- feu 5, celui-ci etant deja implante dans le serveur 2, sous forme native. Par consequent, dans ce cas, le dispositif selon ['invention n'est constitue que du module de gestion 8, celui-ci devant alors etre implante dans le serveur 2 afin d'y etre couple au module pare-feu natif. En outre, certains modules du dispositif 1, tels que le premier module de configuration 9 et le moteur 11, peuvent etre realises sous la forme de module(s) logiciel(s) ("software"). Mais ils peuvent etre egalement realises, au moins en partie, sous la forme de circuits electroniques ("hardware"), ou encore sous la forme de combinaisons de modules logiciels et de circuits electroniques. Ces modules logiciels peuvent etre, par exemple, realises en langage java ou en langage C ou C++. On peut egalement integrer des fonctionnalites du mete pare-feu 10 (notamment le nommage de regles a travers les tables T1 et T2) dans un pare-feu classique 5. L'invention offre egalement un procede de traitement dynamique de donnees permettant d'appliquer a des donnees primaires re,cues par un serveur informatique 12, des traitements specifiques a partir de regles primaires, de sorte que les donnees primaires re,cues soient traitees avant d'etre transmises par ledit serveur. Celui-ci peut etre mis en muvre a ['aide du dispositif presente ci avant. Les fonctions et sous-fonctions principales et optionnelles assurees par les etapes de ce procede etant sensiblement identiques a celles assurees par les differents moyens constituents le dispositif, seules seront resumees ci- apres les etapes mettant en cauvre les fonctions principales du procede selon I'invention. Ce procede comporte une etape preliminaire dans laquelle on stocke dans une premiere table T1 des ensembles de regles primaires (dits a meta regles primaires >>, constitues d'au moins une regle primaire), sous une forme parametrable, en correspond ence d t identifiants prima ires, pu is on selection ne dans la premiere table T1 certains identifiants primaires et, a reception de donnees auxiliaires representatives de parametres de fonctionnement, delivrees par le serveur 2 consecutivement a la reception de donnees secondaires, on selectionne dans la premiere table l'un au moins des identifiants primaires et on associe a cet identiflant primaire les donnees auxiliaires, de maniere a detnir les traitements speciflques. Par ailleurs, lors de l'etape preliminaire on peut stocker dans une seconde table T2 des identiflants secondaires en correspondence, chacun, d'au moins un identifiant primaire selectionne associe a des donnees auxiliaires. En outre, on peut paralleliser a la fois la selection dans la premiere table T1 des meta-regles primaires, et la modiflcation dans la seconde table T2 des donnees auxiliaires associees a l'identifant secondaire representatif des meta-regles primaires ou secondaires selectionnees. L'invention ne se limite pas aux modes de realisation de dispositif et de procede decrits ci-avant, seulement a titre d'exemple, mais elle englobe toutes les variantes que pourra envisager l'homme de l'art dans le cadre des o revendications ci-apres. REVENDICATIONS 1. Dispositif de traitement de donnees (1), implantable dans un serveu r i nformatique (2) agence pour recevoi r des don nees prim ai res et transmettre ces donnees primaires apres application par des moyens de controle (5) de traitements specifiques reposant sur des regles primaires, caracterise en ce qu'il comprend i) une premiere table (T1) dans laquelle vent stockes des ensembles d'au moins une regle primaire, dits a meta- regles primaires>>, sous une forme parametrable, en correspondence d'identifiants primaires, et ii) des moyens de gestion (8) destines a etre couples auxdits moyens de controle (5) et agences, a reception de donnees auxiliaires representatives de parametres de fonctionnement, delivrees par lesdits moyens de controle (5) consecutivement a la reception par le servour (2) de donnees secondaires, pour selectionner dans la premiere table (T1) s I'un au moins des identifiants primaires et lui associer lesdites donnees auxiliaires, de maniere a definir lesdits traitements specifiques. 2. Dispositif selon la revendication 1, caracterise en ce qu'il comprend une seconde table (T2), accessible auxdits moyens de gestion (8), dans laquelle vent stockes des identifiants secondaires en correspondence, o chacun, d'au moins un identifiant primaire selectionne associe a des donnees auxiliaires. 3. Dispositif selon la revendication 2, caracterise en ce que lesdits moyens de gestion (8) vent agences, a reception desdites donnees auxiliaires, pour determiner s'il leur correspond dans la seconde table (T2) : des identifiants primaires selectionnes, de maniere a leur associer de nouvelles donnees auxiliaires destinees a adapter lesdits traitements specifiques. 4. Dispositif selon l'une des revendications 2 et 3, caracterise en ce que certaines meta-regles primaires selectionnees vent regroupees dans o la seconde table (T2) en meta-regles secondaires representees par des identifiants secondaires. 5. Dispositif selon l'une des revendications 1 a 4, caracterise en ce que lesdits moyens de gestion (8) i) comprennent une multiplicitb de sous modules de gestion age n ces pour gere r chacun ['association de don nees auxiliaires a au moins une meta-regle primaire ou secondaire, et ii) a reception desdites donnees auxiliaires vent agences pour determiner parmi leslits soul-modules de gestion celui qui leur correspond. 6. Dispositif selon l'une des revendications 2 a 5, caracterise en ce que lesdits moyens de gestion (8) vent agences, a reception de certaines donnees complementaires communiquees par le serveur (2), pour ajouter, supprimer ou modifier dans la seconde table (T2) des meta-regles primaires ou secondaires ou des donnees auxiliaires associees auxdites meta-regles primaires ou secondaires. 7. Dispositif selon l'une des revendications 1 a 6, caracterise en ce que lesdits moyens de gestion (8) et lesdites tables (T1,T2) font partie d'un mete pare-feu propre a gerer un pare-feu equipant ledit serveur (2). 8. Pare-feu, caracterise en ce qutil comprend un dispositif (1) selon l'une des revendications 1 a 7. 9. Procede de traitement de donnees, consistent a appliquer a des donnees primaires re,cues par un serveur informatique (2), des traitements specifiques a partir de regles primaires, de sorte que les donnees primaires zo recues soient traitees avant d'etre transmises par ledit serveur, caracterise en ce qu'il comprend une etape preliminaire dans laquelle i) on stocke dans une premiere table (T1) des ensembles d'au moins une regle primaire, dits >, sous une forme parametrable, en correspondence d'identifiants primaires, et ii) a reception de donnees auxiliaires s representatives de parametres de fonctionnement, delivrees par le serveur (2) consecutivement a la reception de donnees secondaires, on selectionne dans la premiere table (T1) I'un au moins des identiflants primaires et on associe a cet identifiant primaire lesdites donnees auxiliaires, de maniere a definir lesdits traitements specifiques. so 10. Procede selon la revendication 9, caracterise en ce qu'a l'etape preliminaire on stocke dans une seconde table (T2) des identifiants secondaires en correspondence, chacun, d'au moins un identifiant primaire selectionne associe a des donnees auxiliaires. 11. Procede selon la revendication 10, caracterise en ce qu'a reception des donnees auxiliaires, on determine s'il leur correspond dans la seconde table (T2) des identifiants primaires selectionnes, de maniere a leur associer de nouvel les don nees auxi liai res desti nees a adapter lesd its traitements specifiques. 12. Procede selon l'une des revendications 10 et 11, caracterise en ce que certaines meta-regles primaires vent regroupees dans la seconde table (T2) en meta-regles secondaires representees par des identifiants o secondaires. 13. Procede selon l'une des revendications 9 a 12, caracterise en ce qu'on parallelise i) la selection dans la premiere table (T1) des metaregles primaires ou secondaires, et ii) la modification dans la seconde table (T2) des donnees auxiliaires associees a l'identifiant secondaire representatif des meta-regles primaires ou secondaires selectionnees. 14. Procede selon l'une des revendications 9 a 13, caracterise en ce qu'a reception de donnees complementaires communiquees par ledit serveur (2), on ajoute, supprime ou modifie dans la seconde table (T2) des meta-regles primaires ou secondaires. 15. Utilisation du dispositif et du procede selon l'une des revendications precedentes, dans le domaine des reseaux de telecommunications choisis dans un groupe comprenant les reseaux publics