Brevet FR2840487A1 — publié le 20031205

La presente invention vise un procede et un dispositif de protection d'information et de systeme informatique. Les co upes-feu (en ang lais "firewall") offrent excl us ivement une protection perimetrique des reseaux. Ils agissent sur le type des flux reseaux mais pas sur leurs contenus. Un coupe-feu permet, par exemple, de vehiculer exclusivement les protocoles HTTP ou H1lPS a destination des serveurs web. Mais les coupe-feu vent totalement inefficaces face aux nombreuses vulnerabilites logicielles des serveurs web (code red, unicode, nimda,...). L'utilisation du protocole SSL rend, paradoxalement, totalement inefficace les equipements de securite conventionnels. Ainsi, toute attaque vehiculee via HTTPS (HTTP sous SSL) peut atteindre un serveur web en production et ce quel que soit le coupe-feu ou la sonde IDS (Intrusion Detection System pour systeme de detection d'intrusion) mis en oeuvre pour securiser le service en ligne. Les coupe-feu offrent une protection perimetrique des reseaux en agissant exclusivement sur le type des communications mais pas sur leurs contenu. La protection d'une sonde IDS est basee exclusivement sur la recherche de signature d'attaque (pattern matching pour correspondence de forme). Wile est done efficace uniquement pour detecter des vulnerabilites connues. Les sondes IDS ne peuvent assurer aucune protection sur les transactions securisees SSL et n'offrent aucune garantie d'analyse de trafic. Enfin, les sondes IDS ont un comportement passif et vent reputees pour leurs nombreux declenchements intempestifs (false positive). Les scanners de vulnerabilite, outils d'audit de vulnerabilite (en anglais "vulnerability assessment") offrent principalement un service d'identification et d'evaluation des risques potentials. Meme utilise de fa,con recurrente et systematique, ce type d'outil comporte deux lacunes majeures: un fonctionnement passif et une total inefficacite face aux vulnerabilites non encore identifiees. Meme si l'utilisateur applique tous les correctifs de securite, on constate generalement au moins quinze jours entre ['apparition d'une nouvelle faille et ['application de 2 2840487 son correctif. De plus, le correctif peut, lui-meme, presenter de nouvelles vulnerabilites et des problemes d'incompatibilite avec les applications installees peuvent appara^'tre. Un reverse proxy est generalement utilise lorsqutun serveur web de production ne doit pas ou ne peut pas etre directement accessible via internet. Cependant, ce type de dispositif n'apporte aucune protection concernant le contenu des paquets H11P. En effet, si une attaque est envoyee au reverse proxy, elle est relayee au serveur de production et produit les memes effees. De plus, les reverse Proxy fonctionnent en mode non transparent. Cela signifie qu'il faut explicitement adresser le flux en mode HTTP au reverse proxy (changement dans les zones DNS, tables de routage,...). Outre son impact sur ['architecture reseau, le reverse proxy fausse done toutes les statistiques d'activite sur les serveurs web (consequence de la perte de l'adresse IP des clients). La presente invention entend remedier a tout ou partie de ces inconvenients. A cet effet, la presente invention vise, selon un premier aspect, un procede de protection de service en ligne sur un reseau informatique mettant en oeuvre un premier protocole de communication, caracterise en ce que ledit service en ligne conserve son adresse sur ledit reseau, independamment de la presence ou de ['absence de mise en oeuvre audit procede, et en ce qu'il comporte, pour chaque requete adressee audit service, une etape de verification de requete cite "sur liste blanche" au cours de laquelle on verifie que ladite requete est explicitement autorisee en comparant au moins une partie de ladite requete avec un premier contenu predetermine d'une memoire et on transmet au service, sans les executer, les requetes explicitement autorisees. Grace a ces dispositions, I'implementation de la presente invention est aisee puisque aucune nouvelle adresse sur le reseau ntest mise en oeuvre. De plus, chaque requete est controlee et toute attaque, meme inconnue, est stoppee. Selon des caracteristiques particulieres, le procede tel que succinctement expose ci dessus comporte, pour chaque requete chiffree selon un deuxieme protocole de communication, une etape de dechiffrement de ladite requ;ete preliminairement a l'etape de verification de ladite requete dechiffree. Grace a ces dispositions, les requetes cryptees ou chiffrees vent aussi controlees et toute attaque en mode cryptee est detectee. Selon des caracteristiques particulieres, le procede tel que succinctement expose ci dessus comporte une etape de verification de requete cite "sur liste noire" au cours de laquelle on verifie que ladite requete n'est pas explicitement interdite en comparant au moins une partie de ladite requete avec un deuxieme contenu predetermine de ladite memoire. Grace a ces dispositions, les attaques connues vent reperees par leur correspondence avec un element du deuxieme contenu de la memoire. 3 2840487 Selon des caracteristiques particulieres, le procede tel que succinctement expose ci dessus comporte une etape d'auto-apprentissage au cours de laquelle la cartographic du service en ligne est memorisee dans le premier contenu de ladite memoire. Grace a ces dispositions, le contenu de la memoire est automatiquement adapte. Selon des caracteristiques particulieres, le procede tel que succinctement expose ci dessus comporte, pour chaque message transmis par ledit service, une etape de verification de message cite "sur liste blanche" au cours de laquelle on verifie que ledit message est explicitement autorise en com parant au m oins une partie de lad ite req uete avec un troisieme contenu predetermine de ladite memoire. Selon des caracteristiques particulieres, le procede tel que succinctement expose ci dessus comporte, pour chaque message transmis par ledit service, une etape de verification de message cite "sur liste noire" au cours de laquelle on verifie que ledit message ntest pas explicitement interdit en comparant au moins une partie de ladite requete avec un quatrieme contenu predetermine de ladite memoire. Grace a chacune de ces dispositions, meme si une attaque n'a pas ete reperee, par exemple parce que le contenu de la memoire nta pas ete bien defini, la vbrification du message transmis, en reponse a une requete malveillante, permet d'eviter les consequences de l'attaque. Selon des caracteristiques particulieres, le procede tel que succinctement expose ci dessus comporte une etape de mise a jour automatique d'au moins un contenu predetermine de ladite memoire. Grace a ces dispositions, chaque liste noire peut etre automatiquement augmentee a chaque fois qu'un nouveau type d'attaque est reference. Selon des caracteristiques particulieres, le procede tel que succinctement expose ci dessus comporte, pour chaque page transmise par ledit service, une etape de verification d'integrite de page, au cours de laquelle on verifie que ladite page est explicitement autorisee en comparant ladite page avec un cinquieme contenu predetermine de ladite memoire. Grace a ces dispositions, I'integrite des pages transmises est verifiee et evite les consequences d'une attaque, en particulier dans le cas ou le contenu de la memoire n'aurait pas ete correctement defini. Selon des caracteristiques particulieres, au cours de l'etape de verification de requete sur liste blanche, on compare la partie de localisation de page URL avec le premier contenu predetermine de ladite memoire qui represente des URLs autorisees, des groupes d'URLs autorises et/ou des repertoires autorises. Selon des caracteristiques particuileres, au cours de l'etape de verification de requete sur liste blanche, on compare la longueur de la requete, les parametres de la requete et/ou 4 2840487 une valeur de cookie de la requete, avec le premier contenu predetermine de ladite memoire qui represente des longueurs de requetes, des parametres de requete et/ou des valeurs de cookies autorisees. Grace a chacune de ces dispositions, I'etape de verification est aisee et efficace. Selon un deuxieme aspect, la presente invention vise un dispositif de protection de service en ligne sur un reseau informatique mettant en oeuvre un premier protocole de communication, caracterise en ce que ledit dispositif ne dispose pas d'adresse sur ledit reseau, que le sewice en ligne conserve son adresse sur ledit reseau, independamment de la presence ou de ['absence de mise en oeuvre audit dispositif, et en ce qu'il comporte, un moyen de verification de requete cite "sur liste blanche" adapte, pour chaque requete adressee audit service, a verifier que ladite requete est explicitement autorisee en comparant au moins une partie de ladite requete avec un premier contenu predetermine d'une memoire et a transmettre au service, sans les executer, les req uetes explicitement auto risees. Les avantages, buts et caracteristiques de ce dispositif etant identiques a ceux du procede succinctement expose ci-dessus, ils ne vent pas rappeles ici. D'autres avantages, buts et caracteristiques de la presente invention ressortiront de la description qui va suivre, faite en regard des dessins annexes dans lesquels: - la figure 1 represente, schematiquement, les moyens d'attaque utilises par des attaquants, - la figure 2 represente, schematiquement, des etapes mises en oeuvre par un mode de realisation du procede et du dispositif objet de la presente invention, - ies figures 3A a 3C vent des chronogrammes exposant schematiquement des cycles de vie de vulnerabilites conformement a l'art anterieur et selon deux modes de fonctionnement du procede et du dispositif objets de la presente invention. Avant d'entamer la description des figures, on rappelle ici quelques caracteristiques de ['invention. Le procede et le dispositif objets de la presente invention vent dedies a la protection des services web. A cet effet, et contrairement aux systemes de l'art anterieur, le procede et le dispositif objets de la presente invention agissent sur le contenu protocolaire pour detecter et rejeter tout trafic malveillant. Le procede et le dispositif objets de la presente invention mettent en oeuvre une technologie de detection d'intrusion agissant en temps reel sur les flux reseaux. Complementaire au coupe-feu, ils integrent un algorithme sophistique d'analyse des requetes HTTP et HTTPS pour proteger les serveurs web en production contre tout acte de malveillance. Contrairement aux coupe-feu, le procede et le dispositif objets de la presente invention n'agit pas sur la forme des communications mais sur leur fond, c'est-a-dire le contenu protocolaire. 2840487 Dans tous les modes de realisation, le procede et le dispositif utilisent des fonctionnaiites "white list" (pour"liste blanche"). Dans des modes particuliers de realisation, ils utilisent aussi des fonctionnalites "black list" (pour "liste noire"). On rappelle qu'une protection de type liste noire est basee sur des signatures d'attaques. Wile n'est done efficace que pour les attaques deja identifiees. Au contraire, une protection de type liste blanche repose sur le principe que "tout ce qui n'est pas autorise est interdit". En d'autres termes, conformement a la presente invention, ne vent autorisees que les adresses URLs dont la syntaxe est strictement conforme a la syntaxe definie par la liste blanche. Le procdde et le dispositifs objets de la presente invention protegent ainsi contre des attaques ou vulnerabilites non encore identifiees par des responsables de la securite. Preferentiellement, on applique differentes strategies de securite sur des adresses URLs definies en liste blanche et on traite les autres requetes par une protection de type liste noire qui permet une bonne tra,cabilite des tentatives d'attaque de type identifie. Preferentiellement, le procede et le dispositif objets de la presente invention fonctionnent en mode coupure, qui permet d'agir en temps reel et d'offrir done une garantie d'analyse de trafic integrale. Dans des modes de realisation preferentiels, comportant des fonctions de decryptage, le procede et le dispositif objets de la presente invention vent efficaces meme sur un trafic crypte (par exemple en SSL, pour "secure socket layer") et ne provoquent aucun declenchement intempestif. En effectuant une analyse protocolaire en amont des serveurs web, le procede et le dispositif objets de la presente invention ameliorent la protection des serveur en ne relayant que les paquets HTTP conformes a la strategic de securite definie par l'administrateur dans la liste blanche. Avec son fonctionnement en mode furtif, le procede objet de la presente invention nta strictement aucun impact sur ['architecture reseau (installation immediate) et ne modifie aucunement les statistiques des serveurs web (pas d'alteration de 1'adresse IP source). Le procede objet. de la presente invention apporte une reponse concrete a ces problemes en utilisant un fonctionnement en temps reel (traitement a la volee des flux reseaux). D'autre part, sa technologie de type liste blanche offre une protection contre tout type de vulnerabilites connues ou inconnues. On observe, en figure 1, qutun attaquant 10 peut utiliser de nombreux moyens et protocoles (FTP, DNS, HTTP, HTTPS, SMTP, ICMP) pour attaquer des serveurs web 40. Cependant, le coupe-feu 20 reduit les protocoles de communication avec les serveurs web aux seuls protocoles HTTP et HTTPS et le procede et le dispositif objets de la presente invention 30 securisent le flux atteignant les serveurs web 40 et n'utilise que le seul protocole HTTP pour communiquer avec les servaurs web 40. 6 2840487 Le procede et le dispositif objets de la presente invention 30 constituent une solution integree de type appliance (pour equipement), logiciel plus materiel, tres facile a mettre en oeuvre. Son installation ne requiert aucune intervention sur les serveurs a proteger. Le procede et le dispositif objets de la presente invention 30 s'administrent par I'intermediaire d'une interface web securisee 31 accessible via une interface reseau dediee. Un acces en mode ligne de commande est egalement disponible via SSH. Une carte d'interface reseau dediee aux operations de gestion de ce dispositif n'est accessible que par cette interface web securisee. Seuls des comptes speciaux administrateurs peuvent acceder aux lignes de commande du procede et du dispositif objets de la presente invention. En revanche, chaque webmestre d'un site supporte par le serveur web 40 peut acceder a la liste blanche qui concerne son site pour definir la politique de securite qui lui est appliquee Da ns d es modes de realisation particul ie rs, pour adm in istrer le procede et le dispositif objets de la presente invention, trots interfaces reseau vent utilisees: deux interfaces 32 et 33 vent utilisees pour la gestion des flux a securiser et ne disposent d'aucune adresse IP (mode furtif et la troisieme, 31, est dediee a ['administration et la supervision du systeme. Pour administrer le procede et le dispositif objets de la presente invention, on utilise un navigateur web qui dialogue, par l'intermediaire de ['interface d'administration, en mode SSL ("https"). Un acces ligne de commande en mode securise est egalement disponible. En mode non transparent, I'administrateur reseau doit diriger le trafic HTTP(S) vers le dispositif objet de la presente invention qui se comporte comme un noeud IP classique. En mode furtif (transparent), il suffit de disposer le dispositif objet de la presente invention en coupure reseau (typiquement entre un coupe-feu et une baie de serveurs web) sans aucune autre modification sur ['architecture reseau ou sur son parametrage. Les prototypes du procede et du dispositif objets de la presente invention realises par les inventeurs peuvent proteger des serveurs disposant de quelques dizaines a quelques millions d'URLs. Meme pour des sites a fort trafic sur reseau intranet a 100 Mb/s, le procede et le dispositif objets de.la presente invention n'impliquent aucun temps de latence perceptible par les internautes. Dans les modes de realisation prenant en compte le cryptage SSL, les processeurs de cryptographic specialises permettent d'augmenter considerablement le trafic HTTPS (par exemple sous protocole SSL 40 ou 128 bits). Selon les versions deja etudiees, le procede et le dispositif objets de la presente invention peuvent proteger de un a un nombre illimite de serveurs. Wiles peuvent gerer de a 1200 transactions par seconde ("TPS"). Le procede et le dispositif objets de la presente invention 30 vent compatibles avec tous les serveurs web 40 du marche. En agissant exclusivement sur les flux reseaux, I'objet de la presente invention est totalement independent de ['architecture logicielle des serveurs a 7 2840487 proteger et est compatible avec les deux versions du protocole HTTP:HTTP/1.0 et H1lP/1.1. Des variantes du dispositif objet de la presente invention incorporant des moyens redondants assurent une totale continuite des services, meme en cas de defaillance materielle ou logicielle d'un equipement objet de la presente invention. La figure 2 illustre une succession d'etapes mise en oeuvre conformement a la presente invention. Au cours d'une etape 200, le gestionnaire de reseau selectionne le mode de fonctionnement du procede et du dispositif objets de la presente invention. Le procede et le dispositif objets de la presente invention fonctionnent en deux modes: le mode furtif, ou transparent, et le mode non transparent. En mode furtif, le procede et le dispositif objets de la presente invention vent totalement invisibles sur le reseau. Chaque service en iigne protege conserve son adresse sur ledit reseau, independamment de la presence ou de ['absence de mise en oeuvre du procede et du dispositif objets de la presente invention. Ceux-ci conferent une securite optimale et une veritable installation "plug and protect" (pour "connecte et immediatement protege"). Au cours de l'etape 200, le gestionnaire de reseau selectionne aussi l'un des modes de fonctionnement suivants "Bypass" (pour"laisser passer"), "Learning" (pour"apprentissage"), "Tracking" (pour"suivi") ou "Protected" (pour "protege"). Le mode "bypass" (non represente) permet de placer le dispositif objet de la presente ir;vention sur le reseau et de laisser fonctionner le service Web meme si aucune politique de securite n'est definie. Le mode "learning" permet de configurer la liste blanche: le dispositif objet de la presente invention analyse le trafic qui le traverse et genere automatique la cartographic du site web, I'element essentiel constituent la Liste Blanche. Le mode "tracking" constitue un mode de fonctionnement intermediaire entre le parametrage du dispositif objet de la presente invention et sa mise en production. II permet de detecter d'eventuelles anomalies (par enregistrement des erreurs). Le mode "tracking" est conseille mais non obligatoire avant de passer en mode "protected". En mode "tracking", le procede et le dispositif objets de la presente invention laissent passer meme les requetes qui ne correspondent pas a la liste blanche et consigne ces requetes et les informations qui les concernent dans un journal. Le mode "protected" (Protection activee) est le mode dans lequel le dispositif objet de la presente invention opere veritablement une protection en rejetant toute requete non conforme a la politique de securite. En mode furtif, au cours d'une etape 201, un utilisateur emet une requete HTTPou HTTPS en direction du serveur web 40. Au cours d'une etape 202, le procede et le dispositif objets de la presente invention decryptent la requete, si elle est HTTPS, et fournissent une req uete HTTP co rrespondante. Au cours d'une etape 203, le procede et le dispositif objets 8 2840487 de la presente invention verifient l'en-tete de la requete pour detecter et stopper (c'est-a-dire ne pas transmettre au serveur la requete en cas d'attaque) certaines attaques utilisant l'en- tete. Cette verification est de type "liste blanche". Au cours d'une btape 204, le procede et le dispositif objets de la presente invention verifient les paquets HTTP en fonction de la liste blanche. La protection anti-intrusion de type liste blanche repose sur le principe que toute requete non explicitement autorisee est interdite. Le procede et le dispositif objets de la presente invention autorisent (c'est-a-dire transmettent au serveur) exclusivement les URLs dont la synthaxe est strictement conforme a la politique de securite definie. Selon les modes de realisation et les variantes, au cours de I'etape 204 vent verifies tout ou partie des elements suivants de la requete: - la localisation de page, URL (pour "uniform resource locator"), individueliement ou dans un groupe d'URLs autorises, localisation comportant le repertoire du serveur web 40 concerne par la requete, - la longueur de la requete, - les parametres de la requete, en particulier dans le cas des pages dynamiques, et/ou - au moins une valeur de cookie de la requete, - le hostname (en francais nom d'hote). Au cours d'une etape 205, le procede et le dispositif objets de la presente invention verifient les paquets H1lP en fonction de la liste noire conservee en memoire du dispositif objet de la presente invention. La protection anti-intrusion de type liste noire est basee sur la reconnaissance d'une signature d'attaque conservee en memoire. Son utilisation par le procede et le dispositif objets de la presente invention permet une mise en oeuvre quasi instantanee de la protection ainsi qu'une parfaite tracabliite des tentatives d'attaque de type connu. Fonctionnant en coupure, le procede et le dispositif objets de la presente invention bloquent uniquement les requetes non autorisees ou interdites et ne provoquent aucun declenchement intempestif (cites "false positive" pour faussement positive). Le procede et le dispositif objets de la presente invention garantissent une analyse a 100 % des flux HTTP et H1PS. En mode "protected", seulement si la requete est validee, elle est transmise au serveur web 40, au cours d'une etape 206, sans que les instructions de la requete ne soient effectuees par le procede et le dispositif objets de la presente invention. Dans les modes de fonctionnement "learning" et "tracking", la requete est transmise au serveur web 40, au cours de 1'etape 206. Des qu'une attaque est detectee, au cours de l'une des etapes 203 a 205, dans les modes de fonctionnement "tracking" et "protected", le procede et le dispositif objets de la 9 2840487 presente invention informent l'administrateur du site web concerne (identifie dans l'URL) en consignant tous les parametres de l'attaque dans un fichier journal, au cours d'une etape 216. Pour repondre a l'attaquant ("hacker"), plusieurs options vent possibles: afficher une page d'erreur standard, afficher un message de mise en garde ou rediriger le hacker sur une machine "pot de miel" destinee a faire croire a i'attaquant qutil est sur le point de reussir sa tentative dtintrusion. Dans ce dernier cas, l'analyse des logs ffichiers de connexion) sur la machine "leurre" permet de mieux identifier l'origine des attaques. Au cours d'une etape 207, le serveur 40 repond a la requete qui lui a ete transmise, de maniere connue de l'homme du metier. Au cours d'une etape 208, le procede et le dispositif objets de la presente invention verifient l'en-tete de la reponse transmise par le serveur web 40 pour detecter et stopper (c'est-a-dire ne pas transmettre ou transmettre apres une modification de lten-tete destinee a faire croire au navigateur de l'attaquant qu'il s'ag it d'un autre seNeur web, par exemple un serveu r fonctionnant avec UN IX ou avec Windows, marque deposee) certaines reponses a des attaques. Dans une variante du procede et du dispositif objets de la presente invention, la verification d'integrite est effectuee pour chaque page statique specifiee par la politique de securite, au cours d'une etape 209. Cette verification d'integrite concerne la conformite des pages HTML transmises par le serveur web 40 avec des pages HTML conservees en memoire du procede et du dispositif objets de la presente invention. Des qu'une attaque est detectee, au cours de l'une des etapes 208 ou 209, dans les modes de fonctionnement "tracking" ou "protected", le procede et le dispositif objets de la presente invention informent l'administrateur du site web concerne (identifie dans l'URL), au cours d'une etape 216, en: - consignant tous les parametres de l'attaque dans un fichier journal, emettant un courrier electronique ("e-mail"), eventuellement sous forme d'un message court ("SMS") a l'administrateur, - emettant un message a l'administrateur de rbseau, conformement au protocole SNMP ("Simple Network Management Protocol" pour protocole de gestion de reseau simple). Au cours d'une etape 210, dans le mode de fonctionnement "learning", la liste blanche correspondent a chaque site protege est mise a jour automatiquement en fonction des requetes recues y compris les URLs autorisees, les groupes d'URLs autorises, les repertoires autorises, les longueurs de requetes autorisees, les parametres de pages dynamiques autorises et les valeurs de cookies autorisees. Au cours d'une etape 211, le procede et le dispositif objets de la presente invention encryptent les messages HTTP destines a etre encryptes et, au cours d'une etape 212, les 2840487 messages, HTTP ou HTTPS, vent transmis a l'utilisateur, selon le mode de fonctionnement utilise et le resultat des etapes 208 et 209. En mode "protected", seulement si la reponse est validee, elle est transmise a l'utilisateur, au cours d'une etape 212, sans que les instructions de la requete ne soient effectuees par le procede et le dispositif objets de la presente invention. Dans les modes de fonctionnement "learning" ou "tracking", la reponse est transmise a l'utilisateur, au cours de i'etape 212. Pour la mise en oeuvre de ltetape 205, le procede et le dispositif objets de la presente invention comparent des sequences de symboles des messages HTTP avec des sequences predeterminees cites "interdites" conservees en memoire. En variante, pendant ces etapes, le procede et le dispositif objets de la presente invention comparent des combinaisons de caracteres avec des combinaisons de caracteres conservees en memoire. A intervalle de temps regulier parametrable, par exemple une fois par jour, au cours d'une etape 213, les elements de la liste noire vent remis a jour automatiquement par acces a une base de donnees de sequences ou de combinaisons interdites. Pour la mise en oeuvre des etapes 204 et 209, le procede et le dispositif objets de la presente invention comparent les contenus des requetes HTTP avec des contenus autorises predetermines conserves en memoire. Grace a la mise en oeuvre de l'etape 210, le procede et le dispositif objets de la presente invention disposent d'une fonction d'autoapprentissage permettant de generer facilement tous les elements necessaires a la mise en oeuvre d'une politique de securite optimale. Grace a la mise en oeuvre des etapes 202 et 211, le procede et le dispositif objets de la presente invention reduisent considerablement la charge des serveurs web par utilisation d'un processus cryptographique specialise qui decrypte les requetes HTTPS et les transforment en requete H1 TP a destination des serveurs web et, inversement, re,coivent les messages HTTP des serveurs web destines a etre transformees en messages HTTPS et les encryptent. On observe que, grace a la mise en oeuvre desetapes 202 et 211, le procede et le dispositif objets de la presente invention protegent integralement les services en ligne contre toute attaque connue ou inconnue vehiculee dans des requetes HTTPS. A cet effet, le procede et le dispositif objets de la presente invention traitent le trafic crypte avec SSL par des fonctions logicielles specifiques pour ce trafic. En effet, les transactions SSL impliquent des operations complexes de cryptographic fortement consommatrices de ressources materielles. L'objet de la presente invention permet de reduire considerablement la charge des serveurs web par l'utilisation de processus cryptographiques specialises. Avec une gamme variant de 200 a 1200 TPS, ['objet de la presente invention permet de couvrir tous 1 1 2840487 les besoins en matiere d'optimisation de flux SSL. Un mode particulier de realisation integre des processeurs de cryptog raphic special ises pour u ne acceleration materiel le des transactions sous protocole de cryptage SSL. Ce mode particulier de realisation permet done de detecter les attaques faites sur le trafic crypte tout en augmentant les performances globales des services HTTPS. En mode non-transparent, I'administrateur reseau dirige, au cours d'une etape 215 le trafic HTTP(S) destines aux serveurs web 40 vers le dispositif objet de la presente invention qui se comporte comme un nocud IP classique. Les etapes 201 a 213 vent ensuite mises en oeuvre. En mode furtif (transparent), il suffit de disposer le dispositif objet de ia presente invention en coupure reseau (typiquement entre un coupe-feu et une baie de serveurs web) sans aucune autre modification sur ['architecture reseau ou sur son parametrage. On observe que, dans certains cas, I'architecture reseau peut necessiter qutun mode de realisation de ['objet de la presente invention fonctionne en mode non transparent. Typiquement, lorsque le serveur web a atteindre se situe dans le reseau prive de ltentreprise, on utilise ['objet de la presente invention en mode non transparent pour initialiser la connexion des internautes vers une zone protegee DMZ avant de rediriger le trafic a destination du serveur cible. Dans des modes de realisation particuliers, bases sur une redondance au moins partielle des moyens mis en oeuvre par la presente invention, le procede et le dispositif objets de la presente invention integrent un mecanisme de tolerance de pannes permettant d'assurer une totale disponibilite des services web meme en cas de defaillance materielle. On observe que, pour les services intranet, le procede et le dispositif objets de la presente invention permettent de s'affranchir d'un coupe-feu interne tout en fournissant un niveau de protection largement superieur a celui des coupe-feu. Avec son fonctionnement en mode furtif, I'objet de la presente invention reste totalement invisible dans ['architecture reseau et rend ainsi impossible une prise de son controle par ses interfaces de gestion de flux. D'autre part, I'objet de la presente invention ntaccepte que des paquets HTTP ou H1lPS mats, contrairement aux serveurs web, il n'execute pas leurs instructions. Ainsi, il est insensible a toute attaque ou vulnerabilite connue a ce jour. On observe que, lorsqu'il est parametre en mode non transparent, I'objet de la presente invention peut etre contourne par differentes techniques de hacking (DNS spoofing, ICMP Redirect,...) comme tout reverse proxy. Lorsqu'il est installe en coupure et parametre en mode furtif, il est strictement impossible de le contourner. C'est done dans ce mode que I'objet de la presente invention apporte une securite optimale avec une garantie d'analyse des flux de 100 %. 12 2840487 En mode furtif, I'objet de la presente invention ne dispose d'aucune adresse IP sur ses deux interfaces de gestion de flux. Dans ces conditions, il est totalement invisible sur le reseau et done indetectable par un eventuel attaquant. D'autre part, sa non- adressabilite IP lui confere la possibilite de s'integrer dans toute architecture reseau sans aucune modification sur les equipements existants Qirewall, routeurs, posses clients ou serveurs). Enfin, le mode furtif, contrairement au mode non transparent disponible sur la plupart des produits de type reverse proxy, permet de ne pas modifier l'adresse IP source des navigateurs. Les services offerts aux internautes (ou intranautes) vent done strictement identiques et les statistiques d'acces aux serveurs ne vent pas alterees. Le procede et le dispositif objets de la presente invention peuvent fonctionner en amont ou en aval d'un coupe feu. Le choix depend de ['architecture reseau et plus particulierement de la localisation des serveurs Web a proteger. Typiquement, si tous les serveurs Web a proteger vent sur un meme segment reseau, on installe le dispositif objet de ia presente invention entre le coupe feu et les serveurs Web. Si les serveurs Web vent dans des segments distincts, on installe le dispositif objet de la presente invention en amont du coupe feu afin de constituer un passage oblige pour atteindre n'importe quel des serveurs Web. Les figures 3A a 3C vent des chronogrammes exposant schematiquement des cycles de vie de vuinerabilites conformement a l'art anterieur et selon deux modes de fonctionnement du procede et du dispositif objets de la presente invention. Dans le cycle de vie de vulnerabilites de l'art anterieur, figure 3A, le niveau de securite, represente en ordonnee en fonction du temps, en abscisse, est initialement eleve lorsque toutes les mesures de securite vent a jour, puis decro^'t lorsqu'une vulnerabilite est decouverte par un attaquant, a partir de ['instant t1A, et continue a decro^'tre lorsque la vulnerabilite est exploitee par cet attaquant, a partir de ['instant t2A, le vendeur reagit a ['instant t3A ce qui a pour effet d'avertir tous les autres attaquants potentials de ['existence de la vulnerabilite et done de faire encore decro^'tre le niveau de securite. Enfin, a ['instant t4A, I'exploitant du service met a jour les mesures de securite, par exemple en telechargeant une mise a jour d'un logiciel ou d'une base de donnees de signatures d'attaques prenant en compte la vulnerabilite et restaure le haut niveau de securite. Dans le cycle de vie de vulnerabilites protegees par la seule etape 203 (liste noire), figure 3B, le niveau de securite, represente en ordonnee en fonction du temps, en abscisse, est initialement eleve lorsque toutes les mesures de securite vent a jour, puis decro'^t lorsqu'une vulnerabilite est decouverte par un aKaquant, a partir de ['instant t1 B. et continue a decro^'tre lorsque la vulnerabilite est exploitee par cet attaquant, a partir de ['instant t2B, la mise a jour automatique de la liste noire par le procede et le dispositif objets de la presente invention, etape 212, a ['instant t3B, met a jour les mesures de securite, par exemple en 13 2840487 telechargeant une mise a jour d'un logiciel ou d'une base de donnees de signatures d'attaques prenant en compte la vulnerabilite et restaure le haut niveau de securite. Dans le cycle de vie de vulnerabilites protegees par les etapes 203 (liste noire) et 204 (liste blanche), figure 3B, le niveau de securite, represente en ordonnee en fonction du temps, en abscisse, est initialement eleve lorsque toutes les mesures de securite vent a jour. Grace a la mise en oeuvre de ltetape 204, le niveau de securite ne decro^'t ni lorsqu'une vulnerabilite est decouverte par un attaquant, a partir de ['instant t1C, ni lorsque la vulnerabllite est exploitee par cet attaquant, a partir de ['instant t2C. De plus, la mise a jour automatique de la liste noire par le procede et le dispositif objets de la presente invention, etape 212, a ['instant t3C, met a jour les mesures de securite, par exemple en telechargeant une mise a jour d'un logiciel ou d'une base de donnees de signatures d'attaques prenant en compte la vulnerabilite et permet une tra,cabilite accrue des attaques exploitant cette la vulnerabilite. 14 2840487 REVENDICATIONS 1 - Procede de protection de service en ligne (40) sur un reseau informatique mettant en oeuvre un premier protocole de communication, caracterise en ce que ledit service en ligne conserve son adresse sur ledit reseau, independamment de la presence ou de ['absence de mise en oeuvre audit procede, et en ce qu'il comporte, pour chaque requete adressee audit service, une etape de verification de requete cite "sur liste blanche" (204) au cours de laquelle on verifie que ladite requete est explicitement autorisee en comparant au moins une partie de ladite requete avec un premier contenu predetermine d'une memoire et on transmet au service, sans les executer, les requetes explicitement autorisees. 2 - Procede selon la revendication 1, caracterisb en ce qu'il comporte, pour chaque requete chiffree selon un deuxieme protocole de communication, une etape de dechiffrement de ladite requete (202) preliminairement a l'etape de verification de ladite requete dechiffree. 3 - Procede selon l'une quelconque des revendications 1 ou 2, caracterise en ce qu'il comporte une etape de verification de requete cite "sur liste noire" (205) au cours de laquelle on verifie que ladite requete n'est pas explicitement interdite en comparant au moins une partie de ladite requete avec un deuxieme contenu predetermine de ladite memoire. 4 - Procede selon l'une quelconque des revendications 1 a 3, caracterise en ce qu'il comporte une etape d'auto-apprentissage au cours de laquelle la cartographic du service en ligne est memorisee dans le premier contenu de ladite memoire. - Procede selon l'une quelconque des revendications 1 a 4, caracterise en ce qutil comporte, pour chaque message transmis par ledit service, une etape de verification d'en- tete cite "sur liste blanche" (203) au cours de laquelle on verifie que ledit en-fete de message est explicitement autorise en comparant au moins une partie audit en-fete avec un quatrieme contenu predetermine de ladite memoire. 6 - Procede selon i'une quelconque des revendications 1 a 5, caracterise en ce qu'il comporte une etape de mise a jour automatique (210) d'au moins un contenu predetermine de ladite memoire. 7 - Procede selon i'une quelconque des revendications 1 a 6, caracterise en ce qu'il comporte, pour chaque page transmise par ledit service, une etape de verification d'integrite de page (209), au cours de laquelle on verifie que ladite page est explicitement autorisee en comparant ladite page avec un cinquieme contenu predetermine de ladite memoire. 8 - Procede selon l'une quelconque des revendications 1 a 7, caracterise en ce que, au cours de l'etape de verification de requete sur liste blanche (204), on compare la partie de localisation de page URL avec le premier contenu predetermine de ladite memoire qui represente des URLs autorisees, des groupes d'URLs autorises et/ou des repertoires autorises. 2840487 9 - PcAdA sen l'une queonque des mvendns 1 camdsA en ce que, au um de Fde -on de u sur li bnche -, on mpam longueur de quAt s pammms de la quA eu une vaur de cook de la quAte, aveo le pmler contenu pdAtermind de ladke mAmre qui mprAsente des longueum de requAtes, des paramAtms de requAte eVou des vaum de cooks autodsbes. - Dposk (30) de protelon de seice en lne 0) sur un seau inrmue meNant en u un pmier p=le de communlon, NsA en que ledR sposk ne dpose pas sdsse sur ledR rAsesu, que seice en lne consee son adsse sur dk seauJndApendamment de la prdsence ou de lbsence de me en oeuv duck dlsposltif, et en ce qu'il compode, un moyen de vArlflcation de quA1e dlte "sur liste blanche" adad, pour chaque quA1e adssde audk seice, vAhter que lad#e qudie est -lment autodsde en compamot au mns une pale de di que avec un pmler contenu pdAterminA une mAmm et kansmett au see, sans les exAcute s u_ lm ad_.