Brevet FR2887053A1 — publié le 20061215

SYSTEME DE DEFENSE UNIFIEE DE ZONE DE SECURITE D'INFORMATIONS DE RESEAU Domaine de l'invention La présente invention concerne un mécanisme de sécurité d'informations de réseau et plus particulièrement un système de défense unifiée de zone de sécurité d'informations de réseau comportant un serveur de défense de réseau pour surveiller les états de connexion au réseau d'ordinateurs d'utilisateurs dans un réseau et pour déconnecter du réseau un ordinateur d'utilisateur quand le serveur de défense de réseau détecte que l'ordinateur de l'utilisateur a un comportement anormal violant des règles du service d'accès au réseau, de façon à empêcher efficacement des virus provoquant un comportement anormal de continuer à s'étendre dans le réseau ou d'autres sous-systèmes du réseau. Arrière-plan de l'invention Actuellement, avec le développement rapide de l'Internet et du commerce électronique, les gens sont très optimistes sur les opportunités commerciales offertes par les réseaux. Toutefois, les utilisateurs privés ou professionnels, quand ils utilisent beaucoup les communications par réseau, doivent faire face à diverses menaces potentielles sur la sécurité du réseau telles qu'une dispersion de virus et une invasion par des pirates informatiques. Par exemple, avec les caractéristiques de système ouvert et de transmission commode de l'Internet, le but des attaques de certains pirates n'est pas d'envahir des systèmes informatiques de sociétés pour voler ou modifier des données de sites Web, mais de réaliser ce que l'on appelle une attaque par saturation (ou attaque DDoS - de l'anglais Distributed Denial of Service) en envoyant une grande quantité de paquets avec des adresses de sources fictives par l'intermédiaire de plusieurs ordinateurs répartis en divers emplacements. Ainsi, le serveur du réseau des victimes est paralysé et ne peut pas fournir les services normaux en raison du fait que le taux de connexion normal chute en dessous de 1 Pour paralyser un ou plusieurs sites cible, les attaques DDoS envoient simultanément une quantité massive de données qui est bien supérieure à la charge que le réseau ou les ordinateurs attaqués peuvent traiter, plutôt que d'interrompre le programme d'exploitation du serveur de réseau attaqué. Ainsi, les attaques DDoS impliquent de commencer simultanément les attaques par saturation sur plusieurs ensembles d'ordinateurs du réseau par une technique de sources réparties de réseau, de sorte que le serveur de réseau attaqué doit faire face à des ennemis provenant, par le réseau, de plusieurs centaines d'ordinateurs. En conséquence, une attaque DDoS nécessite que plusieurs ordinateurs agissent comme des démons. Les démons visent simultanément une cible pour commencer une attaque de paralysie si le pirate envoie un ordre d'attaque. Avant de commencer secrètement une attaque DDoS, les pirates doivent obtenir de façon illégale des mots de passe d'ordinateurs spécifiques en les volant ou par espionnage puis prendre le contrôle des ordinateurs et les amener à fonctionner en maîtres. Dans l'intervalle, les pirates placent un programme d'arrière-plan dans les maîtres envahis puis commencent à essayer d'envahir plusieurs ordinateurs du réseau par l'intermédiaire du programme d'arrière-plan installé dans les maîtres pour obtenir que suffisamment d'ordinateurs agissent comme des démons. Enfin, les pirates placent un programme maître d'attaque dans les ordinateurs maître pour ordonner aux démons de commencer simultanément les attaques DDoS et également mettent un programme d'attaque dans les démons pour exécuter l'attaque paralysante. De façon générale, le procédé d'attaque DDoS utilise essentiellement la vulnérabilité dans le mode requête et réponse du protocole de communication TCP/IP pour mettre en oeuvre l'attaque. Dans un système en réseau typique, les deux parties en communication s'envoient habituellement un paquet de requête pour assurer une connexion convenable pour leurs communications et attendent d'acquérir un paquet de réponse correct en provenance de l'autre partie. Une connexion convenable est assurée si la partie répondante envoie un paquet de réponse correct en réponse. Par exemple, si la partie A est connectée pour comuniquer avec la partie B selon le protocole de communication TCP/IP, alors la partie A enverra un paquet SYN à la partie B. La partie B répondra à la partie A par un paquet SYN-ACK à condition que la partie B ait reçu le paquet de requête. De façon similaire, la partie A enverra un paquet ACK à la partie B pour confir- mation. Après achèvement de ce processus, la connexion entre les parties A et B est assurée pour la transmission de données. Dans le mode de communication susmentionné, un pirate peut tenter de produire la quantité de paquets SYN vers un ordinateur spécifique sur le réseau sans renvoyer le paquet ACK à cet ordi- nateur, de sorte que l'ordinateur ou le réseau cible attaqué sera ralenti ou mis en défaut puisqu'il ne peut traiter la quantité de paquets pourris produits ou fabriqués par le pirate. Pour éviter efficacement une attaque DDoS, les administrateurs du système doivent trouver l'ordinateur du réseau sur lequel on a installé un programme d'attaque résident permanent avant de pouvoir résoudre la menace des attaques DDoS. Actuellement, il y a plusieurs outils pour détecter des pro-grammes d'attaque résidents permanents. Par exemple, dans un système d'exploitation Windows, le programme "Internet Scanner 6. 01" et le programme "RealSecure 3.2.1" de Ils peuvent être utilisés pour l'analyse, le premier pouvant analyser par exemple le programme d'attaque résident permanent de réseau "TribeFlood" et aider à trouver la vulnérabilité du site Web pour empêcher le site de devenir un serveur pour des pirates pour mettre en oeuvre l'attaque DDoS, et le deuxième pouvant détecter la communication entre le maître et le démon du DDoS et empêcher efficacement un pirate de commencer l'attaque DDoS. En outre, le NIPC anglais a également développé un programme pour découvrir une attaque DDoS et ce programme permet aux administrateurs de sys- tème de tester leurs systèmes et de vérifier si un programme similaire à un programme d'attaque DDoS est installé ou non. Enfin, les administrateurs de système peuvent surveiller leurs ordinateurs ou routeurs et éliminer tout paquet anormal avec des adresses de source IP fictives telles que 10. 0.0.0/8, 172.16.0.0/12 et 192.168.0.0/16 ou fermer tous les accès de service qui ne sont pas requis par l'ordinateur du réseau. Dans l'intervalle, l'administrateur du système peut également établir une liste d'inscription possible sur l'ordinateur ou le routeur du réseau pour empêcher des invasions. Toutefois, la plupart des administrateurs de système ne peuvent pas protéger leurs systèmes en raison du fait que les attaques démarrent de façon interne. La seule chose que l'administrateur du système peut faire est de prendre des actions curatives après l'apparition d'attaques. Toutefois, il est alors trop tard. En fait, un mécanisme de sécurité de réseau est établi pour découvrir et arrêter automatiquement tout fonctionnement anormal du réseau par un mécanisme automatique pour éviter de façon efficace et à temps toute attaque maligne ou endommagement sérieux qui peut paralyser le réseau. Par exemple, l'administrateur du système peut établir une liste noire pour l'accès et le service du réseau. Actuellement, il existe de nombreux serveurs de réseau tels que des commutateurs et des moyens de sécurité de réseau comprenant des pare-feux ou analogue qui constituent un mécanisme pour surveiller le débit dans un réseau et contrôler l'accès au réseau. Toutefois, il manque à ces serveurs de réseau un mécanisme interactif et ils ne peuvent être connectés à temps au système et sont ainsi incapables d'éviter efficacement des attaques malignes sur le réseau. Actuellement, les techniques de commande et de gestion de connexion à un réseau surveillent seulement un paquet anormal ou une connexion violant les règles du réseau pour refuser un service quand le paquet passe par les serveurs de sécurité du réseau, mais elles ne peuvent pas détecter une circulation qui ne passe pas par le serveur de sécurité du réseau et ne peuvent effectivement refuser la connexion au réseau de l'ordinateur d'un utilisateur. Si des attaques de réseau continues ou en grand nombre ou des accès anormaux au réseau se produisent, l'administrateur du réseau continuera à traiter les accès et les services de réseau refusés et deviendra très occupé. En outre, l'administrateur de réseau peut faire peu attention à prendre soin efficacement et en temps voulu des attaques malignes du réseau. En conséquence, une approche consiste à connecter un commutateur de réseau par l'intermédiaire d'un ordinateur de gestion de réseau et à changer manuellement les réglages du commutateur pour déconnecter le réseau de l'ordinateur de l'utilisateur. Cet agencement ne peut assurer efficacement et à temps une fonction de protection active et entraîne généralement des endommagements sérieux. Comme l'illustre à titre d'exemple la figure 1, un réseau Internet classique comprend un ordinateur de gestion de réseau 11, un serveur de défense du réseau 20, une pluralité de commutateurs de réseau 30, 31, 40, 41 pour diverses parties A, B et C du réseau, plusieurs serveurs 50 connectés au serveur de défense de réseau 20 et plusieurs ordinateurs d'utilisateurs 10, 12 connectés au commutateur de réseau 31. Pour illustrer la description précédente, le système de réseau prendra des actions suivantes et mettra en oeuvre le procédé suivant quand il rencontrera une attaque de virus. (1) Un ordinateur d'utilisateur 10 (d'adresse IP 192.168.1.2) est infecté par un virus ver, ou WORM, (WORM MSBLAST.A) et commence à envoyer la quantité de paquets TCP SYN (accès DST: 135) et balaye tous les ordinateurs du réseau dans lesquels est installé un système d'exploitation Windows, et puis disperse le virus vers ces ordinateurs en raison de la vulnérabilité au dépassement RPC DCOM du système d'exploitation Windows. (2) Si les paquets TCP SYN (accès DST: 135) passent par un serveur de défense de réseau 20 et que l'administrateur de réseau a parachevé le montage de sécurité sur le serveur de défense de réseau 20, alors les paquets TCP SYNC (accès DST: 135) seront bloqués avec succès et les paquets ne seront pas envoyés vers les sous-ensembles B et C du réseau. Si l'administrateur de réseau a démarré une alerte appropriée et un réglage d'enregistrement pour le serveur de défense de réseau 20, alors l'administrateur de réseau doit installer à nouveau le serveur de défense de réseau 20 pour vérifier l'enregistrement Log (inscription) pour analyser les ordinateurs et vérifier s'il y a un comportement anormal d'un ordinateur d'utilisateur tel que l'envoi d'une grande quantité de paquets TCP SYN (accès DST: 135). (3) Puisque les commutateurs de réseau 30 et 31 tels que représentés en figure 1 appartiennent au même sous ensemble A du réseau, le serveur de défense de réseau 20 ne peut pas fournir les paquets TCP SYN (accès DST: 135) à partir de l'ordinateur dans le même sous-réseau du réseau pour réaliser le blocage et en conséquence le sous-réseau A du réseau est connecté aux commutateurs de réseau 30, 31 et a la même vulnérabilité aux autres ordinateurs d'utilisateurs 12, qui peuvent être affectés par le virus et l'attaque DDoS. (4) En conséquence l'administrateur de réseau doit utiliser un ordinateur de gestion de réseau 11 pour parachever l'analyse d'alerte et traiter l'enregistrement comme cela est décrit à l'étape (2) pour s'assurer que l'ordinateur attaqué 10 est connecté au réseau par l'intermédiaire du commutateur de réseau 31 et alors l'ordinateur de gestion de réseau 11 est connecté au commutateur de réseau 31 pour établir un refus de service du réseau pour l'ordinateur 10. Toutefois, réaliser le processus de refus de service prend longtemps et le virus peut s'être déjà répandu vers d'autres ordinateurs des sous-réseaux A, B et C du réseau. Au vu de la description qui précède, les serveurs classiques de défense de réseau manquent d'un mécanisme interactif et ne peuvent donc se connecter à temps les uns aux autres pour empêcher efficacement une attaque maligne sur le réseau. C'est un objet important pour les compagnies de gestion de réseau de trouver une façon d'intégrer les serveurs de défense de réseau de sorte que, tant qu'un ordinateur d'utilisateur découvre un réseau anormal, l'ordinateur d'utilisateur peut déconnecter à temps la source et interrompre le service de connexion au réseau de l'ordinateur d'utilisateur, de façon à éviter d'autres endom- magements par le virus du même sous-réseau ou d'un autre sous-réseau du réseau ainsi que pour empêcher un démarrage d'attaque DDoS qui paralyserait le serveur du réseau. RESUME DE L'INVENTION En raison du fait que les techniques de commande de connexion de réseau de l'art antérieur recherchent seulement un paquet anormal ou l'établissement d'une saturation pour un débit sur le réseau qui viole la politique du réseau, mais ne peuvent pas déconnecter automatiquement et à temps le réseau anormal en fonction de la source, le présent inventeur, sur la base d'années d'expérience dans le développement des applications et des systèmes de réseau a effectué des recherches et des expériences intensives sur les caractéristiques et procédés de dispersion de virus pour paralyser des sites et a finalement proposé un système de défense unifiée de zone de sécurité d'informations de réseau selon la présente invention. Ainsi, l'un des objets de l'invention est de détecter un état de connexion de réseau par l'intermédiaire d'un serveur de défense de réseau. Une fois que le serveur de défense de réseau a détecté un ordinateur d'utilisateur du réseau qui a un comportement anormal violant les règles de service d'accès au réseau, le serveur de défense de réseau empêche immédiatement la connexion anormale en connectant automatiquement au commutateur de réseau fournissant les connexions de réseau pour les ordinateurs d'utilisateur, en commandant le commutateur de réseau pour déconnecter la connexion de réseau de l'ordinateur d'utilisateur et en refusant rapidement les services à l'ordinateur d'utilisateur envoyant des paquets malins ou violant la politique d'accès au réseau, de façon à empêcher efficacement des virus ou un pirate de continuer de se répandre dans le réseau ou des sous- réseaux du réseau, et en outre à empêcher le virus d'initier une attaque DDoS ou de paralyser le serveur du réseau, réduisant ainsi beaucoup les dommages et les pertes sur le système de réseau. Un autre objet de la présente invention est de prévoir un serveur de défense de réseau qui envoie une commande d'interruption en fonction d'au moins une condition critique et l'administrateur de réseau n'a pas besoin de perdre du temps à trouver l'ordinateur infecté. Après avoir localisé l'ordinateur infecté, l'administrateur de réseau ne doit pas appliquer manuellement un ordre de refus de service pour déconnecter la connexion au réseau de l'ordinateur infecté ainsi que ses conunutateurs de réseau connectés, réduisant ainsi beaucoup les services de maintenance et le temps requis pour la gestion du réseau. Un autre objet de la présente invention est d'utiliser le protocole de gestion de réseau simple (Simple Network Management Protocol ou SNMP) pour ajouter une nouvelle fonction à un serveur de défense de réseau et définir les conditions pour initier la défense unifiée de zone de réseau par l'administrateur de réseau. Une fois qu'un ordinateur d'utilisateur fournit des paquets d'un flux qui déclenche de telles conditions, le serveur de défense de réseau utilise le SNMP pour envoyer un ordre de refus de service au commutateur de réseau, de sorte que, après que le commutateur de réseau a reçu l'ordre de refus de service du réseau, l'établissement de l'ordre de refus de service du réseau est parachevé immédiatement, de façon à interrompre le service d'accès au réseau de l'ordinateur d'utilisateur, et à renvoyer un paquet de réponse au serveur de défense de réseau pour confirmer le succès de l'interruption du service d'accès au réseau fournie par le commutateur de réseau de l'ordinateur d'utilisateur. Brève description des dessins Ces objets, caractéristiques et avantages, ainsi que d'autres de la présente invention seront exposés en détail dans la description suivante de modes de réalisation particuliers faite à titre non-limitatif en relation avec les figures jointes parmi lesquelles: la figure 1 est une vue schématique de la connexion d'un système de réseau selon l'art antérieur; la figure 2 est un organigramme d'un serveur de 15 défense de réseau selon un mode de réalisation préféré de la présente invention; et la figure 3 est une vue schématique de la connexion d'un système de réseau selon un mode de réalisation préféré de l'invention. Description détaillée des modes de réalisation préférés La présente invention concerne un système de défense unifiée de zone de sécurité d'informations de réseau qui utilise un protocole de gestion de réseau simple (SNMP) pour vérifier un état de connexion au réseau d'un serveur de défense de réseau, tel qu'un pare-feu, un gestionnaire de largeur de bande, un système anti-intrusion (IDS) ou un analyseur de flux pour ajouter une fonction et définir les conditions d'initialisation d'une défense unifiée de zone requise par l'administrateur de réseau pour le réseau. Une fois que l'une des conditions au moins est déclenchée par exemple par la quantité de paquets envoyés par un ordinateur d'utilisateur, le serveur de défense de réseau se connectera immédiatement et automatiquement à un ou plusieurs des commutateurs de réseau et le SNMP sera utilisé pour envoyer un ordre de refus de service au commutateur de réseau de façon à réaliser immédiatement l'établissement de l'interruption pour le service d'accès au réseau de l'ordinateur d'utilisateur après que le commutateur de réseau a reçu l'ordre de refus de service, à interrompre le service d'accès au réseau de l'ordinateur d'utilisateur et à empêcher efficacement le virus de se répandre vers d'autres sous-réseaux du réseau. Un tel agencement empêche en outre le virus d'initier une attaque DDoS ou de paralyser le serveur du réseau, ce qui réduit les endommagements et les pertes sur le système de réseau. Dans l'intervalle, le commutateur de réseau renvoie un paquet de réponse au serveur de défense de réseau pour confirmer un succès d'interruption du service d'accès au réseau fourni par le commutateur de réseau de l'ordinateur d'utilisateur. On notera que l'utilisation du SNMP pour définir les règles et produire un ordre d'interruption est une caractéris- tique avantageuse et préférée de la présente invention, puisque le SNMP appartient à un type de protocole de commande de transmission (TCP) ou protocole Internet (IP) et a été largement utilisé et est installé sur divers dispositifs ou systèmes de réseau actuels tels que des pare-feux, des gestionnaires de largeur de bande, des systèmes anti-intrusion, des analyseurs de débit, etc. Avec l'utilisation du SNMP, le système de défense unifiée de zone selon la présente invention est facilement appliqué à des dispositifs ou systèmes de réseau existants sans modifier le matériel et sans problèmes de compatibilité. Toutefois, l'utilisation du SNMP n'est pas une limitation de la présente invention. De nombreuses modifications et variantes peuvent être apportées par l'homme de l'art sans sortir du domaine de l'invention. En outre, les raisons qui amènent les ordinateurs d'utilisateurs susmentionnés à avoir des comportements anormaux se réfèrent généralement à divers comportements anormaux non observables par les utilisateurs, non autorisés par les utilisateurs, menaçant ou paralysant le fonctionnement normal de la communication en réseau de l'ordinateur d'utilisateur, ou provoqués par divers pirates ou virus; toutefois, l'invention n'est pas limitée à ces exemples. En outre, l'attaque et la menace peuvent prendre diverses formes telles que des attaques de débordement de tampon, des attaques de balayage d'accès, des attaques de cheval de Troie, des attaques de fragmentation d'IP, des attaques en ver (WORM), et des attaques de vulnérabilité de systèmes et d'application. Ainsi, les comportements anormaux ne sont pas limités aux seules attaques DDoS susmentionnées. Quand le système selon la présente invention est mis en oeuvre, une fonction supplémentaire dans le serveur de défense de réseau du système de réseau permet à l'administrateur de réseau de définir les conditions de départ de la défense unifiée de zone de réseau. Ainsi, comme l'illustre la figure 2, le serveur de défense de réseau met en oeuvre le processus suivant pour détecter la violation d'une règle de service d'accès au réseau ou le déclenchement des conditions de la défense unifiée de zone de réseau par un ou plusieurs ordinateurs d'utilisateurs et pour interrompre en outre les services d'accès au réseau. Le processus inclut les étapes suivantes: étape (50) : détecter les données en paquets passant par le serveur de défense de réseau; étape (51) : analyser les données en paquets détectées pour déterminer si l'un des ordinateurs d'utilisateur déclenche ou non les conditions de la défense unifiée de zone de réseau, telles que le fait que l'on atteint une condition critique prédéterminée, incluant par exemple une quantité de paquets ou une largeur de bande; si oui passer à l'étape suivante, si non revenir à l'étape (50) ; étape (52) : lire l'adresse IP de l'ordinateur d'utilisateur qui déclenche la défense unifiée de zone de réseau ou viole 30 la règle de service d'accès au réseau; étape (53) : utiliser le SNMP pour envoyer un ordre de refus de service de réseau à un ou plusieurs commutateurs du réseau, une fois que le commutateur de réseau reçoit l'ordre de refus de service de réseau, le commutateur de réseau établit 35 une interruption du service d'accès au réseau de l'ordi-nateur d'utilisateur et bloque alors le service d'accès au réseau de l'ordinateur d'utilisateur pour empêcher efficace-ment le virus de se répandre vers d'autres sous-réseaux du réseau. Pour décrire le concept et les performances de la présente invention, un mode de réalisation préféré est illustré à titre d'exemple en figure 3. Une fois que le système de réseau est infecté par un virus, le système de défense unifiée de zone de sécurité d'informations de réseau selon la présente invention met en oeuvre le processus suivant. (1) Dans un système de réseau, un ordinateur d'utilisateur 60 ayant l'adresse 192.168.1.2 est affecté par un virus en ver (WORM MSBLAST. A) et commence à envoyer une grande quantité de paquets TCP SYN (accès DST: 135). Après balayage des autres ordinateurs dans lesquels le système d'exploitation Windows est installé et qui sont connectés au réseau, le virus se répand et lance l'attaque DDoS par suite de la vulnérabilité au débordement RPC DCOM du système d'exploitation Windows. (2) Quand les paquets TCP SYN (accès DST 135) passent par un serveur de défense de réseau 70 dans lequel les conditions de déclenchement de défense unifiée de zone de réseau sont préétablies ou préfinies, par exemple éviter des attaques IDS, des adresses Http/Ftp ou une limite de dépassement, une limite de nombre de connexions d'utilisateur au réseau, etc., le serveur de défense de réseau 70 continue à surveiller le débit de paquets du réseau et analyse en outre si l'ordinateur d'utilisateur exécute ou non une transmission anormale d'une grande quantité de paquets TCP SYN (accès DST: 135). (3) Si le serveur de défense de réseau 70 détecte un comportement anormal d'un ordinateur d'utilisateur 60, tel que l'envoi d'une grande quantité de paquets TCP SYN (accès DST: 135), il lira l'adresse IP de l'ordinateur d'utilisateur 60 qui viole la règle de service d'accès au réseau et, en fonction de l'adresse IP de l'ordinateur d'utilisateur 60, connectera auto- matiquement le commutateur de réseau 80 ou d'autres commutateurs de réseau prédéfinis ou préaffectés pour envoyer un ordre de refus de service de réseau (tel que refuser (192.168.1.2) tout TCP 137)). (4) Le commutateur de réseau 80 établit une inter- ruption en relation avec l'ordre de refus de service de réseau puis interrompt immédiatement le service d'accès au réseau pour l'ordinateur d'utilisateur 60, de sorte que l'ordinateur d'utilisateur 60 d'adresse IP 192.168.1.2 est bloqué en la durée la plus courte possible pour empêcher les paquets du réseau d'entrer dans l'ensemble du réseau. Ainsi, on empêche efficacement le virus de se répandre sur tous les autres ordinateurs d'utilisateurs (non représentés dans la figure) du même sous-réseau du réseau, d'autres ordinateurs d'utilisateur sur le serveur de commutation du même sousréseau ou d'autres ordina- teurs d'utilisateurs (non représentés dans la figure) d'autres sous-réseaux du réseau. Dans le mode de réalisation préféré susmentionné, sans limitation, l'adresse IP du serveur de défense de réseau 70 peut être 192.168.1.1 et l'adresse IP du commutateur de réseau 80 est 192.168.1.250. Une fois que le serveur de défense de réseau 70 détecte que l'ordinateur d'utilisateur 60 envoie une grande quantité de paquets TCP SYN (accès DST: 135) anormaux, il peut envoyer une requête d'établissement incluant le contenu ci-après par l'intermédiaire du SNMP selon l'adresse IP de l'ordinateur d'utilisateur pour informer le commutateur de réseau 80 d'inter-rompre le service d'accès au réseau pour l'ordinateur d'utilisateur 60 d'adresse IP 192.168.1.2. où le commutateur de réseau 80 est un commutateur produit par la société D-Link (D-Link est une marque déposée de la société 35 D-Link) et son objet MIB 171.12.9.2.2.1.4.2.1 est une liste de IP: Adresse Source = [192. 168.1.1] IP: Adresse Destination = [192.168.1.250] SNMP: Commande = Requête Set (établissement) SNMP: Objet = {1.3.6.1.4.1.171.12.9.2.2.1.4.2. 1} SNMP: Valeur = [192.168.1.2] commande d'accès (ACL) acceptable par le serveur (ce paramètre MIB varie selon le modèle et la marque du commutateur) et le numéro du système est 9.2.2.1.4.2.1. Le serveur de défense de réseau 70 envoie une commande d'interruption de service d'accès au réseau de l'ordinateur d'utilisateur 60 ayant l'adresse IP 192. 168.1.2 à l'adresse MIB dans le commutateur D-Link par l'intermédiaire du SNMP. Après que le commutateur de réseau 80 a reçu la commande de refus de service de réseau et que l'opération est achevée, le commutateur de réseau 80 répond par un paquet de réponse (Get réponse) incluant le contenu suivant pour le serveur de défense de réseau 70 pour informer le serveur de défense de réseau 70 que le service d'accès au réseau de l'ordinateur d'utilisateur 60 ayant l'adresse 192.168.1.2 dans le commutateur de réseau 80 est bloqué avec succès: IP: Adresse source = [192.168.1.250] IP: Adresse source = [192.168.1.1] SNMP: Commande = Get Réponse (obtenir réponse) SNMP: Objet = {1.3.6.1.4.1.171.12.9.2.2.1.4.2.1} SNMP: Valeur = [192.168.1.2] Au vu de la description précédente, la présente invention pilote un serveur de défense de réseau dans le système de réseau pour détecter automatiquement les paquets de réseau passant au travers. Si la quantité ou le débit de paquets d'un ordinateur d'utilisateur déclenche une défense unifiée de zone de réseau, alors un ordre de refus de service de réseau est automatiquement envoyé à un commutateur de réseau spécifiéet/ou à d'autres commutateurs pour interrompre inunédiatement la connexion au réseau de l'ordinateur d'utilisateur, et bloquer rapidement la connexion normale au réseau et réduire ainsi beaucoup les endommagements et les pertes provoqués par les comportements anormaux au système de réseau, de façon à augmenter efficacement les performances du réseau. Ainsi, il n'est pas nécessaire que l'administrateur de réseau perde du temps à trouver l'ordinateur infecté. En outre, il n'est également pas nécessaire que l'administrateur de réseau fournisse manuellement un ordre de refus de service de réseau pour l'ordinateur infecté. En conséquence, le service de réseau à la frontière du réseau (qui est également la plus proche de l'ordinateur infecté) est interrompu ce qui réduit beaucoup la maintenance et le temps requis pour la gestion du réseau. Bien que la présente invention ait été décrite en relation avec des modes de réalisation particuliers, de nombreuses modifications et variantes apparaîtront à l'homme de l'art. REVENDICATIONS 1. Système de défense unifiée de zone de sécurité d'information de réseau surveillant l'état de connexion d'un sous système de réseau par un serveur de défense de réseau (70), dans lequel, une fois que le serveur de défense de réseau a détecté qu'un ordinateur d'utilisateur (60) du système de réseau déclenche la condition d'une défense unifiée de zone de réseau, le serveur de défense de réseau se connecte immédiatement et automatiquement à un commutateur de réseau (80) spécifié de sorte que le commutateur de réseau spécifié interrompt un service d'accès au réseau fourni à l'ordinateur d'utilisateur. 2. Système selon la revendication 1, dans lequel le serveur de défense de réseau est un pare-feu, un gestionnaire de largeur de bande, un système anti-intrusion ou un analyseur de débit. 3. Système selon la revendication 2, dans lequel le serveur de défense de réseau inclut un mécanisme pour définir les règles du service d'accès au réseau autorisées par l'administrateur de réseau et les conditions de déclenchement de la défense unifiée de zone de réseau. 4. Système selon la revendication 1, dans lequel, quand le serveur de défense de réseau détecte un comportement anormal de l'ordinateur d'utilisateur dans le système de réseau qui viole une règle de service d'accès au réseau, le système connecte immédiatement et automatiquement le serveur de défense 25 de réseau au commutateur de réseau spécifié et permet au commutateur de réseau spécifié d'interrompre le service d'accès au réseau fourni à l'ordinateur d'utilisateur. 5. Système selon la revendication 1, dans lequel le serveur de défense de réseau utilise un protocole de gestion de réseau simple (SNMP) pour envoyer un ordre de refus de service au commutateur de réseau spécifié pour interrompre le service d'accès au réseau fourni à l'ordinateur d'utilisateur. 6. Système selon la revendication 5, dans lequel, une fois que le commutateur de réseau spécifié a reçu l'ordre de 20 refus de service de réseau, le commutateur de réseau spécifié établit une interruption puis bloque le service d'accès au réseau fourni par le commutateur de réseau en fonction de l'interruption. 7. Procédé de commande d'un service de réseau comprenant les étapes suivantes: détecter (50) des données en paquets obtenues à partir d'un ordinateur d'utilisateur; déterminer (51) si des données en paquets satisfont ou 10 non à au moins une règle de service de réseau; et envoyer un ordre d'interruption à un serveur de commutation spécifié pour exécuter la commande d'interruption pour arrêter la transmission des données en paquets de l'ordinateur d'utilisateur à la condition que les données en paquets de l'ordinateur d'utilisateur satisfont à au moins une des règles de service de réseau. 8. Procédé de commande d'un service de réseau selon la revendication 7, dans lequel l'étape d'envoi comprend l'utilisation d'un protocole de gestion de réseau simple (SNMP) pour envoyer la commande d'interruption. 9. Procédé de commande d'un service de réseau selon la revendication 7, comprenant en outre le préétablissement des règles du service de réseau. 10. Procédé de commande d'un service de réseau selon la revendication 9, dans lequel l'étape de détermination comprend la comparaison d'une quantité de paquets des données en paquets de l'ordinateur d'utilisateur avec la règle de service du réseau. 11. Procédé de commande d'un service de réseau selon 30 la revendication 7, comprenant en outre le préétablissement des serveurs de commutation spécifiés. 12. Serveur de défense pour la sécurité d'un réseau, comprenant: un moyen d'établissement pour établir au moins l'une des règles de service du réseau et au moins l'un des serveurs de commutation spécifiés; un moyen de défense pour détecter des données en 5 paquets d'un ordinateur d'utilisateur; un moyen d'analyse pour comparer la règle de service de réseau aux données en paquets de l'ordinateur d'utilisateur; et un moyen de sécurité pour envoyer une commande d'inter- ruption pilotée par un résultat de comparaison, la commande d'interruption étant exécutée par le serveur de commutation spécifié pour bloquer l'émission des données en paquets de l'ordinateur d'utilisateur. 13. Serveur de défense pour la sécurité d'un réseau selon la revendication 12, dans lequel le moyen de sécurité utilise un protocole de gestion de réseau simple (SNMP) pour envoyer la commande d'interruption. 14. Serveur de défense pour la sécurité d'un réseau selon la revendication 12, dans lequel le moyen de défense est un pare-feu, un gestionnaire de largeur de bande, un système anti-intrusion ou un analyseur de débit. 15. Serveur de défense pour la sécurité d'un réseau selon la revendication 12, dans lequel le moyen d'analyse comprend un mécanisme pour définir les règles du service d'accès au réseau autorisées par l'administrateur de réseau et les conditions de déclenchement de la défense unifiée de zone de réseau.