Brevet FR2887384A1 — publié le 20061222

Procédé et système pour protéger un système d'information constitué autour d'un réseau local La présente invention est relative à un procédé pour protéger un système d'information constitué autour d'un réseau local. connecté. Elle vise également un système de protection mettant en oeuvre ce procédé. Le domaine de l'invention est celui de la protection des systèmes d'information et des réseaux locaux informatiques particulièrement exposés à différentes menaces telles que la propagation de vers et de virus. Lorsqu'un poste de travail contaminé par un ver est connecté sur le réseau local d'une entreprise, la quasi-totalité des autres postes de travail se trouvent contaminés en l'espace de quelques secondes, et les coûts liés à leur réinstallation et au temps d'indisponibilité sont très élevés. Des solutions de type pare-feu (firewalls) pour postes de travail, ayant pour but de protéger contre ce fléau existent, mais sont très mal adaptées aux réseaux d'entreprise à cause de la diversité des flux à prendre en compte, et de la diversité des besoins utilisateurs qui rend la tâche de l'administrateur très compliquée surtout lorsqu'il s'agit de se déplacer sur les postes de travail pour adapter les configurations aux besoins quotidiens. Des solutions de type pare-feu (firewalls) centralisés mettant en oeuvre des la méthode des VLAN et permettent d'isoler chaque poste utilisateur dans un réseau dédié pour confiner les risques, mais la totalité des flux du réseau local de l'entreprise transitent à travers ce firewall qui devient un véritable goulot d'étranglement même sur de petits réseaux de quelques dizaines de postes et de quelques serveurs. De nouveaux équipements de type pare-feu (firewalls) dotés de nombreux ports font leur apparition dans le but de réaliser un compromis entre la qualité du filtrage et les performances, et permettent de cloisonner des groupes de postes utilisateur avec une faible dégradation des performances tout en déclinant des zones sacrifiables sur le réseau. Il en résulte que les accès aux serveurs restent performants, mais que l'apparition d'un ver dans une zone peut tout de même rendre la totalité des postes connectés dans cette dernière hors d'usage. Il existe ainsi des besoins de sécurité interne des entreprises, notamment pour les raisons suivantes: - les vers circulent directement de poste à poste sur le réseau local alors que ces postes de travail n'ont jamais besoin de pouvoir communiquer en direct sauf en de très rares exceptions (ex: partages de fichiers, partages d'imprimantes,...) ; - le parc de postes utilisateurs est très difficile à maintenir dans un état connu et homogène de configuration logicielle, surtout du fait du fort volume de mises à jour hebdomadaires à effectuer, de la mobilité croissante des utilisateurs, et de la rapide obsolescence des versions de logiciels, dont la pérennité est largement inférieure au temps d'amortissement du matériel; - les accès aux serveurs de fichiers et aux services internes, tels que la messagerie, doivent être les plus rapides et les plus fiables possibles, en particulier lors de l'arrivée massive des utilisateurs le matin. Le but de la présente invention est d'atteindre simultanément ces trois objectifs en proposant un procédé pour protéger un système d'information comprenant une pluralité de postes de travail et des équipements serveurs communiquant via un réseau local (LAN). Suivant l'invention, ce procédé comprend: - une fourniture d'un routage statique pour chaque poste, de façon à effectuer un blocage partiel ou total de toute communication de poste à poste, - une identification, selon des critères prédéterminés, de flux issus desdits postes de travail, notamment des flux entre des postes de travail et des équipements serveurs, lesdits flux ainsi identifiés étant transmis sans traitements, et - un contrôle des autres flux à travers des moyens de filtrage. Le routage statique peut être avantageusement réalisé par la fourniture à chaque poste de travail d'un masque de sous-réseau et d'une table de routage spécifiant pour ledit poste de travail les équipements qui lui sont accessibles. Le procédé de protection selon l'invention est de préférence implémenté au sein d'un serveur DHCP relié au réseau local. 2887384 -3- Lorsque le procédé selon l'invention est mis en oeuvre dans un réseau local basé sur le protocole IP (Internet Protocol), le masque de sous-réseau fourni à chaque poste de travail est par exemple un masque de sous-réseau 32 bits (255.255.255.255). Une implémentation de ce procédé de protection peut en outre avantageusement comprendre, à la suite d'une analyse des flux d'information, un déclenchement d'actions de protection du réseau local et d'alertes, lesquelles peuvent être par exemple initiées en réponse à une détection d'un dépassement d' un seuil d'anomalie. Suivant un autre aspect de l'invention, il est proposé un système pour protéger un système d'information comprenant une pluralité de postes de travail et des équipements serveurs communiquant via un réseau local (LAN) , mettant en oeuvre le procédé selon l'invention, caractérisé en ce qu'il comprend: - des moyens pour bloquer au moins partiellement toute communication de poste à poste, - des moyens pour analyser des flux d'information au sein dudit réseau local, agencés pour identifier des flux critiques, notamment des flux entre des postes de travail et des équipements serveurs, lesdits flux critiques pouvant ensuite être transmis sans traitements, et - des moyens pour contrôler tous les autres flux à travers des moyens de filtrage. Ce système selon l'invention inclut par exemple, au titre des moyens de blocage, des moyens d'analyse et des moyens de contrôle, un serveur DHCP relié au réseau local et agencé pour fournir à chaque poste de travail une configuration reposant sur un masque de sous-réseau et des routes statiques par adresse IP. Il peut en outre comprendre, au titre des moyens de filtrage, un équipement de type pare-feu (firewall), de préférence débrayable, agencé pour effectuer un filtrage au moins partiel des postes de travail entre eux. Le procédé selon l'invention met ainsi en oeuvre les concepts suivants visant à : 2887384 -4- É exploiter les possibilités de distribution de configuration réseau des postes de travail pour les forcer à traverser un firewall centralisé pour toute communication nécessitant une analyse, et ceci sans modification de l'architecture réseau; É exploiter ces possibilités de distribution de configuration pour leur permettre de joindre directement les services à fort trafic, donc sans impacter les performances; É Ne filtrer que le trafic résiduel à travers l'équipement pare-feu (firewall) (très faible voire nul), permettant de ne pas impacter les performances des flux soumis à analyse, et fournissant une détection très rapide d'anomalies avec très faible risque de faux positifs. Le procédé selon l'invention répond ainsi au besoin suivant: É confiner tout trafic IP potentiellement dangereux en segmentant le réseau à sa plus faible granularité à savoir, le poste de travail, É dans le cas d'anomalies détectées, bloquer partiellement ou totalement le poste source du trafic suspect et alerter l'administrateur. Le procédé de protection selon l'invention repose ainsi sur la configuration d'un masque IP de sous réseau plus restrictif que celui appliqué au réseau local sur les interfaces réseau des équipements qui lui sont rattachés, le cas optimal étant le masque de sous réseau à 32 bits (255.255.255.255) qui permet de limiter les possibilités de connexion de ces derniers à eux-mêmes. Ensuite, en utilisant la table de routage, il est possible de spécifier avec la précision de l'adresse IP, les différentes machines qui lui seront accessibles sur le réseau, la passerelle par défaut représentant ainsi le premier point de contrôle pour tous les flux routés. Ce type de configuration réseau n'est jamais utilisé car il va à l'encontre du principe qui consiste à laisser les postes de travail communiquer comme ils le souhaitent sur le réseau. Pour configurer ce niveau de granularité du routage sur un poste utilisant le système d'exploitation MS Windows , il faut soit imposer la configuration par un serveur DHCP, soit modifier directement la base de registre ce qui reste une opération délicate à réaliser manuellement. Un serveur DHCP peut fournir aux postes de travail un masque de sous réseau à 32 bits (255.255.255.255) de manière à ne pas permettre à la machine de communiquer sans contrôle sur le réseau et ensuite de distribuer chacune des routes souhaitées avec les options DHCP adéquates. Pour les configurations disposant d'une adresse IP statique, les possibilités seront identiques mais les méthodes de configuration seront propres à chaque système (ex: base de registre de MS Windows, fichiers de configuration sous Unix). Le procédé de protection selon l'invention peut être mis en oeuvre sans aucun changement d'architecture. L'architecture physique du réseau n'est pas modifiée par la mise en oeuvre du procédé de protection selon l'invention, tous les flux critiques peuvent être identifiés et peuvent être transmis sans traitements (et sans contrôle protocolaire), les autres flux sont contrôlés et potentiellement stoppés par l'équipement pare-feu (firewall). D'autres avantages et caractéristiques de l'invention apparaîtront à l'examen de la description détaillée d'un mode de mise en oeuvre nullement limitatif, et des dessins annexés sur lesquels: - la figure 1 illustre un premier exemple de mise en oeuvre du procédé de protection selon l'invention; - la figure 2 illustre un second exemple de mise en oeuvre du procédé de protection selon l'invention; - la figure 3 illustre une comparaison des communications possibles en fonction du masque de sous-réseau configuré ; et - la figure 4 illustre différentes configurations de protection procurées par le procédé selon l'invention. On va maintenant décrire, en référence aux figures précitées, le principe de fonctionnement du procédé de protection selon l'invention, ainsi qu'un exemple de mise en oeuvre d'un système de protection selon l'invention, dans un système d'information installé sur deux sites distincts. Un système de protection S selon l'invention comprend un serveur DHCP 1 et un équipement de type pare-feu 2 tous deux connectés sur un réseau local LAN d'un système d'information SI comprenant par exemple une pluralité de postes de travail P1,...PN et un serveur de fichiers 3. Les communications directes entre deux postes de travail sont inhibées et les flux F1 correspondants sont contrôlés et filtrés par le pare-feu 2. En revanche, les flux F des postes P1,..., PN vers le serveur de fichier 3 ne sont pas filtrés, comme l'illustre schématiquement la figure 2. L'utilisation du masque de sous-réseau 255.255.255.255 permet un contrôle total de l'ensemble des postes de travail du système d'information, en leur procurant qu'une vision réduite du réseau, alors que le masque 255. 255.255.0 procure au contraire une vision complète du réseau, comme l'illustre schématiquement la figure 3. Le procédé de protection selon l'invention permet différentes configurations de protection d'un système d'information, comme l'illustre la figure 4. On considère par exemple un système d'information SI comprenant un premier réseau local LAN connecté à Internet via un parefeu 21 et comprenant plusieurs sous-réseaux locaux reliés via un commutateur 4, et un second réseau local LAN'. Dans un premier sous-réseau, un premier serveur de protection 11 a mis en quarantaine un poste de travail P1 qui a été détecté comme infecté et filtre un second poste de travail P2 qui communique avec des serveurs S1, S2 via le commutateur 4. Dans un second sous-réseau, un second serveur de protection 12 bloque toute communication directe entre deux postes de travail P3, P4. Dans le second réseau local LAN' du système d'information SI connecté à Internet via un second pare-feu 22, un troisième serveur de protection 13 bloque les flux entre deux postes de travail P5, P6 mais laisse communiquer le poste de travail P6 avec un serveur de fichier S3. Les serveurs de protection 11, 12, 13 sont des serveurs DHCP capables de fournir une configuration cliente reposant sur un masque de sous-réseau à 32 bits (255.255.255.255) et des routes statiques locales par adresse IP. Les pare-feu 21, 22 sont de type firewall (débrayable). Les serveurs de protection 11, 12, 13 implémentent un moteur d'analyse dont le rôle est de déclencher des actions de protection (contre 2887384 7- mesures) et d'alerte lors d'un dépassement de seuils d'anomalie: filtrage MAC, filtrage IP, filtrage du service, notification et identification d'hôte. Les boîtiers des serveurs de protection 11, 12, 13 sont simplement connectés sur le réseau avec une adresse IP statique. Il suffit ensuite d'adapter la configuration de routage statique en fonction du besoin: si un serveur DHCP était déjà présent: désactivation de l'ancien serveur, activation du serveur DHCP intégré avec les mêmes paramètres que l'ancien, identification des serveurs principaux accessibles directement, activation de la configuration DHCP en conséquence; les machines en DHCP seront alors contrôlées par le pare-feu (firewall) intégré pour les accès à des services internes encore non identifiés, - identification des services indirects et création des filtres en conséquence sur le pare-feu (firewall) intégré, mise en place du système de notification, - mise en place du système de protection. Bien sûr, l'invention n'est pas limitée aux exemples qui viennent d'être décrits et de nombreux aménagements peuvent être apportés à ces exemples sans sortir du cadre de l'invention. En particulier, le système de protection selon l'invention peut être déployé sans difficulté dans des systèmes d'information d'architecture complexe puisqu'il suffit d'installer autant de serveurs de protection que de sous-réseaux locaux. -8-REVENDICATIONS 1. Procédé pour protéger un système d'information comprenant une pluralité de postes de travail et des équipements serveurs communiquant via un réseau local (LAN) , caractérisé en ce qu'il comprend: - une fourniture d'un routage statique pour chaque poste, de façon à effectuer un blocage au moins partiel de toute communication de poste à poste, -une identification, selon des critères prédéterminés, de flux issus desdits postes de travail, notamment des flux entre des postes de travail et des équipements serveurs, lesdits flux pouvant être transmis sans traitements, et un contrôle des autres flux à travers des moyens de filtrage. 2. Procédé selon la revendication 1, caractérisé en ce que le routage statique est réalisé par la fourniture à chaque poste de travail d'un masque de sous-réseau et d'une table de routage spécifiant pour ledit poste de travail les équipements qui lui sont accessibles. 3. Procédé selon la revendication 2, caractérisé en ce qu'il est implémenté au sein d'un serveur DHCP relié au réseau local. 4. Procédé selon la revendication 3, mis en oeuvre dans un réseau local dont les postes de travail communiquent grâce au protocole IP, caractérisé en ce que le masque de sous-réseau fourni à chaque poste de travail est un masque de sous-réseau 32 bits (255.255.255.255). 5. Procédé selon l'une des revendications précédentes, caractérisé en ce qu'il comprend en outre, à la suite d'une analyse des flux d'information, un déclenchement d'actions de protection du réseau local et d'alerte. 6. Procédé selon la revendication 5, caractérisé en ce que les actions de protection et d'alerte sont initiées en réponse à une détection d'un dépassement d'au moins un seuil d'anomalie. 2887384 -9- 7. Procédé selon l'une des revendications 5 ou 6, caractérisé en ce qu'il comprend en outre, au titre des actions de protection, une mise en quarantaine d'un poste de travail par envoi d'une configuration de blocage via le masque de sous-réseau. 8. Système pour protéger un système d'information comprenant une pluralité de postes de travail et des équipements serveurs communiquant via un réseau local (LAN) , mettant en oeuvre le procédé selon l'une quelconque des revendications précédentes, caractérisé en ce qu'il comprend: - des moyens pour bloquer tout ou partie des communications de poste à poste, des moyens pour analyser des flux d'information au sein dudit réseau local, agencés pour identifier des flux critiques, notamment des flux entre des postes de travail et des équipements serveurs, lesdits flux critiques pouvant être ensuite transmis sans traitements, et - des moyens pour contrôler tous les autres flux à travers des moyens de filtrage. 9. Système de protection selon la revendication 8, caractérisé en ce qu'il inclut, au titre des moyens de blocage, des moyens d'analyse et des moyens de contrôle, un serveur DHCP relié au réseau local et agencé pour fournir à chaque poste de travail une configuration reposant sur un masque de sous-réseau et des routes statiques par adresse IP. 10. Système de protection selon l'une des revendications 5 ou 6, caractérisé en ce qu'il comprend en outre, au titre des moyens de filtrage, un équipement de type pare-feu (firewall), agencé pour effectuer un filtrage au moins partiel des postes de travail entre eux. 11. Système de protection selon la revendication 10, caractérisé en ce que l'équipement pare-feu est de type débrayable.