Brevet FR2888066A1 — publié le 20070105

La présente invention concerne un procédé de contrôle d'admission d'un paquet reçu d'un ou plusieurs réseaux de télécommunication par un dispositif de contrôle d'admission pour la protection d'au moins un équipement de télécommunication. Le domaine d'application de la présente invention est celui de la sécurité préventive et réactive vis-à-vis d'attaques connues sous la dénomination de déni de service. Le déni de service ou en anglais Denial-of-service est une attaque visant à rendre inopérant un dispositif de télécommunication, tel que par exemple, un serveur relié à un réseau de télécommunication IP, en submergeant le lien reliant le dispositif de télécommunication au réseau de télécommunication ou le dispositif de télécommunication lui-même, de trafic inutile. D'une manière générale, on parle de déni de service lorsqu'une personne ou une organisation est privée d'un service utilisant des ressources qu'elle est en droit d'attendre en temps normal. On trouvera, par exemple, des dénis de service touchant le service de courrier électronique, l'accès au réseau Internet, l'accès à des ressources partagées telles que des pages WEB, etc. Un système de contrôle d'admission classique tel qu'un pare-feu n'est pas adapté à traiter ce type d'attaques. En effet, un pare-feu, appelé aussi coupe-feu ou firewall en anglais, est un système qui permet de protéger un ordinateur des intrusions provenant d'un réseau de télécommunication IP, tel que par exemple le réseau Internet, ou de protéger un réseau local des attaques provenant du réseau Internet. Un pare-feu contient un ensemble de règles prédéfinies permettant d'autoriser uniquement les communications ayant été explicitement autorisées ou d'interdire explicitement des sites. Un pare-feu fonctionne sur le principe du contrôle de l'admission de paquets. Il analyse les en-têtes de chaque paquet échangé entre une machine protégée et une machine extérieure. L'adresse IP de la machine émettrice, l'adresse IP de la machine réceptrice, le numéro de port associé à un service ou une application sont ainsi analysés. Par exemple les paquets ne correspondant pas à un quadruplet autorisé constitué d'adresse IP source, d'un port source, d'une adresse IP destination, d'un port destination autorisés, ne sont pas transférés. Un pare-feu ne permet pas d'éviter que le dispositif de télécommunication protégé soit submergé par du trafic inutile lorsque des attaques sont effectuées en utilisant des quadruplets autorisés par le pare-feu. Le but de la présente invention permet de résoudre les inconvénients de l'art antérieur et de proposer un procédé de contrôle d'admission de paquets de données transférés à travers au moins un réseau de télécommunication, pour la protection d'au moins un équipement de télécommunication, caractérisé en ce que, pour un paquet de données transféré à destination dudit équipement de télécommunication, le procédé comporte les étapes de: - identification du paquet consistant à déterminer si le paquet appartient à un flux autorisé, et - en cas d'identification du paquet comme appartenant à un flux autorisé, - détermination d'une classe de service associée au flux autorisé, et - prise de décision concernant le transfert du paquet vers l'équipement protégé, ladite décision consistant à autoriser le transfert du paquet vers l'équipement protégé ou à rejeter ledit paquet, en fonction de la classe de service associée au flux autorisé, du débit de ce flux et des débits d'au moins une partie d'autres flux transférés vers l'équipement protégé. Corrélativement, l'invention concerne un dispositif de contrôle d'admission d'un paquet reçu, transféré à travers un réseau de télécommunication à destination d'au moins un équipement de télécommunication, pour la protection du ou de chaque équipement de télécommunication, caractérisé en ce que le dispositif de contrôle d'admission comporte: - des moyens d'identification du paquet, agencés pour déterminer si le paquet 20 reçu appartient à un flux autorisé, - des moyens de détermination de la classe de service associée au flux autorisé auquel le paquet appartient, - des moyens de prise de décision concernant le transfert du paquet vers l'équipement protégé, agencés pour, dans le cas où le paquet appartient à un flux autorisé, déterminer si le transfert dudit paquet vers l'équipement protégé doit être autorisé ou si le paquet doit être rejeté, en fonction de la classe de service associée au flux auquel le paquet appartient et des débits d'au moins une partie d'autres flux transférés vers l'équipement protégé. Ainsi, un équipement de télécommunication est protégé par des attaques de type déni de service. En prenant la décision de ne transférer seulement que des paquets vers l'équipement de télécommunication lorsque les paquets reçus appartiennent à des flux autorisés et en fonction de la classe de service associée respectivement à ces flux autorisés, du débit du flux et des débits d'au moins une partie des autres flux transférés vers l'équipement de télécommunication, l'équipement de télécommunication n'est pas saturé. De plus, en associant à des flux différentes classes de service, le traitement du paquet peut être adapté à la classe du flux. Selon un autre aspect de l'invention, l'identification du paquet consiste à déterminer si le paquet appartient à un flux de l'une des deux catégories de flux comportant respectivement des flux en cours admis et des flux susceptibles d'être admis. Ainsi, le contrôle de l'admission peut être effectué différemment, par exemple plus rapidement, lorsque des paquets appartenant au flux ont déjà été reçus. Selon un autre aspect de l'invention, pour un flux susceptible d'être admis ou pour un flux en cours admis, sont au moins mémorisées des informations identifiant ledit flux, des informations représentatives d'une classe de service associée audit flux, des informations représentatives d'un débit théorique dudit flux et une règle d'admission associée audit flux pouvant être modifiée en fonction du débit dudit flux et des débits d'au moins une partie d'autres flux transférés vers l'équipement de télécommunication et le transfert du paquet est effectué en fonction de la règle d'admission associée au flux auquel le paquet appartient. Ainsi, en modifiant les règles d'admission en fonction des débits instantanés d'au moins une partie des autres flux transférés vers l'équipement de télécommunication, l'équipement de télécommunication n'est pas saturé et est protégé des attaques de type déni de service. Selon un autre aspect de l'invention, lorsqu'un paquet appartient à un flux dont la classe de service associée est de priorité maximale, on effectue au moins une des 25 vérifications suivantes: - vérifier si la somme des débits instantanés de l'ensemble des flux transférés vers l'équipement protégé est inférieure à un seuil prédéterminé associé aux flux de priorité maximale, et transférer le paquet dans l'affirmative, vérifier si le débit instantané du flux auquel appartient le paquet est inférieur à 30 un débit théorique dudit flux et transférer le paquet dans l'affirmative ou rejeter le paquet dans la négative. Selon un autre aspect de l'invention, lorsqu'un paquet appartient à un flux dont la classe de service associée est de priorité minimale, on vérifie si la somme des débits instantanés de l'ensemble des flux transférés vers l'équipement de télécommunication est inférieure à un seuil minimal prédéterminé, associé aux flux de priorité minimale, on décide de transférer le paquet dans l'affirmative, et on décide de rejeter ledit paquet dans la négative. Selon un autre aspect de l'invention, lorsqu'un paquet appartient à un flux dont la classe de service associée est de priorité intermédiaire, on vérifie si la somme des débits instantanés de l'ensemble des flux transférés vers l'équipement de télécommunication est inférieure à un seuil prédéterminé associé aux flux de priorité intermédiaire, on transfère le paquet dans l'affirmative, on vérifie dans la négative, si le débit instantané du flux auquel appartient le paquet est inférieur au débit théorique dudit flux, on rejette le paquet reçu dans la négative, et dans l'affirmative, on modifie la règle d'admission associée au flux auquel le paquet appartient pour rejeter de nouveaux paquets appartenant audit flux et on rejette ledit paquet. Ainsi, en associant à des flux différentes classes de service, le traitement du paquet peut être effectué de différentes manières adaptées à la classe du flux. Selon un autre aspect de l'invention, si au moins une règle d'admission associée à un flux est modifiée pour rejeter de nouveaux paquets appartenant au flux, on vérifie si la somme des débits instantanés de l'ensemble des flux transférés vers l'équipement protégé est inférieure à un seuil prédéterminé et, dans l'affirmative, on vérifie si la date et/ou l'heure de modification de la règle d'admission est ancienne et dans l'affirmative, on réinitialise la règle d'admission associée au flux auquel ledit paquet appartient pour autoriser le transfert de nouveaux paquets appartenant au flux. Ainsi, la modification d'une règle d'admission d'un flux est effectuée de manière temporaire. Selon un autre aspect de l'invention, si au moins une règle d'admission associée à un flux est modifiée pour rejeter de nouveaux paquets appartenant au flux, on vérifie si la somme des débits instantanés de l'ensemble des flux transférés vers l'équipement protégé est inférieure à un seuil prédéterminé et, dans l'affirmative, on réinitialise la règle d'admission associée à chaque flux dont la règle a été préalablement modifiée pour autoriser le transfert de nouveaux paquets appartenant à chacun desdits flux. Ainsi, la modification d'une règle d'admission d'un flux est effectuée de manière temporaire. Lorsque la somme des débits des flux transférés vers l'équipement de télécommunication redevient inférieure à un seuil prédéterminé, le transfert de paquets appartenant à des flux dont les règles d'admission ont été modifiées devient alors possible. L'invention concerne aussi le programme d'ordinateur stocké sur un support d'informations, ledit programme comportant des instructions permettant de mettre en oeuvre le procédé précédemment décrit, lorsqu'il est chargé et exécuté par un système informatique. Les caractéristiques de l'invention mentionnées ci-dessus, ainsi que d'autres, apparaîtront plus clairement à la lecture de la description suivante d'un exemple de réalisation, ladite description étant faite en relation avec les dessins joints, parmi lesquels: - la Fig. 1 représente un système de télécommunication dans lequel la 10 présente invention est implémentée; la Fig. 2 représente un schéma bloc d'un dispositif de contrôle d'admission selon la présente invention; - les Figs. 3a, 3b, 3c, 3d et 3e représentent l'algorithme de contrôle d'admission selon la présente invention; - la Fig. 4 représente un premier algorithme de mise à jour de la table des règles d'admission lorsqu'au moins une règle est modifiée de manière à ne pas autoriser le transfert de paquets appartenant à un flux vers l'équipement de télécommunication protégé ; - la Fig. 5 représente un second algorithme de mise à jour de la table des règles d'admission lorsqu'au moins une règle est modifiée de manière à ne pas autoriser le transfert de paquets appartenant à au moins un flux vers l'équipement de télécommunication protégé. La Fig. 1 représente un système de télécommunication dans lequel la présente 25 invention est implémentée. Dans le système de télécommunication de la Fig. 1, une pluralité de dispositifs de télécommunication 12a, 12b, 12c sont reliés respectivement à des réseaux de télécommunication 15a, 15b et 15c. Les dispositifs de télécommunication 12 sont par exemple des ordinateurs, des assistants personnels, voire des téléphones mobiles. Les réseaux de télécommunication 15a, 15b et 15c sont, par exemple, des réseaux basés sur le protocole IP (Internet Protocol) tel que le réseau Internet appartenant à différents opérateurs de télécommunication ou des réseaux de type ATM (Asynchronous Transfer Mode). En variante, les réseaux de communication 15a, 15b et 15c forment un unique réseau de télécommunication. Un dispositif de contrôle d'admission 100 est relié aux réseaux de télécommunication 15. Selon la présente invention, le dispositif de contrôle d'admission 100 protège au moins un équipement de télécommunication 17 d'éventuelles attaques de déni de service effectuées par des dispositifs de télécommunication reliés aux réseaux de télécommunication 15. Nous entendons par équipement de télécommunication 17 un équipement de télécommunication tel qu'un réseau local ou une partie d'un réseau de télécommunication, ou un serveur Web ou un ordinateur personnel ou une partie du réseau de télécommunication 15 que l'on souhaite protéger. Les dispositifs de télécommunication 12 émettent sur les réseaux de télécommunication 15 des flux de données sous la forme de paquets à destination de l'équipement de télécommunication protégé 17. Selon l'invention un flux est un ensemble de paquets transitant dans le réseau de télécommunication 15 comportant au moins une information identifiant la même source et au moins une information identifiant la même destination. Par exemple, et de manière non limitative, un flux est un ensemble de paquets transitant dans le réseau de télécommunication 15 qui comporte la même adresse IP source, la même adresse IP de destination, le même identifiant de port source et le même identifiant de port de destination. Selon l'invention, le dispositif de contrôle d'admission 100 n'autorise le transfert d'un paquet vers l'équipement de télécommunication 17 protégé que lorsque le paquet reçu d'un réseau de télécommunication 15a, 15b ou 15c appartient à un flux autorisé et en fonction d'une classe de service associée à ce flux autorisé auquel appartient le paquet, du débit du flux et des débits d'au moins une partie des autres flux transférés vers l'équipement de télécommunication 17. Lorsqu'un paquet n'est pas autorisé à être transféré vers l'équipement de télécommunication 17, celui-ci est rejeté. Nous entendons ici par rejet, un traitement consistant à interdire son transfert vers l'équipement protégé tel que, par exemple, la suppression de celui-ci, un marquage de celui-ci ou une mémorisation de celui-ci. Le dispositif de contrôle d'admission 100 vérifie aussi si le paquet reçu est autorisé d'un point de vue syntaxique et sémantique, c'est-à-dire que le dispositif de contrôle d'admission vérifie si la taille du paquet est correcte et si le paquet s'insère bien dans le flux de données. Pour cela, chaque flux émis par un dispositif de télécommunication 12 doit préalablement être enregistré auprès du dispositif de contrôle d'admission 100. Plus précisément, pour chaque flux autorisé par le dispositif de contrôle d'admission 100, une classe de service et éventuellement des débits sont associés à ce flux et enregistrés auprès du dispositif de contrôle d'admission. L'administrateur du dispositif de contrôle d'admission 100 enregistre et met à jour les informations identifiant la source et la destination de chaque flux susceptible d'être autorisé à être transféré vers l'équipement de télécommunication 17 ainsi que la classe de service, voire le débit qui lui est associé. Le débit qui est associé à un flux est par exemple un débit instantané. La Fig. 2 représente un schéma bloc d'un dispositif de contrôle d'admission selon la présente invention. Le dispositif de contrôle d'admission 100 est constitué d'une unité de filtrage de flux 110 et d'une unité de contrôle d'admission de flux 120. Le dispositif de contrôle d'admission 100 comporte des moyens pour décider si un paquet doit être transféré ou non vers l'équipement de télécommunication 17. Le dispositif de contrôle d'admission 100 comporte aussi des moyens pour transférer ou non un paquet vers l'équipement de télécommunication 17. L'unité de filtrage de flux 110 comprend une interface réseau 111, un module de 20 filtrage 112, une table des règles de contrôle d'admission 114 et une table des flux admis 116. L'unité de filtrage de flux 110 a pour fonction d'accepter ou non le transfert de paquets issus du ou des réseaux de télécommunication 15 vers l'unité de contrôle d'admission de flux 120 en fonction d'au moins un identifiant de l'émetteur du paquet et d'au moins un identifiant du destinataire du paquet et d'une règle de contrôle d'admission associée au flux auquel le paquet appartient. L'interface réseau 111 comporte un module de routage qui reçoit, d'au moins un réseau de télécommunication 15a, 15b 15e, les différents paquets des flux issus des dispositifs de télécommunication 12 et transfère les paquets reçus vers le module de filtrage 112. L'interface réseau 111 reçoit, par l'intermédiaire de l'unité de contrôle d'admission 120 et du module de filtrage 112, des paquets issus de l'équipement de télécommunication 17 et transfère ceux-ci vers le réseau de télécommunication 15 auquel est relié le dispositif de télécommunication 12 dont l'adresse IP destination est comprise dans l'entête des paquets. Le module de filtrage 112 détermine, pour chaque paquet reçu du réseau de télécommunication 15, si celui-ci doit être transféré ou non à l'unité de contrôle d'admission de flux 120. Pour cela, le module de filtrage 112 interroge la table des flux admis 116 ou la table des règles d'admission 114, détermine le flux auquel appartient chaque paquet reçu et transfère ou non, le paquet reçu vers l'unité de contrôle d'admission 120 en fonction des informations comprises dans les tables 114 ou 116 et qui sont associées au flux auquel appartient le paquet. La table des règles d'admission 114 comprend des informations associées à chaque flux susceptible d'être admis et transféré vers l'équipement de télécommunication 17. La table des règles d'admission 114 est créée et maintenue par l'administrateur du dispositif de contrôle d'admission 100 et est mise à jour par le module de filtrage 112 conformément à la présente invention. La table des règles d'admission 114 comprend, pour chaque flux susceptible d'être transféré vers l'équipement de télécommunication 17, des informations identifiant le flux telles que par exemple l'adresse IP de la source du flux, l'adresse IP de la destination du flux, l'identifiant du port source du flux et l'identifiant du port destination du flux. La table des règles d'admission 114 comprend aussi, pour chaque flux susceptible d'être transféré vers l'équipement de télécommunication 17, une règle autorisant ou non le transfert du flux vers l'équipement de télécommunication 17. Les règles autorisant ou non le transfert du flux vers l'équipement de télécommunication 17 sont modifiées par le module de filtrage 112 sur requête de l'unité de contrôle d'admission de flux 120 et sous certaines conditions, comme cela sera explicité par la suite en regard de la Fig. 3. La table des règles d'admission 114 comprend aussi, pour chaque flux susceptible d'être admis et transféré vers l'équipement de télécommunication 17, des informations représentatives de la classe de service associée à chaque flux. La table des règles d'admission 114 comprend aussi, pour certains des flux susceptibles d'être autorisés, un débit autorisé. Le débit autorisé est préférentiellement un débit crête. En variante, le débit autorisé est un débit moyen. En effet, différentes classes de service sont associées aux flux susceptibles d'être admis. Ces classes de service sont par exemple définies ou mises à jour par l'administrateur du dispositif de contrôle d'admission 100. Par exemple, et de manière non limitative, l'administrateur du dispositif de contrôle d'admission 100 attribue à chaque flux une classe de service parmi trois différentes classes de service: une première classe de service dite prioritaire ou de priorité maximale avec un seuil maximum de débit autorisé, une seconde classe de service dite de priorité intermédiaire avec un débit crête associé, un troisième classe de service dite minimale ou de priorité minimale sans débit crête associé. Bien entendu, un nombre beaucoup plus important de classes de service peut être défini. La table des flux admis 116 comprend des informations identifiant chaque flux admis par le module de filtrage 112. Chaque flux admis est au moins identifié par une adresse IP source, une adresse IP de destination, un identifiant de port source et un identifiant de port de destination. La table des flux admis 116 est mise à jour par le module de filtrage 112 lorsque celui-ci accepte un paquet d'un flux, lorsque le flux est interrompu ou considéré comme interrompu, ou lorsque l'unité de contrôle d'admission de flux 120 notifie au module de filtrage 112 le rejet d'un paquet d'un flux autorisé par le module de filtrage 112. Un compteur est associé aux informations identifiant chaque flux comprises dans la table des flux admis 116. La valeur de ce compteur est incrémentée par l'horloge interne (non représentée en Fig. 2) du dispositif de contrôle d'admission 100. La valeur du compteur associé à un flux est mise à une valeur nulle lors du transfert de chaque paquet appartenant audit flux et, lorsqu'elle est égale à un seuil prédéterminé, les informations identifiant le flux correspondant au compteur sont supprimées de la table des flux admis 116 par le module de filtrage 112. La table des flux admis 116 permet au module de filtrage 112 de rapidement 20 vérifier si un paquet peut être transféré à l'unité de contrôle d'admission de flux 120 sans avoir à consulter la table des règles d'admission 114. L'unité de contrôle d'admission de flux 120 comprend un module d'admission 122, une table des flux en cours 124 et une table des caractéristiques théoriques 126 des flux susceptibles d'être transférés vers l'équipement de télécommunication 17. Le module d'admission 122 a pour fonction de calculer le débit des différents flux transférés vers l'équipement de télécommunication protégé 17 et de contrôler si ces flux satisfont aux conditions définies dans la table des flux en cours 124 et la table des caractéristiques théoriques 126. Le module d'admission 122 notifie au module de filtrage 112 les mises à jour à effectuer sur la table des flux admis 116 et sur la table des règles d'admission 114. Le module d'admission 122 transfère chaque paquet reçu du module de filtrage 112 dont le flux auquel il appartient satisfait aux conditions des tables 124 et 126. La table des flux en cours 124 comprend, pour chaque flux en cours, c'està-dire pour chaque flux identifié dans la table des flux admis 116, l'adresse IP de la source du flux, l'adresse 1P de la destination du flux, l'identifiant du port source du flux et l'identifiant du port destination du flux. La table des flux en cours 124 comprend, pour chaque flux en cours, le débit calculé par le module d'admission 122. Un débit est calculé en comptant le nombre de paquets transmis pendant une durée prédéterminée. Préférentiellement, et de manière non limitative, le débit calculé est un débit instantané. La table des caractéristiques théoriques des flux 126 mémorise, pour chaque flux susceptible d'être transféré sur le réseau protégé 17, les caractéristiques théoriques telles que la classe de service du flux, le débit crête théorique autorisé pour le flux. La table des caractéristiques théoriques des flux 126 mémorise aussi les différents seuils utilisés par la présente invention, le seuil maximum Smax du débit susceptible d'être transféré à l'équipement de télécommunication 17, le seuil maximum Spriomax associé aux flux de priorité maximale, le seuil intermédiaire Sprioint associé aux flux de priorité intermédiaire et le seuil minimal Spriomin associé aux flux de priorité minimale. La table des caractéristiques théoriques des flux 126 mémorise aussi un seuil noté SRST. Il est à remarquer ici que le seuil Smax est supérieur au seuil Spriomax; le seuil Spriomax est supérieur au seuil Sprioint; le seuil Sprioint est supérieur au seuil 20 Sprimin et le seuil Spriomin est supérieur au seuil SRST. Il est à remarquer ici que le dispositif de contrôle d'admission est en variante réparti dans deux dispositifs distincts reliés entre eux par une liaison dédiée ou par un réseau de télécommunication. Selon cette variante, un premier dispositif comprend l'unité de filtrage de flux 110 et un second dispositif comprend l'unité de contrôle d'admission de flux 120. L'unité de contrôle de flux 120 reçoit des paquets d'un ou plusieurs unités de filtrages 110 ainsi que les informations qui seront explicitées par la suite et décide si les règles d'admission doivent être modifiées pour le flux correspondant à chaque paquet reçu. L'unité de contrôle de flux 120, dans une autre variante de réalisation, notifie la décision qu'elle prend pour chaque paquet et la notifie à un dispositif distant qui transfère le paquet ou le rejette en fonction de la décision de l'unité de contrôle de flux 120. Les Figs. 3a, 3b, 3c, 3d et 3e représentent l'algorithme de contrôle d'admission selon la présente invention. L'algorithme de la Fig. 3a représente les étapes d'un processus exécuté par le module de filtrage 112, tandis que l'algorithme des Figs. 3b à 3e représente les étapes d'un processus exécuté par le module d'admission 122. Dans une variante de réalisation, les étapes des processus représentées en Fig. 3a 5 à 3e sont regroupées pour former un unique processus. Selon une autre variante, lorsque le dispositif de contrôle d'admission 100 est implémenté dans un dispositif informatique tel que par exemple un ordinateur, le présent algorithme est exécuté par le processeur du dispositif informatique. A l'étape E300 de la Fig. 3a, un paquet issu du réseau de télécommunication 15 est reçu par l'interface réseau 111 et est transféré au module de filtrage 112. A l'étape suivante E301, le module de filtrage 112 vérifie si le paquet reçu appartient à un flux pour lequel des paquets ont déjà été admis. Pour cela, le module de filtrage 112 vérifie si le paquet reçu est le premier paquet d'un flux, par exemple, un paquet de type SYN tel que conforme au protocole TCP ou lit, dans le paquet reçu, l'adresse IP source, l'adresse IP de destination, l'identifiant du port source et l'identifiant de port de destination et vérifie si ces adresses et ces identifiants correspondent à un ensemble d'informations identifiant un flux dans la table des flux admis 116. TCP est l'acronyme de Transmission Control Protocol ou en français Protocole de Contrôle de Transmission. S'il n'existe pas d'ensemble d'informations identifiant un flux dans la table des flux admis 116 correspondant aux adresses et aux identifiants lus ou si c'est un premier paquet d'un flux, le module de filtrage 112 passe à l'étape E306. S'il existe un ensemble d'informations identifiant un flux dans la table des flux 116 correspondant aux adresses et aux identifiants lus, le module de filtrage 112 passe à l'étape E302. A l'étape E302, le module de filtrage 112 vérifie si le paquet reçu est représentatif d'une fin de flux. Ceci est par exemple effectué, si lepaquet est conforme au protocole TCP, en vérifiant si le paquet reçu est un paquet de type FIN ou RST. Si le paquet reçu est représentatif d'une fin de flux, le module de filtrage 112 passe à l'étape E303 et modifie la table des flux admis 116 en supprimant de celle-ci l'ensemble d'informations identifiant le flux auquel le paquet appartient dans la table des flux 116. A l'étape suivante E304, le module de filtrage 112 transfère le paquet vers le module d'admission 122 et retourne à l'étape E300 précédemment décrite. Le module d'admission 122 transfère le paquet vers l'équipement de télécommunication 17 et supprime les données associées au flux auquel le paquet appartient de la table des flux en cours 124. Si le paquet reçu n'est pas représentatif d'une fin de flux, le module de filtrage 112 passe de l'étape E302 à l'étape E305 et transfère à cette étape le paquet reçu au module d'admission 122. Cette opération effectuée, le module de filtrage 112 retourne à l'étape E300. A l'étape E306, le module de filtrage 112 interroge la table des règles d'admission pour vérifier si les adresses et les identifiants lus correspondent à un ensemble d'informations identifiant un flux dans la table des règles d'admission 114 et pour obtenir la règle d'admission associée au flux correspondant. Si aucun ensemble d'informations identifiant un flux ne correspond aux adresses et aux identifiants lus, ou si la règle d'admission n'autorise pas le transfert de flux, le module de filtrage 112 passe à l'étape E307. Si un ensemble d'informations identifiant un flux correspond aux adresses et aux identifiants lus et si la règle d'admission autorise le transfert de flux, le module de filtrage 112 passe à l'étape E308. A l'étape E307, le module de filtrage 112 décide de rejeter le paquet, rejette et 20 efface le paquet reçu et retourne à l'étape E300 précédemment décrite. A l'étape E308, le module de filtrage 112 modifie la table des flux admis 116 en ajoutant à celle-ci l'ensemble d'informations identifiant le flux auquel le paquet appartient. A l'étape suivante E309, le module de filtrage 112 transfère l'ensemble 25 d'informations identifiant ce flux obtenu à l'étape E309 à la table des flux en cours 124. Cette opération effectuée, le module de filtrage 112 transfère à l'étape E310 le paquet reçu au module d'admission 122. Cette opération effectuée, le module de filtrage 112 retourne à l'étape E300 en attente d'un nouveau paquet à traiter. A l'étape E311 de la Fig. 3b, un paquet issu du module de filtrage 112 est reçu par le module d'admission 122. A l'étape E312, le module d'admission 122 détermine l'état de congestion de l'équipement de télécommunication 17. Il est à remarquer ici qu'en parallèle à l'exécution du présent algorithme, le module d'admission 122 calcule, pour chaque flux en cours compris dans la table des flux en cours 124, le débit instantané de chaque flux transmis vers l'équipement de télécommunication 17 et mémorise chaque débit instantané calculé dans la table des flux en cours 124. Le module d'admission 122 détermine l'état de congestion de l'équipement de télécommunication 17 en calculant la somme des débits instantanés des flux transférés vers l'équipement de télécommunication 17. A l'étape suivante E313, le module d'admission 122 vérifie si la somme des 10 débits instantanés des flux transférés vers l'équipement de télécommunication 17 est supérieure ou égale à un seuil prédéterminé appelé Smax. Dans l'affirmative, le module d'admission 122 passe à l'étape E314. A cette étape, le module d'admission 122 décide de rejeter le paquet en cours de traitement et rejette celui-ci. Le module d'admission modifie la table des flux en cours 124 et retourne à l'étape E311 en attente d'un nouveau paquet à traiter. Si la somme des débits instantanés des flux transférés vers l'équipement de télécommunication 17 est inférieure au seuil prédéterminé Smax, le module d'admission 122 passe à l'étape E315. A l'étape E315, le module d'admission 122 détermine la classe de service notée Cos associée au flux auquel le paquet en cours de traitement appartient. Pour cela, le module d'admission 122 interroge la table des caractéristiques théoriques 126 qui, en retour, transfère la classe de service associée au flux auquel le paquet appartient. A l'étape suivante E316, le module d'admission 122 vérifie si la classe associée est une classe de priorité maximale. Dans l'affirmative, le module d'admission 122 passe à l'étape E320 de l'algorithme représenté à la Fig. 3c. Dans la négative, le module d'admission 122 passe à l'étape E317. A l'étape suivante E317, le module d'admission 122 vérifie si la classe associée est une classe de priorité minimale. Dans l'affirmative, le module d'admission 122 passe à l'étape E330 de l'algorithme représenté à la Fig. 3d. Dans la négative, le module d'admission 122 passe à l'étape E340 de l'algorithme représenté à la Fig. 3e. A l'étape E320 de la Fig. 3c, le module d'admission 122 vérifie si la somme des débits instantanés des flux transférés vers l'équipement de télécommunication 17 est inférieure au seuil maximum autorisé pour les flux de priorité maximale Spriomax. Dans l'affirmative, le module d'admission 122 passe à l'étape E321 et prend la décision de transférer le paquet en cours de traitement vers l'équipement de télécommunication 17 et/ou procède au transfert de celui-ci. Cette opération effectuée, le module d'admission 122 retourne à l'étape E311 en attente d'un nouveau paquet à traiter. Si la somme des débits instantanés des flux transférés vers l'équipement de télécommunication 17 est supérieure ou égale au seuil maximum associé aux flux de priorité maximale Spriomax, le module d'admission 122 passe à l'étape E322. A l'étape E322, le module d'admission 122 vérifie si le débit instantané du flux auquel appartient le paquet en cours de traitement est inférieur au débit théorique du flux auquel appartient le paquet en cours de traitement. Pour cela, le module d'admission 122 interroge les tables 124 et 126. Dans l'affirmative, le module d'admission 122 passe à l'étape E323 et prend la décision de transférer le paquet en cours de traitement vers l'équipement de télécommunication 17 et/ou procède au transfert de celui-ci. Cette opération effectuée, le module d'admission 122 retourne à l'étape E311 en attente d'un nouveau paquet à traiter. Si le débit instantané du flux auquel appartient le paquet en cours de traitement est supérieur ou égal au débit théorique du flux auquel appartient le paquet en cours de traitement, le module d'admission 122 passe à l'étape E324 et décide de rejeter le paquet en cours. Lorsque le paquet est rejeté, le module d'admission 122 retourne à l'étape E311 en attente d'un nouveau paquet à traiter. Selon une variante de réalisation, le module d'admission 122 transfère à l'étape E324 un message au module de filtrage 112 d'invitation à modifier la table des règles d'admission 114 de manière à ce que le module de filtrage 112 modifie la règle autorisant ou non le transfert du flux auquel le paquet appartient vers l'équipement de télécommunication 17. Le module de filtrage 112 met la règle d'admission dans un état qui n'autorise pas le transfert du flux vers l'équipement de télécommunication 17. Préférentiellement, le module de filtrage 112 horodate la règle qui n'autorise pas le transfert du flux vers l'équipement de télécommunication 17. Le module de filtrage 112 modifie la table des flux admis 116 en supprimant de celle-ci les informations identifiant le flux auquel appartient le paquet. A l'étape E340 de la Fig. 3e, le module d'admission 122 vérifie si la somme des débits instantanés des différents flux transférés vers l'équipement de télécommunication 17 est inférieure au seuil intermédiaire associé aux flux de priorité intermédiaire noté Sprioint. Dans l'affirmative, le module d'admission 122 passe à l'étape E341 et prend la décision de transférer le paquet en cours de traitement vers l'équipement de télécommunication 17 et/ou procède au transfert de celui- ci. Cette opération effectuée, le module d'admission 122 retourne à l'étape E311 en attente d'un nouveau paquet à traiter. Si la somme des débits instantanés des flux transférés vers l'équipement de télécommunication 17 est supérieure ou égale au seuil intermédiaire associé aux flux de priorité intermédiaire noté Sprioint, le module d'admission 122 passe à l'étape E342. A l'étape E342, le module d'admission 122 vérifie si le débit instantané du flux auquel appartient le paquet en cours de traitement est inférieur au débit théorique du flux auquel appartient le paquet en cours de traitement qui est mémorisé dans la table des caractéristiques théoriques 126 des flux susceptibles d'être transférés vers l'équipement de télécommunication 17. Dans l'affirmative, le module d'admission 122 passe à l'étape E343, décide le rejet du paquet en cours de traitement et procède au rejet de celui-ci. Cette opération effectuée, le module d'admission 122 retourne à l'étape E311 en attente d'un nouveau paquet à traiter. Si le débit instantané du flux auquel appartient le paquet en cours de traitement est supérieur ou égal au débit théorique du flux auquel appartient le paquet en cours de traitement, le module d'admission 122 passe à l'étape E344 et transfère un message au module de filtrage 112 d'invitation à modifier la table des règles d'admission 114 de manière à ce que le module de filtrage 112 modifie la règle autorisant ou non le transfert du flux auquel le paquet appartient vers l'équipement de télécommunication 17. Le module de filtrage 112 met la règle de filtrage dans un état qui n'autorise pas le transfert du flux vers l'équipement de télécommunication 17. Dans un mode particulier de réalisation, le module de filtrage 112 horodate cette règle avec la date et l'heure de la modification de la règle. Le module de filtrage 112 modifie aussi la table des flux admis 116 en supprimant de celle-ci les informations associées au flux auquel appartient le paquet de manière à ce que lorsque des nouveaux paquets appartenant au flux seront reçus, ceux-ci seront rejetés. A l'étape suivante E345, le module d'admission 122 décide de rejeter le paquet en cours de traitement et procède au rejet de celui-ci. Cette opération effectuée, le module d'admission 122 retourne à l'étape E311 en attente d'un nouveau paquet à traiter. A l'étape E330 de la Fig. 3d, le module d'admission 122 vérifie si la somme des débits instantanés des flux transférés vers l'équipement de télécommunication 17 est inférieure au seuil minimal associé aux flux de priorité minimale Spriomin. Dans l'affirmative, le module d'admission 122 passe à l'étape E331, prend la décision de transférer le paquet en cours de traitement vers l'équipement de télécommunication 17 et/ou procède au transfert de celui-ci. Cette opération effectuée, le module d'admission 122 retourne à l'étape E311 en attente d'un nouveau paquet à traiter. Si la somme des débits instantanés des flux transférés vers l'équipement de télécommunication 17 est supérieure ou égale au seuil minimal associé aux flux de priorité minimale Spriomin, le module d'admission 122 passe à l'étape E332. A l'étape suivante E332, le module d'admission 122 décide et procède au rejet du paquet en cours de traitement. Cette opération effectuée, le module d'admission 122 retourne à l'étape E31 1 en attente d'un nouveau paquet à traiter. La Fig. 4 représente un premier algorithme de mise à jour de la table des règles d'admission lorsqu'au moins une règle est modifiée de manière à ne pas autoriser le transfert de paquets appartenant à un flux vers l'équipement de télécommunication. Le module de filtrage 112 exécute le présent algorithme parallèlement aux différentes étapes de l'algorithme précédemment décrit à la Fig. 3. L'étape E400 est une boucle d'attente de la modification d'au moins une règle de la table d'admission 114 de manière à ne pas autoriser le transfert de paquets appartenant à au moins un flux vers l'équipement de télécommunication 17. Lorsqu'une règle d'admission a été modifiée de manière à ne pas autoriser le transfert d'au moins un flux vers l'équipement de télécommunication 17, le module de filtrage 112 passe à l'étape suivante E401. A cette étape, le module de filtrage 112 obtient du module d'admission 122 la somme des débits des différents flux transférés vers l'équipement de télécommunication 17. A l'étape suivante E402, le module de filtrage 112 détermine si la somme obtenue à l'étape E401 est supérieure ou égale à un seuil prédéterminé appelé SRST. Dans la négative, le module d'admission 122 retourne à l'étape E401. Si la somme obtenue à l'étape E401 est inférieure au seuil SRST, le module de filtrage 112 passe à l'étape E403. Si la somme obtenue à l'étape E401 est supérieure ou égale au seuil SRST, le module de filtrage 112 retourne à l'étape E401. A l'étape E403, le module de filtrage 112 lit dans la table des règles d'admission 114 chaque règle d'admission ayant été modifiée de manière à ne pas autoriser le transfert de paquets appartenant à au moins un flux vers l'équipement de télécommunication 17 ainsi que leur horodatage. A l'étape suivante E404, le module de filtrage 112 considère la première des règles d'admission obtenues précédemment. A l'étape suivante E405, le module de filtrage 112 vérifie si l'horodatage associé à la règle en cours de traitement est considéré comme ancien. Un horodatage est considéré comme ancien si la différence entre l'heure et la date courante avec 10 l'horodatage de la règle est supérieure à un seuil prédéterminé. Dans la négative, le module de filtrage 112 passe à l'étape E407. Dans l'affirmative, le module d'admission 122 passe à l'étape E406. A l'étape E406, le module de filtrage 112 modifie la table des règles d'admission 114 de manière à ce que la règle en cours de traitement soit réinitialisée dans l'état où elle était avant la modification, autorisant ainsi le transfert des paquets appartenant aux flux associés aux règles modifiées. Le module de filtrage 112 supprime l'horodatage associé à la règle. Cette opération effectuée, le module de filtrage 112 passe à l'étape suivante E407. A l'étape E405, le module de filtrage 112 vérifie si toutes les règles obtenues à 20 l'étape E403 ont été considérées. Si toutes les règles ont été traitées, le module de filtrage 112 retourne à l'étape E400. Si toutes les règles n'ont pas été considérées, le module de filtrage 112 passe à l'étape E408, considère la règle suivante et retourne à l'étape E405. Tant que toutes les règles n'ont pas été considérées, le module de filtrage 112 25 réitère la boucle constituée des étapes E405 à E408. La Fig. 5 représente un second algorithme de mise à jour de la table des règles d'admission lorsqu'au moins une règle est modifiée de manière à ne pas autoriser le transfert de paquets appartenant à au moins un flux vers l'équipement de télécommunication. Le module de filtrage 112 exécute le présent algorithme parallèlement aux différentes étapes de l'algorithme précédemment décrit à la Fig. 3. L'étape E500 est une boucle d'attente de la modification d'au moins une règle de la table d'admission 114 de manière à ne pas autoriser le transfert de paquets appartenant à au moins un flux vers l'équipement de télécommunication 17. Lorsqu'une règle d'admission a été modifiée de manière à ne pas autoriser le transfert d'au moins un flux vers l'équipement de télécommunication 17, le module de filtrage 112 passe à l'étape suivante E501. A cette étape, le module de filtrage 112 obtient du module d'admission 122 la 5 somme des débits des différents flux transférés vers l'équipement de télécommunication 17. A l'étape suivante E503, le module de filtrage 112 détermine si la somme obtenue à l'étape E501 est supérieure ou égale à un seuil prédéterminé appelé SRST. Dans la négative, le module d'admission 122 retourne à l'étape E501. Si la somme obtenue à l'étape E503 est inférieure au seuil SRST, le module de filtrage 112 passe à l'étape E504. A cette étape, le module de filtrage 112 modifie la table des règles d'admission 114 de manière à ce que chaque règle ayant été modifiée soit réinitialisée dans l'état où elle était avant la modification, autorisant ainsi le transfert des paquets appartenant aux flux associés aux règles modifiées. Si la somme obtenue à l'étape E503 est supérieure ou égale au seuil SRST, le module de filtrage 112 retourne à l'étape E501. Les étapes du procédé précédemment décrit sont exécutées par un dispositif informatique, en l'espèce le dispositif de contrôle d'admission 100, sous la commande d'instructions logicielles. Par conséquent, l'invention concerne également un programme d'ordinateur pour un dispositif de contrôle d'admission comprenant des instructions logicielles pour faire exécuter le procédé précédemment décrit par le dispositif de contrôle d'admission. Le programme d'ordinateur peut être stocké dans ou transmis par un support de données. Celui-ci peut être un support matériel de stockage, par exemple un CD-ROM, une disquette magnétique ou un disque dur, ou bien un support transmissible tel qu'un signal électrique, optique ou radio. L'invention concerne également le support de données comportant le programme. Bien entendu, la présente invention n'est nullement limitée aux modes de réalisation décrits ici, mais englobe, bien au contraire, toute variante à la portée de l'homme du métier. 19 REVENDICATIONS 1) Procédé de contrôle d'admission de paquets de données transférés à travers au moins un réseau de télécommunication, pour la protection d'au moins un équipement de télécommunication, caractérisé en ce que, pour un paquet de données 5 transféré à destination dudit équipement de télécommunication, le procédé comporte les étapes de: -identification du paquet (E301) consistant à déterminer si le paquet appartient à un flux autorisé, et - en cas d'identification du paquet comme appartenant à un flux autorisé, - détermination (E316, E317) d'une classe de service associée au flux autorisé, et - prise de décision concernant le transfert du paquet vers l'équipement protégé (E321, E325, E327, E331, E341), ladite décision consistant à autoriser le transfert du paquet vers l'équipement protégé ou à rejeter ledit paquet, en fonction de la classe de service associée au flux autorisé, du débit de ce flux et des débits d'au moins une partie d'autres flux transférés vers l'équipement protégé. 2) Procédé selon la revendication 1, caractérisé en ce que l'étape d'identification (E301) du paquet consiste à déterminer si le paquet appartient à un flux de l'une des deux catégories de flux comportant respectivement des flux admis et des flux susceptibles d'être admis. 3) Procédé selon la revendication 2, caractérisé en ce que, pour un flux susceptible d'être admis ou pour un flux en cours admis, sont au moins mémorisées des informations identifiant ledit flux, des informations représentatives d'une classe de service associée audit flux, des informations représentatives d'un débit théorique dudit flux et une règle d'admission associée audit flux pouvant être modifiée en fonction du débit dudit flux et des débits d'au moins une partie d'autres flux transférés vers l'équipement de télécommunication et en ce que le transfert du paquet est effectué en fonction de la règle d'admission associée au flux auquel le paquet appartient. 4) Procédé selon la revendication 3, caractérisé en ce que, lorsqu'un paquet appartient à un flux dont la classe de service associée est de priorité maximale, le procédé comporte au moins l'une des étapes suivantes consistant à : - vérifier (E320) si la somme des débits instantanés de l'ensemble des flux transférés vers l'équipement protégé est inférieure à un seuil prédéterminé associé aux flux de priorité maximale et, dans l'affirmative, transférer le paquet (E321), - vérifier (E322) si le débit instantané du flux auquel appartient le paquet est inférieur à un débit théorique dudit flux et transférer le paquet (E323) dans l'affirmative ou rejeter le paquet dans la négative (E324). 5) Procédé selon la revendication 4, caractérisé en ce que, lorsqu'un paquet appartient à un flux dont la classe de service associée est de priorité minimale, le procédé comporte les étapes suivantes consistant à : - vérifier (E330) si la somme des débits instantanés de l'ensemble des flux transférés vers l'équipement de télécommunication est inférieure à un seuil minimal prédéterminé, associé aux flux de priorité minimale, et décider de transférer le paquet (E331) dans l'affirmative, et décider de rejeter ledit paquet (E332) dans la négative. 6) Procédé selon la revendication 5, caractérisé en ce que, lorsqu'un paquet appartient à un flux dont la classe de service associée est de priorité intermédiaire, le procédé comporte les étapes suivantes consistant à : - vérifier (E340) si la somme des débits instantanés de l'ensemble des flux transférés vers l'équipement de télécommunication est inférieure à un seuil 25 prédéterminé associé aux flux de priorité intermédiaire, - transférer le paquet (E341) dans l'affirmative, - dans la négative, vérifier (E342) si le débit instantané du flux auquel appartient le paquet est inférieur au débit théorique dudit flux, et, - dans la négative, rejeter le paquet reçu (E343), dans l'affirmative, modifier (E344) la règle d'admission associée au flux auquel le paquet appartient pour rejeter de nouveaux paquets appartenant audit flux, et rejeter (E345) ledit paquet. 7) Procédé selon la revendication 5 ou 6, caractérisé en ce que si au moins une règle d'admission associée à un flux est modifiée pour rejeter de nouveaux paquets appartenant au flux, le procédé comporte les étapes successives suivantes consistant à: - vérifier (E402) si la somme des débits instantanés de l'ensemble des flux transférés vers l'équipement protégé est inférieure à un seuil prédéterminé et, dans l'affirmative, vérifier (E405) si la date et/ou l'heure de modification de la règle d'admission est ancienne et, - dans l'affirmative, réinitialiser (E406) la règle d'admission associée au flux auquel ledit paquet appartient pour autoriser le transfert de nouveaux paquets appartenant au flux. 8) Procédé selon la revendication 5 ou 6, caractérisé en ce que si au moins une règle d'admission associée à un flux est modifiée pour rejeter de nouveaux paquets appartenant au flux, le procédé comporte les étapes successives suivantes consistant à: - vérifier (E503) si la somme des débits instantanés de l'ensemble des flux transférés vers l'équipement protégé est inférieure à un seuil prédéterminé et, dans 20 l'affirmative, - réinitialiser (E504) la règle d'admission associée à chaque flux dont la règle a été préalablement modifiée pour autoriser le transfert de nouveaux paquets appartenant à chacun desdits flux. 9) Dispositif de contrôle d'admission d'un paquet reçu, transféré à travers un réseau de télécommunication à destination d'au moins un équipement de télécommunication, pour la protection du ou de chaque équipement de télécommunication, caractérisé en ce que le dispositif de contrôle d'admission comporte: - des moyens d'identification du paquet (112, 114, 116), agencés pour déterminer si le paquet reçu appartient à un flux autorisé, - des moyens de détermination de la classe de service (114, 124) associée au flux autorisé auquel le paquet appartient, - des moyens de prise de décision (112, 122) concernant le transfert du paquet vers l'équipement protégé, agencés pour, dans le cas où le paquet appartient à un flux autorisé, déterminer si le transfert dudit paquet vers l'équipement protégé doit être autorisé ou si le paquet doit être rejeté, en fonction de la classe de service associée au flux auquel le paquet appartient et des débits d'au moins une partie d'autres flux transférés vers l'équipement protégé. 10) Programme d'ordinateur pour un dispositif de contrôle d'admission, ledit programme comportant des instructions pour commander l'exécution du procédé selon l'une quelconque des revendications 1 à 8 par le dispositif de contrôle d'admission, lorsqu'il est chargé et exécuté par celui-ci. 11) Support de données comportant le programme d'ordinateur selon la revendication 10.