Brevet FR3054343A1 — publié le 20180126

Procédé d'alimentation automatique d'un proxy de connexion sécurisée Domaine de l'invention La présente invention concerne le domaine des 5 serveurs d'application, et plus particulièrement des procédés et des systèmes d'accès à des ressources applicatives hébergées sur un ou plusieurs serveurs, par un utilisateur. Plus précisément, le domaine de l'invention est 10 celui des systèmes informatiques associant une pluralité de machines, avec une gestion sécurisée des accès à chacune des machines par un compte à privilèges à travers un proxy. Les systèmes informatiques modernes utilisent 15 souvent plusieurs comptes privilégiés pour fournir un accès sécurisé aux ressources informatiques. En outre, différents types de comptes privilégiés peuvent être mis en oeuvre par un système unique pour fournir des rôles différents et / ou des niveaux d'accès. Par exemple, un compte d'utilisateur peut 20 bénéficier de droits différents d'un compte administrateur. En raison de la grande variété de types et / ou de rôles, la gestion des informations d'identification et / ou la sécurisation de la multitude de comptes est fastidieuse. En 25 outre, la visualisation et / ou l'affichage de ces comptes de manière significative peut devenir contrainte. Les comptes à privilèges, par exemple les comptes administrateurs, sont définis initialement dans le domaine 30 géré par le proxy, par exemple le domaine Windows, pour une ou plusieurs machines. 3054343 - 2 - Etat de la technique L'association d'une machine du système à un utilisateur ayant les droits nécessaires et suffisants pour s'y connecter se fait habituellement par une interface homme machine du proxy de sécurisation des accès, permettant d'organiser l'association entre les différents comptes à privilèges et les différentes machines-cibles. Cette interface permet d'alimenter les différents 10 comptes à privilèges manuellement à l'aide d'un formulaire, ou par téléchargement d'un fichier de comptes. Cette interface permet aussi d'alimenter les différentes machines manuellement à l'aide d'un formulaire, ou par téléchargement d'un fichier. On procède ensuite à un appariement entre les 15 comptes à privilèges et les machines par une intervention manuelle de l'opérateur selon son propre discernement. Cette étape se traduit par la création de quelques centaines d'associations. Ensuite, à chaque déclaration d'une nouvelle machine, l'opérateur créé une nouvelle association avec un ou 20 plusieurs comptes à privilèges. On connaît aussi dans l'état de la technique le brevet américain US9069639 décrivant un procédé de gestion des privilèges par un proxy géré par un système informatique qui 25 effectue fréquemment des mises à jour. Une session commence lorsqu'un utilisateur se connecte sur le système informatique. La session enregistre le paramètre de proxy de l'utilisateur. Les paramètre proxy sont stockés dans une base de données en utilisant un identifiant 30 d'utilisateur (UID) et un identifiant de session en tant que clé. On connaît aussi le brevet US8631478 décrivant un procédé de gestion d'un compte privilégié partagé via un service de proxy qui comprend un système de gestion des 3054343 - 3 - identités (IdM) qui définit et gère les services d'identité, qui à son tour gèrent des comptes privilégiés utilisés pour des objectifs d'accès gérés. Chacun des services d'identité est mappé à un 5 groupe de privilège du service proxy et un gestionnaire de pool d'ID est mis en oeuvre pour gérer le partage des comptes privilégiés. Une demande est générée pour accéder à une cible gérée avec un compte privilégié. Un module de privilèges partagé génère un compte d'autorisation d'identité partagée et l'associe avec le demandeur. Le compte de l'autorisation d'identité partagée est rempli avec le signe des informations pour un compte privilégié partagé, que le demandeur utilise pour accéder à la cible géré correspondant. ; Lorsque l'utilisation du compte privilégié partagé est terminée, le module de privilèges partagés désolidarise le demandeur avec le compte privilégié partagé par la suppression du compte d'autorisation d'identité partagée. Solution apportée par l'invention Le but de la présente invention est de proposer une 20 solution pour associer une machine distante au compte à privilèges le plus approprié de manière automatique. A cet effet, l'invention concerne un procédé d'alimentation automatique d'un proxy de sécurisation d'accès 25 à partir des données de comptes à privilèges caractérisé en ce qu'il comporte : - une étape d'exploration par un robot d'au moins un domaine pour identifier les comptes à privilèges - une étape de filtrage des comptes à privilèges sur la 30 base de critères - une étape d'alimentation du proxy avec les données recueillies. 3054343 - 4 - De préférence, le procédé comporte en outre les étapes suivantes : - des étapes d'extraction des caractéristiques des comptes à privilèges identifiés 5 - des étapes d'exploration des logs d'activité des machines explorées par chacun des comptes à privilèges identifiés et des associations entre les machines explorées et le compte d'utilisation le plus pertinent. 10 Selon une première variante, les données des comptes à privilèges recueillies sont enregistrées dans un fichier destiné à l'alimentation du proxy. Selon une deuxième variante, les données des 15 comptes à privilèges recueillies alimentent directement le proxy par une interface de programmation applicative. Description détaillée d'un exemple non limitatif de l'invention La présente invention sera mieux comprise à la lumière de la description détaillée d'un exemple non limitatif de l'invention qui suit, se référant au dessin annexé où : - la figure 1 représente l'architecture matérielle d'un système informatique selon l'invention Le système informatique selon l'exemple illustré par la figure 1 comprend deux périmètres d'exploration (1, 2) constitués par un ensemble de machines (11 à 18 ; 21 à 28) reliées par un réseau informatique, par exemple Ethernet ou Internet. Dans chacun des périmètres d'exploration (1, 2), l'une des machines (18, 28) assure des fonctionnalités de serveur d'annuaire, par exemple, sous Windows (marque 3054343 - 5 - déposée), par l'intermédiaire de Active Directory (marque déposée). L'annuaire (19, 29) recense l'ensemble des machines respectivement (14 à 18 et 24 à 28) du domaine (1, 2) et les informations relatives aux comptes du domaine considéré (1, 5 2). L'annuaire (19, 29) comprend l'enregistrement d'une part d'une liste de comptes constitués d'informations telles que l'identifiant d'un utilisateur, des informations sur son identité, sur son appartenance à un groupe, ainsi que des 10 informations relatives à ses privilèges, par exemple d'administration. L'annuaire (19, 29) comprend l'enregistrement d'autre part d'une autre liste, distincte de la liste de comptes, constituée par des informations telles que 15 l'identifiant d'une machine et ses caractéristiques techniques. Ces deux listes sont indépendantes, sans relations fonctionnelles recensées dans l'annuaire. Chacune des machines d'un domaine peut en outre 20 présenter des comptes à privilèges purement locaux non connus du domaine et donc non enregistrés dans l'annuaire (19, 29). Le problème résolu par l'invention concerne l'association de ces machines aux comptes à privilèges les 25 plus appropriés et donc à créer des relations entre les deux listes de comptes et de machines, afin de permettre l'alimentation automatique des accès proposés par un proxy (3) de sécurisation de connexions à distance. 30 A cet effet, l'invention (4) consiste à exécuter, sous le contrôle d'un opérateur à partir d'une interface homme-machine, ou en ligne de commande textuelle, une auto-découverte des comptes à privilèges et des machines enregistrés dans les différents domaines (1, 2) et une auto- 3054343 - 6 - déduction de l'appariement le plus approprié des comptes à privilèges et des machines de chacun des domaines (1, 2). Pour cela, on exécute sur l'une des machines (14 à 18 ; 24 à 28) de chacun des domaines (1, 2) un robot procédant 5 à l'interrogation de l'annuaire (19, 29) pour récupérer la liste des identifiants des utilisateurs appartenant à des groupes indiqués comme étant à privilèges et l'identifiant de toutes les machines du domaine (1, 2) correspondant. Ces informations sont enregistrées dans une mémoire temporaire. 10 Pour les machines (11 à 13 ; 21 à 23) du domaine qui ne sont pas recensées dans l'annuaire (19, 29), ces informations résultant de l'étape d'interrogation de l'annuaire par le robot sont complétées à partir d'un fichier indépendant (10, 20) au format XML enregistré parallèlement à l'étape 15 d'interrogation des machines enregistrées dans l'annuaire (19, 29). Le robot (4) exécute ensuite une connexion distante à chacune des machines identifiées lors de l'étape précédente, et procède à une interrogation pour récupérer les informations 20 de droits relatives aux comptes à privilèges pour la machine considérée, identifier des comptes à privilèges purement locaux à la machine ainsi que récolter les informations correspondant aux journaux d'activité. Ces informations sont également enregistrées dans 25 une mémoire temporaire. Le mode de connexion à distance par ce robot s'appuie sur les fonctionnalités Windows API (marque déposée) afin de garantir la préservation de la sécurité. On procède ensuite à un traitement de filtrage sur 30 les informations ainsi collectées à partir de paramètres définissant un sous-ensemble de comptes à privilèges. Ces paramètres sont par exemple : - l'appartenance à un groupe standard - l'appartenance à un groupe défini par son nom - le bénéfice d'un privilège prédéterminé. 3054343 - 7 - Le filtre peut combiner plusieurs paramètres par des opérateurs logiques. On procède ensuite au calcul d'une association optimale entre les machines et les comptes retenus à l'issue 5 de l'étape de filtrage. Ce calcul prend en compte les données des journaux d'activités pour déterminer les meilleures combinaisons, par exemple par la pondération par le nombre de connexions du compte sur une machine, ou la date de la connexion la plus récente du compte sur ladite machine. 10 A l'issue de ces étapes, le robot fournit : un ensemble de fichiers au format .csv permettant l'alimentation du proxy assurant la connexion sécurisée (50) un ensemble de fichiers dont le modèle est paramétrable 15 par l'opérateur (51) une alimentation automatique du proxy (3) par une interface de programmation applicative dédiée (52). En outre, dans le cas de la génération de fichiers, 20 l'opérateur peut définir une commande à exécuter à l'issue de la production du fichier (53, 54). REVENDICATIONS1 - Procédé d'alimentation automatique d'un proxy de connexion sécurisée à des cibles distantes à partir des données de comptes à privilèges caractérisé en ce qu'il 5 comporte : - une étape d'exploration par un robot d'au moins un domaine pour identifier les comptes à privilèges - une étape de filtrage des comptes à privilèges sur la base de critères 10 - des étapes d'extraction des caractéristiques des comptes à privilèges identifiés - une étape d'alimentation du proxy avec les données recueillies. 15 2 - Procédé d'alimentation automatique d'un proxy selon la revendication 1 caractérisé en ce qu'il comporte en outre : - des étapes d'exploration des logs d'activité des machines explorées par chacun des comptes à privilèges identifiés 20 et des associations entre les machines explorées et le compte d'utilisation le plus pertinent - une étape d'alimentation du proxy avec les données recueillies 25 3 - Procédé d'alimentation automatique d'un proxy selon la revendication 1 caractérisé en ce que les données des comptes à privilèges recueillies sont enregistrées dans un fichier destiné à l'alimentation du proxy. 30 4 - Procédé d'alimentation automatique d'un proxy selon la revendication 1 caractérisé en ce que les données des comptes à privilèges recueillies alimentent directement le proxy par une interface de programmation applicative d'entrée.