Brevet FR3053491A1 — publié le 20180105

Arrière-plan de l'invention L'invention se rapporte au domaine général des systèmes informatiques aussi appelés systèmes d'information. Elle concerne plus particulièrement la surveillance d'un système d'information (i.e. d'un système de télécommunications) comprenant plusieurs biens ou éléments matériels et/ou virtuels reliés entre eux, et au moins un point d'accès à ces biens ou éléments. Au sens de l'invention, un bien ou un élément d'un système d'information désigne une entité utilisée pour réaliser un service donné (ex. calcul, routage, stockage, etc.). Il peut être physique, c'est-à-dire matériel (comme par exemple une base de données, un centre de données (ou « data center » en anglais), un terminal, un routeur, un aiguilleur (ou « switch » en anglais), etc.), ou virtuel (il peut s'agir par exemple d'une fonction réseau dans un réseau programmable ou SDN (pour « Software Defined Network »), d'une machine virtuelle dans un système informatique en nuage (ou « cloud » en anglais), etc.). Les biens dans un système d'information sont liés par des liens physiques ou virtuels. L'existence de points d'accès à ces systèmes d'information les rend vulnérables à différents types d'attaques extérieures susceptibles d'être menées depuis ces points d'accès. Lors d'une telle attaque, chaque élément du système est susceptible d'être endommagé et d'entrainer un dysfonctionnement du système d'information, ainsi qu'une menace de l'intégrité des informations qu'il détient. L'ensemble des politiques relatives à la gestion de la sécurité de l'information et leur application dans un périmètre cible à protéger (ex. sur un système d'information donné) est regroupé sous l'appellation de Système de Management de la Sécurité de l'Information (SMSI). L'installation d'un SMSI s'inscrit généralement dans une démarche globale d'amélioration et d'ajustement continu du niveau de la sécurité du périmètre cible, aussi connue sous le terme de roue de Deming ou PDCA (« Plan, Do, Check, Act »). Plus précisément, cette démarche s'appuie sur quatre étapes principales, parcourues de manière itérative, à savoir : une première étape de planification (« Plan »), qui consiste à élaborer la politique de sécurité pour le périmètre cible à protéger, à définir des objectifs de sécurité, et à analyser des risques de sorte à lister et qualifier les menaces existant pour le périmètre cible ; une deuxième étape de déploiement (« Do ») de mesures de sécurité et d'application de contremesures spécifiques afin de ramener le risque à un niveau acceptable ; une troisième étape de vérification (« Check ») consistant en un audit et une supervision de la sécurité, et en la détection d'attaques ou de nouvelles menaces ; et - une quatrième étape d'actions correctives (« Act ») visant à mettre à jour la politique de sécurité. A l'issue de cette quatrième étape, la première étape est reprise, etc. En vue d'établir un référentiel unique pour la gestion de la sécurité dans les systèmes d'information, l'Organisation Internationale de la Normalisation (ISO) a établi une série de normes, dont la norme ISO 27001, qui proposent une démarche de management et d'amélioration continue 3053491 2 de la sécurité de type PDCA. La norme ISO 27001 explicite plus particulièrement une démarche de gestion de risques, qui se décline en plusieurs étapes métiers, telles que faire l'inventaire de toutes les ressources à protéger dans le système, définir les objectifs de sécurité, mesurer les vulnérabilités inhérentes à l'architecture du système ainsi que les risques que ces vulnérabilité 5 induisent, et proposer et implémenter des contre-mesures qui satisfont le meilleur compromis coût/sécurité. Toutefois, bien que la norme ISO 27001 spécifie la démarche à suivre, elle ne propose pas ni ne fournit d'outils automatisés permettant de l'implémenter dans un environnement cible. Plusieurs outils disponibles dans le commerce permettent de modéliser et de calculer 10 un niveau de risque global associé à un système d'information dans un environnement de production. De tels outils s'appuient notamment sur des graphes dits d'attaque, utilisés pour analyser les risques associés aux vulnérabilités affectant le système d'information. Selon une définition couramment admise (cf. Wikipédia par exemple) dans le domaine de la sécurité des systèmes d'information, une vulnérabilité est une faille ou une faiblesse d'un système d'information 15 permettant à un attaquant de porter atteinte à l'intégrité de ce système, c'est-à-dire à son fonctionnement normal ainsi qu'à la confidentialité et à l'intégrité des données qu'il contient. Une telle vulnérabilité peut être la conséquence par exemple de faiblesses dans la conception du système d'information ou liées à l'utilisation d'un composant matériel ou logiciel particulier, ou être due à l'exploitation de pannes logicielles affectant certains biens du système d'information. 20 Les graphes d'attaques permettent de mettre en évidence l'effet cumulatif des attaques au sein du système d'information. Chaque chemin dans le graphe d'attaque porte sur un état indésirable, tel que par exemple obtenir un accès administrateur d'une base de données. Ces graphes d'attaque sont souvent générés manuellement et s'appuient sur une modélisation statique du système d'information. Toute mise à jour de l'environnement (comme par exemple la création 25 d'un nouveau bien, une nouvelle connexion établie entre deux biens, une ouverture de flux réseau, etc.), entraine une nouvelle phase complète de modélisation (génération d'un nouveau graphe d'attaque) et de calcul de risque. Or, les systèmes d'information aujourd'hui sont de plus en plus hétérogènes, complexes et dynamiques, notamment en raison de l'avènement de nouvelles technologies telles 30 que la virtualisation des réseaux (ex. réseaux programmables de type SDN, virtualisation des fonctions réseaux NFV (Network Function Virtualization)) et des systèmes d'information (architectures de type cloud). De nouveaux biens ou éléments (ex. machines virtuelles, composantes logicielles, services applicatifs, centre de données, etc.) peuvent apparaitre et/ou disparaitre dans ces systèmes à tout moment. De même, de nouveaux liens ou de nouvelles 35 dépendances entre les biens peuvent être établis et/ou modifiés durant la phase d'exploitation du système. Il en résulte que de nouvelles vulnérabilités peuvent apparaitre dans le système d'information, les accès au système étant en outre susceptibles de changer au cours du temps. Délivrer le niveau de service (ou SLA pour « Service Level Agreement ») souhaitable et souhaité 3053491 3 dans un système d'information dépend donc en grande partie de la capacité du responsable de la sécurité du système d'information à assurer la sécurité des biens dans un système complexe et dynamique. Or les graphes d'attaques sont incapables de fournir une analyse de risque prenant en 5 considération cette dynamique et cette complexité dans les systèmes, et s'avèrent donc insuffisants pour répondre aux caractéristiques actuelles des systèmes d'information et aux défis importants en résultant. Il est donc difficile avec les graphes d'attaque d'envisager des mesures de sécurité optimales pour le système d'information d'un point de vue compromis coût/sécurité. En raison de ces limitations, les outils disponibles aujourd'hui ne permettent pas de répondre 10 efficacement aux attaques susceptibles de menacer les systèmes d'information actuels. Il existe donc un besoin d'avoir une procédure de surveillance et d'analyse du risque d'un système d'information qui permet de prendre en compte de façon native les aspects dynamiques d'un système d'information et son évolution dans le temps. 15 Objet et résumé de l'invention L'invention répond notamment à ce besoin en proposant un procédé de surveillance de la sécurité d'un système d'information comprenant une pluralité d'éléments et au moins un point d'accès à ces éléments, au moins un élément du système d'information étant susceptible d'être affecté par au moins une vulnérabilité, chaque vulnérabilité susceptible d'affecter un élément étant 20 associée à une probabilité d'occurrence et à un impact sur l'élément, ledit procédé de surveillance comprenant, pour au moins un état du système d'information : une étape de modélisation du système d'information dans ledit état par un graphe comprenant une pluralité de noeuds, chaque noeud du graphe correspondant à un couple formé d'un élément et d'une vulnérabilité susceptible de l'affecter ou à un point d'accès, ledit graphe étant 25 tel que deux noeuds du graphe dits premier et deuxième noeuds sont reliés par un arc : o bidirectionnel, si lesdits noeuds correspondent au même élément ; o orienté du premier noeud vers le deuxième noeud, si l'exploitation de ladite vulnérabilité du premier noeud lors d'une attaque depuis un point d'accès entraine l'exploitation de ladite vulnérabilité du deuxième noeud, 30 cet arc étant associé à une métrique dite d'accessibilité mesurant une fréquence de connexion dans le système d'information entre l'élément du premier noeud et l'élément du deuxième noeud correspondant audit état ; une étape d'évaluation, pour chaque noeud d'un ensemble de noeuds du graphe identifiés comme critiques, d'une métrique de sécurité du noeud représentant un niveau de risque 35 encouru par l'élément du noeud d'être affecté par la vulnérabilité de ce noeud lors d'attaques menées contre le système d'information depuis ledit au moins un point d'accès, la métrique de sécurité du noeud étant évaluée en utilisant l'impact associé à la vulnérabilité du noeud, ainsi que les probabilités d'occurrence des vulnérabilités des noeuds et les métriques d'accessibilité 3053491 4 des arcs d'au moins un chemin du graphe existant entre le noeud et ledit au moins un point d'accès ; une étape de détermination d'une métrique de sécurité globale du système d'information dans ledit état en cumulant les métriques de sécurité évaluées des noeuds de l'ensemble de noeuds 5 critiques du graphe ; le procédé de surveillance comprenant en outre une étape de surveillance de la sécurité du système d'information utilisant la métrique de sécurité globale du système d'information déterminée correspondant audit au moins un état. Corrélativement, l'invention vise également un dispositif de surveillance de la sécurité 10 d'un système d'information comprenant une pluralité d'éléments et au moins un point d'accès à ces éléments, au moins un élément du système d'information étant susceptible d'être affecté par au moins une vulnérabilité, chaque vulnérabilité susceptible d'affecter un élément étant associée à une probabilité d'occurrence et à un impact sur l'élément, ce dispositif de surveillance comprenant une pluralité de modules activés pour au moins un état du système d'information, ces modules 15 comprenant : un module de modélisation, configuré pour modéliser le système d'information dans ledit état par un graphe comprenant une pluralité de noeuds, chaque noeud du graphe correspondant à un couple formé d'un élément et d'une vulnérabilité susceptible de l'affecter ou à un point d'accès, ledit graphe étant tel que deux noeuds du graphe dits premier et deuxième noeuds 20 sont reliés par un arc : o bidirectionnel, si lesdits noeuds correspondent au même élément ; o orienté du premier noeud vers le deuxième noeud, si l'exploitation de la vulnérabilité du premier noeud lors d'une attaque depuis un point d'accès entraine l'exploitation de la vulnérabilité du deuxième noeud, 25 cet arc étant associé à une métrique dite d'accessibilité mesurant une fréquence de connexion dans le système d'information entre l'élément du premier noeud et l'élément du deuxième noeud correspondant audit état ; un module d'évaluation, configuré pour évaluer pour chaque noeud d'un ensemble de noeuds du graphe identifiés comme critiques, d'une métrique de sécurité du noeud représentant un 30 niveau de risque encouru par l'élément du noeud d'être affecté par la vulnérabilité de ce noeud lors d'attaques menées contre le système d'information depuis ledit au moins un point d'accès, la métrique de sécurité du noeud étant évaluée en utilisant l'impact associé à la vulnérabilité du noeud, ainsi que les probabilités d'occurrence des vulnérabilités des noeuds et les métriques d'accessibilité des arcs d'au moins un chemin du graphe existant entre le noeud et ledit au 35 moins un point d'accès ; un module de détermination, configuré pour déterminer une métrique de sécurité globale du système d'information dans ledit état en cumulant les métriques de sécurité évaluées des noeuds de l'ensemble de noeuds critiques du graphe ; 3053491 5 le dispositif de surveillance comprenant en outre un module de surveillance de la sécurité du système d'information configuré pour utiliser la métrique de sécurité globale du système d'information déterminée correspondant audit au moins un état. Au sens de l'invention, l'état d'un système d'information dépend non seulement de sa 5 topologie, mais également de différents paramètres qui le caractérisent et qui impactent sa sécurité, à savoir notamment les fréquences de connexion de ses éléments (et qui traduit l'accessibilité des éléments du système d'information par d'autres éléments de ce système ou par des points d'accès au système), etc. L'invention propose donc une solution permettant de surveiller la sécurité d'un système 10 d'information dont l'état est susceptible d'évoluer au cours du temps, cette solution étant basée sur une modélisation du système d'information au moyen d'un graphe tenant compte non seulement de la topologie du système d'information dans chaque état considéré (biens/éléments et points d'accès du système d'information ainsi que des connexions existant entre ces éléments et points d'accès), mais aussi des vulnérabilités (et leurs conséquences) susceptibles d'affecter la sécurité de 15 chacun des biens du système d'information lors d'une attaque. Comme mentionné précédemment, par vulnérabilité on entend dans le domaine de la sécurité des systèmes d'information, une faille ou une faiblesse du système d'information permettant à un attaquant de porter atteinte à l'intégrité de ce système, c'est-à-dire à son fonctionnement normal ainsi qu'à la confidentialité et à l'intégrité des données qu'il contient. 20 Le graphe proposé par l'invention modélise avantageusement toutes les attaques possibles sur le système d'information, via notamment la modélisation des points d'accès et l'association d'un noeud distinct du graphe à chaque vulnérabilité susceptible d'affecter un élément et de résulter de telles attaques. Il modélise également tous les scénarii d'attaques possibles via la modélisation de l'accessibilité des éléments du système d'information au moyen d'arcs du graphe. 25 Une telle modélisation peut être mise à jour facilement et de façon automatique pour tenir compte d'une évolution de l'état du système d'information, par exemple en raison d'une évolution de sa topologie (ex. ajout ou suppression d'éléments dans le système d'information) ou de paramètres le caractérisant comme par exemple les fréquences de connexion de ses éléments. Aucune limitation n'est attachée à la façon dont un tel changement d'état du système 30 d'information est détecté. Ainsi, dans un mode particulier de réalisation, les éléments et/ou les vulnérabilités correspondant aux noeuds du graphe modélisant le système d'informations sont déterminés en interrogeant de façon périodique ou prédéterminée au moins une base décrivant une topologie du système d'information et/ou une base décrivant des vulnérabilités susceptibles d'affecter des éléments du système d'information. 35 Le procédé de surveillance peut alors comprendre une étape de détection d'au moins un changement dans ladite au moins une base décrivant la topologie du système d'information résultant en un nouvel état du système d'information, cette étape de détection déclenchant l'application des étapes du procédé de surveillance au nouvel état du système d'information. 3053491 De façon similaire, le procédé de surveillance peut comprendre une étape de détection d'au moins un changement dans ladite au moins une base décrivant les vulnérabilités susceptibles d'affecter des éléments du système d'information, cette étape de détection déclenchant la mise en oeuvre des étapes du procédé de surveillance en tenant compte dudit au 5 moins un changement détecté. On peut également envisager de répéter les étapes du procédé de surveillance de façon périodique ou à des instants prédéterminés pour capturer d'éventuels changements d'états du système d'information. Par ailleurs, la modélisation proposée par l'invention permet de modéliser facilement 10 une évolution dans le temps de certains paramètres susceptibles d'impacter la sécurité du système d'information, comme par exemple de l'accessibilité des éléments du système d'information ou des probabilités d'occurrence des vulnérabilités susceptibles d'affecter ces éléments. Des valeurs d'accessibilité ou de probabilités d'occurrence modélisant ces évolutions peuvent être fournies au dispositif de surveillance pour évaluer le cas échéant un nouveau graphe et/ou de nouvelles 15 métriques. En variante, il est possible d'utiliser au cours du procédé de surveillance des fonctions variant dans le temps et prédisant les évolutions des paramètres précités. Un graphe distinct et une métrique de sécurité globale peuvent être générés pour chaque état distinct du système d'information atteint à différents instants ou pour chaque évolution prédite des vulnérabilités. La modélisation proposée par l'invention est donc particulièrement bien adaptée pour capturer et 20 refléter le caractère dynamique des systèmes d'information actuels. Les métriques de sécurité évaluées sur le graphe conformément à l'invention permettent avantageusement de tenir compte de la propagation d'un risque sur l'ensemble du système d'information grâce aux informations disponibles au niveau de chaque noeud et de chaque arc du graphe (i.e. probabilité d'occurrence et impact de chaque vulnérabilité associée à un noeud, 25 ainsi que métrique d'accessibilité entre deux noeuds). En particulier, les métriques d'accessibilité associées aux arcs du graphe et la représentation des points d'accès dans le graphe permettent de prendre en considération, pour évaluer le risque affectant la sécurité du système d'information, non seulement l'exploitation directe d'une vulnérabilité au niveau d'un élément du système d'information mais également la façon dont cette vulnérabilité est susceptible d'être exploitée au 30 travers d'autres vulnérabilités. Autrement dit, la modélisation adoptée par l'invention permet de tenir compte de la propagation de l'attaque au sein du système d'information. Grâce à la fourniture de telles métriques de sécurité, l'invention propose une évaluation fiable du risque global encouru par le système d'information (ainsi que du risque présent au niveau de chaque élément du système d'information), et offre ainsi un moyen d'adopter 35 de façon éclairée des solutions efficaces pour assurer la sécurité du système d'information et vérifiant un bon compromis (voire un compromis optimal) coût/sécurité. 3053491 7 Lorsque plusieurs états du système d'information sont pris en compte, la surveillance permise par l'invention peut prendre en compte une évolution temporelle de ce risque global et permettre l'adaptation des contre-mesures mises en oeuvre pour diminuer ce risque. On note que l'étape de surveillance du procédé selon l'invention qui utilise la métrique 5 de sécurité globale évaluée par l'invention peut consister à proposer des contre-mesures permettant d'améliorer la sécurité du système d'information ou tout simplement à notifier une alerte le cas échéant permettant de déclencher la mise en place de contre-mesures, par exemple lorsque la métrique de sécurité globale est supérieure à un seuil de risque prédéterminé. L'invention ne se limite pas à l'adoption de contre-mesures particulières. En outre, cette étape peut 10 être mise en oeuvre par une entité distincte de l'entité mettant en oeuvre les étapes de modélisation, d'estimation et de détermination. Dans un mode particulier de réalisation de l'invention, l'ensemble déterminé de noeuds du graphe identifiés comme critiques considéré pour évaluer la métrique de sécurité globale comprend tous les noeuds du graphe. 15 Autrement dit, dans ce mode de réalisation, tous les éléments du système d'information et toutes les vulnérabilités susceptibles d'endommager ces éléments sont considérés comme critiques. Cela permet de prendre en compte l'impact de chaque vulnérabilité et de chaque élément du système d'information sur la sécurité de ce dernier. En variante, on peut envisager de sélectionner seulement un sous-ensemble de noeuds 20 du graphe, par exemple parce que les éléments associés à ces noeuds sont particulièrement exposés ou parce que les solutions permettant de protéger certains éléments sont plus coûteuses, etc. Dans un mode particulier de réalisation de l'invention, l'étape d'évaluation de la métrique de sécurité d'un noeud comprend, pour chaque point d'accès : 25 une détermination d'un plus court chemin entre ce point d'accès et ledit noeud ; une évaluation d'une métrique de sécurité dite propagée entre le point d'accès et ledit noeud sur le plus court chemin, en utilisant : o l'impact de la vulnérabilité du noeud sur l'élément du noeud, et o les probabilités d'occurrence des vulnérabilités des noeuds et les métriques 30 d'accessibilité des arcs appartenant au plus court chemin ; La métrique de sécurité du noeud étant évaluée en cumulant les métriques de sécurité propagées évaluées entre chaque point d'accès et ce noeud. A cet effet, par exemple, la métrique de sécurité propagée entre le point d'accès et le noeud sur le plus court chemin est égale au produit de l'impact de la vulnérabilité du noeud sur 35 l'élément du noeud et d'une métrique d'occurrence propagée sur le plus court chemin, cette métrique d'occurrence propagée étant obtenue en sommant sur chaque noeud du plus court chemin, le logarithme de l'inverse du produit de la métrique d'accessibilité associée à l'arc reliant 3053491 8 ce noeud au noeud suivant sur le chemin (i.e. noeud lui succédant et donc relié audit noeud) et de la fréquence d'occurrence de la vulnérabilité du noeud suivant. Ce mode de réalisation ramène avantageusement l'estimation du risque global affectant la sécurité du système d'information à un calcul de plus court chemin au sein du graphe. 5 Des algorithmes très efficaces comme l'algorithme de Dijkstra existent pour traiter simplement et efficacement ce type de calcul, ce qui facilite la mise en oeuvre de l'invention. Il convient de noter que ce mode de réalisation s'appuie sur une hypothèse de pire cas selon laquelle un attaquant choisit parmi plusieurs chemins possibles dans le système d'information le chemin le plus risqué, c'est-à-dire celui qui présente une propagation maximale du risque et de 10 l'attaque. L'invention offre toutefois la possibilité de faire des hypothèses alternatives sur le comportement de l'attaquant, ou tout simplement de ne faire aucune hypothèse. Dans ce dernier cas de figure, on peut considérer pour évaluer la métrique de sécurité propagée une moyenne prise sur tous les chemins reliant le point d'accès au noeud considéré. Comme mentionné précédemment, la modélisation proposée par l'invention permet 15 avantageusement de tenir compte d'une évolution dans le temps non seulement de la topologie du système d'information mais également des vulnérabilités susceptibles d'affecter les éléments de ce système. Ainsi, dans un mode particulier de réalisation, au moins une probabilité d'occurrence d'une vulnérabilité d'un noeud du graphe et/ou une métrique d'accessibilité associée à un arc du graphe peuvent varier dans le temps, conduisant à des états distincts du système d'information. 20 Pour bien visualiser l'impact sur la sécurité du système d'information de ces possibles évolutions, une métrique de sécurité globale peut être déterminée lors de l'étape de détermination pour chacun d'une pluralité d'instants prédéterminés correspondant à différents états du système d'information. Ces intervalles de temps sont typiquement choisis de sorte à refléter les évolutions 25 vécues par le système d'information, chaque intervalle correspondant à une évolution d'au moins un des paramètres précités (probabilité d'occurrence ou métrique d'accessibilité). Pour modéliser ou prédire les variations dans le temps de ces paramètres, divers modèles peuvent être adoptés. Ainsi, par exemple, dans un mode particulier de réalisation, la probabilité d'occurrence 30 de la vulnérabilité d'un noeud n varie dans le temps selon une fonction fn telle que : fn(t) = 1 - (1 - Pn)ant où t désigne le temps, Nia probabilité d'occurrence de la vulnérabilité du noeud n pour un état déterminé du système d'information et an est un paramètre compris entre 0 et 1 et défini pour le noeud n. Cette fonction fn converge vers 1 lorsque le temps t tend vers l'infini. Elle reflète 35 avantageusement le fait que plus un attaquant dispose de temps, plus il est probable qu'il exploite une vulnérabilité. 3053491 9 Dans un autre mode de réalisation, la métrique d'accessibilité d'un arc reliant un noeud n1 à un noeud n2 varie dans le temps selon une fonction g7,1,7,2 telle que : \ - gn1,n2(t) = an1,n2 (1- an1,n2)fl(t 1) où t désigne le temps, an1,n2 la métrique d'accessibilité de l'arc reliant le noeud n1 au noeud n2 pour un état du système d'information déterminé, et fl est un paramètre compris entre 0 et 1. 5 Bien entendu, le choix de la fonction a ,n1,n2 dépend du système d'information, et cet exemple n'est donné qu'à titre illustratif : il correspondant à une situation où les connexions entre les éléments du système d'information sont de plus en plus fréquentes au fil de la journée. Dans un autre mode de réalisation, pour prédire l'évolution des métriques d'accessibilité, plutôt que d'utiliser une fonction dépendant du temps telle que la fonction a 10 mentionnée ci-dessus, la métrique d'accessibilité d'un arc reliant un noeud n1 à un noeud n2 à un instant t est prédite en utilisant un historique des métriques d'accessibilité observées entre les mêmes noeuds à des instants passés espacés d'une même période T. Par exemple, la métrique d'accessibilité de l'arc reliant le noeud n1 au noeud n2 à l'instant t peut être prédite au moyen d'une combinaison linéaire de métriques d'accessibilité observées entre les mêmes noeuds à des 15 instants précédents espacés d'une même période T. Plus précisément, la valeur de la métrique d'accessibilité an1,n2 (t,Tn.) à l'instant t (modulo T) correspondant à la n-ième période T (notée Tn), peut être prédite en utilisant une combinaison linéaire des valeurs des métriques d'accessibilité an1,n2 (t,Tn-1), j=0,...,n-1 observées à l'instant t et correspondant aux j-ièmes périodes T (i.e. To, Un exemple d'une telle fonction linéaire est : an1m2 (t,Tn) = a an1,n2 (t,Tn_i) + (1 - a)an1,n2 (t, Tn-2) avec a E [0,1]. 20 Dans un mode particulier de réalisation, les différentes étapes du procédé de surveillance sont déterminées par des instructions de programmes d'ordinateurs. En conséquence, l'invention vise aussi un programme d'ordinateur sur un support d'informations, ce programme étant susceptible d'être mis en oeuvre dans un dispositif de surveillance ou plus généralement dans un ordinateur, ce programme comportant des instructions 25 adaptées à la mise en oeuvre des étapes d'un procédé de surveillance tel que décrit ci-dessus. Ce programme peut utiliser n'importe quel langage de programmation, et être sous la forme de code source, code objet, ou de code intermédiaire entre code source et code objet, tel que dans une forme partiellement compilée, ou dans n'importe quelle autre forme souhaitable. L'invention vise aussi un support d'informations ou d'enregistrement lisible par un 30 ordinateur, et comportant des instructions d'un programme d'ordinateur tel que mentionné ci- dessus. Le support d'informations ou d'enregistrement peut être n'importe quelle entité ou dispositif capable de stocker le programme. Par exemple, le support peut comporter un moyen de 3053491 10 stockage, tel qu'une ROM, par exemple un CD ROM ou une ROM de circuit microélectronique, ou encore un moyen d'enregistrement magnétique, par exemple une disquette (floppy disc) ou un disque dur. D'autre part, le support d'informations ou d'enregistrement peut être un support 5 transmissible tel qu'un signal électrique ou optique, qui peut être acheminé via un câble électrique ou optique, par radio ou par d'autres moyens. Le programme selon l'invention peut être en particulier téléchargé sur un réseau de type Internet. Alternativement, le support d'informations ou d'enregistrement peut être un circuit intégré dans lequel le programme est incorporé, le circuit étant adapté pour exécuter ou pour être 10 utilisé dans l'exécution du procédé en question. L'invention vise également un système de communications comprenant : un système d'information comprenant une pluralité d'éléments et au moins un point d'accès à ces éléments ; et un dispositif de surveillance de la sécurité du système d'information conforme à l'invention. 15 Le système de communications bénéficie des mêmes avantages que le procédé et le dispositif de surveillance selon l'invention. On peut également envisager, dans d'autres modes de réalisation, que le procédé de surveillance, le dispositif de surveillance et le système de communications selon l'invention présentent en combinaison tout ou partie des caractéristiques précitées. 20 Brève description des dessins et annexe D'autres caractéristiques et avantages de la présente invention ressortiront de la description faite ci-dessous, en référence aux dessins annexés qui en illustrent un exemple de réalisation dépourvu de tout caractère limitatif. Sur les figures : 25 la figure 1 représente un système de communications conforme à l'invention, dans un mode particulier de réalisation, le système de communications comprenant un système d'information et un dispositif de surveillance de la sécurité du système d'information conforme à l'invention ; la figure 2 représente l'architecture matérielle du dispositif de surveillance de la figure 1, dans un mode particulier de réalisation ; 30 la figure 3 représente, sous forme d'ordinogramme, les principales étapes d'un procédé de surveillance selon l'invention, dans un mode particulier de réalisation ; la figure 4 illustre les principales étapes mises en oeuvre pour construire un graphe modélisant le système d'information de la figure 1 ; les figures 5A-5D illustrent des exemples de graphes modélisant conformément à l'invention le 35 système d'information de la figure 1 dans différents états ; les figures 6A-6D illustrent les différentes métriques considérées lors du procédé de surveillance selon l'invention. 3053491 11 Par ailleurs, l'annexe 1 fournit un exemple de fichier XML générique pouvant être utilisé dans l'invention pour spécifier la topologie du système d'information de la figure 1. Description détaillée de l'invention 5 La figure 1 représente, dans son environnement, un système de communications 1 conforme à l'invention, dans un mode particulier de réalisation. Le système de communications 1 comprend : un système d'information 2, comprenant, dans un état initial, une pluralité d'éléments (i.e. de biens) 3 matériels et/ou virtuels, chaque élément assurant une fonction ou un service donné 10 (ex. calcul, routage, stockage) dans le système d'information 2 ; et un dispositif 4 de surveillance de la sécurité du système d'information 2, conforme à l'invention. Aucune limitation n'est attachée à la nature des éléments du système d'information 2. Comme mentionné précédemment, il peut s'agir de biens matériels tels que par exemple un 15 serveur, une base de données, un terminal, un routeur, etc., ou de biens virtuels, tels que par exemple une machine virtuelle, un service applicatif, ou encore une fonction réseau virtualisée. Pour mieux illustrer l'invention, on considère ici à titre d'exemple un système d'information 2 permettant de gérer la messagerie électronique d'une entreprise et comprenant, dans son état initial, quatre éléments reliés entre eux, à savoir : 20 un serveur Apache 3-1 ; un serveur IMAP 3-2 (Internet Message Access Protocol) ; un serveur OWA 3-3 (Outlook Web Access) ; et un serveur Exchange 3-4. Les différents éléments du système d'information 2 ainsi que les liens existant entre 25 ces différents éléments constituent la topologie du système d'information 2 dans l'état considéré. Cette topologie est spécifiée par l'administrateur du système d'information 2 et stockée ici dans une base topologique 5. On suppose ici que la désignation des éléments du système d'information 2 dans la base topologique 5 est conforme au standard de nommage CPE (Common Platform Enumeration), connu en soi. Ce standard permet avantageusement de désigner de façon non 30 ambiguë des composants informatiques tels que par exemple un serveur, un système d'exploitation, un logiciel, etc., afin de faciliter notamment l'interfaçage entre les outils qui manipulent les désignations de machines. Ainsi, par exemple, le nom CPE correspondant est, dans la base topologique 5 : - pour le serveur Apache 3-1 : cpe:/a:apache:http_server:2.0 ; 35 - pour le serveur IMAP 3-2 : cpe:/a:cmu:cyrus_imap_server:2.0.17 ; - pour le serveur OWA 3-3 : cpe:/a :microsoft : outlook :2007 ; et - pour le serveur Exchange 3-4 : cpe:/a :microsoft :exchange_server :2010. 3053491 12 Bien entendu, un autre standard de nommage peut être adopté pour désigner les éléments du système d'information 2 dans la topologie. On fait l'hypothèse par ailleurs, dans l'exemple illustré à la figure 1, que les éléments du système d'information 2 sont accessibles via deux points d'accès distincts, à savoir : 5 via un terminal 6 (ex. ordinateur) d'un utilisateur de l'intranet de l'entreprise, relié au serveur IMAP 3-2 et au serveur OWA 3-3 ; et via un terminal 7 (ex. ordinateur) d'un utilisateur internet, relié au serveur Apache 3-1. Bien entendu cet exemple n'est donné qu'à titre illustratif et d'autres configurations de systèmes d'information et d'accès à ces systèmes peuvent être envisagées. 10 On note que l'état du système d'information 2, et notamment sa topologie ou ses points d'accès, peuvent être amenés à évoluer dans le temps. Par exemple, des éléments peuvent être ajoutés et/ou retirés, subir des mises à jours, les paramètres caractérisant ces éléments peuvent évoluer, etc. Les évolutions relatives à la topologie du système d'information sont renseignées dans le mode de réalisation décrit ici par l'administrateur du système d'information 2, 15 directement dans la base topologique 5. Dans le mode de réalisation décrit ici, le dispositif 4 de surveillance de la sécurité du système d'information 2 a l'architecture matérielle d'un ordinateur, telle que représentée à la figure 2. Il comprend notamment un processeur 8, une mémoire vive 9, une mémoire morte 10, une mémoire flash non volatile 11 ainsi que des moyens de communication 12 lui permettant de 20 communiquer notamment sur le réseau d'entreprise, sur le réseau Internet et avec la base de données 5. Ces moyens de communication 12 comprennent par exemple une carte réseau, bien connue en soi. La mémoire morte 10 du terminal constitue un support d'enregistrement conforme à l'invention, lisible par le processeur 8 et sur lequel est enregistré ici un programme d'ordinateur 25 PROG conforme à l'invention. Le programme d'ordinateur PROG définit des modules fonctionnels et logiciels ici, configurés pour mettre en oeuvre les étapes du procédé de surveillance de la sécurité d'un système d'information selon l'invention. Ces modules fonctionnels s'appuient sur et/ou commandent les éléments matériels 8-12 du dispositif de surveillance 4 cités précédemment. Ils comprennent 30 notamment ici, comme illustré sur la figure 1 : un module 4A de modélisation, configuré pour modéliser le système d'information 2 dans au moins un état au moyen d'un graphe G conformément à l'invention. La façon dont le graphe G est défini et construit par le module 4A est décrite plus en détail ultérieurement ; un module 4B d'évaluation, configuré pour évaluer pour chaque noeud d'un ensemble de 35 noeuds du graphe identifiés comme critiques, une métrique de sécurité du noeud. La façon dont ces métriques de sécurité des noeuds de l'ensemble de noeuds critiques sont évaluées par le module 4B est décrite également plus en détail ultérieurement ; et 3053491 13 - un module 4C de détermination, configuré pour déterminer une métrique de sécurité globale du système d'information 2 en cumulant les métriques de sécurité évaluées des noeuds de l'ensemble de noeuds critiques du graphe. Les modules 4A, 4B et 4C peuvent être activés pour différents états du système 5 d'information ou différents instants susceptibles de correspondre à différents états du système d'information ou différents états de paramètres susceptibles d'affecter la sécurité du système d'information. Il en résulte une pluralité de graphes modélisant le système d'information dans chacun des états considérés ou à chaque instant considéré, ainsi qu'une pluralité de métriques de sécurité globales déterminées pour ces différents états et/ou instants. 10 Le programme d'ordinateur PROG définit également un module 4D de surveillance de la sécurité du système d'information 2 configuré pour utiliser les métriques de sécurité globales du système d'information 2 ainsi déterminées. Les fonctions de ces différents modules sont décrites plus en détail maintenant, en référence à la figure 3 et aux étapes du procédé de surveillance selon l'invention, telles qu'elles 15 sont mises en oeuvre, dans un mode particulier de réalisation par le dispositif 4 de surveillance, pour surveiller la sécurité du système d'information 2. Conformément à l'invention, le dispositif 4 de surveillance assure la surveillance de la sécurité du système d'information 2 en s'appuyant sur une modélisation sous forme d'un graphe G (ou de plusieurs graphes établis à des instants distincts traduisant une évolution de l'état du 20 système d'information) de ce système d'information sur une période de temps T prédéterminée, définie par exemple par l'administrateur du système d'information (étape E10). Conformément à l'invention, pour construire ce (ou ces) graphe(s), le module 4A de modélisation du dispositif de surveillance 4 utilise diverses informations, à savoir : des informations sur la topologie courante du système d'information 2, extraites de la base 25 topologique 5 ; des informations sur les différents points d'accès existant aux éléments du système d'information 2 (et qui ont un impact à proprement parler sur l'état du système d'information) ; et des informations relatives aux vulnérabilités susceptibles d'affecter les éléments du système 30 d'information 2. Ces informations sont extraites ici d'une base de données 13 dite base des vulnérabilités telle que par exemple la base de données NVD (pour « National Vulnerability Database ») maintenue par le gouvernement américain et disponible sur le site https://nvd.nist.gov/. De façon connue, cette base NVD fournit une liste des vulnérabilités répertoriées susceptibles d'affecter la sécurité des systèmes d'information et les différents 35 éléments les composant. Les vulnérabilités sont décrites dans cette base conformément au standard CVE (pour « Common Vulnerabilities and Exposures »). La base NVD quantifie par ailleurs le risque associé à chacune des vulnérabilités répertoriées. Ce risque est quantifié via la provision pour chaque vulnérabilité associée à un élément d'un système d'information d'un 3053491 14 premier score représentatif d'une probabilité d'occurrence de la vulnérabilité et d'un second score représentatif de l'impact (i.e. degré de conséquence) sur l'élément de l'exploitation de cette vulnérabilité. Ces scores sont évalués conformément au système CVSS (« Common Vulnerability Scoring System »). On note que l'impact d'une vulnérabilité est une grandeur sans 5 unité, variant entre 0 et 10. Sa valeur dépend de trois facteurs selon le système CVSS, à savoir de l'impact de la vulnérabilité sur la confidentialité, de l'impact de la vulnérabilité sur la disponibilité de l'élément et de l'impact de la vulnérabilité sur l'intégrité. La table 1 ci-dessous illustre des informations qui peuvent être extraites de la base NVD pour les 4 éléments 3-1, 3-2, 3-3 et 3-4 du système d'information 2 illustré à la figure 1. On note 10 que dans la base NVD, une description succincte de chaque vulnérabilité (omise dans la table 1) est par ailleurs fournie. Elément Vulnérabilités Probabilité d'occurrence p Impact I Serveur Apache 3-1 v1 0.5 2.9 v2 0.5 2.9 Serveur IMAP 3-2 v3 0.5 6.4 Serveur OWA 3-3 v4 0.43 10 Serveur Exchange 3-4 v5 0.5 2.9 Table 1 : Correspondance entre les vulnérabilités de la base NVD 13 et les éléments du système d'information 2 Dans le mode de réalisation décrit ici, la base topologique 5 et la base des 15 vulnérabilités 13 sont scannées (i.e. interrogées) de façon périodique ou prédéterminée par le dispositif de surveillance 4 pour détecter tout changement dans ces bases impactant le système d'information 2 et sa sécurité. En effet, un changement dans l'une de ces bases est susceptible d'induire une évolution du système d'information vers un nouvel état ou une évolution des métriques de sécurité qui sont calculées pour surveiller la sécurité du système d'information (ex. 20 connaissance de nouvelles vulnérabilités susceptibles d'affecter la sécurité du système d'information). La figure 4 représente plus en détail les différentes étapes mises en oeuvre par le module de modélisation 4A pour construire lors de l'étape E10 le ou les graphes modélisant le système d'information 2 à partir des informations précitées. 25 On note que pour tenir compte de l'évolution temporelle du système d'information 2 (ex. topologie, fréquence de connexion de ses éléments, etc.) ou des paramètres susceptibles d'affecter sa sécurité (ex. vulnérabilités), le module de modélisation 4A construit plusieurs graphes modélisant le système d'information potentiellement dans différents états, et correspondant à différents instants de la période de temps T. Il procède alors pour chaque graphe de la même 30 manière, et comme illustré à la figure 4. Les instants considérés peuvent être prédéterminés ou choisis de façon périodique, en fonction par exemple de la connaissance du système d'information 2 et de son évolution possible, de sorte à traquer les évolutions des paramètres précités (état du système, vulnérabilités, etc.). A titre illustratif, on envisage ici quatre instants prédéterminés définis 3053491 15 dans la période de temps T spécifiée par l'administrateur du système d'information 2, à savoir T1=1s, T2=2s, T3=3s et T4=4s. Par souci de simplification, on fait l'hypothèse ici que la topologie à proprement parler du système d'information 2 n'évolue pas durant la période de temps T, ni les vulnérabilités connues susceptibles d'affecter ses éléments. On se limite ici à une évolution d'autres 5 paramètres du système d'information 2 à ces différents instants spécifiés conduisant à plusieurs états distincts du système d'information 2, comme mentionné plus en détail ultérieurement. Toutefois cette hypothèse n'est pas limitative en soi, et l'invention permet de tenir compte d'évolution de la topologie ou des vulnérabilités également. Le module de modélisation 4A construit donc ici quatre graphes G(T1), G(T2), G(T3) et 10 G(T4) (regroupés sous l'appellation générale G lorsque la distinction entre ces graphes importe peu et que des étapes sont appliquées indifféremment à chaque graphe), correspondant respectivement aux quatre instants T1, T2, T3 et T4 précédemment spécifiés. Ces quatre graphes correspondent à quatre états distincts du système d'information au sens de l'invention. Plus précisément, au cours de l'étape de modélisation E10, le module de modélisation 15 4A du dispositif de surveillance 4 accède dans un premier temps à la base topologique 5 (étape E10-1) afin d'extraire de celle-ci la topologie du système d'information 2, autrement dit, les éléments du système d'information ainsi que les liens de connexion existant entre ces éléments. Dans le mode de réalisation décrit ici, la topologie du système d'information 2 est remontée de la base topologique 5 au module de modélisation 4A dans un fichier XML (eXtensible Markup 20 Language) comprenant différents attributs organisés comme illustré par exemple en Annexe 1. Dans ce fichier XML, l'attribut « topologie » représente la topologie du système d'information considéré (ici le système d'information 2), l'attribut « lien » représente les liens du système, chaque lien reliant deux éléments « element_1 » et « element_2 » dont le nom est spécifié ici avec le standard CPE (« nom_cpe »). 25 En outre, une fréquence de connexion pour chaque lien, désignée par « a », est fournie via l'attribut « accessibilité ». Cette fréquence de connexion traduit l'accessibilité des éléments du système d'information. Plus particulièrement, elle mesure, pour un lien reliant un élément El à un élément E2 du système d'information 2, la fréquence à laquelle ce lien du système d'information 2 est sollicité (utilisé), autrement dit encore, la fréquence à laquelle l'élément El 30 accède à l'élément E2 et/ou inversement. Lorsque cette fréquence est égale à 1, cela signifie que les éléments El et E2 sont connectés en permanence l'un à l'autre, autrement dit, sont accessibles l'un depuis l'autre en permanence. Lorsque cette fréquence est égale à 0.5, cela signifie que ces deux éléments sont connectés 50% du temps, etc. Cette fréquence de connexion est renseignée dans la base topologique 5 pour un état 35 donné du système d'information 2 (ex. état initial à l'instant to) par l'administrateur du système d'information 2 en fonction par exemple d'un historique d'accessibilité passée recueilli par celui-ci. On note que cette fréquence de connexion peut être amenée à évoluer dans le temps, auquel cas, soit cette évolution peut être renseignée directement dans la base topologique 5 par 3053491 16 l'administrateur du système d'information 2 pour les différents instants Ti, T2, T3 et T4, puis ensuite remontée au module de modélisation 4A, soit elle peut être prédite par le module de modélisation 4A comme indiqué ultérieurement. Dans l'exemple illustré à la figure 1, le module de modélisation 4A est donc informé 5 lors de cette étape que le système d'information 2 comprend 4 éléments 3-1, 3-2, 3-3 et 3-4 et que parmi ces éléments, l'élément 3-1 est relié à l'élément 3-2 et à l'élément 3-3, et les éléments 3-2 et 3-3 sont reliés à l'élément 3-4. Le module de modélisation 4A identifie par ailleurs les points d'accès aux éléments du système d'information 2, ainsi que les liens de connexions existant entre ces points d'accès et les 10 éléments du système d'information (étape E10-2). Ces informations peuvent être renseignées dans la base topologique 5 par l'administrateur du système d'information 2, ou être obtenue d'une autre base de données également renseignée et mise à jour par celui-ci. Elles font partie des informations susceptibles d'impacter l'état du système d'information. Dans l'exemple illustré à la figure 1, le module de modélisation 4A identifie lors de 15 l'étape E10-2 les deux points d'accès 6 et 7, reliés respectivement aux éléments 3-2 et 3-3, et aux éléments 3-1. Suite à l'obtention de la topologie du système d'information 2 lors de l'étape E10-1, le module de modélisation 4A extrait du fichier XML pour chaque lien de connexion existant dans le système d'information 2, la fréquence de connexion sur ces liens (étape E10-3). Cette fréquence 20 de connexion constitue une métrique d'accessibilité au lien au sens de l'invention correspondant à un état initial to du système d'information 2. A titre d'exemple ici, on suppose que le module de modélisation 4A extrait pour tous les liens les mêmes valeurs de fréquences de connexion, à savoir do =0.2, y compris pour les liens reliant les points d'accès aux éléments concernés du système d'information 2. 25 Puis, dans le mode de réalisation décrit ici, il évalue (i.e. prédit) pour les différents instants T1, T2, T3 et T4 spécifiés, les valeurs de cette fréquence de connexion, notées respectivement an, aT2, aT3 et aT4 (étape E10-4). A cet effet ici, le module de modélisation 4A utilise pour modéliser les variations dans le temps de la fréquence de connexion ^t ''El,E2 sur un lien entre deux éléments El et E2 la 30 fonction g définie par : t t, t, ,g(t - 1 n ) "-E1,E2 = gE1,E2(t) = aE1,E2 G aEl,E2 où t désigne le temps, aEtel,E2 la fréquence de connexion sur le lien entre les éléments El et E2 pour l'état initial du système d'information 2 à l'instant to, et est un paramètre de convergence compris entre 0 et 1. Autrement dit, la fonction considérée ici correspond au cas où les fréquences de connexion sont croissantes en fonction du temps (par exemple au cours d'une journée), et le 35 paramètre ,e permet de contrôler la convergence de la fréquence vers 1. 3053491 17 Bien entendu, cette fonction n'est donnée qu'à titre illustratif et d'autres fonctions g traduisant l'évolution de la fréquence de connexion d'un lien en fonction du temps peuvent être envisagées. Ces fonctions peuvent être déterminées via des méthodes statistiques ou probabilistes par exemple. De même, des fonctions g distinctes pour des liens distincts peuvent être envisagées. 5 Dans un autre mode de réalisation, pour prédire l'évolution des fréquences de connexion, plutôt que d'utiliser une fonction dépendant du temps telle que la fonction aE1,E2 mentionnée ci-dessus, la fréquence de connexion entre deux éléments El et E2 à un instant t est prédite en utilisant un historique des fréquences de connexion observées entre les mêmes éléments à des instants passés espacés d'une même période T. Par exemple, la valeur de la 10 métrique d'accessibilité dE1,E2(Tn) à l'instant t (modulo T) correspondant à la n-ième période T (notée Te), peut être prédite en utilisant une combinaison linéaire des valeurs des métriques d'accessibilité al.1,E2 (Tn- j) , j=0,...,n-1 observées à l'instant t et correspondant aux j-ièmes périodes T (i.e. To, T1,...,Tn_1). Un exemple d'une telle fonction linéaire est : a tE1,E2 (Tn) = a (Tn- 1) + (1 - a)atE1,Een_2) avec a E [0,1]. En appliquant cette fonction à la valeur ato=0.2 (commune ici à tous les liens E1-E2 15 existants dans le système d'information 2, d'où l'omission des indices E1-E2) avec 1, le module de modélisation 4A obtient les valeurs de fréquence de connexion suivantes : - pour l'instant T1=1, la fréquence de connexion sur les liens est aTi =0.2 ; - pour l'instant T2=2, la fréquence de connexion sur les liens est an =0.6 ; - pour l'instant T3=3, la fréquence de connexion sur les liens est aT3 =0.73 ; et 20 - pour l'instant T4=4, la fréquence de connexion sur les liens est aT4=0.8. On note que la fréquence de connexion est comprise ici entre 0 et 1. Le module de modélisation 4A accède ensuite à la base des vulnérabilités 13 et identifie, pour chaque élément du système d'information 2, les vulnérabilités susceptibles de l'affecter (étape E10-5). Dans l'exemple envisagé à la figure 1, comme indiqué dans la table 1, le 25 module de modélisation 4A identifie deux vulnérabilités vi et v2 pour le serveur 3-1, une vulnérabilité v3 pour le serveur 3-2, une vulnérabilité v4 pour le serveur 3-3 et une vulnérabilité v5 pour le serveur 3-4. Le module de modélisation 4A extrait également de la base des vulnérabilités 13, pour chaque vulnérabilité identifiée pour un élément du système d'information 2, sa probabilité 30 d'occurrence p, et son impact I sur l'élément (cf. table 1 pour les éléments 3-1 à 3-4 du système d'information 2). Dans le mode de réalisation décrit ici, la probabilité d'occurrence p renseignée dans la base des vulnérabilités 13 correspond à l'état initial à l'instant to du système d'information, et varie dans le temps. Le module de modélisation 4A prédit pour les différents intervalles de temps T1, T2, 3053491 18 T3 et T4, les valeurs de la probabilité d'occurrence de chaque vulnérabilité notées respectivement pT1 pT2, pT3 et T4 p (étape E10-6). A cet effet, il utilise, pour modéliser les variations dans le temps de la probabilité d'occurrence d'une vulnérabilité donnée pt la fonction f définie pour cette vulnérabilité par : pt f(t) 1 (1 ptO)a t 5 où t désigne le temps, pto la probabilité d'occurrence de la vulnérabilité considérée pour l'état initial to du système d'information 2 et a est un paramètre compris entre 0 et 1 choisi pour ladite vulnérabilité. Bien entendu cette fonction n'est donnée qu'à titre illustratif et d'autres fonctions f traduisant l'évolution de la probabilité d'occurrence d'une vulnérabilité affectant un élément. Ces 10 fonctions peuvent être déterminées via des méthodes statistiques ou probabilistes par exemple. On note que dans le mode de réalisation décrit ici, l'impact de chaque vulnérabilité est supposé constant. L'évolution temporelle de la métrique d'accessibilité et des probabilités d'occurrence reflète des états différents du système d'information 2, que l'invention propose de prendre en 15 compte lors de la surveillance de la sécurité du système d'information en construisant un graphe pour chaque état distinct. Suite à l'accomplissement des étapes préliminaires E10-1 à E10-6, le module de modélisation 4A construit donc à partir des informations recueillies un graphe G distinct pour chaque instant Tl-T4 (i.e. chaque état du système d'information 2) (étape d'initialisation E10-7, 20 étape test E10-9, étape d'incrémentation E10-10, et étape de construction E18). Autrement dit, il construit ici 4 graphes G(T1), G(T2), G(T3), G(T4) correspondant respectivement aux 4 états distincts du système d'information résultant de l'évolution temporelle de la probabilité d'occurrence des vulnérabilités et de la métrique d'accessibilité. Chaque graphe G(Ti) construit pour un instant Ti, i=1,...,4 ici, comprend une pluralité 25 de noeuds, chaque noeud correspondant à un couple formé d'un élément et d'une vulnérabilité susceptible de l'endommager identifiée à l'étape E15. Autrement dit, le graphe G(Ti) comprend, dans l'exemple illustré à la figure 1, cinq noeuds n1-n5 correspondant respectivement aux couples d'éléments n1=(3-1,v1), n2=(3-1,v2), n3=(3-2,v3), n4=(3-3,v4) et n5=(3-4,v5). Chaque noeud n est associé dans le graphe G(Ti) à la probabilité d'occurrence pn de la 30 vulnérabilité de ce noeud pour l'intervalle de temps Ti, et à son impact I. Par ailleurs, dans le graphe G(Ti) construit par le module de modélisation 4A, deux noeuds A et B sont reliés par un arc : bidirectionnel, si lesdits noeuds correspondent au même élément ; orienté du noeud A vers le noeud B, si l'exploitation de la vulnérabilité du noeud A lors d'une 35 attaque depuis un point d'accès entraine l'exploitation de la vulnérabilité du noeud B. Dans l'exemple illustré à la figure 1, le graphe G(Ti) comprend les arcs suivants : un arc bidirectionnel entre les noeuds n1 et n2 ; 3053491 19 un arc orienté de n1 vers n3 et un arc orienté de n1 vers n4 ; un arc orienté de n2 vers n3 et un arc orienté de n2 vers n4 ; un arc orienté de n3 vers n5 ; et un arc orienté de n4 vers n5. 5 Un arc est orienté d'un noeud ni vers un noeud nj lorsque l'élément du système d'information associé au noeud ni peut se connecter à l'élément du système d'information associé au noeud nj (ces deux éléments étant susceptibles d'être affectés par au moins une vulnérabilité). Le module de modélisation 4A inclut également comme noeuds dans le graphe G(Ti) les deux points d'accès 6 et 7 au système d'information, ainsi que leurs liens avec les éléments du 10 système d'information 2. Ces deux points d'accès correspondent respectivement aux noeuds n6 et n7. Chaque point d'accès est relié par un arc orienté aux noeuds correspondants aux éléments auxquels il est connecté dans le système d'information 2. L'arc est orienté du point d'accès vers le noeud correspondant à l'élément auquel le point d'accès est relié dans le système d'information 2, pour traduire le sens de propagation d'une éventuelle attaque menée depuis ce point d'accès. 15 Ainsi, dans l'exemple illustré à la figure 1 : - le noeud n6 est relié au noeud n3 par un arc orienté de n6 vers n3, et au noeud n4 par un arc orienté de n6 vers n4 ; et - le noeud n7 est relié au noeud n1 par un arc orienté de n7 vers ni, et au noeud n2 par un arc orienté de n7 vers n2. 20 La figure 5A illustre le graphe G(T1) construit par le module de modélisation 4A à l'étape E10-8 et modélisant le système d'information 2 à l'instant Ti. Les valeurs reportées sur le graphe entre parenthèses pour chaque noeud correspondent à la probabilité d'occurrence et à l'impact de la vulnérabilité associée à ce noeud à l'instant Ti. A l'issue de la construction du graphe G(Ti), le module de modélisation 4A associe à 25 chaque arc orienté une métrique d'accessibilité mesurant la fréquence de connexion an dans le système d'information entre les éléments des noeuds reliés par cet arc pour l'instant Ti considéré. Les fréquences de connexion ont été obtenues ou prédites lors des étapes E10-3 et E10-4 précédentes. Autrement dit, si on note an 1,n2 la métrique d'accessibilité à l'instant t associée par le module de modélisation 4A à l'arc reliant un noeud n1 correspondant à un élément El à un noeud 30 n2 correspondant à un élément E2 on a : t ,,t 71 "1,n2 - aEl,E2 Si El E2 et an 1,n2 = 1 si El identique à E2. En effet, un bien est considéré comme étant toujours accessible à partir de lui-même. A titre 35 illustratif, les métriques d'accessibilité sont reportées sur chaque arc sur la figure 5A. Comme mentionné précédemment, un graphe distinct G(Ti) est construit pour chaque instant spécifié. Les figures 5B à 5D illustrent ces graphes pour les instants T2, T3 et T4 3053491 20 respectivement. L'étape de construction de modélisation du système d'information 2 est alors achevée (étape E10-11), et les graphes GT(i), i=1,...,4 sont stockés par exemple dans la mémoire non volatile 11 du dispositif de surveillance 4, en association avec les instants Ti, i=1,...,4 correspondants. Il est possible, à ce stade de visualiser, par exemple via une interface graphique 5 prévue à cet effet, les graphes ainsi construits correspondant aux différents états modélisés du système d'information. Comme mentionné précédemment, dans l'exemple illustré à la figure 1, les noeuds des graphes ainsi que les arcs (bidirectionnels et orientés) ne changent pas au cours du temps, car on suppose ici que la topologie à proprement parler du système d'information 2 n'a pas évolué sur les 10 quatre instants T1 à T4. Seules les valeurs des métriques d'accessibilité et des probabilités d'occurrence ont évolué ici pour les différentes périodes de temps considérées Tl à T4. Cette hypothèse n'est toutefois pas limitative. En effet, l'invention permet de s'accommoder également aisément d'une évolution de la topologie du système d'information 2, par exemple via l'ajout ou la suppression d'un élément du système d'information, l'ajout ou la 15 suppression d'un lien entre les éléments du système d'information ou d'un nouveau point d'accès, ou encore l'apparition de nouvelles vulnérabilités. Dans ce cas, un nouveau graphe est généré de manière identique à ce qui a été décrit précédemment pour les graphes G(T1), G(T2), G(T3) et G(T4), dès lors qu'une telle évolution a été détectée, par exemple au niveau de la base de topologie 5 ou de la base de vulnérabilités 13. On note que le nouveau graphe peut consister en 20 une simple mise à jour d'un graphe précédemment construit. Les changements opérés dans les bases 5 et/ou 13 (résultant en la mise à jour des graphes), peuvent être détectés en accédant à ces bases par exemple de façon périodique ou de façon prédéterminée. En corollaire, on peut envisager une mise à jour des graphes construits à partir des informations extraites de ces graphes de façon périodique ou de façon prédéterminée. 25 Une fois les graphes G(Ti), i=1,...,4, construits, le module d'évaluation 4B évalue, pour chaque instant Ti et chaque état du graphe en résultant, i=1,..,4 (étapes d'initialisation E30, de test E60 et d'incrémentation E70), une métrique de sécurité globale R(i) à partir de chaque graphe G(Ti). A cet effet, le module d'évaluation 4B identifie (i.e. détermine) tout d'abord les noeuds 30 critiques du graphe du point de vue de la sécurité du système d'information 2 (étape E20). Dans le mode de réalisation décrit ici, le module d'évaluation 4B considère que tous les noeuds du graphe sont critiques. En variante, seul un sous-ensemble nCRIT de noeuds du graphe est considéré comme critique. Différents critères, connus en soi de l'homme du métier, peuvent être considérés par le module d'évaluation 4B pour juger si un noeud est critique ou pas. Par exemple, un noeud 35 peut être considéré comme critique s'il est en bordure d'un système d'information ou en relation directe, au niveau du graphe, avec un point d'accès externe ; selon un autre exemple, un noeud pet être considéré comme critique s'il est connecté à un nombre d'arcs supérieur à un seuil prédéterminé. 3053491 21 Puis il met en oeuvre les étapes suivantes de façon identique pour chaque graphe G(Ti), i=1,...,4. Pour chaque noeud indexé par n du graphe G(Ti) identifié comme critique (i.e. pour chaque noeud du graphe dans le mode de réalisation décrit ici), le module d'évaluation 4B évalue 5 une métrique de sécurité du noeud notée 127, (indice temporel faisant référence à l'intervalle de temps considéré omis) (étape E40). Cette métrique Rn de sécurité du noeud n représente un niveau de risque encouru par l'élément du noeud n d'être affecté par la vulnérabilité de ce noeud lors d'attaques menées contre le système d'information 2 depuis les différents points d'accès (terminaux 6 et 7 dans l'exemple de la figure 1). Elle est évaluée en utilisant l'impact associé à la 10 vulnérabilité du noeud n, ainsi que les probabilités d'occurrence des vulnérabilités des noeuds et les métriques d'accessibilité des arcs d'au moins un chemin du graphe G(Ti) existant entre le noeud n et les différents points d'accès au système d'information 2. Dans le mode de réalisation décrit ici, pour évaluer cette métrique, on fait une hypothèse du pire cas selon laquelle un attaquant opérant depuis un point d'accès quelconque 15 choisit, parmi plusieurs chemins possibles dans le système d'information 2, le chemin le plus risqué, c'est-à-dire celui qui présente une propagation maximale de l'attaque ou autrement dit encore, un niveau de risque encouru maximal et corrélativement une métrique de sécurité de noeud maximale. Pour tenir compte le cas échéant de l'existence de plusieurs points d'accès dans le système d'information 2, on définit la métrique de sécurité Rn d'un noeud n comme le cumul de 20 métriques de sécurité dites propagées Rap,n évaluées entre le noeud n et chacun des points d'accès ap au système d'information 2. Plus particulièrement ici : Rn = Rap,, ap Chaque métrique de sécurité propagée Rap,n évaluée entre un point d'accès ap et le noeud n se définit comme le risque encouru par un noeud n d'être affecté par la vulnérabilité qui lui est associée lors d'une attaque depuis le point d'accès ap. Cette métrique de sécurité propagée 25 Rap,n est donnée par le produit de l'impact 4, associé à la vulnérabilité du noeud n et d'une métrique dite d'occurrence propagée notée Papm calculée entre le point d'accès ap et le noeud n, soit : Rap,n = In. Papm, L'hypothèse de pire cas évoquée précédemment se traduit au niveau du module d'évaluation 4B par la recherche, pour chaque point d'accès ap, d'un chemin dans le graphe G(Ti) 30 reliant ce point d'accès au noeud n et maximisant la métrique de sécurité Rap,n, ou autrement dit, maximisant la métrique d'occurrence partagée Pap,n. Sur un chemin comprenant k noeuds notés n1,n2,...,ni,n(i+1),...,nk, allant du point d'accès ap=n1 au noeud n=nk, la métrique d'occurrence partagée est définie par : 3053491 22 Pap,n (ni, n2, ..., n(i), n(i + 1), , Nk) = Pn(i),n(i+1) i=1 OÙ Pn(0,n(i+1) désigne une fonction de propagation entre les noeuds n(i) et n(i+1) représentant la facilité pour un attaquant d'exploiter la vulnérabilité affectant un noeud n(i+1) depuis le noeud n(i), et définie par : Pn(i),n(i+1) = an(i),n(i+1)- Pn(i+1) où an(0,n(i+i) désigne la métrique d'accessibilité du lien reliant les deux noeuds n(i) et n(i+1) 5 (indice temporel Ti omis) et pn(i+i) désigne la probabilité d'occurrence de la vulnérabilité du noeud n(i+1). La dépendance entre les éléments du système d'information modélisée par les arcs reliant certains noeuds du graphe entre eux implique en effet une transitivité dans le système d'information 2 qui permet au risque d'être affecté par des vulnérabilités de se propager : un noeud 10 vulnérable n(i) peut transmettre à un noeud n(i+1) auquel il est relié son risque d'être affecté par une vulnérabilité. Ce risque à son tour se propage aux noeuds reliés au noeud n(i+1), etc. On note que la fréquence d'occurrence d'un noeud traduit quant à elle la facilité pour un attaquant d'exploiter la vulnérabilité d'un noeud directement. Le problème à résoudre par le module d'évaluation 4B est connu dans la littérature des 15 mathématiques appliquées comme étant un problème du chemin le plus fiable. Dans le mode de réalisation décrit ici, pour résoudre ce problème, les inventeurs ont eu l'idée de se ramener à un problème de plus court chemin, facilement soluble par le module d'évaluation 4B. Plus précisément, pour déterminer le chemin maximisant la métrique de sécurité propagée Rap,n entre le point d'accès ap et le noeud n, le module d'évaluation 4B associe à chaque 20 arc du graphe GT(i) reliant deux noeuds n1 et n2 une fonction dite de difficulté de propagation dans le graphe (étape E41), définie par : P Dra ,n2 = log(ani,'2) - log(p7,2) On note que la fonction de difficulté de propagation Ppn1,n2 ainsi définie représente la notion duale (ou symétrique) de la notion de fonction de propagation P n1,n2 précédemment définie. Elle permet avantageusement de calculer facilement les métriques de sécurité de chaque noeud, et 25 plus particulièrement de simplifier la recherche du chemin dans le graphe G(Ti) reliant un point d'accès ap au noeud n et maximisant la métrique d'occurrence partagée Papx, et donc la métrique de sécurité Rap,n. En effet, grâce au choix judicieux de cette fonction, la recherche du chemin maximisant la métrique d'occurrence partagée Papx se ramène à la recherche du plus court chemin dans le graphe reliant le point d'accès ap au noeud n et minimisant la fonction de difficulté 30 propagée définie par : k PDn(i),n(i+1) 1=1 3053491 23 où k désigne le nombre de noeuds du chemin, et n(i) et n(i+1) deux noeuds se succédant dans ce chemin. On a donc : Pap,n = rninn(ap,n)I P D n(i),n(i+1) i=1 où n(ap,n) désigne l'ensemble des chemins du graphe G(Ti) entre le point d'accès ap et le noeud n de longueur k. Autrement dit, la métrique d'occurrence propagée Pap, est obtenue en sommant 5 sur chaque noeud du plus court chemin, le logarithme de l'inverse du produit de la métrique d'accessibilité associée à l'arc reliant ce noeud au noeud suivant sur le chemin et de la fréquence d'occurrence de la vulnérabilité du noeud suivant. Pour identifier le plus court chemin minimisant la métrique d'occurrence partagée entre chaque point d'accès ap et le noeud n, le module d'évaluation 4B utilise ici l'algorithme de Dijkstra, 10 bien connu en soi, qu'il applique au graphe G(Ti) et aux valeurs de la fonction de difficulté de propagation associées aux arcs (étape E42). Bien entendu, d'autres algorithmes peuvent être utilisés en variante. Si on désigne par SPapm la valeur du plus court chemin obtenu par le module d'évaluation 4B en utilisant l'algorithme de Dijskstra entre le point d'accès ap et le noeud n, le 15 module d'évaluation 4B évalue la métrique d'occurrence partagée en appliquant la formule suivante (étape E42) : 1 Pap ,n = exp(SPap,,,,) Le module d'évaluation 4B évalue ensuite la métrique de sécurité propagée entre le point d'accès ap et le noeud n selon : Rap,n = In. Papm Puis il en déduit la métrique de sécurité Rn du noeud n en cumulant les métriques de 20 sécurité propagées évaluée entre tous les points d'accès ap au système d'information 2 et le noeud n, soit en évaluant ici (étape E43) : Rn = Rap,n ap Ces étapes sont réitérées pour tous les noeuds n identifiés comme critiques dans le système d'information 2. Pour rappel, dans le mode de réalisation décrit ici, tous les noeuds du graphe sont considérés comme critiques : ces étapes consistent donc à s'assurer que le module 25 d'évaluation 4B a bien réalisé l'étape E40 pour chaque noeud n du graphe. Puis, le module de détermination 4C détermine une métrique de sécurité globale R(i) pour le système d'information 2 pour l'instant Ti (i.e. et l'état du système d'information en découlant), en cumulant les métriques de sécurité obtenues sur tous les noeuds critiques du graphe G(Ti) (étape E50). Plus précisément, dans le mode de réalisation décrit ici : R(i) = R neG (T t) 3053491 24 Les étapes E40 et E50 sont ensuite réitérées pour chacun des instants T2 à T4 (étape test E60, étape d'incrémentation le cas échéant E70). Les figures 6A à 6D illustrent les différentes métriques évaluées au cours du procédé de surveillance dans l'exemple de la figure 1. 5 Ainsi, la figure 6A montre la métrique de sécurité propagée évaluée entre le point d'accès 6 (terminal de l'utilisateur Intranet) et les différents noeuds du système d'information 2, pour les différents instants T1, T2, T3, T4, autrement dit, pour différents états du système d'information 2. La figure 6B montre la métrique de sécurité propagée évaluée entre le point d'accès 7 10 (terminal de l'utilisateur Internet) et les différents noeuds du système d'information 2, aux différents instants T1, T2, T3, T4. La figure 6C illustre la métrique de sécurité de différents noeuds du graphe en fonction du temps. La figure 6D illustre la métrique de sécurité globale du système d'information en 15 fonction du temps. On constate que sans la mise en place de contre-mesures, le risque encouru augmente avec le temps, c'est-à-dire au fil des instants T1, T2, T3 et T4. Une fois les 4 instants T1, T2, T3 et T4 traités, le dispositif de surveillance 4 dispose de 4 métriques de sécurité globales évaluées pour le système d'information 2 correspondant à 4 états distincts du système d'information 2. 20 Ces métriques sont fournies au module de surveillance 4D de la sécurité du système d'information 2. Dans le mode de réalisation décrit ici, celui-ci compare les métriques de sécurité obtenues par rapport à un seuil de risque prédéfini THR, par exemple expérimentalement (étape test E80). Si l'une des métriques franchit le seuil (réponse oui à l'étape E80), une alerte est émise par le module de surveillance 4D, par exemple à destination de l'administrateur du système 25 d'information 2 (étape E90). Sinon, aucune alerte n'est remontée. On note que l'alerte émise par le module de surveillance 4D peut déclencher la mise en oeuvre de contre-mesures par l'administrateur du système d'information 2 pour améliorer la sécurité du système d'information 2. Ces contre-mesures peuvent être utilisées par tous les noeuds ou seulement certains d'entre noeuds. A titre d'exemples, on peut citer : 30 l'installation d'un pare-feu (« firewall » en anglais) ; des critères d'accès exigeants comprenant un couple identifiant/mot de passe ainsi qu'un code de contrôle ; une authentification par carte à puce. Dans le mode de réalisation décrit ici, on a considéré une hypothèse de pire cas 35 concernant les attaques perpétrées à l'encontre du système d'information 2 (attaquant maximisant la propagation du risque dans le système d'information). Toutefois, en variante, il est possible de ne faire aucune hypothèse sur le type d'attaques menées. Dans ce cas, préférentiellement, pour calculer la métrique d'occurrence propagée Pap,, entre un point d'accès et un noeud n, on considère 3053491 25 tous les chemins du graphe partant du point d'accès ap et arrivant au noeud n et on calcule une moyenne sur ces chemins des métriques d'occurrence propagées obtenues sur chaque chemin. 3053491 26 ANNEXE 1 Forme générique du fichier XML contenant la topologie du système d'information 2 5 nom_cpe nom_cpe a 10 ... REVENDICATIONS1. Procédé de surveillance de la sécurité d'un système d'information (2) comprenant une pluralité d'éléments (3-1 ; 3-4) et au moins un point d'accès (6,7) à ces éléments, au moins un élément du système d'information étant susceptible d'être affecté par au moins une vulnérabilité, chaque vulnérabilité susceptible d'affecter un élément étant associée à une probabilité d'occurrence et à un impact sur l'élément, ledit procédé de surveillance comprenant, pour au moins un état du système d'information : une étape (E10) de modélisation du système d'information dans ledit état par un graphe comprenant une pluralité de noeuds, chaque noeud du graphe correspondant à un couple formé d'un élément et d'une vulnérabilité susceptible de l'affecter ou à un point d'accès, ledit graphe étant tel que deux noeuds du graphe dits premier et deuxième noeuds sont reliés par un arc : o bidirectionnel, si lesdits noeuds correspondent au même élément ; o orienté du premier noeud vers le deuxième noeud, si l'exploitation lors d'une attaque depuis un point d'accès de ladite vulnérabilité du premier noeud entraine l'exploitation de ladite vulnérabilité du deuxième noeud, ledit arc étant associé à une métrique dite d'accessibilité mesurant une fréquence de connexion dans le système d'information entre l'élément du premier noeud et l'élément du deuxième noeud correspondant audit état du système d'information ; une étape d'évaluation (E40), pour chaque noeud d'un ensemble de noeuds du graphe identifiés comme critiques (E30), d'une métrique de sécurité du noeud représentant un niveau de risque encouru par l'élément du noeud d'être affecté par la vulnérabilité de ce noeud lors d'attaques menées contre le système d'information depuis ledit au moins un point d'accès, la métrique de sécurité du noeud étant évaluée en utilisant l'impact associé à la vulnérabilité du noeud, ainsi que les probabilités d'occurrence des vulnérabilités des noeuds, et les métriques d'accessibilité des arcs d'au moins un chemin du graphe existant entre le noeud et ledit au moins un point d'accès ; une étape de détermination (E50) d'une métrique de sécurité globale du système d'information dans ledit état en cumulant les métriques de sécurité évaluées des noeuds de l'ensemble de noeuds critiques du graphe ; ledit procédé de surveillance comprenant en outre une étape de surveillance (E80,E90) de la sécurité du système d'information utilisant la métrique de sécurité globale du système d'information déterminée correspondant audit au moins un état. 2. Procédé selon la revendication 1 dans lequel l'ensemble déterminé de noeuds critiques du graphe comprend tous les noeuds du graphe. 3053491 28 3. Procédé selon la revendication 1 ou 2 dans lequel l'étape d'évaluation (E40) de la métrique de sécurité d'un noeud comprend, pour chaque point d'accès : une détermination (E42) d'un plus court chemin entre ce point d'accès et ledit noeud ; une évaluation (E42) d'une métrique de sécurité dite propagée entre le point d'accès et ledit 5 noeud sur le plus court chemin, en utilisant : o l'impact de la vulnérabilité du noeud sur l'élément du noeud, et o les probabilités d'occurrence des vulnérabilités des noeuds et les métriques d'accessibilité des arcs appartenant au plus court chemin ; la métrique de sécurité du noeud étant évaluée (E43) en cumulant les métriques de sécurité 10 propagées évaluées entre chaque point d'accès et ce noeud. 4. Procédé selon la revendication 3 dans lequel la métrique de sécurité propagée entre le point d'accès et le noeud sur le plus court chemin est égale au produit de l'impact de la vulnérabilité du noeud sur l'élément du noeud et d'une métrique dite d'occurrence propagée sur le 15 plus court chemin, cette métrique d'occurrence propagée étant obtenue en sommant sur chaque noeud du plus court chemin, le logarithme de l'inverse du produit de la métrique d'accessibilité associée à l'arc reliant ce noeud au noeud suivant sur le chemin et de la fréquence d'occurrence de la vulnérabilité du noeud suivant. 20 5. Procédé selon l'une quelconque des revendications 1 à 4 dans lequel une métrique de sécurité globale est déterminée pour une pluralité d'états distincts du système d'information atteints à différents instants par le système d'information. 6. Procédé selon l'une quelconque des revendications 1 à 5 dans lequel la probabilité 25 d'occurrence de la vulnérabilité d'un noeud n varie dans le temps selon une fonction fn telle que : Mt) = 1 - (1 - Pn)ant où t désigne le temps, pela probabilité d'occurrence de la vulnérabilité du noeud n pour un état déterminé du système d'information et ai, est un paramètre compris entre 0 et 1 et défini pour le noeud n. 30 7. Procédé selon l'une quelconque des revendications 1 à 6 dans lequel la métrique d'accessibilité d'un arc reliant un noeud n1 à un noeud n2 varie dans le temps selon une fonction gn1,n2telle que : gnl,n2 (t) = an1,112 + (1 an1,n2) f3(t - 1)t où t désigne le temps, an1,n2 la métrique d'accessibilité de l'arc reliant le noeud n1 au noeud n2 pour un état déterminé du système d'information, et 13 est un paramètre compris entre 0 et 1. 35 3053491 29 8. Procédé selon l'une quelconque des revendications 1 à 6 dans lequel la métrique d'accessibilité d'un arc reliant un noeud n1 à un noeud n2 à un instant t est prédite au moyen d'une combinaison linéaire de métriques d'accessibilité observées entre les mêmes noeuds à des instants précédents espacés d'une même période T. 5 9. Procédé selon l'une quelconque des revendications 1 à 8 dans lequel les éléments et/ou les vulnérabilités correspondant aux noeuds du graphe modélisant le système d'informations sont déterminés en interrogeant de façon périodique ou prédéterminée au moins une base décrivant une topologie du système d'information et/ou une base décrivant des vulnérabilités 10 susceptibles d'affecter des éléments du système d'information. 10. Procédé selon la revendication 9 comprenant une étape de détection d'au moins un changement dans ladite au moins une base décrivant la topologie du système d'information résultant en un nouvel état du système d'information, ladite étape de détection déclenchant 15 l'application des étapes du procédé de surveillance au nouvel état du système d'information. 11. Procédé selon la revendication 9 ou 10 comprenant une étape de détection d'au moins un changement dans ladite au moins une base décrivant les vulnérabilités susceptibles d'affecter des éléments du système d'information, ladite étape de détection déclenchant la mise en 20 oeuvre des étapes du procédé de surveillance en tenant compte dudit au moins un changement détecté. 12. Programme d'ordinateur comportant des instructions pour l'exécution des étapes du procédé de surveillance selon l'une quelconque des revendications 1 à 11 lorsque ledit 25 programme est exécuté par un ordinateur. 13. Support d'enregistrement lisible par un ordinateur sur lequel est enregistré un programme d'ordinateur comprenant des instructions pour l'exécution des étapes du procédé de surveillance selon l'une quelconque des revendications 1 à 11. 30 14. Dispositif de surveillance (4) de la sécurité d'un système d'information (2) comprenant une pluralité d'éléments et au moins un point d'accès à ces éléments, au moins un élément du système d'information étant susceptible d'être affecté par au moins une vulnérabilité, chaque vulnérabilité susceptible d'affecter un élément étant associée à une probabilité 35 d'occurrence et à un impact sur l'élément, ledit dispositif de surveillance comprenant une pluralité de modules activés pour au moins un état du système d'information, lesdits modules comprenant : un module de modélisation (4A), configuré pour modéliser le système d'information dans ledit état par un graphe comprenant une pluralité de noeuds, chaque noeud du graphe 3053491 30 correspondant à un couple formé d'un élément et d'une vulnérabilité susceptible de l'endommager ou à un point d'accès, ledit graphe étant tel que deux noeuds du graphe dits premier et deuxième noeuds sont reliés par un arc : o bidirectionnel, si lesdits noeuds correspondent au même élément ; 5 o orienté du premier noeud vers le deuxième noeud, si l'exploitation lors d'une attaque depuis un point d'accès de ladite vulnérabilité du premier noeud entraine l'exploitation de ladite vulnérabilité du deuxième noeud, ledit arc étant associé à une métrique dite d'accessibilité mesurant une fréquence de connexion dans le système d'information entre l'élément du premier noeud et l'élément du 10 deuxième noeud correspondant audit état du système d'information ; un module d'évaluation (4B), configuré pour évaluer pour chaque noeud d'un ensemble de noeuds du graphe identifiés comme critiques, une métrique de sécurité du noeud représentant un niveau de risque encouru par l'élément du noeud d'être affecté par la vulnérabilité de ce noeud lors d'attaques menées contre le système d'information depuis ledit au moins un point 15 d'accès, la métrique de sécurité du noeud étant évaluée en utilisant l'impact associé à la vulnérabilité du noeud, ainsi que les probabilités d'occurrence des vulnérabilités des noeuds et les métriques d'accessibilité des arcs d'au moins un chemin du graphe existant entre le noeud et ledit au moins un point d'accès ; un module de détermination (4C), configuré pour déterminer une métrique de sécurité globale 20 du système d'information dans ledit état en cumulant les métriques de sécurité évaluées des noeuds de l'ensemble de noeuds critiques du graphe ; ledit dispositif de surveillance comprenant en outre un module de surveillance (4D) de la sécurité du système d'information configuré pour utiliser la métrique de sécurité globale du système d'information déterminée correspondant audit au moins un état. 25 15. Système de communications (1) comprenant : un système d'information (2) comprenant une pluralité d'éléments et au moins un point d'accès à ces éléments ; et un dispositif de surveillance (4) de la sécurité du système d'information selon la revendication 30 14.