Brevet FR3086822A1 — publié le 20200403

Procédé de gestion d'un réseau de communication local, gestionnaire central et programme d'ordinateur correspondants. 1. Domaine de l'invention Le domaine de l'invention est celui de la gestion des réseaux de communication locaux, notamment les réseaux de communication domestiques. En particulier, l'invention concerne la sécurisation d'un réseau de communication local comprenant une pluralité d'équipements, tels que des terminaux personnels ou des objets connectés, chacun étant porteur d'une vulnérabilité. Par vulnérabilité, ou faille, on entend une faiblesse dans un système informatique permettant à un attaquant de porter atteinte à l'intégrité de ce système, c'est-à-dire à son fonctionnement normal, à la confidentialité ou à l'intégrité des données qu'il contient. Ces vulnérabilités sont la conséquence de faiblesses dans la conception, la mise en oeuvre ou l'utilisation d'un composant matériel ou logiciel du système. Cependant, la plupart du temps il s'agit souvent d'anomalies logicielles liées à des erreurs de programmation ou à de mauvaises pratiques. Ces dysfonctionnements logiciels sont en général corrigés à mesure de leurs découvertes, mais l'utilisateur reste exposé à une éventuelle exploitation tant que le correctif (temporaire ou définitif) n'est pas publié et installé. Plus précisément, l'invention concerne la détermination de règles d'isolation réseau par évaluation du niveau de criticité des vulnérabilités, ou niveau de risque, et de confiance de chaque équipement au sein du réseau de communication. 2. Art antérieur et ses inconvénients Depuis leur création il y a près d'une dizaine d'années, les objets connectés ne cessent de prendre de l'importance dans notre quotidien et leur nombre augmente de façon exponentielle. En effet, les objets connectés offrent de nombreux avantages aux utilisateurs et améliorent considérablement leur confort. Par exemple, dans le domaine de la domotique, les objets connectés améliorent la sécurisation et le contrôle des habitats, notamment, en multipliant les détecteurs d'anomalies (surconsommation d'énergie, activité au sein de la maison anormale...etc.), et en automatisant l'envoi d'alerte vers les autorités en cas d'intrusion. Toutefois, la multiplication des objets connectés au sein de nos réseaux de communication, ainsi que celle des nouveaux terminaux personnels, tels que tablettes ou téléphones intelligents (en anglais « smartphone »), pose d'importants problèmes de sécurité et de confidentialité des données que contiennent ces équipements. En effet, nombre de ces équipements, et notamment les objets connectés, présentent des vulnérabilités. Celles-ci, si elles sont exploitées, peuvent entraîner des violations graves du réseau de communication, notamment en portant atteinte à l'intégrité des équipements, à la confidentialité 2 des données contenues dans ces équipements ou encore à la vie privée de l'utilisateur, par exemple par piratage de caméras de sécurité. Le manque d'expérience en terme de sécurité appliqué à l'Internet des Objets ou loT (« Internet of Things » en anglais), et l'absence de standards en la matière font qu'un grand nombre 5 de ces nouveaux équipements montrent un nombre important de vulnérabilités et/ou comportements anormaux (comme par exemple un défaut d'authentification, des mots de passes triviaux, des échanges entre équipements connectés non chiffrés, des interfaces non sécurisées, des versions de services et logiciels exposés au réseau obsolètes, absence de mises à jour des logiciels internes («firmware » en anglais) automatique). Ainsi, ces équipements représentent très souvent 10 une cible facile pour des logiciels malveillants (« Malwares » en anglais), comme par exemple le malware Mirai, et exposent potentiellement l'entièreté du réseau de communication à des attaques de plus grande envergure. Afin d'atténuer ces menaces, des solutions étendues ont déjà été proposées. Ainsi, les passerelles d'accès au réseau de communication intègrent d'ores et déjà des mécanismes de 15 prévention face à ces attaques, comme par exemple un pare-feu («firewall » en anglais), un réseau à définition logicielle ou SDN («. Software-Defined Networking »), ou toute autre solution entièrement basée sur le « Cloud » pour la détection des vulnérabilités locales, la réduction des attaques réseau et l'isolation du trafic. Toutefois, la configuration de ces outils est manuelle, et hors de portée d'un utilisateur 20 novice ou non initié. Ainsi, lors de l'introduction d'un nouvel équipement dans le réseau, ou suite à une mise à jour de « firmware » d'un équipement, une première solution est de mettre chaque nouvel équipement, et notamment un nouvel objet connecté, dans une zone de quarantaine avec des accès limités. Cependant, cette solution nuit fortement aux interactions des différents services de ces 25 équipements, notamment des objets connectés. En partant du principe que les équipements vulnérables sont identifiés au sein d'un réseau de communication donné, une autre solution pour la sécurisation des équipements consiste à rejeter tout ou partie du trafic de données, depuis et vers ces équipements vulnérables. A première vue, il s'agit d'une stratégie décente et facile à mettre en oeuvre pour protéger les périphériques 30 vulnérables contre d'éventuelles attaques réseau ou contamination par des logiciels malveillants de l'extérieur. En effet, cette solution peut facilement être réalisée en configurant correctement et dynamiquement le pare-feu d'un réseau. Cependant, cette solution n'est pas suffisamment convaincante à bien des égards. Tout d'abord, du point de vue de l'utilisateur, cette approche assez binaire se traduit par un résultat très 3 négatif sur la qualité d'expérience ou QoE (« Quality Of Experience » en anglais) perçue, car cela peut rendre les équipements et/ou les services partiellement ou totalement inopérants. Ensuite, le fait d'isoler totalement ou partiellement l'équipement vulnérable du réseau Internet l'empêche d'effectuer des mises à jour logicielles, introduisant ainsi de potentielles 5 nouvelles vulnérabilités. Ainsi, l'isolement dynamique et la mise en quarantaine des équipements vulnérables et malveillants au sein d'un réseau de communication, notamment domestique, soulèvent donc la question de la disponibilité des services et de l'impact sur la qualité d'expérience perçue par l'utilisateur. 10 Finalement, l'isolement du trafic réseau entre tous les services ne semble possible que si l'on suppose que tout le trafic transite exclusivement par un point central à l'intérieur du réseau de communication, comme par exemple une passerelle d'accès à ce réseau. Or, si une telle hypothèse est déjà discutable d'un point de vue général, la communication directe entre équipements sans passer par la passerelle étant possible, elle est encore plus discutable dans le contexte de l'IoT. En 15 effet, grand nombre de ces équipements intègrent désormais leurs propres moyens de connexion à Internet, comme par exemple, via une connexion cellulaire de type WiFi® ou encore par couplage Bluetooth ® avec un autre équipement. Il existe donc un besoin d'une technique améliorée dynamique, auto-adaptative, autonome et intelligente capable d'évaluer les niveaux de risque et de confiance de chaque équipement connecté 20 et de se réadapter automatiquement à toute nouvelle configuration du réseau de communication. 3. Exposé de l'invention L'invention répond à ce besoin en proposant un procédé de gestion d'un réseau de communication local. Un tel procédé de gestion peut notamment être appliqué à la détermination de règles d'isolation non intrusives et dynamiques d'au moins un équipement du réseau. 25 Selon l'invention, un tel procédé met en oeuvre au sein d'un réseau de communication local comprenant une passerelle d'accès et une pluralité d'équipements aptes à être connectés à ce réseau local via la passerelle d'accès : - une détermination, pour au moins deux équipements du réseau, d'au moins une vulnérabilité définie par un vecteur de vulnérabilité d'un équipement. Ce vecteur de vulnérabilité 30 comprend N composantes de vulnérabilité, où N est un entier supérieur ou égal à 1, chacune des N composantes étant représentative d'un critère de vulnérabilité de l'équipement, et présentant une valeur représentative d'un niveau de vulnérabilité associé audit critère pour ledit équipement ; - une détermination d'un vecteur de vulnérabilité agrégée, associé à un ensemble d'au moins deux équipements, pour lequel on affecte à une composante i du vecteur de vulnérabilité agrégée, 35 pour tout i compris entre 1 et N, la valeur de la composante i du vecteur de vulnérabilité de 4 l'équipement de l'ensemble représentative du niveau de vulnérabilité le plus élevé parmi les valeurs des composantes i des vecteurs de vulnérabilité desdits équipements dudit ensemble. Ainsi, l'invention repose sur une approche tout à fait nouvelle et inventive de la gestion d'un réseau de communication. En particulier, l'invention propose une approche nouvelle et inventive de 5 la détermination et de l'évaluation du niveau de risque ou criticité d'une vulnérabilité globale pour un réseau de communication local, notamment un réseau de communication domestique. Pour cela, l'invention propose de déterminer un vecteur de vulnérabilité agrégée pour un ensemble d'au moins deux équipements. En effet, l'invention propose de ne plus considérer les vulnérabilités des équipements constituant le réseau de communication de manière individuelle, 10 mais plutôt de considérer une vulnérabilité globale du réseau. En d'autres termes, l'invention propose, afin d'évaluer le niveau de risque ou de criticité de la vulnérabilité globale d'un réseau de communication, de ne plus comparer les vecteurs de vulnérabilités individuelles entre eux, mais plutôt des vecteurs de vulnérabilités agrégées pour un ensemble d'équipements. En effet, déterminer uniquement une vulnérabilité définie par son vecteur de vulnérabilité 15 ne permet pas en l'état d'évaluer le niveau de criticité, ou risque, de la vulnérabilité globale du réseau de communication. Si les caractéristiques relevées, c'est-à-dire les critères attribués à chaque composante du vecteur de vulnérabilité, témoignent bien du niveau de criticité d'une vulnérabilité prise de façon individuelle, elles manquent de pertinence quand il s'agit de comparer ou d'évaluer l'ensemble des 20 vulnérabilités du réseau. C'est le cas par exemple lorsqu'une vulnérabilité pourtant évaluée critique est topologiquement isolée des autres vulnérabilités dans un réseau. Ainsi, l'agrégation quantitative des vecteurs de vulnérabilités d'un ensemble d'équipement permet d'évaluer un niveau de criticité, ou risque, de la vulnérabilité globale du réseau de communication. 25 Toutefois, l'agrégation quantitative d'au moins deux vecteurs de vulnérabilités n'est pas si triviale. En effet, dans le cas par exemple d'une moyenne d'au moins deux scores de base calculés à partir des valeurs représentatives d'un niveau de vulnérabilité associé aux critères de vulnérabilité pour au moins deux équipements, celle-ci n'est pas représentative du niveau de criticité de la vulnérabilité globale des deux équipements (par exemple : la moyenne d'un score de base d'un 30 vecteur de vulnérabilité de 10 (critique) et d'un score de base d'un vecteur de vulnérabilité de 2 (faible niveau de criticité) n'est pas représentative d'un niveau de criticité globale de 6 après avoir fait la moyenne des deux scores). De la même manière, prendre le score de base maximal dans un ensemble de vecteurs de vulnérabilités résulte en une perte conséquente d'information. 5 Différents standards et systèmes d'évaluation disponibles peuvent être mis en oeuvre afin de calculer ce score de base reflétant le niveau de criticité d'une vulnérabilité à partir de son vecteur de vulnérabilité. C'est le cas par exemple du standard public d'évaluation CVSS (« Common Vulnerability Scoring System » en anglais). 5 Ainsi, l'agrégation quantitative des vecteurs de vulnérabilité selon l'invention, permet d'évaluer de manière plus représentative l'ensemble des vulnérabilités du réseau, c'est-à-dire le niveau de criticité de la vulnérabilité globale de ce réseau de communication. Pour cela, l'invention propose d'ajuster les valeurs des composantes des vecteurs de vulnérabilité à agréger, en prenant la valeur maximale associée à chaque composante individuelle. 10 Ainsi, pour chaque composante représentative d'un critère de vulnérabilité d'une catégorie donnée, on affecte la valeur représentative du niveau de vulnérabilité, aussi appelé niveau de criticité de la vulnérabilité, la plus élevée parmi les valeurs des composantes de même catégorie des vecteurs de vulnérabilité d'un ensemble d'équipements. En d'autres termes, on retient le pire cas pour chacune des composantes du vecteur de vulnérabilité agrégée, i.e. la composante représente du risque le plus 15 élevé pour le réseau. Selon un aspect de l'invention, l'une des N composantes de vulnérabilité est représentative d'un gain en privilège. Ainsi, on affine l'évaluation de la criticité d'une vulnérabilité en mesurant le gain en privilège, c'est-à-dire la possibilité pour un utilisateur d'obtenir des privilèges supérieurs à ceux qu'il a 20 normalement. Ce critère permet, par exemple, d'identifier les vulnérabilités pouvant entrer en jeu dans des attaques par rebond, qui consistent à utiliser un ou des systèmes ou équipements intermédiaires pour permettre à un attaquant de répliquer son attaque. Ces attaques sont de plus en plus fréquentes, notamment au sein de réseau de communication comprenant des objets connectés particulièrement vulnérables. 25 En utilisant une composante de vulnérabilité représentative d'un gain en privilège dans les vecteurs de vulnérabilité, l'invention permet d'identifier les équipements pouvant être impliqués dans ce type d'attaque. Selon un autre aspect, la détermination du vecteur de vulnérabilité agrégée est mise en oeuvre pour un ensemble d'équipements associé à une séquence d'attaque. Cette séquence 30 d'attaque est définie par une séquence d'exploitations successives de vulnérabilités des équipements débutant par une élévation du gain en privilège pour au moins un des équipements de l'ensemble, cet équipement étant apte à accéder à au moins une vulnérabilité d'au moins un autre équipement de l'ensemble. Ainsi, il est possible d'identifier les équipements impliqués dans une séquence d'attaque ou 35 attaque par rebond. Plus particulièrement, la détermination d'une séquence d'attaque selon 6 l'invention permet d'identifier l'équipement dont l'exploitation de la vulnérabilité est à l'origine de cette attaque par rebond, ainsi que le ou les équipement(s) dont la vulnérabilité peut être exploitée suite à cette attaque. Pour cela, pour un ensemble d'au moins deux vulnérabilités portées par au moins deux 5 équipements, et pour lesquelles des vecteurs de vulnérabilités sont déterminés, on détermine quelle est la vulnérabilité qui est la condition initiale à la formation d'une attaque par rebond, c'est-à-dire celle qui permet une élévation du gain en privilège et qui permet d'accéder à au moins une vulnérabilité d'au moins un autre équipement. Avantageusement, la détermination d'une séquence d'attaque associée à un vecteur de 10 vulnérabilité agrégée selon l'invention, permet de représenter graphiquement le réseau dans des séquences d'attaques, c'est-à-dire comme l'exploitation d'une vulnérabilité au sein du réseau pour gagner en privilèges et attaquer d'autres équipements. De plus, lorsque cette détermination est associée à l'utilisation d'un système de notation de vulnérabilité tel que le standard public CVSS, il est possible d'associer à cette représentation 15 graphique une évaluation numérique du niveau de sécurité et de vulnérabilité du réseau de communication. Ainsi, cette représentation graphique associée à une évaluation numérique du niveau de sécurité et de vulnérabilité du réseau de communication à partir de vecteurs de vulnérabilités agrégées caractérisant des séquences d'attaques, permet d'avoir une vision globale plus juste de la 20 vulnérabilité du réseau. Selon un autre aspect de l'invention, au moins une règle d'isolation d'au moins un des équipements de l'ensemble, est déterminée en fonction du vecteur de vulnérabilité agrégée. Ainsi, il est possible d'atténuer ces séquences d'attaques en établissant des règles d'isolation visant à réduire les risques d'attaques par rebond au sein du réseau, ou restreindre l'accès de 25 certains services dont le niveau de confiance est faible à certains équipements porteurs de vulnérabilités. Selon un autre aspect de l'invention, la détermination d'au moins une règle d'isolation tient compte d'un compromis entre une diminution d'une vulnérabilité globale du réseau et une diminution d'une accessibilité à un service du réseau par un utilisateur. 30 Avantageusement, ces règles d'isolation se veulent non intrusives et permettent d'assurer l'intégrité et la sécurité d'un réseau de communication en atténuant les séquences d'attaques à l'intérieur de ce réseau, tout en minimisant l'impact sur la qualité d'expérience de l'utilisateur. Ces règles d'isolation non intrusives peuvent par exemple être déployées au sein d'une passerelle d'accès au réseau de communication afin de proposer une solution de pare-feu 35 intelligente (« smart-firewall » en anglais). 7 En effet, comme le trafic réseau de tout équipement qui n'a pas ses propres moyens de connexion à Internet doit transiter par cette passerelle d'accès, cette dernière joue un rôle important dans la sécurité et la défense des réseaux de communication, notamment domestiques, en ce qui concerne l'Internet des Objets ou loT (« Internet of Things » en anglais). 5 Ainsi, ces règles d'isolation non intrusives permettent de protéger les équipements d'un réseau de communication contre les tentatives d'intrusion en les isolant des services et/ou équipements du réseau vulnérables, par exemple au niveau de la passerelle d'accès dans le contexte des loT, tout en garantissant la disponibilité de ces derniers aux équipements et/ou services de confiance. 10 Selon une autre caractéristique, lesdites déterminations de vecteurs de vulnérabilité et de vecteur de vulnérabilité agrégée sont mises en oeuvre à réception d'une notification d'une mise à jour d'au moins un équipement du réseau de communication et/ou d'une notification d'une connexion d'au moins un nouvel équipement au réseau de communication. Avantageusement, le procédé de gestion selon l'invention est mis en oeuvre à chaque 15 connexion d'un nouvel équipement et/ou à chaque nouvelle mise à jour d'un équipement du réseau de communication. Ainsi, de nouvelles vulnérabilités peuvent être détectées en temps réel et prises en compte dans l'évaluation du niveau de risque global du réseau de communication et de nouvelles règles d'isolation peuvent alors être définies. Ces règles d'isolation non intrusives permettent alors une 20 isolation dynamique, c'est-à-dire à tout moment dès lors qu'un nouvel équipement ou une nouvelle mise à jour sont détectés sans que l'utilisateur n'ait à modifier les paramètres de sécurité du réseau déjà existants. L'invention concerne également un produit programme d'ordinateur comprenant des instructions de code de programme pour la mise en oeuvre des étapes du procédé de gestion selon 25 l'invention, lorsqu'il est exécuté par un processeur. L'invention concerne également, un gestionnaire central d'un réseau de communication local comprenant une passerelle d'accès audit réseau local et une pluralité d'équipements aptes à être connectés audit réseau local via ladite passerelle d'accès. Un tel gestionnaire central comprend : un module de détermination de vulnérabilité d'équipement apte à déterminer pour au moins 30 deux équipements d'un réseau de communication local, au moins une vulnérabilité définie par un vecteur de vulnérabilité de cet équipement. Ce vecteur de vulnérabilité comprend N composantes de vulnérabilité, où N est un entier supérieur ou égal à 1, chacune desdites N composantes étant représentative d'un critère de vulnérabilité dudit équipement, et présentant une valeur représentative d'un niveau de vulnérabilité associé audit critère pour cet équipement ; 8 un module de détermination de vulnérabilité agrégée apte à déterminer un vecteur de vulnérabilité agrégée, associé à un ensemble desdits au moins deux équipements, un tel module étant apte à affecter à une composante i du vecteur de vulnérabilité agrégée, pour tout i compris entre 1 et N, la valeur de la composante i du vecteur de vulnérabilité de l'équipement de l'ensemble 5 représentative du niveau de vulnérabilité le plus élevé parmi les valeurs des composantes i des vecteurs de vulnérabilité des équipements de l'ensemble. Selon une caractéristique, le module de détermination de vulnérabilité agrégée est également apte à déterminer ledit vecteur de vulnérabilité agrégée pour un ensemble d'équipements associé à une séquence d'attaque. Cette séquence d'attaque est définie par une 10 séquence d'exploitations successives de vulnérabilités des équipements débutant par une élévation dudit gain en privilège pour au moins un des équipements de l'ensemble, cet équipement étant apte à accéder à au moins une vulnérabilité d'au moins un autre équipement de l'ensemble. Selon une autre caractéristique, le gestionnaire central comprend un module d'isolation apte à déterminer au moins une règle d'isolation d'au moins un des équipements de l'ensemble, en 15 fonction du vecteur de vulnérabilité agrégée déterminé. L'invention vise également un support d'enregistrement lisible par un ordinateur sur lequel est enregistré un programme d'ordinateur comprenant des instructions de code de programme pour l'exécution des étapes du procédé de gestion d'un réseau de communication selon l'invention tel que décrit ci-dessus. 20 Un tel support d'enregistrement peut être n'importe quelle entité ou dispositif capable de stocker le programme. Par exemple, le support peut comporter un moyen de stockage, tel qu'une ROM, par exemple un CD ROM ou une ROM de circuit microélectronique, ou encore un moyen d'enregistrement magnétique, par exemple une clé USB ou un disque dur. D'autre part, un tel support d'enregistrement peut être un support transmissible tel qu'un 25 signal électrique ou optique, qui peut être acheminé via un câble électrique ou optique, par radio ou par d'autres moyens, de sorte que le programme d'ordinateur qu'il contient est exécutable à distance. Le programme selon l'invention peut être en particulier téléchargé sur un réseau par exemple le réseau Internet. Alternativement, le support d'enregistrement peut être un circuit intégré dans lequel le 30 programme est incorporé, le circuit étant adapté pour exécuter ou pour être utilisé dans l'exécution du procédé de contrôle d'affichage précité. Le gestionnaire central, et le programme d'ordinateur correspondants précités présentent au moins les mêmes avantages que ceux conférés par le procédé de gestion d'un réseau de communication selon la présente invention. 35 4. Listes des figures 9 D'autres buts, caractéristiques et avantages de l'invention apparaîtront plus clairement à la lecture de la description suivante, donnée à titre de simple exemple illustratif, et non limitatif, en relation avec les figures, parmi lesquelles : la Figure 1 présente un schéma synoptique général du procédé de gestion d'un réseau de 5 communication selon l'invention tel qu'il est mis en oeuvre par une passerelle d'accès à ce réseau de communication et par un gestionnaire central d'isolation non intrusive de vulnérabilité; la Figure 2 illustre un exemple de réseau de communication local comprenant des équipements porteurs de vulnérabilités selon un mode de réalisation de l'invention; 10 la Figure 3 illustre un exemple de vecteurs de vulnérabilité pour les équipements du réseau de communication local selon le mode de réalisation de la Figure 2; la Figure 4 présente un exemple d'une représentation graphique d'un réseau de communication par ses séquences d'attaque pour les équipements du réseau de communication selon les Figures 2 et 3, selon un mode de réalisation; 15 la Figure 5 présente un exemple d'une représentation graphique d'un réseau de communication par ses séquences d'attaque pour les équipements du réseau de communication selon les Figures 2 et 3 selon un autre mode de réalisation ; La Figure 6 propose un schéma synoptique simplifié de la structure matérielle d'un gestionnaire central d'isolation de vulnérabilité non intrusive selon un mode de réalisation 20 de l'invention. 5. Description détaillée de modes de réalisation de l'invention Le principe général de l'invention repose sur la détection et l'évaluation de vulnérabilité des équipements composant un réseau de communication local, à partir desquelles des séquences d'attaque sont déterminées. La détermination de ces séquences d'attaque permet ainsi la mise en 25 place de règles d'isolation adéquates pour assurer l'intégrité et la sécurité du réseau en atténuant ces séquences d'attaques à l'intérieur du réseau, tout en minimisant l'impact sur la qualité d'expérience de l'utilisateur (00E). On désigne par la suite par équipement un terminal personnel, tel qu'une tablette, un ordinateur ou un téléphone intelligent, ou un objet connecté, telle qu'une caméra connectée. 30 Cette détermination des séquences d'attaque permet d'obtenir une vision globale de la vulnérabilité d'un réseau de communication donné et ainsi, sélectionner un ensemble de liens ou services à restreindre de manière à garantir la meilleure sécurité réseau pour le plus faible impact sur la disponibilité des services perçue par l'utilisateur. On présente désormais en relation avec la Figure 1 un schéma synoptique général du 35 procédé de gestion d'un réseau de communication selon l'invention tel qu'il est mis en oeuvre par 10 une passerelle d'accès à ce réseau de communication et par un gestionnaire central d'isolation non intrusive de vulnérabilité. Ce procédé comprend trois grandes étapes : Etape I : détermination par un gestionnaire central, ou gestionnaire central d'isolation non 5 intrusive de vulnérabilité, GCI d'une ou plusieurs vulnérabilités pour au moins deux équipements au sein du réseau de communication, chacune des vulnérabilités étant caractérisée par un vecteur de vulnérabilité; Etape II : détermination par le gestionnaire central d'isolation non intrusive de vulnérabilité GCI à partir des vecteurs de vulnérabilités déterminés à l'étape I, d'un vecteur de 10 vulnérabilité agrégée pour un ensemble d'au moins deux équipements du réseau de communication définissant ainsi une séquence d'attaque entre au moins deux équipements et représentation graphique orientée du réseau sous la forme de séquence d'attaque; Etape III : détermination de règles d'isolation non intrusives et dynamiques à partir d'au moins une séquence d'attaque déterminée à l'étape II et transmission au pare-feu 15 (« firewall ») de la passerelle P5 d'accès au réseau de communication. L'étape I est détaillée ci-après en relation avec les Figures 2 et 3 et comprend une sous-étape d'audit sécurité 102 mettant en oeuvre un système d'évaluation du niveau de criticité d'une vulnérabilité comme par exemple le standard public d'évaluation CVSS (« Common Vulnerability Scoring System » en anglais). L'étape I comprend également une sous-étape optionnelle 103 20 correspondant à l'envoie d'une requête vers une banque de données du standard public d'évaluation CVSS. L'étape II est détaillée en relation avec les Figures 4, et 5 et comprend une sous-étape de détermination d'au moins un vecteur de vulnérabilité agrégée 104 pour un ensemble d'au moins deux équipements appartenant au réseau de communication local. Ce vecteur de vulnérabilité 25 agrégé est représentatif d'une séquence d'attaque au sein du réseau de communication. Le réseau de communication peut alors être représenté graphiquement sous la forme d'un esmble de séquences d'attaque. L'étape III comprend une sous-étape de détermination de règles d'isolation non intrusives et dynamiques 105 et une sous-étape d'information de l'utilisateur de toute règle d'isolation exprimée 30 ou de tout risque de grande importance. Il est donc important que toute décision prise concernant la suppression et la nature même des services supprimés puisse être facilement exprimée d'une manière compréhensible pour l'utilisateur. Dans un mode de réalisation de l'invention en lien avec la Figure 1, ces règles d'isolation non intrusives et dynamiques sont déployées au sein du pare-feu (« firewall ») de la passerelle d'accès P5. 35 5.1. Etape I : Mécanismes d'audit réseau et détection de vulnérabilités 11 En relation avec la Figure 1, dans une étape 100, un équipement H, tel qu'un objet connecté (comme par exemple une caméra connectée) ou un terminal (comme par exemple une tablette, un ordinateur, un téléphone intelligent...etc.) se connecte via la passerelle d'accès PS à un réseau de communication local. 5 Dans une étape 101, le gestionnaire central d'isolation non intrusive de vulnérabilité GCI réceptionne une notification de connexion d'un nouvel équipement au réseau de communication transmise par la passerelle d'accès P5. Alternativement, lors de la mise à jour automatique ou programmée d'un équipement du réseau, le gestionnaire central d'isolation non intrusive de vulnérabilité GCI, réceptionne une 10 notification d'une mise à jour de cet équipement transmise par la passerelle d'accès PS. Dans une étape 102, le gestionnaire central d'isolation non intrusive de vulnérabilité GCI met en oeuvre un algorithme d'audit sécurité du réseau afin de détecter si le nouvel équipement H est porteur d'une ou plusieurs vulnérabilité(s) ou si la mise à jour d'un équipement est porteuse d'une vulnérabilité. Cet audit sécurité du réseau s'appuie sur des logiciels (comme par exemple scanner de 15 réseau Nmap®, SQLmap®, Metasploit®) permettant de détecter et de cartographier (« mapping » en anglais) le réseau de communication local, afin d'identifier d'éventuelles vulnérabilités associées à chaque équipement présent dans le réseau. Typiquement, à la connexion d'un nouvel équipement H dans le réseau de communication, un audit de sécurité est réalisé afin d'identifier les versions de logiciels exposés par l'équipement, et 20 de tester la résilience de cet équipement à des attaques réseau usuelles. La ou les vulnérabilité(s) ainsi détectée(s) pour l'équipement H sont ensuite enregistrées dans une banque de données DB de la passerelle P5 et délivrées sous un format permettant ensuite l'évaluation du niveau de criticité de ces vulnérabilités. De la même manière, à chaque mise à jour d'un équipement du réseau, un audit sécurité est réalisé pour détecter d'éventuelles vulnérabilités. 25 Lors de l'audit sécurité, différents standards et systèmes d'évaluation disponibles peuvent être mis en oeuvre. C'est le cas par exemple du standard public d'évaluation CVSS (« Common Vulnerability Scoring System » en anglais), ou encore les standards du centre de coordination en matière de sécurité des systèmes d'information CERT (CERT/CC) ou de l'institut SANS. Chacun de ces systèmes d'évaluation possède ses propres caractéristiques d'évaluation. 30 Dans le mode de réalisation de l'invention présenté en lien avec la Figure 1, les vulnérabilités détectées suite à l'audit sécurité sont évaluées et délivrées en utilisant le standard CVSS. Ainsi, le mécanisme d'audit sécurité mesure le niveau de criticité de chaque vulnérabilité selon plusieurs critères objectifs et mesurables définis par ce standard. 12 L'évaluation selon le standard CVSS est constituée de trois mesures appelées métriques : métrique de base, métrique temporelle et métrique environnementale. Chaque métrique comprend un ensemble de composantes également appelées métriques. Ainsi, les métriques ou composantes dites de base, représentent les caractéristiques 5 intrinsèques et fondamentales d'une vulnérabilité qui sont constantes dans le temps et dans l'environnement du réseau de communication. Les métriques ou composantes dites temporelles représentent les caractéristiques d'une vulnérabilité qui changent dans le temps, mais pas dans l'environnement du réseau. Les métriques ou composantes dites environnementales représentent les caractéristiques d'une vulnérabilité qui relèvent de l'environnement particulier du réseau de 10 communication. Les métriques ou composantes de base sont chacune définies par une valeur ou critère choisi parmi un ensemble défini de valeurs ou critères reflétant le niveau de criticité d'une vulnérabilité. Les métriques ou composantes de base du standard CVSS, ainsi que les valeurs qui peuvent leur être attribuées sont les suivantes : 15 un vecteur d'accès AV, reflétant le niveau de topologie du réseau auquel la vulnérabilité est accessible, c'est à dire la façon dont la vulnérabilité est exploitée. Plus un attaquant peut être éloigné pour attaquer un hôte, plus la criticité de la vulnérabilité est élevée. Ainsi, les valeurs de la composante AVE {Local, Réseau Adjacent, Réseau}. La complexité d'accès AC, mesurant la complexité pour un attaquant d'exploiter la 20 vulnérabilité. Ainsi, les valeurs de la composante ACE {Haute, Moyenne, Basse}; Le montant d'Authentification AU permet de mesurer le nombre de fois qu'un attaquant doit s'authentifier sur une cible afin d'exploiter une vulnérabilité. Cette mesure n'évalue pas la force ou la complexité du processus d'authentification, mais seulement le fait qu'un attaquant doit fournir des informations d'identification avant qu'une exploitation puisse 25 avoir lieu. Moins il y a d'instances d'authentification requises, plus la criticité de la vulnérabilité est élevée. Ainsi, les valeurs de la composante AU E {Multiple, Unique, Néant}; L'impact potentiel du succès de l'exploitation de la vulnérabilité en termes de confidentialité C, d'intégrité I, et de disponibilité A sur l'équipement et/ou le réseau. Ces mesures permettent d'évaluer la confidentialité de l'équipement et/ou du réseau qui consiste à 30 limiter l'accès à l'information et sa divulgation aux seuls utilisateurs autorisés, ainsi qu'à empêcher l'accès ou la divulgation par des personnes non autorisées. L'intégrité quant à elle fait référence à la fiabilité et à la véracité garantie de l'information. Enfin, la disponibilité fait référence à l'accessibilité des ressources d'information. Ainsi, les valeurs des composantes C, I ou A E { Néant, Partiel, Complet }. 13 Lorsque, pour chaque métrique ou composante de base, une valeur lui est affectée, l'équation de base du standard CVSS permet de calculer un score de base d'une vulnérabilité compris entre 0 et 10, et crée un vecteur de vulnérabilité aussi appelé vecteur de base. Ce vecteur de vulnérabilité correspond à une chaîne de texte qui contient les valeurs assignées à chaque métrique 5 de base, et il est utilisé pour communiquer exactement comment le score de base pour chaque vulnérabilité est obtenu. Par conséquent, le vecteur d'une vulnérabilité est souvent accompagné du score de base de cette vulnérabilité. Dans un mode de réalisation particulier (non représenté), l'audit de sécurité mesure le niveau de chaque vulnérabilité selon les composantes ou métriques, définies par le standard CVSS 10 (comme par exemple le standard CVSS dans sa deuxième version v2) suivantes : - Le vecteur d'accès AV à la vulnérabilité ; - L'impact sur la confidentialité C, l'intégrité I et la disponibilité A du service, de l'équipement et/ou du réseau de communication. Dans un autre mode de réalisation particulier, illustré par la suite en relation avec la Figure 3, 15 on affine l'évaluation de la criticité d'une vulnérabilité en mesurant également, le gain en privilège P pour un attaquant exploitant cette vulnérabilité. Ainsi, les valeurs de la composante P E {Racine, Utilisateur, Autre, Néant). Par privilège, on entend la possibilité pour un administrateur d'effectuer des actions que les simples utilisateurs ne peuvent faire. Ainsi, un gain en privilège reflète la possibilité pour un 20 utilisateur d'obtenir des privilèges supérieurs à ceux qu'il a normalement. Généralement, un utilisateur va vouloir élever ses privilèges pour devenir administrateur du système, afin d'effectuer des tâches qu'il n'a pas le droit de faire en temps normal. Ce mécanisme est utile pour lancer des processus sensibles, pouvant nécessiter des compétences particulières en administration système (comme par exemple lors d'une manipulation des partitions d'un disque dur, ou lors du lancement 25 d'un nouveau service). Le gain en privilège peut être utilisé de manière frauduleuse par un attaquant pour prendre le contrôle total d'un système. Il peut pour cela exploiter une vulnérabilité, en local sur le système (s'il est déjà connecté dessus), ou à distance (si le système est connecté à un réseau). Ainsi, ce critère permet, par exemple, d'identifier les vulnérabilités pouvant entrer en jeu 30 dans des attaques par rebond. Les attaques par rebond constituent une famille d'attaques de système d'information qui consistent à utiliser un ou des systèmes intermédiaires, participant à leur insu, et permettant à un assaillant de rester caché. Le gain en privilège P est absent du standard CVSS et n'entre donc pas en compte dans le calcul du score de base de la vulnérabilité selon ce standard, mais peut toutefois faire partie des 35 composantes d'évaluation du niveau de criticité d'une vulnérabilité. En effet, si un attaquant en 14 exploitant une vulnérabilité d'un équipement gagne un privilège d'accès à un autre équipement du réseau de communication, alors il y a un impact sur la confidentialité, l'intégrité de cet autre équipement. Dans d'autres modes de réalisation (non représentés) la criticité d'une vulnérabilité d'un 5 équipement peut être évaluée en utilisant les composantes ou métriques de base telles que la complexité d'accès AC, et/ou le montant d'Authentification AU, en combinaison avec les composantes AV, C, I, A. Dans un mode particulier de l'invention (non représenté), le score de base d'une vulnérabilité peut être affiné en attribuant des valeurs aux métriques temporelles et 10 environnementales. Ceci est utile afin de fournir un contexte supplémentaire pour une vulnérabilité en reflétant plus précisément le risque posé par cette vulnérabilité dans l'environnement particulier d'un utilisateur. En combinant différentes métriques de base, et en les associant éventuellement à des métriques temporelles et environnementales, il est possible d'évaluer de manière précise et 15 spécifique la ou les vulnérabilités d'une pluralité d'équipements au sein d'un réseau de communication local de configuration bien particulière. Ainsi, les observations faites sur les vulnérabilités détectées suite à cet audit de sécurité du réseau permettant à la passerelle d'accès PS de caractériser qualitativement le niveau de risque et la criticité associée à chaque équipement au sein du réseau de communication. Un score de base et un 20 vecteur de base d'une vulnérabilité pour un équipement peuvent alors être obtenu afin d'estimer et de comparer le niveau de criticité d'une vulnérabilité par rapport à une autre par application de l'équation de base standardisée CVSS, comme par exemple CVSS dans sa deuxième version (v2). Dans une étape optionnelle 103, le gestionnaire central d'isolation non intrusive de vulnérabilité GCI envoie une requête à une banque de donnée CVSS. 25 On présente désormais en relation avec les Figures 2 et 3 un exemple d'une détermination de vulnérabilité d'équipements, dans une topologie réseau donnée. La Figure 2 présente un exemple de réseau de communication local comprenant des équipements porteurs de vulnérabilités selon un mode de réalisation de l'invention. Ce réseau de communication comprend une passerelle d'accès PS directement connectée au « Cloud » et trois 30 équipements: H1, H2 et H3, qui sont respectivement un ordinateur, un serveur de stockage en réseau ou NAS (« Network Attached Storage » en anglais) et une caméra connectée. Par « Cloud » (« nuage ») on entend un ensemble de matériels, de raccordements réseau et de logiciels qui fournit des services pouvant être exploités à volonté depuis n'importe où dans le monde. 15 Les trois équipements H1, H2 et H3 sont connectés au réseau de communication local via la passerelle PS d'accès à ce réseau. L'équipement H1 est directement connecté via cette passerelle P5 au réseau de communication, ceci indépendamment des équipements H2 et H3. H2 et H3 sont connectés ensemble via la même connexion à la passerelle PS d'accès au réseau de communication. 5 Suite à l'audit sécurité du réseau 102, ces trois équipements H1, H2 et H3 sont identifiés porteurs de vulnérabilités telles que : - L'ordinateur H1 présente une faille de sécurité permettant à un attaquant de provoquer un Déni de Service ou DOS (« Denial Of Service » en anglais) sur cet appareil si ce dernier est présent dans le même sous-réseau de communication; 10 - Le NAS H2 présente une faille de sécurité sur l'une de ses interfaces de programmation ou API (« Application Programming Interface » en anglais) exposées au réseau de communication, permettant ainsi à un attaquant de récupérer son contenu média sans authentification, si ce dernier est présent dans le même sous-réseau de communication ; - La caméra H3 est une caméra connectée, exposant de façon automatique son API 15 d'administration (telnet « Telecommunication network » en anglais) au « Cloud » (par exemple selon le protocole réseau UPNP/IGD ou « Universal Plug aNd Play/Internet Gateway Device » en anglais). Cette API présente un défaut d'authentification (comme par exemple un identifiant et un mot de passe: admin/admin) permettant à un attaquant présent n'importe où au sein, ou en dehors du réseau de communication, de prendre le contrôle de cet équipement. Cette vulnérabilité expose 20 donc l'entièreté du réseau de communication à de potentielles attaques. La Figure 3 illustre un exemple de vecteurs de vulnérabilité selon un mode de réalisation de l'invention utilisant le standard CVSS pour les équipements du réseau de communication local selon l'exemple de la Figure 2. Dans ce mode de réalisation, les vulnérabilités de chacun des équipements H1, H2 et H3 du réseau de communication sont caractérisées selon cinq composantes dont quatre 25 métriques de base du standard CVSS (vecteur d'accès AV, impact confidentialité C, impact intégrité I, impact disponibilité A) et une composante représentant un gain en privilège P. Suite à l'audit sécurité 102, la criticité des vulnérabilités des équipements H1, H2 et H3 est évaluée selon le standard CVSS. Ainsi, comme présenté précédemment, une valeur reflétant le niveau de criticité d'une vulnérabilité est attribuée pour chaque composante de cette vulnérabilité et 30 un vecteur de base de cette vulnérabilité peut alors être défini. Ainsi, dans l'exemple du réseau de communication comprenant les équipements H1, H2 et H3 précédemment décrit : - Hl, l'ordinateur, est porteur d'une vulnérabilité V1 définie par son vecteur : AV :Adjacent/P : Néant/C :Néant/I :Partiel/A :Complet ; 16 - H2, le NAS, est porteur d'une vulnérabilité V2 définie par son vecteur AV :Adjacent/P : Néant/C :Complet/I :Partiel/A :Néant ; - H3, la caméra connectée, est porteuse d'une vulnérabilité V3 définie par son vecteur : AV :Réseau/P : Racine/C:Partiel/I:Complet/A :Partiel. A travers une translation de port 5 (« Port Forward »), H3 est directement accessible depuis Internet (ou « Cloud »). L'étape I permet ainsi d'obtenir une vue de l'ensemble des vulnérabilités individuelles des équipements du réseau de communication et d'identifier parmi ces équipements, ceux dont la vulnérabilité, si elle est exploitée, permet d'accéder et d'exploiter la vulnérabilité d'autres équipements, formant ainsi une attaque par rebond. 10 5.2. Etape : évaluation du niveau de risque du réseau par agrégation des vecteurs de vulnérabilité. Dans une étape II, afin d'obtenir une vision globale de la vulnérabilité du réseau, les vecteurs de vulnérabilité caractérisés à l'étape I sont agrégés de manière quantitative selon une sémantique claire et définie. Ces vecteurs agrégés définissent alors un vecteur d'une séquence d'attaque ou 15 vecteur d'attaque. Ainsi, si A et B dénotent deux vulnérabilités portées respectivement par deux équipements distincts HA et Hg, alors A est dit un ancêtre de B, c'est-à-dire que A est la condition initiale à la formation de l'attaque sur B, si et seulement si: La vulnérabilité A de HA permet une élévation du gain en privilège P suffisante à l'attaquant 20 pour répliquer son attaque depuis l'équipement HA; - HA répond à l'ensemble des critères d'accessibilité de la vulnérabilité B (par exemple en terme de vecteur d'accès AV). En effet, dans un contexte de réseau de communication, le vecteur d'accès AV associé à chaque vulnérabilité, et par extension à une séquence d'attaque, dépend également : 25 - de l'environnement physique, comme par exemple la nécessité ou non pour l'attaquant de partager le même média physique que la machine hôte; de la topologie réseau, comme par exemple la nécessite ou non pour l'attaquant d'avoir accès au même domaine de diffusion, collision que la machine hôte; des configurations réseau additionnelles formulées au niveau de la passerelle d'accès au 30 réseau de communication local, comme par exemple la translation de port d'un réseau vers le service vulnérable. Dès lors que ces critères sont respectés, alors la capacité pour un attaquant de prendre le contrôle de l'équipement HA grâce à sa vulnérabilité A, afin d'obtenir les accès nécessaires pour exploiter la vulnérabilité B de l'équipement HB définit une séquence d'attaque, ou attaque par 35 rebond SAR. 17 Le niveau de risque ou de criticité résultant d'une séquence d'attaque peut alors être mesuré selon les mêmes critères qu'au sein de l'étape I, où chaque valeur des composantes du vecteur de vulnérabilité agrégée associé à cette séquence d'attaque est choisie comme le scénario le plus défavorable en terme de confidentialité, d'intégrité et de disponibilité pour l'utilisateur, par 5 combinaison des composantes de chaque vecteur de vulnérabilité des équipements composant la séquence d'attaque. En d'autres termes, si chaque vecteur de vulnérabilité comprend N composantes de vulnérabilité, où N est un entier supérieur ou égal à 1, chacune des N composantes étant représentative d'un critère de vulnérabilité de l'équipement, et présente une valeur représentative 10 d'un niveau de vulnérabilité associé audit critère pour un équipement, alors pour un ensemble d'au moins deux équipements un vecteur de vulnérabilité agrégée est déterminé, tel que l'on affecte à une composante i du vecteur de vulnérabilité agrégée, pour tout i compris entre 1 et N, la valeur de la composante i du vecteur de vulnérabilité de l'équipement de l'ensemble représentative du niveau de vulnérabilité le plus élevé parmi les valeurs des composantes i des vecteurs de vulnérabilité 15 desdits équipements de cet ensemble. Ainsi, le réseau de communication peut être représenté de manière graphique par les séquences d'attaque déterminées dans l'étape II, ce qui permet d'avoir une vision globale de la vulnérabilité du réseau de communication. La Figure 4 présente un exemple d'une représentation graphique d'un réseau de 20 communication par ses séquences d'attaques déterminées précédemment pour les équipements H1, H2 et H3, porteurs des vulnérabilités V1, V2 et V3 dont les vecteurs ont été précédemment définis. En appliquant la sémantique précédente aux équipements H1, H2 et H3, il s'avère que seule la vulnérabilité V3 de H3 remplit tous les critères. En effet, seule l'exploitation de la vulnérabilité V3 permet une élévation du gain en privilège P (P = Racine pour V3) suffisante à l'attaquant pour 25 répliquer son attaque depuis l'équipement H3. H3 étant connecté directement à H2, mais non à H1, alors une attaque via l'exploitation de la vulnérabilité V3 permet une élévation du privilège de l'attaquant via un accès à la vulnérabilité V2. Ainsi, il est possible de définir une séquence d'attaque S(V3, V2) correspondant à la capacité pour un attaquant de prendre le contrôle de l'équipement H3 grâce à sa vulnérabilité V3, afin d'obtenir les accès nécessaires pour exploiter la vulnérabilité V2 de 30 l'équipement H2. La séquence d'attaque S(V3, V2) est alors définie par un vecteur d'attaque correspondant à l'agrégation des vecteurs des vulnérabilités V2 et V3. Pour chaque composante ou métrique combinée des vecteurs de V2 et V3, le critère choisi est celui qui représente le scénario le plus défavorable en terme de confidentialité, d'intégrité et de disponibilité pour l'utilisateur. 18 En d'autres termes, on affecte à une composante d'une catégorie donnée du vecteur de vulnérabilité agrée la valeur représentative du niveau de vulnérabilité le plus élevé parmi les valeurs des composantes de même catégorie des vecteurs de vulnérabilité des équipements associés à une séquence d'attaque. 5 Ainsi : si le vecteur de la vulnérabilité V3 = AV : Réseau/P : Racine/C :Partiel/I :Complet/A :Partiel, et si le vecteur de la vulnérabilité V2 = AV : Adjacent/P : Néant/C :Complet/I :Partiel/A :Néant, alors le vecteur de la séquence d'attaque, ou vecteur d'attaque S(V3, V2)= AV :Réseau/P : 10 Racine/C :Complet/I :Complet/A :Partiel. L'exploitation de la vulnérabilité V1, quant à elle, ne permet pas d'exploiter d'autres vulnérabilités au sein du réseau, elle est donc isolée. Le vecteur d'attaque S(V1) correspond donc au vecteur de la vulnérabilité V1. La Figure 5 illustre une représentation graphique du réseau de communication selon la 15 Figure 2 par ses séquences d'attaque selon un mode de réalisation particulier de l'invention. D'autres composantes associées à chaque vulnérabilité et respectivement à chaque séquence d'attaque peuvent être prises en compte. En effet, l'étape 11 peut également considérer des métriques ou composantes environnementales additionnelles, comme par exemple une configuration réseau liée au service vulnérable, des vecteurs d'accès potentiels pour chaque 20 vulnérabilité présente dans le réseau (comme par exemple « quel équipement peut avoir accès à l'hôte de la vulnérabilité considérée? »), le niveau de confiance observé pour chaque vecteur d'accès à une vulnérabilité (défini par exemple par l'utilisateur ou déterminé dynamiquement selon la nature de l'équipement identifié, ou de son comportement sur le réseau). Ces critères viennent alors majorer ou minorer le niveau de risque associé à chaque séquence d'attaque. 25 Par exemple, H1, H2 et H3, mais également le « Cloud » ayant accès directement à H3, sont porteurs d'une vulnérabilité définie par un vecteur de vulnérabilité prenant en compte une composante reflétant un niveau de confiance observé pour chaque vecteur d'accès AV à une vulnérabilité. Ainsi, dans l'exemple illustré en Figure 5 : H1 : niveau de confiance du vecteur d'accès AV faible 30 H2 : niveau de confiance du vecteur d'accès AV élevé H3 : niveau de confiance du vecteur d'accès AV moyen Cloud : niveau de confiance du vecteur d'accès AV très faible Ainsi, le niveau de criticité de la séquence d'attaque S(V3, V2) peut être majoré ou minoré selon que cette séquence d'attaque est accessible via l'équipement H1 (S(H1, V3, V2)) ou via le 35 « Cloud » (S(Cloud, V3, V2)). Etant donné que le niveau de confiance dans le vecteur d'accès AV de 19 H1 est plus élevé que celui du « Cloud », un attaquant peut alors exploiter la vulnérabilité V3 pour attaquer H2 plus facilement en passant par le « Cloud ». De la même manière que pour des vulnérabilités individuelles, il est possible d'obtenir un score par application de l'équation de base standardisée CVSS (version 2 V2 par exemple) afin 5 d'estimer et de comparer le niveau de criticité d'une séquence d'attaque par rapport à une autre. 5.3. Etape III : Minimisation du niveau de risque détermination de règles d'isolation réseau. Le niveau de risque global du réseau de communication est représenté d'une part par un graphe orienté obtenu à l'étape II et représentant l'ensemble des séquences d'attaque possibles, et d'autre part par un score pour chaque séquence d'attaque calculé selon l'équation de base du 10 standard CVSS. Le graphe orienté représente un ensemble de points nommés noeuds reliés par des flèches nommées arcs ou liens. L'ensemble des arcs entre les noeuds forme une figure similaire au réseau de communication. Les arcs orientés (flèches) définissent une relation qui va dans un seul sens et est donc asymétrique. 15 Ainsi, par un algorithme avancé, on détermine l'ensemble des combinaisons de règles d'isolation permettant de prévenir l'exploitation par un attaquant de ces séquences d'attaques. Ces règles d'isolation se veulent minimales ou non intrusives, afin de limiter l'impact sur la qualité d'expérience de l'utilisateur (QoE), cohérentes et adaptées à la topologie réseau observée. Ces règles d'isolations non intrusives sont également déterminées selon un ensemble de 20 variables de différentes natures, observées à un instant i : la nature des vulnérabilités détectées ; la topologie réseau (nature des connections entre chaque équipement du réseau); le niveau de confiance associé à chaque équipement du réseau ; les configurations réseaux tierces (au niveau de la passerelle d'accès Internet notamment : 25 translation de port pouvant exposer certains services du réseau domestique à Internet par exemple). Intrinsèquement, cette approche graphique d'agrégation des vecteurs de vulnérabilités au sein d'un réseau peut en effet être mise à profit pour identifier les chemins et protocoles spécifiques entre les équipements du réseau qui résulteraient en une vulnérabilité accessible et exploitable, et 30 par extension, les liens qui contribuent le plus à l'évaluation de la vulnérabilité du réseau de communication. Dans une telle représentation graphique, chaque arc, en plus de représenter une séquence d'attaque donnée, peut également être considéré comme du trafic réseau échangé entre un ancêtre et l'hôte d'une vulnérabilité. Plus important encore, cette relation peut facilement être caractérisée 20 par un port de destination (le port sur lequel la vulnérabilité est cartographiée), une adresse source (celle de l'ancêtre) et une adresse destination (celle de l'hôte). Comme présenté en lien avec les Figures 4 et 5 le graphe orienté comprend différents types de noeuds : 5 - les vulnérabilités issues des séquences d'attaques; les équipements du réseau H1, H2, H3 pouvant être à l'origine des attaques. Un arc peut alors être représenté par un ensemble de noeuds de natures différentes. La suppression d'un arc peut alors être traduite en une règle d'isolation de pare-feu. La possibilité de supprimer ou non un arc peut être définie correctement et sémantiquement en 10 fonction de la relation sous-jacente entre les deux hôtes de vulnérabilités ou les leviers qui peuvent être à disposition pour atténuer ce lien. Dans le cas de l'utilisation de règles de pare-feu, on peut par exemple ne pas être en mesure d'atténuer un lien entre des dispositifs identifiés comme faisant partie d'un même sous-réseau, ou derrière un commutateur / équipement relais WiFi®. Graphiquement, la définition de règles d'isolation non intrusives consiste en la suppression 15 d'un ensemble d'arcs ou liens entre chaque noeud composant la représentation graphique obtenue à l'étape II. La décision de supprimer ou non un arc ou lien entre deux noeuds, c'est à dire de filtrer le trafic réseau entre deux équipements, est le résultat d'une comparaison entre le gain en sécurité associé à cette suppression, et l'impact mesuré sur la qualité d'expérience de l'utilisateur. Dans cette mesure, si G est un graphe orienté représentant l'ensemble des séquences 20 d'attaques éventuelles au sein d'un réseau de communication, alors : G= (V, E, A' S) où : V désigne un ensemble de vulnérabilités y; E = {(v' vd)}, (vs, vd E V), un ensemble d'arcs dirigés, chacun représentant l'exploitation de la 25 vulnérabilité vd depuis la machine hôte de la vulnérabilité vs; Av un ensemble de vecteurs d'accès associés aux vulnérabilités V; S l'ensemble des séquences d'attaque résultantes. Déterminer les règles d'isolations non intrusives à appliquer afin de minimiser le niveau de risque global du réseau, tout en maximisant la disponibilité des services consiste alors à supprimer 30 un ensemble d'arcs noté D c E, et recalculer le niveau de risque global associé à ce nouveau graphe. Aussi, un arc (v' vd) peut être supprimé si et seulement si la topologie réseau permet aux hôtes H', Hvd d'être isolés à l'aide de mécanismes d'isolation réseau usuels (comme par exemple pare-feu). Le nombre et la nature même des arcs supprimés peuvent être évalués et pondérés en 35 même temps que le gain possible en matière de sécurité par la suppression de ces arcs. En tant 21 qu'exemple, on peut préférer ne pas interrompre un service supplémentaire à l'intérieur du réseau si le gain en sécurité qui en résulte est insignifiant. Par extension, ne pas autoriser un périphérique à utiliser les services « telnet » aurait, dans la plupart des cas, beaucoup moins d'impact sur la 00E perçue par un utilisateur, que ne pas autoriser le trafic HTTP entrant pour un autre périphérique. 5 De même, si I3(D) est une fonction retournant un poids correspondant à la pénalité de supprimer un ensemble D, risk(S), une fonction retournant le score de criticité de la séquence d'attaque S,, et E(G) l'énergie du graphe G comme le niveau de risque mesurable le plus bas pouvant être obtenu, pour la meilleur accessibilité de service possible, alors E(G) = minD maxsE G\D(risk(S) + p(D) 10 Appliqué à l'exemple précédent, trois arcs, ici représentés par un ensemble de noeuds impliqués dans leur formation, nécessitent une attention : - (V3, V2) ne peut être supprimé, car les deux équipements communiquent au sein d'un même sous-réseau ; (H1, V3) peut être supprimé, une règle d'isolation pare-feu peut être écrite afin de 15 restreindre les échanges entre H1 et H3 ; il en est de même pour (Cloud, V3). Afin de simplifier le fonctionnement de l'algorithme énoncé, prenons I3(D) comme simple pénalité arbitraire basée sur le nombre de services supprimés (noté I D I) dans le réseau. 13 :D 0,7*IDI 20 Dans une application plus concrète, cette fonction de pénalité I3(D) peut retourner un résultat basé sur la nature des services supprimés plutôt que leur nombre, basé sur une estimation de l'impact sur la qualité d'expérience de la suppression d'un service par rapport à un autre. L'application de l'équation de calcul énoncé par le standard CVSS sur l'agrégation des séquences d'attaque composant le réseau donne les valeurs numériques suivantes : 25 - risk (S - cloud, V3, V2) = risk (S H1, V3, V2) = 6,5 risk (S V3, V2) = 6 Trois sous-ensembles d'arcs D, sont alors à tester o Di= {(l 1, V3)} : 30 - 1011 =1 -13(D1) = 0,7 - el(G) = minD maxse G\Di(risk(S)+ 8(D1) = risk(S cloud, V3, V2)+0-7 = 8,7 Similairement : o D2= {(Cloud, V3)} : 35 - 1021 =1 22 -I3(D2) = 0,7 - s2(G) = risk(S H1, V3, V2) + 0,7 = 7,2 o D3= {(Cloud, V3),(H1, V3)1: -I D3 1 = 2 5 -13(D3) = 1,4 - e3(G) = risk(Sy3, y2) + 1,4 = 7,4 L'algorithme sélectionne ainsi D2 comme l'ensemble de services à restreindre, garantissant la meilleure sécurité réseau pour la plus faible influence sur la disponibilité des services perçus par l'utilisateur. 10 Supprimer l'arc dirigé (Cloud, V3) consisterait alors à formuler une règle d'isolation rejetant l'ensemble du trafic provenant de « Cloud » vers le service de V3, si la connexion n'a pas été au préalable établie par ce dernier. Dans un mode de réalisation particulier de l'invention, l'ensemble des sous étapes 102 à 105 est réitéré pour chaque nouvelle connexion d'un nouvel équipement ou pour chaque nouvelle mise à 15 jour d'un équipement du réseau. Ainsi, de nouvelles vulnérabilités peuvent être détectées en temps réel et prises en compte dans l'évaluation du niveau de risque global du réseau de communication et de nouvelles règles d'isolation peuvent alors être définies. Ces règles d'isolation non intrusives permettent alors une isolation dynamique, c'est-à-dire à tout moment dès lors qu'un nouvel équipement ou une nouvelle mise à jour sont détectés sans que l'utilisateur n'ait à modifier les 20 paramètres de sécurité déjà existants. On présente désormais en lien avec la Figure 6 un schéma synoptique simplifié de la structure matérielle d'un gestionnaire central, ou gestionnaire central d'isolation de vulnérabilité non intrusive GCI, selon un mode de réalisation de l'invention. Ce gestionnaire central GCI comprend un module M1 apte à déterminer pour au moins deux équipements d'un réseau de communication 25 local, au moins une vulnérabilité définie par un vecteur de vulnérabilité d'un équipement et un module M2 apte à déterminer un vecteur de vulnérabilité agrégée, associé à un ensemble d'au moins deux équipements. Ainsi, pour un vecteur de vulnérabilité comprenant N composantes de vulnérabilité, où N est un entier supérieur ou égal à 1, chacune des N composantes étant représentative d'un critère de 30 vulnérabilité d'un équipement, et présentant une valeur représentative d'un niveau de vulnérabilité associé au critère pour cet équipement, le module M2 affecte à une composante i du vecteur de vulnérabilité agrégée, pour tout i compris entre 1 et N, la valeur de la composante i du vecteur de vulnérabilité de l'équipement de l'ensemble représentative du niveau de vulnérabilité le plus élevé parmi les valeurs des composantes i des vecteurs de vulnérabilité des équipements de cet ensemble. 23 Le module M2 du gestionnaire central GCI est également apte à déterminer pour un ensemble d'équipements associé à une séquence d'attaque, un vecteur de vulnérabilité agrégée. Finalement, le gestionnaire central GCI comprend un module M3 apte à déterminer au moins une règle d'isolation d'au moins un des équipements d'un ensemble d'au moins deux équipements, 5 en fonction du vecteur de vulnérabilité agrégée de cet ensemble. Le gestionnaire central GCI comprend également un module M4 apte à recevoir des notifications d'une connexion d'un nouvel équipement au réseau de communication et/ou d'une nouvelle mise à jour d'un équipement appartenant au réseau. Dans un mode particulier de l'invention, ce gestionnaire central GCI est intégré à la passerelle 10 d'accès PS. On notera que le terme module, ou unité, peut correspondre aussi bien à un composant logiciel qu'à un composant matériel ou un ensemble de composants matériels et logiciels, un composant logiciel correspondant lui-même à un ou plusieurs programmes ou sous-programmes d'ordinateur ou de manière plus générale à tout élément d'un programme apte à mettre en oeuvre 15 une fonction ou un ensemble de fonctions telles que décrites pour les modules concernés. De la même manière, un composant matériel correspond à tout élément d'un ensemble matériel (ou hardware) apte à mettre en oeuvre une fonction ou un ensemble de fonctions pour le module concerné (circuit intégré, carte à puce, carte à mémoire, etc.). Plus généralement, un tel gestionnaire central GCI comprend une mémoire vive (par exemple 20 une mémoire RAM), une unité de traitement équipée par exemple d'un processeur CPU, et pilotée par un programme d'ordinateur, représentatif des modules de détermination de vecteur de vulnérabilité Ml, de détermination de vecteurs de vulnérabilité agrégée M2 et de détermination de règles d'isolation M3, stocké dans une mémoire morte (par exemple une mémoire ROM ou un disque dur). A l'initialisation, les instructions de code du programme d'ordinateur sont par exemple 25 chargées dans la mémoire vive avant d'être exécutées par le processeur CPU de l'unité de traitement. La mémoire vive contient notamment la liste des équipements du réseau de communication et les vulnérabilités de l'ensemble des équipements. Le processeur de l'unité de traitement pilote la détermination des vecteurs de vulnérabilités, la détermination des vecteurs de vulnérabilité agrégée associés à des séquences d'attaque, ainsi que la détermination de règles 30 d'isolation d'un équipement comme illustrés dans la figure 1. Ces étapes peuvent être réalisées indifféremment sur une machine de calcul reprogrammable (un ordinateur PC, un processeur DSP ou un microcontrôleur) exécutant un programme comprenant une séquence d'instructions, ou sur une machine de calcul dédiée (par exemple un ensemble de portes logiques comme un FPGA ou un ASIC, REVENDICATIONS1. Procédé de gestion d'un réseau de communication local comprenant une passerelle d'accès (PS) audit réseau local et une pluralité d'équipements (H1, H2, H3) aptes à être connectés audit réseau local via ladite passerelle d'accès (PS), comprenant une détermination (102), pour au moins deux desdits équipements, d'au moins une vulnérabilité (V1, V2, V3) définie par un vecteur de vulnérabilité dudit équipement, ledit vecteur de vulnérabilité comprenant N composantes de vulnérabilité, où N est un entier supérieur ou égal à 1, chacune desdites N composantes étant représentative d'un critère de vulnérabilité dudit équipement, et présentant une valeur représentative d'un niveau de vulnérabilité associé audit critère pour ledit équipement, caractérisé en ce qu'il comprend une détermination (104) d'un vecteur de vulnérabilité agrégée, associé à un ensemble desdits au moins deux équipements, et en ce qu'on affecte à une composante i dudit vecteur de vulnérabilité agrégée, pour tout i compris entre 1 et N, la valeur de la composante i du vecteur de vulnérabilité de l'équipement dudit ensemble représentative du niveau de vulnérabilité le plus élevé parmi les valeurs des composantes i des vecteurs de vulnérabilité desdits équipements dudit ensemble. 2. Procédé de gestion selon la revendication 1, caractérisé en ce que l'une desdites N composantes de vulnérabilité est représentative d'un gain en privilège (P). 3. Procédé de gestion selon la revendication 2, caractérisé en ce que ladite détermination dudit vecteur de vulnérabilité agrégée (104) est mise en oeuvre pour un ensemble d'équipements (H2, H3) associé à une séquence d'attaque (S(V3, V2)), ladite séquence d'attaque (S(V3, V2)) étant définie par une séquence d'exploitations successives de vulnérabilités desdits équipements débutant par une élévation dudit gain en privilège (P) pour au moins un desdits équipements dudit ensemble, ledit équipement étant apte à accéder à au moins une vulnérabilité d'au moins un autre équipement dudit ensemble. 4. Procédé de gestion selon l'une quelconque des revendications précédentes caractérisé en ce qu'il comprend une détermination d'au moins une règle d'isolation (105) d'au moins un des équipements (H2, H3) dudit ensemble, en fonction dudit vecteur de vulnérabilité agrégée. 5. Procédé de gestion selon la revendication 4 caractérisé en ce que ladite détermination d'au moins une règle d'isolation (105) tient compte d'un compromis entre une diminution d'une vulnérabilité globale dudit réseau et une diminution d'une accessibilité à un service dudit réseau par un utilisateur. 25 6. Procédé de gestion selon l'une quelconque des revendications 1 à 5, caractérisé en ce que lesdites déterminations de vecteurs de vulnérabilité (102) et de vecteur de vulnérabilité agrégée (104) sont mises en oeuvre à réception d'une notification d'une mise à jour d'au moins un équipement dudit réseau de communication (101.1) et/ou d'une notification d'une connexion d'au 5 moins un nouvel équipement audit réseau de communication (101). 7. Produit programme d'ordinateur comprenant des instructions de code de programme pour la mise en oeuvre des étapes du procédé de gestion selon l'une quelconques des revendications 1 à 6, lorsqu'il est exécuté par un processeur. 8. Gestionnaire central (GCI) d'un réseau de communication local comprenant une passerelle 10 d'accès (P5) audit réseau local et une pluralité d'équipements (H1, H2, H3) aptes à être connectés audit réseau local via ladite passerelle d'accès (P5), ledit gestionnaire central (GCI) comprenant un module (M1) de détermination de vulnérabilité d'équipement apte à déterminer pour au moins deux équipements dudit réseau, au moins une vulnérabilité définie par un vecteur de vulnérabilité dudit équipement, 15 ledit vecteur de vulnérabilité comprenant N composantes de vulnérabilité, où N est un entier supérieur ou égal à 1, chacune desdites N composantes étant représentative d'un critère de vulnérabilité dudit équipement, et présentant une valeur représentative d'un niveau de vulnérabilité associé audit critère pour ledit équipement, caractérisé en ce qu'il comprend également un module (M2) de détermination de vulnérabilité 20 agrégée, apte à déterminer un vecteur de vulnérabilité agrégée, associé à un ensemble desdits au moins deux équipements, ledit module de détermination de vulnérabilité agrégée étant apte à affecter à une composante i dudit vecteur de vulnérabilité agrégée, pour tout i compris entre 1 et N, la valeur de la composante i du vecteur de vulnérabilité de l'équipement dudit ensemble représentative du niveau de vulnérabilité le plus élevé parmi les valeurs des composantes i des 25 vecteurs de vulnérabilité desdits équipements dudit ensemble. 9. Gestionnaire central (GCI) selon la revendication 8, caractérisé en ce que ledit module (M2) de détermination de vulnérabilité agrégée est apte à déterminer ledit vecteur de vulnérabilité agrégée pour un ensemble d'équipements associé à une séquence d'attaque, ladite séquence d'attaque étant définie par une séquence d'exploitations successives de 30 vulnérabilités desdits équipements débutant par une élévation dudit gain en privilège pour au moins un desdits équipements dudit ensemble, ledit équipement étant apte à accéder à au moins une vulnérabilité d'au moins un autre équipement dudit ensemble. 26 10. Gestionnaire central (GCI) selon l'une des revendications 8 et 9, caractérisé en ce qu'il comprend également un module (M3) d'isolation apte à déterminer au moins une règle d'isolation d'au moins un des équipements dudit ensemble, en fonction dudit vecteur de vulnérabilité agrégée.