Brevet FR3075421A1 — publié le 20190621

DISPOSITIF ET PROCEDE DE CONTROLE DE SONDES PERMETTANT LA DETECTION D'INTRUSIONS SUR UN RESEAU Domaine de ('invention L'invention concerne le domaine de la cybersecurite des communications reseaux, et s'interesse en particulier au controle de sondes permettant de detecter des intrusions dans un tel reseau. Etat de la Technique Un systeme de detection d'intrusion ou IDS pour « Intrusion Detection System » en anglais, est generalement un systeme informatique connecte, constitue d'un ensemble de capteurs appeles sondes IDS pour « Intrusion Detection Sensor » en anglais, permettant de surveiller un reseau et de reperer des activites anormales ou suspectes susceptibles de constituer des intrusions. La presente invention a trait au probleme technique de la configuration des differentes sondes qui constituent un systeme distribue de detection d'intrusion. Dans le cas de ('utilisation d'un tel systeme pour assurer la securite d'un reseau de tres grandes dimensions et/ou tres complexe en termes de topologies et/ou de protocoles, la configuration initiale des sondes est une problematique complexe du fait du nombre de sondes qu'il est necessaire de configurer individuellement et/ou du fait de la difficulte de la programmation des *les de detection. Par ailleurs, dans le cas d'un systeme mutable, cette complexite se trouve encore accrue par le besoin de reconfigurer les sondes pour faire face aux variations du systeme a proteger. Le systeme connu d'IDS « snort » est une application logicielle fonctionnant avec un ensemble de regles ou signatures d'attaques, qui 2 evoluent avec le temps via des mises a jour qui sont implantables a distance sur une machine tournant ('application IDS. En ce sens, une sonde IDS tournant ('application snort est reconfigurable. Cependant, cette capacite de reconfiguration a vocation a rendre la sonde capable de 5 detecter de nouvelles attaques quand ces dernieres ont ete prealablement identifiees et quand les signatures d'attaques correspondantes ont ete congues. II s'agit alors d'un processus relativement long, impliquant une intervention humaine, et qui n'a pas pour objectif de s'adapter a des variations rapides du systeme surveille. 10 Dans le cas d'un deploiement initial d'un systeme de sondes IDS, un meme mecanisme d'acces distant a une sonde IDS peut permettre de pousser rapidement vers chaque sonde une configuration appropriee. Cela permet de ne pas devoir configurer chaque sonde individuellement " a la main » si plusieurs sondes doivent etre configurees de maniere 15 identique. Cela permet egalement de restaurer rapidement le systeme de detection forme par ('ensemble des sondes dans un etat fonctionnel, si necessaire. Cependant, cette approche exige que les regles propres a chaque sonde aient 6t6 g6n6r6es prealablement. Cela ne diminue donc pas la partie de la complexite qui est due a la specification des regles. 20 Le systeme KALIS decrit par D. Midi et al. dans " A System for Knowledge-driven Adaptable Intrusion Detection for the Internet of Things » est un systeme distribue de detection d'intrusion pour l'internet des objets, dans lequel des nceuds " KALIS » sont capables d'activer ou desactiver des modules de detection pour s'adapter a leur connaissance 25 locale de l'environnement et mieux identifier d'eventuelles menaces. Le systeme KALIS permet aux nceuds de raffiner la qualite d'une detection en mettant a profit leur connaissance du contexte ou de l'environnement, et de s'echanger des informations relatives a ces contextes et environnements. Le systeme KALIS etant completement distribue, ('architecture sur laquelle it s'appuie ne possede pas une vue d'ensemble 3 et globale du reseau de detection forme par les sondes et ne peut donc etre en mesure d'orchestrer au mieux la fonction globale de detection. En outre, meme si les nceuds KALIS peuvent activer ou desactiver des modules de detection, ils ne sont pas capables d'une reconfiguration, 5 pour s'adapter par exemple a un nouveau reseau a surveiller. Steven R. Snapp et al. dans "DIDS (Distributed Intrusion Detection System) - Motivation, Architecture, and An Early Prototype" propose un systeme de detection d'intrusion distribue, constitue d'un ensemble de sondes de detection positionnees sur les equipements du reseau a 10 surveiller, et d'un serveur central en charge de collecter les donnees issues de ces sondes et de les analyser pour identifier des attaques eventuelles. Les sondes 6tant preinstallees et pr6configur6es sur les equipements, le systeme propose est statique et les operations des sondes ne peuvent pas etre adaptees, reconfigurees a ('initiative du 15 serveur central. Aussi, it existe le besoin d'une solution pour un systeme de detection d'intrusion dans un reseau de communication, qui offre un controle dynamique et individualise de la configuration des sondes de detection d'intrusion. La presente invention repond a ce besoin. 20 Résumé de l'invention Un objet de la presente invention est de proposer un procede et un dispositif associe permettant de controler de maniere dynamique et individualise la configuration d'un ensemble de sondes de detection d'intrusions sur un reseau a surveiller afin d'en assurer la securite. 25 D'un point de vue general, le principe de l'invention consiste a collecter aupres d'un serveur central, differentes informations que les sondes peuvent communiquer, et a reconfigurer individuellement chaque sonde lorsque cela est estime necessaire sur la base des informations 4 remontees par les sondes, du statut du reseau et eventuellement d'autres parametres. Un autre objet de la presente invention, en adaptant la configuration de la fonction de detection a chaque sonde, est d'offrir un 5 systeme de detection d'intrusion qui soit le mieux a merle de detecter des incidents et d'y reagir au mieux. Avantageusement, ('invention permet de gerer de maniere automatisee un reseau de sondes de detection d'intrusion en s'assurant que la methode de detection globale obtenue au moyen de ('ensemble de 10 ces sondes soit la plus performante possible et s'adapte tant au contexte percu qu'aux differents statuts et capacites des sondes. Avantageusement le procede de ('invention permet a un operateur de systemes de detection, un deploiement plus rapide des systemes de detection, et ('assurance d'un bon niveau de performance alors merle 15 que les operations de maintenance sont minimisees. Toujours avantageusement, la reconfiguration dynamique des sondes permet egalement une adaptation plus rapide a un changement de contexte, telle qu'une menace. Le fait que la reconfiguration soit orchestr6e par un serveur centralise garantit qu'un evenement local 20 n'affecte pas demesurement la configuration globale du systeme, mais que les tactiques mises en oeuvre pour y faire face s'inscrivent dans une strategie d'ensemble de gestion de la securite preventive pour le systeme surveille. L'invention trouvera des applications avantageuses dans la 25 securisation des reseaux de communications, en particulier les reseaux industriels, loT, ou embarques. Ces reseaux sont utilises dans de vastes domaines applicatifs tels que l'industrie 4.0, les reseaux electriques intelligents, les reseaux de supervision de processus industriels, la ville intelligente, la maison connectee, ou les transports. L'invention est alors 5 susceptible d'interesser tous les industriels du domaine de la cybersecurite, fournisseurs de solution de securisation des reseaux de telecommunication. Pour obtenir les resultats recherches, des procedes tels que 5 revendiques sont proposes. En particulier, un procede mis en oeuvre par ordinateur pour controler la configuration de sondes aptes a detecter des intrusions dans un reseau de communication, comprend les etapes suivantes : - recevoir des informations relatives au statut des sondes et aux 10 menaces detectees par les sondes ; - determiner a partir des informations regues, les sondes a reconfigurer ; - calculer une nouvelle configuration pour chaque sonde a reconfigurer ; et 15 - envoyer ladite nouvelle configuration respectivement a chaque sonde a reconfigurer. Selon des modes de realisation : - l'etape de calcul d'une nouvelle configuration consiste a chercher 20 dans une table de *les predefinies, une configuration correspondant aux informations regues d'une sonde ; - l'etape de calcul d'une nouvelle configuration consiste a operer un algorithme d'optimisation sous contraintes prenant en compte les informations regues ; 25 - l'etape de calcul d'une nouvelle configuration consiste a operer un algorithme d'intelligence artificielle prenant en compte les informations regues ; 6 - l'etape de calcul d'une nouvelle configuration consiste a mettre en oeuvre une combinaison d'une ou plusieurs des etapes de calcul revendiquees ; - l'etape de determination des sondes a reconfigurer consiste de 5 plus a utiliser des informations temporelles et/ou des informations contextuelles sur le reseau surveille et/ou sur son environnement ; - l'etape d'envoyer une nouvelle configuration consister a envoyer une mise a jour des parties du reseau qu'une sonde doit surveiller ; - l'etape d'envoyer une nouvelle configuration consister a envoyer 10 une mise a jour du ou des types d'attaque que la sonde doit detecter ; - l'etape d'envoyer une nouvelle configuration consister a envoyer une mise a jour du ou des modes d'identification d'attaque a mettre en oeuvre par la sonde ; - l'etape d'envoyer une nouvelle configuration consister a 15 desactiver une sonde active ou a activer une sonde desactivee. L'invention couvre aussi un dispositif pour controler la configuration de sondes d'un reseau de surveillance, les sondes etant aptes a detecter des intrusions dans un reseau de communication surveille par le reseau de surveillance. En particulier, le dispositif comprend un controleur apte a 20 communiquer avec les sondes, !edit controleur etant configure pour : - recevoir des informations relatives au statut des sondes et aux menaces detectees par les sondes ; - determiner a partir des informations regues, les sondes a reconfigurer ; 25 - calculer une nouvelle configuration pour chaque sonde a reconfigurer ; et - envoyer ladite nouvelle configuration respectivement a chaque sonde a reconfigurer. 7 Selon des modes de realisation : - les sondes sont aptes a surveiller differentes parties du reseau surveille, a detecter differents types d'attaques, et a mettre en oeuvre 5 differents modes d'identification d'attaques ; - le reseau de communication surveille est base sur une architecture reseau dite Software Defined Network, constituee d'au moins un controleur SDN et d'un ou plusieurs equipements SDN surveilles par lesdites sondes ; 10 - le dispositif revendique comprend des moyens pour mettre en oeuvre les etapes du procede revendique. L'invention porte aussi sur un programme d'ordinateur qui comporte des instructions de code pour ('execution du procede pour 15 controler la configuration de sondes aptes a detecter des intrusions dans un reseau de communication, tel que revendique. L'invention peut etre disponible sur un support d'enregistrement lisible par un processeur sur lequel est enregistre un programme comportant des instructions pour ('execution du procede pour controler la 20 configuration de sondes aptes a detecter des intrusions dans un reseau de communication, tel que revendique, lorsque le programme est execute par le processeur. Description des figures Differents aspects et avantages de ('invention vont apparaitre en 25 appui de la description des modes preferes d'implementation de ('invention mais non limitatifs, avec reference aux figures ci-dessous : 8 - La figure 1 est un schema bloc d'un exemple de reseau de telecommunication surveille par un systeme de detection d'intrusion selon des modes de realisation de l'invention ; - La figure 2 illustre un enchainement d'etapes du procede de 5 determination de la reconfiguration de sondes selon un mode de realisation de l'invention ; - La figure 3 illustre un enchainement d'etapes du procede de communication d'une sonde avec un serveur de controle de reconfiguration selon un mode de realisation de l'invention; 10 - La figure 4 est un schema bloc d'un exemple d'implementation du dispositif de l'invention selon une architecture SDN. Description detainee de l'invention La figure 1 montre un exemple de reseau de telecommunication 15 (104) surveille par un systeme de detection d'intrusion (102) permettant d'implementer le dispositif de l'invention. Pour des raisons de clarte de la description, ('exemple est illustre de maniere simplifiee afin de ne montrer que les elements intervenants dans la mise en oeuvre du dispositif de l'invention. Ainsi le reseau a surveiller est represents comme un 20 ensemble de un ou plusieurs sous-reseaux (104: 104-1, ..., 104-n) a surveiller par un meme reseau de surveillance (102). Le reseau a surveiller peut etre de tres grandes dimensions, tres complexe en termes de topologies et/ou de protocoles. Chaque reseau a surveiller peut etre compose d'une pluralite d'elements pour lesquels le trafic reseau est 25 surveille. De tels elements (non montres) peuvent etre sans limitation des ordinateurs, des serveurs, des controleurs ou toute autre ressource ou equipement pour lesquels le systeme de surveillance assure une fonction 9 de surveillance des paquets circulant sur des liens reseau en vue de la detection d'eventuelles intrusions. Le reseau de surveillance (102) est represents de maniere simplifiee comme comprenant un ensemble de sondes IDS (106: 106-1, 5 ..., 106-m) aptes a surveiller du trafic reseau. Les sondes sont dites reconfigurables en ce qu'elles sont aptes a : - surveiller differentes parties du reseau (104), par exemple du fait de leur position geographique et/ou du fait du canal radio sur lequel elles ecoutent le trafic. Selon des modes de realisation, une sonde peut 10 surveiller une ou plusieurs parties d'un reseau, plusieurs sondes peuvent surveiller une meme partie d'un reseau. - detecter differents types d'attaques, par exemple en consultant des bases de donnees de signatures dans le cas d'une detection par signature. Selon des modes de realisation, une ou plusieurs sondes 15 peuvent detecter le meme type d'attaques sur une ou plusieurs ressources, plusieurs sondes peuvent detecter differents types d'attaques sur une ou plusieurs ressources. - mettre en oeuvre differents modes d'identification d'attaques, par exemple un mode de detection par signatures ou un mode de detection 20 par machine learning (pour ne citer que deux exemples). Selon des modes de realisation, une meme sonde peut mettre en oeuvre plusieurs modes d'identification d'attaques pour une ou plusieurs ressources. L'homme du métier peut se referer a la nombreuse litterature disponible concernant les differentes architectures et implementations de 25 systemes de detection d'intrusion et de sondes IDS associees. Le reseau de surveillance (102) comprend de plus un controleur de la fonction de detection (108) ou serveur de controle IDS apte a communiquer avec les sondes IDS. La communication du serveur (108) avec les sondes (106) peut s'operer via le reseau surveille (104) ou via 10 une infrastructure de communication independante tel qu'illustre sur la figure 1. Le serveur de controle de la fonction de detection (108) maintient l'etat ou statut de chaque sonde. L'etat d'une sonde inclut au moins les differents parametres reconfigurables pre-listes mais ne s'y limite pas. 5 Ainsi, outre la ou les parties du reseau observee(s), les types d'attaques qu'une sonde est capable de detecter, et le ou les mode(s) d'identification d'attaque mis en oeuvre, l'etat de chaque sonde peut aussi inclure les ressources systeme (memoire, CPU, bande passante) qui sont utilisees par la sonde pour exercer la fonction de detection ainsi que le niveau de 10 batterie de la sonde. Le serveur IDS (108) regoit des sondes IDS des informations relatives a leurs etats respectifs. II regoit egalement de chaque sonde des informations relatives aux menaces que la sonde a detectees. Dans un mode de realisation, le serveur de controle de la fonction de detection 15 (108) peut etre initialement configure sur les criticites des differentes parties ou entites du reseau surveille par chaque sonde. Selon le principe de l'invention, le serveur IDS (108) est apte a communiquer a chaque sonde une nouvelle configuration apres avoir determiner que la sonde doit etre reconfiguree. 20 La figure 2 illustre un enchainement d'etapes du procede (200) de determination de la reconfiguration des sondes selon un mode de realisation de l'invention. Le procede debute par la reception (202) par le serveur IDS (108) d'informations des sondes relatives a leur statut et aux menaces detectees. Dans une etape suivante (208), le 25 proc6d6 permet de determiner pour chaque sonde sur la base de sa configuration initiale si elle doit etre reconfiguree. L'etape de determination prend en compte par exemple, le niveau de criticite de differentes parties ou entites du reseau surveille, et les informations regues periodiquement de la sonde. Dans un mode de realisation, le 30 procede prend en compte d'autres parametres tels que par 11 exemple des informations temporelles (date / heure, temps ecoule depuis la derniere attaque ou depuis la derniere fois que le sousreseau considers a 6t6 surveille ou depuis la derniere reconfiguration globale de ('ensemble des sondes) et/ou des informations contextuelles 5 concernant le reseau surveille (204) et/ou des informations contextuelles concernant l'environnement physique du reseau surveille (206). Les informations contextuelles (204) sur le reseau surveille peuvent par exemple concerner ('apparition d'un traffic requerant 10 un niveau de s6curit6 plus eleve pour le reseau dans son ensemble ou pour une partie du reseau (comme la zone au le flux transite). Une telle information peut par exemple faire evoluer le niveau de criticite d'une ou plusieurs parties du reseau. Les informations contextuelles (206) sur l'environnement du 15 reseau surveille peuvent par exemple concerner la detection, a partir de capteurs, de cameras, ou d'autres dispositifs, d'une intrusion physique dans les locaux au est deploye le reseau sous surveillance. Ainsi une nouvelle configuration peut consister a mettre a jour par exemple la ou les parties du reseau que la sonde doit observer, le ou les 20 types d'attaque que la sonde doit etre capable de detecter, le ou les modes d'identification d'attaque a mettre en oeuvre par la sonde. Une nouvelle configuration peut aussi consister a desactiver une sonde active ou a activer une sonde desactivee. Dans une etape suivante (210), le procede permet de calculer pour 25 chaque sonde sa nouvelle configuration. Dans un mode de realisation, une nouvelle configuration peut etre obtenue en cherchant dans une table de regles accessible par le serveur IDS, indiquant de maniere predefinie les (re-)configurations a mettre en place sur chacune des sondes en fonction des informations remontees par celles-ci (informations 30 concernant leur statuts et les menaces detectees, et optionnellement 12 d'autres informations temporelles ou informations contextuelles sur le reseau ou son environnement). Dans un autre mode de realisation, une nouvelle configuration peut etre calculee au moyen d'un algorithme d'optimisation sous contraintes ou 5 algorithme genetique, a partir des informations remontees par les sondes (informations concernant leur statuts et les menaces detectees, et optionnellement d'autres informations temporelles ou informations contextuelles sur le reseau ou son environnement). Dans un autre mode de realisation, une nouvelle configuration peut 10 etre calculee au moyen d'un algorithme d'intelligence artificielle, a partir des informations remontees par les sondes (informations concernant leur statuts et les menaces detectees, et optionnellement d'autres informations temporelles ou informations contextuelles sur le reseau ou son environnement). Dans une variante de realisation, ('algorithme 15 d'intelligence artificielle peut egalement etre dote de capacites d'apprentissage lui permettant de s'adapter de maniere autonome sur la base des informations remontees par les sondes ou des autres informations contextuelles. Dans un autre mode de realisation, une nouvelle configuration peut 20 etre calculee au moyen d'une combinaison des trois mecanismes cidessus. Dans une implementation particuliere, une partie de la detection des menaces et des intrusions qui est faite par les sondes peut etre deportee depuis certaines sondes vers le serveur de controle IDS. Cela 25 peut particulierement concerner des sondes a faibles ressources qui n'ont pas la capacit6 a operer un reseau neuronal par exemple. Dans ce cas les sondes concernees remontent au serveur des informations supplementaires concernant l'etat du reseau surveille au niveau du point du reseau auquel la sonde est connectee. Le serveur de controle s'appuie 30 sur ces informations pour determiner ('apparition eventuelle d'une menace 13 ou attaque au niveau des parties du reseau surveillees par ces sondes. Les informations supplementaires relatives a l'etat du reseau qui sont remontees par les sondes peuvent par exemple etre des statistiques collectees a intervalles reguliers concernant la nature du trafic qui transite 5 sur le reseau. Ces statistiques peuvent couvrir par exemple un nombre de connexions, quels sont les protocoles concernes, les tailles des paquets, les debits minimum / moyen / maximum, les intervalles temporels inter-paquets, etc.... Sur la base de ces informations, le serveur de controle IDS, peut operer un algorithme d'intelligence 10 artificielle ou de machine learning (comme un reseau de neurone) pour detecter les eventuelles menaces, puis exploiter cette information complementaire en entrée de son algorithme de decision (208) concernant la determination pour chaque sonde d'une nouvelle configuration. 15 De maniere optionnelle, le serveur de controle IDS peut egalement, au-dela de la mise en oeuvre du procede de reconfiguration des sondes, declencher des reconfigurations des mecanismes de detection des menaces qu'il realise lui-meme, par exemple en activant / desactivant un reseau de neurone particulier. 20 Dans une autre variante de ('invention, le serveur de controle IDS peut egalement reagir en cas de menace ou attaque qui est detectee, en levant une alerte aupres de l'operateur du reseau surveille ou en declenchant de maniere autonome des reconfigurations au niveau des equipements (routeurs, passerelle, firewall, etc...) du reseau surveille, 25 dans l'optique de limiter ('impact de ces attaques, voire de les bloquer. Ces contremesures peuvent par exemple consister a reconfigurer le materiel cryptographique (des cies, des protocoles...) utilise dans le reseau, a mettre en place des *les de filtrage des flux, a desactiver certains liens de communications ou equipements, etc. 14 Comme it a ete decrit plus haut, le procede de ('invention permet la determination par le serveur IDS de la configuration optimale de chaque sonde au moyen d'une table de *les preconfigurees ou d'un algorithme d'optimisation sous contraintes (algorithme genetique) ou d'un algorithme 5 d'intelligence artificielle ou d'une combinaison de ces trois mecanismes. Dans un mode de realisation prefere, le serveur de controle IDS s'appuie sur un algorithme genetique pour determiner la configuration optimale de chaque sonde. Avantageusement, les differentes contraintes qu'un tel algorithme genetique vise a satisfaire sont alors les suivantes : 10 - la couverture : l'algorithme doit permettre de maximiser la couverture globale du reseau surveille, typiquement en assignant les sondes disponibles a des cellules ou des canaux radio du reseau surveille qui sont distincts ; - la qualite : l'algorithme doit permettre de maximiser la qualite de la 15 detection operee par chaque sonde ; - l'efficacite : l'algorithme doit permettre de minimiser la quantite de ressources consommees au niveau de chaque sonde (par exemple la puissance de calcul, la memoire, la bande passante - considerees dans leur ensemble ou separement) et doit adapter la quantite de ressources 20 consommees au statut de chaque sonde (par exemple, selectionner la methode de detection la moins couteuse pour une sonde qui est occupee par ailleurs, ou pour une sonde operant sur batterie et dont l'energie doit etre economisee); - la reponse aux menaces : l'algorithme doit permettre d'affecter plus 25 de moyens de detection aux parties les plus critiques du reseau (par exemple, affecter plus de sondes et/ou affecter des sondes mettant en oeuvre des mecanismes de detection plus performants), la criticite d'une partie du reseau etant une metrique representative de la probabilite actuelle que cette partie du reseau soit en train d'être attaquee. Cette 15 probabilite peut etre deduite de detections actuelles concourantes, ou d'attaques recentes ; - la priorisation : l'algorithme doit permettre d'affecter plus de moyens de detection aux parties les plus sensibles du reseau (par 5 exemple, en affectant plus de sondes et/ou en affectant des sondes mettant en oeuvre des mecanismes de detection plus performants), la sensibilite d'une partie du reseau etant une metrique representative de ('importance des actifs en danger dans le cas d'une attaque reussie dans la partie consideree du reseau ; 10 - le conservatisme : l'algorithme doit permettre de minimiser la distance par rapport a l'etat precedent ; - la surveillance : l'algorithme doit permettre de minimiser le temps pendant lequel une partie du reseau n'est pas surveillee. Dans un mode de realisation au une sonde met en oeuvre une 15 detection d'intrusion s'appuyant sur une technique d'intelligence artificielle requerant un apprentissage (par exemple avec un reseau de neurones non supervise), des contraintes supplementaires sont egalement a gerer par l'algorithme genetique : - la qualite de ('apprentissage : l'algorithme doit permettre de 20 maximiser la probabilite pour une sonde de demeurer affectee a la merle partie du reseau tant que son apprentissage n'est pas termine ; - ('apprentissage ne doit pas etre corrompu : l'algorithme doit permettre de minimiser la probabilite qu'une phase d'apprentissage soit initiee dans une partie reseau dont la metrique de criticite traduit qu'elle 25 pourrait faire ('objet d'une attaque ; - la rentabilite de ('apprentissage : l'algorithme doit permettre de maximiser la probabilite qu'une sonde disposant d'un modele du trafic normal dans une partie du reseau soit affectee a la surveillance de cette partie du reseau. 16 Dans ce mode de realisation au une sonde met en oeuvre une detection d'intrusion s'appuyant sur une technique d'intelligence artificielle requerant un apprentissage, la sonde est en mesure de baser la detection d'intrusions sur des mecanismes 0 par signatures >> et par detection 5 d'anomalies, en s'appuyant dans ce cas sur des reseaux de neurones. Ces mecanismes introduisent alors des granularites dans la configuration, qui sont susceptibles d'être reconfigurees selon le principe de ('invention. Ces reconfigurations peuvent concerner la quantite de signatures dans le cas de detection par signatures, ou des hyperparametres du reseau de 10 neurones comme un nombre de nceuds ou de couches. A noter que, si ses ressources le lui permettent, une merle sonde peut etre dynamiquement configuree de maniere a faire fonctionner simultanement des systemes de detection par signature et de detection par reseau de neurones. 15 Revenant a la figure 2, apres l'etape (210) de calcul des nouvelles configurations, le procede permet dans une etape suivante (212), d'envoyer a chaque sonde sa nouvelle configuration, puis de revenir au debut a l'etape de reception (202) de nouvelles informations des sondes. Selon des modes de realisation, le procede (200) permettant le 20 calcul de reconfiguration de sondes IDS peut s'effectuer soit periodiquement, soit ponctuellement en etant declenche par un evenement predefini, comme par exemple celui de la detection d'une menace par une sonde. 25 La figure 3 illustre un enchainement d'etapes du procede (300) de communication d'une sonde avec un serveur de controle de reconfiguration. Selon des modes de realisation de ('invention, le procede opere dans un environnement de surveillance de reseau tel qu'illustre sur la figure 1. Dans une variante d'implementation particuliere, 17 I'environnement reseau est un environnement SDN pour 0 Software Defined Networking » en anglais, tel qu'illustre de maniere schematique sur la figure 4. Ainsi, ('invention peut s'implementer pour la surveillance d'un ou plusieurs reseaux SDN (404). L'architecture reseau SDN (402) 5 est constituee d'au moins un controleur SDN (408) et d'un ou plusieurs equipements SDN (414). Le systeme de surveillance est compose au moins d'une ou plusieurs sondes IDS (416) assignees aux equipements SDN et d'un serveur (ou service) de controle IDS (406) apte a communiquer avec les sondes IDS via des interfaces et liens SDN « 10 Northbound » (410) et « Southbound » (412). L'homme du métier pourra se reporter a la litterature disponible decrivant plus en details ('architecture SDN, car seuls les elements utiles a la comprehension de la mise en oeuvre de ('invention sont representes et partiellement decrits. Les sondes IDS (416) sont aptes a envoyer (etape 302) vers le serveur 15 de controle IDS (406), des informations relatives a leur statut et aux menaces detectees. Le serveur de controle IDS (406) est apte a envoyer aux sondes IDS (416) des consignes de reconfiguration obtenues selon le procede decrit en r6f6rence a la figure 2. Dans cette variante d'implementation, la determination de la configuration optimale de chaque 20 sonde est de preference obtenue par le serveur IDS (406) par la mise en oeuvre d'un algorithme genetique. Ce dernier a pour objectif ('optimisation sous contrainte de la fonction de detection de menaces au niveau global du reseau surveille. Les sondes peuvent mettre en ceuvre des techniques de detection d'attaques par signature ou par reseau de neurone. 25 Revenant a la figure 3, le procede permet que chaque sonde determine si elle regoit une consigne de reconfiguration (etape 304). Si oui, la sonde se reconfigure automatiquement en accord avec la nouvelle configuration regue (etape 306), et peut envoyer de nouvelles informations au serveur de controle IDS selon son nouveau statut (etape 30 302). Tant qu'une nouvelle configuration n'est pas regue, la sonde envoie 18 periodiquement les informations relatives a son statut et aux menaces detectees au serveur de controle IDS. Ainsi, la presente description illustre une implementation preferentielle de l'invention, mais n'est pas !imitative. Des exemples sont 5 choisis pour permettre une bonne comprehension des principes de l'invention et une application concrete, mais ne sont en rien exhaustifs et doivent permettre a l'homme du métier d'apporter des modifications et des variantes d'implementation en conservant les memes principes. L'invention peut s'implementer a partir d'elements materiel et/ou 10 logiciel. Elle peut etre disponible en tant que produit programme d'ordinateur execute par un processeur dedie ou par un controleur memoire d'un systeme de stockage, REVENDICATIONS1. Procede mis en oeuvre par ordinateur pour controler la configuration de sondes aptes a detecter des intrusions dans un reseau de communication, le procede comprenant les etapes suivantes : - recevoir des informations relatives au statut des sondes et aux menaces detectees par les sondes ; - determiner a partir des informations regues, les sondes a reconfigurer ; - calculer une nouvelle configuration pour chaque sonde a reconfigurer ; et - envoyer ladite nouvelle configuration respectivement a chaque sonde a reconfigurer. 15 2. Le procede selon la revendication 1 dans lequel l'etape de calcul d'une nouvelle configuration consiste a chercher dans une table de *les predefinies, une configuration correspondant aux informations regues d'une sonde. 3. Le procede selon la revendication 1 dans lequel l'etape de calcul d'une nouvelle configuration consiste a operer un algorithme d'optimisation sous contraintes prenant en compte les informations regues. 4. Le procede selon la revendication 1 dans lequel retape de calcul d'une nouvelle configuration consiste a operer un algorithme d'intelligence artificielle prenant en compte les informations regues. 20 25 20 5. Le procede selon la revendication 1 dans lequel l'etape de calcul d'une nouvelle configuration consiste a mettre en oeuvre une combinaison d'une ou plusieurs des etapes de calcul selon les 5 revendications 2, 3 et 4. 6. Le procede selon la revendication 5 dans lequel l'etape de determination des sondes a reconfigurer consiste de plus a utiliser des informations temporelles et/ou des informations 10 contextuelles sur le reseau surveille et/ou sur son environnement. 7. Le procede selon I'une quelconque des revendications 1 a 6 dans lequel l'etape d'envoyer une nouvelle configuration consister a envoyer une mise a jour des parties du reseau qu'une sonde doit surveiller. 8. Le procede selon I'une quelconque des revendications 1 a 7 dans lequel l'etape d'envoyer une nouvelle configuration consister a envoyer une mise a jour du ou des types d'attaque que la sonde doit detecter. 9. Le procede selon I'une quelconque des revendications 1 a 8 dans lequel l'etape d'envoyer une nouvelle configuration consister a envoyer une mise a jour du ou des modes d'identification d'attaque a mettre en oeuvre par la sonde. 21 10. Le procede selon I'une quelconque des revendications 1 a 9 dans lequel l'etape d'envoyer une nouvelle configuration consister a desactiver une sonde active ou a activer une sonde desactivee. 5 11. Un dispositif pour controler la configuration de sondes d'un reseau de surveillance, les sondes etant aptes a detecter des intrusions dans un reseau de communication surveille par le reseau de surveillance, le dispositif comprenant un controleur 10 apte a communiquer avec les sondes, !edit controleur etant configure pour : - recevoir des informations relatives au statut des sondes et aux menaces detectees par les sondes ; 15 - determiner a partir des informations regues, les sondes a reconfigurer ; - calculer une nouvelle configuration pour chaque sonde a reconfigurer ; et - envoyer ladite nouvelle configuration respectivement a 20 chaque sonde a reconfigurer. 12. Le dispositif selon la revendication 11 dans lequel les sondes sont aptes a surveiller differentes parties du reseau surveille, a detecter differents types d'attaques, et a mettre en oeuvre differents modes 25 d'identification d'attaques. 13. Le dispositif selon la revendication 11 ou 12 dans lequel le reseau de communication surveille est base sur une architecture reseau dite Software Defined Network, constituee d'au moins un controleur SDN 22 et d'un ou plusieurs equipements SDN surveilles par lesdites sondes. 14. Le dispositif selon I'une quelconque des revendications 11 a 13 5 comprenant des moyens pour mettre en oeuvre les etapes du procede selon I'une quelconque des revendications 2 a 10. 15. Programme d'ordinateur comportant des instructions pour ('execution du procede pour controler Ia configuration de sondes 10 aptes a detecter des intrusions dans un reseau de communication selon I'une quelconque des revendications 1 a 10, Iorsque le programme est execute par un processeur. 16.Support d'enregistrement lisible par un processeur sur lequel est 15 enregistre un programme comportant des instructions pour l'execution du procede pour controler Ia configuration de sondes aptes a detecter des intrusions dans un reseau de communication selon I'une quelconque des revendications 1 a 10, Iorsque le programme est execute par le processeur. 20