Brevet FR3080203A1 — publié le 20191018

DOMAINE TECHNIQUE AUQUEL SE RAPPORTE L'INVENTION La présente invention concerne de manière générale la protection des modules de connectivité face aux attaques par déni de service. Elle concerne plus particulièrement un procédé de filtrage de flux d'attaque visant un module de connectivité recevant une pluralité de flux de connexion entrant. Elle concerne également un dispositif de filtrage d'un tel flux d'attaque. ARRIERE-PLAN TECHNOLOGIQUE Les attaques par déni de service (ou attaques DoS pour « Denial of Service » selon l'acronyme couramment utilisé) et les attaques par déni de service distribuées (ou attaques DDoS pour « Distributed Denial of Service » selon l'acronyme couramment utilisé) sont des attaques informatiques ayant pour but de rendre un service d'un site attaqué indisponible. Il n'est pas question dans le cadre de ces attaques de corrompre les données du site attaqué. Ces attaques peuvent viser tous les modules de connectivité en relation avec des serveurs, en particulier des serveurs Internet. Le module de connectivité d'un véhicule automobile est généralement connecté à un réseau privé du constructeur. Cependant, afin d'améliorer notamment les outils d'aide à la conduite ou de proposer un plus large choix dans l'offre multimédia, on envisage de connecter le module de connectivité d'un véhicule automobile à un réseau Internet public. Dans ce cas, le module de connectivité sera exposé à différentes attaques, et en particulier à des attaques par déni de service distribuées. On connait une méthode d'apprentissage automatique (ou « machine leaming » selon l'expression d'origine anglo-saxonne couramment utilisée) utilisée pour détecter les éventuelles attaques visant un module de connectivité, c'est-à-dire un équipement de réseau tel qu'un serveur ou un routeur par exemple. La méthode connue a été développée pour de gros équipements de réseau recevant un nombre infini de connexions entrantes et sortantes. Cette méthode vise à classifier le flux Internet entrant (ou « flux IP » avec IP pour « Internet Protocol ») en flux légitime et flux d'attaque. Pour cela, la méthode repose sur la répartition graphique de paramètres 2 caractérisant le flux entrant sur plusieurs sous-espaces. Un sous-espace est défini par la zone graphique délimitée par deux paramètres caractérisant un flux entrant. Il peut s'agir par exemple d'un graphique représentant le temps de vie moyen d'une requête (les restants des paquets IP) en fonction du nombre de sources de 5 flux de connexion. En conditions nominales, les paramètres du flux entrant se répartissent graphiquement en un nuage de points autour d'un point de fonctionnement alors qu'en cas d'attaque, les paramètres des flux d'attaque présentent des valeurs aberrantes et se répartissent graphiquement en des points isolés (ou « outliers » 10 selon l'appellation d'origine anglo-saxonne couramment utilisée). Selon la méthode connue, la pluralité de flux de connexion entrant est agrégée, sur une période de temps donnée, par adresse source. Les différents flux agrégés sont ensuite analysés et si une attaque est détectée (par la présence d'au moins une valeur aberrante), le flux entrant identifié comme illégitime est filtré 15 instantanément grâce aux grandes capacités de calcul des processeurs impliqués. Cette méthode est efficace dans le cas des équipements de réseau connectés au réseau Internet public (typiquement des serveurs) car la pluralité de flux de connexion entrant ou sortant est constituée d'un très grand nombre de connexions permettant d'extraire des statistiques fiables et que les processeurs de 20 traitement sont puissants. Comme une attaque est généralement à l'origine d'un nombre de flux de connexion entrant qui est faible par rapport au nombre total de flux de connexion entrant, la distinction des nuages de points et des valeurs aberrantes est possible et fonctionne bien. En revanche, un module de connectivité d'un véhicule automobile n'est 25 adapté à recevoir qu'un nombre limité de connexions entrantes (en général de l'ordre d'une dizaine de connexions). Lors de l'analyse des flux entrants, les flux légitimes seraient alors noyés dans les flux d'attaque et ces derniers apparaitraient comme un nuage de points (donc comme les conditions nominales) et non plus comme des valeurs aberrantes. La solution exposée ci-dessus ne peut 30 donc pas s'appliquer à la protection d'un module de connectivité d'un véhicule automobile. OBJET DE L'INVENTION La présente invention propose d'améliorer la détection des attaques visant des modules de connectivité, en particulier dans le cas d'un module de 3 connectivité compris dans un véhicule automobile. Plus particulièrement, on propose selon l'invention un procédé de filtrage de flux d'attaque tel que défini dans l'introduction, le procédé comprenant des étapes de : 5 - détermination d'une pluralité d'agrégats, chaque agrégat résultant de la combinaison de la pluralité de flux de connexion entrant pendant une période temporelle prédéfinie, ladite période temporelle considérée pour déterminer chaque agrégat étant différente de celle considérée pour déterminer les autres agrégats, et les périodes temporelles considérées pour déterminer la pluralité 10 d'agrégats étant toutes comprises dans une première fenêtre temporelle d'observation, - détermination d'une pluralité de premiers vecteurs de mesure associés chacun à l'un desdits agrégats et comprenant des valeurs de premiers paramètres caractéristiques de l'agrégat auquel il est associé, 15 - projection de la pluralité de premiers vecteurs de mesure sur au moins un sous-espace défini par lesdits premiers paramètres caractéristiques, - détermination d'un autre agrégat résultant de la combinaison d'une pluralité de flux de connexion entrant pendant une autre période temporelle, ladite autre période temporelle suivant la première fenêtre temporelle d'observation, 20 - détermination d'un autre premier vecteur de mesure associé à l'autre agrégat et comprenant des valeurs de premiers paramètres caractéristiques de l'autre agrégat, - projection de l'autre premier vecteur de mesure sur au moins un sous-espace défini par lesdits premiers paramètres caractéristiques, 25 - détermination d'un score d'anormalité en fonction du résultat de la projection de l'autre premier vecteur de mesure et de la projection de la pluralité des premiers vecteurs de mesure, puis, si le score d'anormalité est compris dans une zone de doute quant à la présence de flux d'attaque : 30 - détermination d'une pluralité de deuxièmes vecteurs de mesure associés chacun à l'un desdits agrégats et comprenant des valeurs d'autres paramètres caractéristiques de l'agrégat auquel il est associé, lesdits autres paramètres caractéristiques étant distincts desdits premiers paramètres caractéristiques, 4 - détermination d'un autre deuxième vecteur de mesure associé à l'autre agrégat et comprenant des valeurs d'autres paramètres caractéristiques de l'autre agrégat, et - détection de la présence ou de l'absence d'une attaque par analyse de 5 l'autre deuxième vecteur de mesure. Ainsi, selon l'invention, la détection d'un flux d'attaque se fait selon plusieurs phases d'implémentation distinctes limitant alors la puissance de calcul nécessaire pour l'exécution de ces phases. Cette implémentation peut donc être mise en place par des processeurs peu puissants, comme ceux intégrés dans un 10 module de connectivité d'un véhicule. De plus, l'utilisation d'un deuxième vecteur de mesure, défini en fonction d'autres paramètres caractéristiques distincts et indépendants des paramètres caractéristiques usuellement utilisés, permet de valider la conclusion obtenue quant à la présence ou l'absence d'une attaque visant le module de connectivité 15 du véhicule. D'autres caractéristiques non limitatives et avantageuses du procédé de filtrage de flux d'attaque conforme à l'invention, prises individuellement ou selon toutes les combinaisons techniquement possibles, sont les suivantes : - pour déterminer si le score d'anormalité est compris dans une zone de 20 doute quant à la présence de flux d'attaque, il est prévu de comparer le score d'anormalité à un premier seuil et à un deuxième seuil ; - il est prévu de comparer le score d'anormalité avec un deuxième seuil, et si le score d'anormalité est supérieur au deuxième seuil, la présence d'une attaque est détectée sur l'autre période temporelle ; 25 - il est prévu de comparer le score d'anormalité avec un premier seuil et, si le score d'anormalité est inférieur au premier seuil, l'absence d'attaque est détectée sur l'autre période temporelle; - il est également prévu les étapes suivantes : - définition d'une deuxième fenêtre temporelle d'observation, ladite 30 deuxième fenêtre temporelle d'observation correspondant à la première fenêtre temporelle d'observation décalée de l'autre période temporelle, - détermination d'un nouvel agrégat, le nouvel agrégat résultant de la combinaison de la pluralité de flux de connexion entrant pendant une nouvelle période temporelle, ladite nouvelle période temporelle suivant la deuxième fenêtre 5 temporelle d'observation, - détermination d'un nouveau premier vecteur de mesure associé au nouvel agrégat et comprenant les valeurs des premiers paramètres caractéristiques dudit nouvel agrégat, 5 - suppression de la projection d'un premier vecteur de mesure associé à l'agrégat résultant de la combinaison de la pluralité de flux de connexion entrant pendant la période temporelle située dans la première fenêtre temporelle d'observation mais exclue de la deuxième fenêtre temporelle d'observation, - projection du nouveau premier vecteur sur au moins ledit sous- 10 espace défini par lesdits premiers paramètres caractéristiques, et - détermination d'un nouveau score d'anormalité en fonction du résultat de ladite projection ; - il est prévu à l'étape de projection, une projection de la pluralité de premiers vecteurs de mesure sur plusieurs sous-espaces, et dans lequel le score 15 d'anormalité est déterminé à partir d'une somme de fonctions d'anormalité, une fonction d'anormalité étant déterminée par sous-espace en fonction du résultat de ladite projection de la pluralité de premiers vecteurs de mesure et de la projection l'autre premier vecteur de mesure et d'une anormalité moyenne, l'anormalité moyenne étant également déterminée à partir de ladite projection de la pluralité de 20 premiers vecteurs de mesure et de la projection de l'autre premier vecteur de mesure ; - il est également prévu, si la présence d'une attaque est détectée, les étapes suivantes : - comparaison des fonctions d'anormalité déterminées pour tous les 25 sous-espaces, - sélection d'au moins un sous-espace ayant la fonction d'anormalité la plus élevée, - séparation de l'autre agrégat en une pluralité de flux de connexion séparés, 30 - détermination d'une pluralité de vecteurs d'identification de la pluralité de flux de connexion séparés, les vecteurs d'identification comprenant les mêmes premiers paramètres caractéristiques que les premiers vecteurs de mesure, - projection de ladite pluralité de vecteurs d'identification sur ledit au 6 moins un sous-espace sélectionné, - identification d'au moins un flux de connexion illégitime, ledit flux de connexion illégitime correspondant au flux de connexion associé à une projection anormale d'un vecteur d'identification, et 5 - filtrage du flux de connexion illégitime ; - un sous-espace est défini par un premier axe et un deuxième axe, le premier axe correspondant à un premier paramètre caractéristique et le deuxième axe correspondant à un deuxième paramètre caractéristique sélectionné parmi les premiers paramètres caractéristiques ; 10 - l'un au moins des premiers paramètres caractéristiques comprend l'une des données suivantes : - le nombre de sources de flux de connexion, - le nombre moyen de sources de flux de connexion par sous-réseau, 15 - la proportion de requête de transmission, - la proportion de requête d'erreurs reçues, - la taille moyenne des requêtes reçues, - le temps de vie moyen des requêtes reçues ; et - l'un au moins des autres paramètres caractéristiques comprend l'une 20 des données suivantes : - la fréquence de succès liée à l'accès à un premier niveau de mémoire cache, - la fréquence de succès liée à l'accès à un deuxième niveau de mémoire cache, 25 - la fréquence d'échec liée à l'accès à un autre niveau de mémoire cache, et - la proportion de mémoire utilisée. L'invention propose également un dispositif de filtrage de flux d'attaque visant un module de connectivité parmi une pluralité de flux de connexion entrant, 30 qui comporte : - un module de détermination d'une pluralité d'agrégats, chaque agrégat résultant de la combinaison de la pluralité de flux de connexion entrant pendant une période temporelle prédéfinie, ladite période temporelle considérée pour déterminer chaque agrégat étant différente de celle considérée pour déterminer 7 les autres agrégats, et les périodes temporelles considérées pour déterminer la pluralité d'agrégats étant toutes comprises dans une première fenêtre temporelle d'observation, - un module de détermination d'une pluralité de premiers vecteurs de 5 mesure associés chacun à l'un desdits agrégats et comprenant des premiers paramètres caractéristiques de l'agrégat auquel il est associé, - un module de projection de la pluralité de premiers vecteurs de mesure sur au moins un sous-espace défini par lesdits premiers paramètres caractéristiques, 10 - un module de détermination d'un autre agrégat résultant de la combinaison d'une pluralité de flux de connexion entrant pendant une autre période temporelle, ladite autre période temporelle suivant la première fenêtre temporelle d'observation, - un module de détermination d'un autre premier vecteur de mesure 15 associé à l'autre agrégat et comprenant des valeurs de premiers paramètres caractéristiques de l'autre agrégat, - un module de projection de l'autre premier vecteur de mesure sur au moins un sous-espace défini par lesdits premiers paramètres caractéristiques, - un module de détermination d'un score d'anormalité en fonction du 20 résultat de la projection de l'autre premier vecteur de mesure et de la projection de la pluralité des premiers vecteurs de mesure, - un module de détermination adapté à déterminer, si le score d'anormalité est compris dans une zone de doute quant à la présence de flux d'attaque une pluralité de deuxièmes vecteurs de mesure associés chacun à l'un 25 desdits agrégats et comprenant d'autres paramètres caractéristiques de l'agrégat auquel il est associé, lesdits autres paramètres caractéristiques étant distincts desdits premiers paramètres caractéristiques, - un module de détermination d'un autre deuxième vecteur de mesure associé à l'autre agrégat et comprenant des valeurs d'autres paramètres 30 caractéristiques de l'autre agrégat, et - un module de détection de la présence ou de l'absence d'une attaque par analyse de l'autre deuxième vecteur de mesure. DESCRIPTION DETAILLEE D'UN EXEMPLE DE REALISATION La description qui va suivre en regard des dessins annexés, donnés à 8 titre d'exemples non limitatifs, fera bien comprendre en quoi consiste l'invention et comment elle peut être réalisée. Sur les dessins annexés : - la figure 1 propose une représentation schématique de l'habitacle d'un 5 véhicule équipé d'un dispositif de filtrage de flux d'attaque conforme à l'invention ; - la figure 2 représente sous forme de logigramme un procédé de filtrage de flux d'attaque conforme à l'invention ; - les figures 3 à 10 représentent huit exemples de sous-espaces utilisés pour mettre en oeuvre le procédé de filtrage de flux d'attaque représenté sur la 10 figure 2. Sur la figure 1, on a représenté schématiquement l'habitacle d'un véhicule 1 automobile équipé d'un module de connectivité 5 adapté à recevoir plusieurs flux de connexion et d'un dispositif de filtrage 2 de flux d'attaque. Les flux de connexion peuvent par exemple provenir de serveurs 15 informatiques, permettant par exemple l'accès au réseau Internet. Le module de connectivité 5 est par exemple relié à un calculateur multimédia 10 du véhicule 1, permettant ainsi l'accès à une offre multimédia élargie pour un individu présent à l'intérieur du véhicule 1. Le dispositif de filtrage 2 de flux d'attaque est adapté à analyser les flux 20 de connexion reçus par le module de connectivité 5 afin d'identifier d'éventuelles attaques. Le dispositif de filtrage 2 de flux d'attaque est également adapté à filtrer les attaques détectées. Comme représenté sur la figure 1, le dispositif de filtrage 2 de flux d'attaque est par exemple inclus dans le module de connectivité 5. De manière 25 alternative, il peut être placé dans une entité indépendante du module de connectivité 5 mais en communication directe avec celui-ci. Le dispositif de filtrage 2 de flux d'attaque comporte un ensemble de modules (non représentés). Ces modules peuvent en pratique être réalisés par une combinaison d'éléments matériels et d'éléments logiciels. Chaque module 30 possède une fonctionnalité décrite dans le procédé conforme à l'invention et exposé ci-après. La figure 2 représente, sous forme de logigramme, un exemple de procédé mis en oeuvre dans le dispositif de filtrage 2 de flux d'attaque conformément à l'invention. 9 Le procédé débute à l'étape E2, avec la réception par le module de connectivité 5 d'une pluralité de flux de connexion entrant. Ces différents flux de connexion entrant peuvent provenir d'une seule entité source (par exemple un seul serveur informatique) ou de plusieurs entités sources distinctes. 5 Pour la suite du procédé, on définit une première fenêtre temporelle d'observation At pendant laquelle les étapes du procédé vont être mises en oeuvre. Cette première fenêtre temporelle d'observation est par exemple de l'ordre de 5 s. Cette première fenêtre temporelle d'observation est divisée en périodes 10 temporelles Ôt; successives. Dans le cadre de cette invention, les périodes temporelles Ôt; sont identiques. La période temporelle Ôt; utilisée est par exemple de l'ordre de 100 millisecondes (la première fenêtre temporelle d'observation est donc constituée de 50 périodes temporelles distinctes successives). La période temporelle Ôt; correspond à la période temporelle pendant laquelle l'ensemble des 15 flux de connexion entrants sont analysés afin de savoir si une attaque par déni de service distribuée est présente. A l'étape E4, l'ensemble des flux de connexion entrant pendant une période temporelle Ôt; sont combinés afin d'obtenir un seul flux appelé « agrégat ». A l'étape E4, il est donc obtenu un agrégat par période temporelle (une 20 cinquantaine d'agrégats est donc obtenue sur l'ensemble de la première fenêtre temporelle d'observation At). En pratique, chaque flux de connexion contient une succession de données, en particulier des données permettant l'accès au réseau. La combinaison de l'ensemble des flux de connexion entrant consiste alors à 25 regrouper l'ensemble des données contenues dans tous les flux de connexion dans un seul flux (appelé « agrégat » dans cette description). Un agrégat est défini par l'intermédiaire d'un premier vecteur de mesure comprenant plusieurs mesures. Par exemple, sur une période temporelle Mi, le premier vecteur de mesure Xi associé s'écrit Xi = ki,n1 avec xi,n une variable qui 30 correspond à une mesure n pendant la période temporelle Ôti. Chaque variable xi,n est calculée différemment en fonction du type de donnée étudiée. Par exemple, la variable xi,n peut être évaluée en calculant la moyenne de la donnée considérée sur la période temporelle Ôti. C'est par exemple le cas 10 pour obtenir la taille moyenne des requêtes reçues (nommées également paquets IP reçus de manière usuelle) en calculant la moyenne de la taille de l'ensemble des requêtes reçues pour l'ensemble des connexions pendant la période temporelle Ôti. 5 Dans l'exemple du nombre de sources, la variable xim, est déterminée à partir du nombre d'adresses sources différentes reçues pendant la période temporelle Ôti. Dans l'exemple du nombre de sources moyen par sous-réseau, la variable xi,n est déterminée à partir du nombre d'adresses sources différentes 10 reçues pendant la période temporelle Ôt; et du nombre de sous-réseaux (noté Nr ci-dessous) parmi les requêtes reçues pendant la période temporelle Ôti. En pratique, on considère uniquement les 24 premiers bits de l'adresse source (cette adresse source est notée IP/24). Puis, pour chaque adresse source IP/24, le nombre de sources différentes et le nombre de requêtes reçues (ou paquets IP 15 reçus) sont déterminés. Finalement, le nombre de sources moyen par sous- réseau (noté Ns/r dans la formule ci-dessous) est obtenu en pondérant le nombre de sources différentes par adresse source IP/24 (noté Ns dans la formule suivante) par le nombre de requêtes reçues par adresse source IP/24 (noté Np dans la formule suivante) : Ns/r = Nr sous-réseau i Ns X Np 20 En ce qui concerne la proportion de requêtes de transmission reçues (également nommée proportion de requête de connexion TCP pour « Transmission Control Protocol »), la variable xi,n est déterminée comme le rapport entre le nombre de requêtes de transmission reçues pendant la période temporelle Ôt; et le nombre total de requêtes reçues. 25 Dans l'exemple de la proportion de requêtes d'erreur reçues (également appelée proportion de paquets relevant du protocole ICMP pour « Internet Control Message Protocol »), la variable xi,n est définie comme étant le rapport entre le nombre de requêtes d'erreur reçues pendant la période temporelle Ôt; et le nombre total de requêtes reçues. 30 Comme cela est visible sur la figure 2, le procédé se poursuit à l'étape E6. Lors de cette étape, pour chaque agrégat obtenu (pour chaque période 11 temporelle de la première fenêtre temporelle d'observation), on détermine le premier vecteur de mesure X. Ce premier vecteur de mesure Xi caractérise l'agrégat auquel il est associé par l'intermédiaire de paramètres caractéristiques. Ces paramètres caractéristiques permettent de caractériser le flux de 5 communication Internet reçu (ou IP pour « Internet Protocol » selon l'appellation couramment utilisée). Ce flux de connexion reçu dépend en particulier du type de connexions en cours ou du type de données qui sont transmises via ce flux de connexion. Parmi ces paramètres caractéristiques, on distingue par exemple : le nombre de sources de flux de connexion (paramètre noté x1 ci-après), le nombre 10 moyen de sources par sous-réseau (paramètre noté x2), la proportion de requête de transmission de données (usuellement déterminée par les paquets TCP, paramètre noté x3), la proportion de requête de contrôle et d'erreurs (usuellement appelée paquets ICMP, paramètre noté x4), la taille moyenne des requêtes transmises (usuellement déterminée à partir des paquets IP reçus, paramètre noté 15 x5), le temps de vie moyen des requêtes (ou paquets IP reçus) lors du transfert de données (ou TTL pour « Time to Live » selon l'appellation d'origine anglo-saxonne couramment utilisée) ou encore le nombre de sous-réseaux. Ces paramètres caractéristiques sont discriminants pour permettre l'identification d'une attaque distribuée de déni de service sur un module de 20 connectivité. Ici, le premier vecteur de mesure Xi comprend les cinq paramètres notés x1 x2, x3, x4, x5. A l'issue de l'étape E6, un premier vecteur de mesure Xi est déterminé par période temporelle Ôt; et donc une pluralité de premiers vecteurs de mesure Xi 25 est obtenue sur la première fenêtre temporelle d'observation At. Ainsi, par exemple, pour une période temporelle de 100 ms et une première fenêtre temporelle d'observation de 5 s, on obtient 50 premiers vecteurs de mesure. Ces premiers vecteurs de mesure Xi sont utilisés dans la suite du procédé à l'étape E8. Les paramètres caractéristiques permettent de définir des 30 sous-espaces de projection. Un sous-espace est défini comme étant une grille de cellules. Pour cette grille, le premier axe, par exemple l'axe des abscisses, correspond à un premier paramètre caractéristique et le second axe, par exemple l'axe des ordonnées, correspond à un deuxième paramètre caractéristique. En pratique, les paramètres caractéristiques pris deux à deux permettent de définir 12 une pluralité de sous-espaces à deux dimensions. En variante, on pourrait aussi considérer des sous-espaces comprenant davantage de dimensions. Les figures 3 à 10 représentent des sous-espaces obtenus à partir des paramètres caractéristiques introduits précédemment. Ici, chaque sous-espace est 5 défini comme une grille de 10 cellules par 10 cellules. Les figures 3 et 7 représentent par exemple le sous-espace correspondant à la proportion de requête de transmission de données (x3) en fonction de la proportion de requête de contrôle et d'erreurs (x4). Les figures 4 et 8 représentent le sous-espace correspondant à la proportion de requête de transmission de données (x3) en 10 fonction de la taille moyenne des requêtes transmises (ou paquets IP reçus) (x5). Les figures 5 et 9 représentent le sous-espace correspondant à la proportion de requête de transmission de données (x3) en fonction du nombre de sources de flux de connexion (xi). Les figures 6 et 10 représentent la proportion de requête de contrôle et d'erreurs (x4) en fonction du nombre de sources de flux de connexion 15 (xi). A l'étape E8, les premiers vecteurs de mesure Xi sont projetés dans les sous-espaces définis par les paramètres caractéristiques. Tous les premiers vecteurs de mesure Xi obtenus sur la première fenêtre temporelle d'observation At sont projetés sur ces sous-espaces. Par projection, on entend l'identification de la 20 cellule de la grille dans laquelle se trouve la valeur du premier vecteur de mesure Xi projeté. En d'autres termes, pour un sous-espace défini à partir de deux données n et m, la projection correspond à l'identification de la cellule de la grille dans laquelle se trouve le point (xi,n;xi,m) du premier vecteur de mesure X. En pratique, avant la projection, les premiers vecteurs de mesure Xi sont 25 normalisés afin d'effectuer une comparaison pertinente des paramètres caractéristiques. Ici, chacun des paramètres caractéristiques des premiers vecteurs de mesure Xi sont normalisés par une valeur prédéfinie du paramètre en question. Les valeurs prédéfinies utilisées correspondent par exemple aux valeurs raisonnablement maximales des paramètres caractéristiques. La notion 30 « maximale » est définie par rapport au flux de connexion limite qu'un module de connectivité présent dans un véhicule automobile peut recevoir. Par exemple, pour la taille moyenne des requêtes transmises (ou paquets IP reçus), paramètre noté x5, la valeur 1500 sera utilisée comme valeur de normalisation pour la version IPv4 du protocole IP. La valeur 8000 sera utilisée comme valeur de normalisation 13 pour la version IPv6 du protocole IP. Les figures 3 à 10 représentent des exemples de projection des premiers vecteurs de mesure Xi sur différents sous-espaces pour la première fenêtre temporelle d'observation At. A l'issue des projections des premiers vecteurs de 5 mesure Xi, les cellules sont vides si aucun premier vecteur de mesure Xi n'a été projeté dans la cellule en question. On définit la densité des cellules comme correspondant à la proportion de premiers vecteurs de mesure Xi projetés dans celles-ci. Une cellule est dite dense si la proportion de premiers vecteurs de mesure Xi projetés dans celle-ci est 10 supérieure à une proportion prédéfinie. La proportion prédéfinie est par exemple égale à 5%. Plusieurs cellules denses adjacentes peuvent définir un nuage de points (ou « cluster » selon le terme d'origine anglo-saxonne couramment utilisé). Par « cellules adjacentes », on entend les cellules ayant une arête en commun. Sur 15 les figures 3 à 10, les nuages de points tels que définis ci-dessus sont symbolisés par les cellules comprenant des hachures obliques. Par exemple, d'après la figure 3, toutes les projections des premiers vecteurs de mesure Xi sur ce sous-espace se concentrent dans une seule cellule. Les hachures horizontales, présentes par exemple sur les figures 4, 8, 9 20 et 10, symbolisent des cellules non vides mais dont la densité est inférieure à la proportion prédéfinie (inférieure ici à 5%). Plus le nombre de hachures horizontales est élevé, plus la densité de la cellule est grande (tout en restant inférieure à la proportion prédéfinie). Les croix présentes sur les figures 7 à 10 indiquent la présence d'une 25 attaque (la détection d'une attaque est détaillée ci-après). Comme visible sur la figure 2, le procédé se poursuit ensuite à l'étape E10. Lors de cette étape, un score d'anormalité S(X) à partir de chaque sous-espace sur lequel on a projeté les premiers vecteurs de mesure Xi est déterminé. Dans un sous-espace (noté dans la suite sous-espace k), l'anormalité 30 a(j,k) d'un point est définie comme étant la distance entre la cellule j dans laquelle se trouve ce point et le nuage de points le plus proche. En d'autres termes, l'anormalité a(j, k) correspond à la distance entre la cellule j et la (ou les) cellule(s) dense(s) (dont la proportion de premiers vecteurs de mesure Xi projetés est supérieure à 5%) la(les) plus proche(s). Le calcul de distance s'effectue selon 14 la définition de la distance euclidienne ou de la distance de Mahalanobis. Dans le cas où un point est dans un nuage de points, l'anormalité a(j, k) est nulle. Dans le cas où aucun nuage de points n'est présent sur le sous-espace considéré (c'est-à-dire qu'aucune cellule ne présente par exemple plus de 5% des 5 premiers vecteurs de mesure projetés), l'anormalité a(j, k) correspond à la distance entre la cellule j et la cellule présentant la plus grande densité (mais étant inférieure à 5%) dans le sous-espace k considéré. A partir de l'anormalité a(j, k) définie pour chaque cellule j d'un sous-espace k, il est possible de déterminer l'anormalité moyenne A(k) sur l'ensemble 10 des cellules j du sous-espace k considéré. L'anormalité moyenne s'écrit : A(k) - Ei a(j, k) x D ens (j , k) avec a(j, k) qui correspond à l'anormalité (définie précédemment) de la cellule j dans le sous-espace k, D ens(j , k) qui correspond à la densité de la cellule j dans le sous-espace k et n qui représente le nombre de cellules du sous-espace k. D'après cette définition, plus l'anormalité moyenne A(k) est proche de 0, 15 plus les points (correspondant aux projections des premiers vecteurs de mesure Xi), sur la première fenêtre d'observation temporelle At, se répartissent selon des nuages de points concentriques. A titre d'exemple, l'anormalité moyenne évaluée sur le sous-espace représenté sur la figure 3 est nulle puisque tous les points se répartissent dans un unique nuage de points. Il en est de même pour le sous- 20 espace représenté sur la figure 5 et le sous-espace de la figure 6. En revanche, plus l'anormalité moyenne A(k) est grande, plus les points sont uniformément répartis sur le sous-espace considéré. Pour déterminer le score d'anormalité S(X), une fonction d'anormalité F(X, k) d'un premier vecteur de mesure Xi dans le sous-espace k est introduite : a(Xk, k) F(X, k) = A(k) 25 avec a(Xk, k) qui représente l'anormalité de la projection Xk du premier vecteur de mesure Xi sur le sous-espace k. L'anormalité moyenne A(k) permet ici la normalisation de l'anormalité a(Xk, k) de la projection Xk du premier vecteur de mesure Xi considéré dans le sous-espace k (afin de permettre de traiter équitablement tous les sous-espaces). 30 A partir de ces fonctions d'anormalité F(X, k), il est possible de définir un 15 score d'anormalité S(X) pour le premier vecteur de mesure X, en sommant sur tous les sous-espaces l'ensemble des fonctions d'anormalité F (X , k) déterminées sur ce sous-espace k : S(X) =F (X, k). Le score d'anormalité S(X) correspond donc à la somme des fonctions 5 d'anormalité F (X, k) obtenues pour les projections du premier vecteur de mesure X, sur les différents sous-espaces. Le procédé se poursuit ensuite à l'étape E12 dans laquelle est définie une nouvelle période temporelle ÔtN±i. La nouvelle période temporelle 8tN+1 est la période temporelle qui suit immédiatement la première fenêtre d'observation 10 temporelle At. L'ensemble des flux de connexion entrants pendant la nouvelle période temporelle ÔtN+1 sont combinés afin d'obtenir un nouvel agrégat (selon une méthode similaire à celle effectuée à l'étape E4 précédemment décrite). Un nouveau premier vecteur de mesure XN+1 comprend les paramètres 15 caractéristiques de ce nouvel agrégat. Le score d'anormalité S(XN+1) déterminé pour le nouveau premier vecteur XN+1 selon la méthode décrite précédemment est la grandeur qui va permettre de renseigner sur la présence ou l'absence de flux d'attaque parmi les flux de connexion étant entrés sur le module de connectivité 5 pendant la fenêtre 20 temporelle ÔtN±i. Ce score d'anormalité S(XN-Fi) mesure le degré d'anormalité de l'ensemble des flux de connexion reçus pendant la période temporelle ÔtN+1 (et caractérisés par le nouvel agrégat) par rapport à la première fenêtre temporelle d'observation At (précédant la période temporelle 8tN+1). D'un point de vue graphique, si ce score d'anormalité S(XN+1) est élevé, 25 cela signifie que les projections du nouveau premier vecteur de mesure XN+1 sur les différents sous-espaces s'écartent de manière significative des nuages de points constitués pendant la première période d'observation At et identifiés sur les différents sous-espaces à l'étape E8. L'ensemble des flux de connexion correspondant au nouvel agrégat paraît suspect et il est nécessaire d'approfondir 30 l'analyse pour confirmer ou infirmer la présence d'une attaque. Pour cela, à l'étape E14, le score d'anormalité S(XN+1) est comparé à un 16 premier seuil th1 et à un deuxième seuil th2. Le premier seuil th1 est inférieur au deuxième seuil th2. Trois cas distincts sont mis en évidence. Le premier cas correspond à un score d'anormalité S(XN+1) inférieur au premier seuil th1. Dans ce cas, l'absence d'attaque est détectée sur la nouvelle 5 fenêtre temporelle Ôtr\i±i et le procédé se poursuit à l'étape E20. Il s'agit des exemples représentés sur les figures 3 à 6 dans lesquelles toutes les projections sont concentrées sur des cellules denses adjacentes ou à densité élevée (figure 4). Sur ces figures, aucune valeur isolée n'est identifiée par le calcul des scores d'anormalité. 10 A l'étape E20, on définit une deuxième fenêtre temporelle d'observation At'. Cette deuxième fenêtre temporelle d'observation At' correspond à la première fenêtre temporelle d'observation At décalée d'une période temporelle Ôti. En d'autres termes, la première fenêtre temporelle d'observation At est glissante et on l'incrémente d'une période temporelle Ôt; pour définir la deuxième fenêtre 15 temporelle d'observation nt'. Cette deuxième fenêtre temporelle d'observation At' intègre le nouveau premier vecteur de mesure XN+1. Finalement, les deux fenêtres temporelles d'observation ont donc en commun une pluralité de périodes temporelles. La première période temporelle de la première fenêtre temporelle d'observation (appelée ancienne période temporelle dans la suite) n'est pas 20 incluse dans la deuxième fenêtre temporelle d'observation nt'. Et, la dernière période temporelle de la deuxième fenêtre temporelle d'observation At' (appelée nouvelle période temporelle ÔtN+1 précédemment) n'est pas incluse dans la première fenêtre temporelle d'observation At. Sur les sous-espaces considérés à l'étape E8, on supprime la projection 25 du premier vecteur de mesure correspondant à l'ancienne période temporelle à l'étape E22. A l'étape E24, on projette le nouveau premier vecteur de mesure XN+1 sur ces sous-espaces. Les nuages de points présents sur ces sous-espaces sont à nouveau identifiés selon la méthode proposée à l'étape E8. Les étapes E22 et 30 E24, en s'appuyant sur les résultats obtenus préalablement dans le procédé, permettent de limiter le temps d'exécution du procédé. Elles permettent également de limiter les puissances de calcul (en particulier d'un processeur contenu dans le dispositif de filtrage 2 de flux d'attaque) nécessaire dans l'exécution d'un tel 17 procédé. Comme représenté sur la figure 2, le procédé se poursuit à l'étape E26 avec la détermination des anormalités moyennes A(k) lorsque le nouveau premier vecteur de mesure XN+1 a été projeté sur tous les sous-espaces considérés et que 5 le premier vecteur de mesure associé à l'ancienne période temporelle a été supprimé. Le procédé reprend ensuite en boucle depuis l'étape El 2. Le deuxième cas de comparaison correspond à un score d'anormalité supérieur au deuxième seuil the. Dans ce cas, la présence d'une attaque est 10 détectée sur la nouvelle période temporelle ÔtN+1 et le procédé se poursuit à l'étape E60. Ce deuxième cas correspond aux exemples représentés sur les figures 7 à 10. Les scores d'anormalité calculés pour ces exemples se sont révélés élevés. Cette étape E60 permet de comparer les fonctions d'anormalité F (X, k) 15 déterminés à l'étape El 0 pour le nouveau premier vecteur de mesure XN+1. Parmi tous les sous-espaces considérés, au moins deux sous-espaces sont sélectionnés, à l'étape E62. En pratique, un ou deux sous-espaces sont sélectionnés. Il s'agit des sous-espaces ayant les fonctions d'anormalité F (X, k) les plus élevées. C'est ensuite à partir de l'étude réalisée sur ces sous-espaces 20 sélectionnés qu'est (ou sont) identifié(s) le (ou les) flux d'attaque en utilisant notamment les nuages de points présents sur les sous-espaces sélectionnés (et qui caractérisent des conditions nominales de fonctionnement) sur la première fenêtre temporelle d'observation At (et précédant la nouvelle période temporelle 8tN+1). A titre d'exemple, sur les figures 7 à 10, les nuages de points sont identifiés 25 par des hachures obliques (comme décrit précédemment). Pour permettre l'identification du flux d'attaque, le nouvel agrégat, issu de la combinaison d'une pluralité de flux entrant pendant la nouvelle période temporelle 8tN+1 réalisée à l'étape E12, est décomposé en une pluralité de flux de connexion dits séparés à l'étape E64. La combinaison effectuée à l'étape E12 30 considérait l'ensemble des flux de connexion entrants pendant la nouvelle période temporelle 8tN+1 sur le module de connectivité 5 pour déterminer le nouvel agrégat. La séparation de ce nouvel agrégat se fait en combinant les flux de connexion reçus par adresse source pendant la nouvelle période temporelle ÔtN±i. Il est donc 18 possible de définir une pluralité d'agrégats séparés considérés comme suspects. En pratique, il y a autant d'agrégats séparés qu'il y a d'adresses sources. A l'étape E66, chacun des agrégats séparés est caractérisé par un vecteur dit d'identification. Ces vecteurs d'identification sont construits à partir des 5 paramètres identifiés à l'étape E62 par la sélection des sous-espaces. Les vecteurs d'identification comprennent donc un nombre restreint de paramètres par rapport par exemple au nouveau premier vecteur de mesure XN+1 défini précédemment. Par exemple, si seul le sous-espace défini par les paramètres x3 et x5 a été sélectionné à l'étape E62, les vecteurs d'identification comprendront 10 ces deux paramètres uniquement (ces deux paramètres étant déterminés par agrégat séparé pendant la nouvelle période temporelle 8tN+1). Ces vecteurs d'identification sont ensuite projetés sur le ou les sous-espaces sélectionnés, à l'étape E68. Lorsque ces vecteurs d'identification se projettent dans les cellules des sous-espaces constituant un nuage de points, le 15 flux de connexion séparé associé n'est pas considéré comme un flux d'attaque. En revanche, si un vecteur d'identification se projette en dehors d'un nuage de points, l'agrégat séparé est assimilé à une attaque. A l'issue de cette étape, l'attaque est identifiée sur les sous-espaces. Sur les figures 7 à 10, elle est symbolisée par les cellules contenant une croix. 20 Par construction, l'agrégat séparé correspondant à une attaque est associé à un ensemble de flux de connexion séparés provenant de la même adresse source. La détection de l'agrégat séparé correspondant à une attaque permet alors l'identification d'une adresse source générant des flux de connexion dits illégitimes à l'étape E70. 25 Ces flux de connexion illégitimes sont alors filtrés à l'étape E72 du procédé. Le filtrage est par exemple réalisé en bloquant les flux de connexion illégitimes à l'entrée du module de connectivité 5. En pratique, le blocage s'effectue par exemple en ajoutant l'adresse source associée aux flux de connexion illégitimes dans la liste des adresses sources interdites. Toute requête 30 provenant de cette adresse source est alors détruite. A l'étape E74, une fois les flux de connexion illégitimes filtrés, les flux de connexion séparés sont à nouveau combinés pour former un agrégat dit filtré et un premier vecteur de mesure filtré Xf associé est déterminé. Ce premier vecteur de mesure filtré Xf est projeté sur tous les sous-espaces considérés. Et, comme le 19 flux d'attaque a été filtré (il n'y a donc plus d'attaque détectée sur la nouvelle période temporelle), le procédé se poursuit à l'étape E20 décrite précédemment (et correspondant à la suite du procédé lorsqu'aucune attaque n'était détectée). Le troisième cas de comparaison du score d'anormalité S(X) au premier 5 seuil th1 et au deuxième seuil th2 correspond à un score d'anormalité S(X) compris dans une zone de doute. Cette zone de doute est définie pour un score d'anormalité S(X) compris entre le premier seuil th1 et le deuxième seuil th2. Dans ce cas, aucune conclusion ne peut être obtenue directement quant à la présence ou l'absence d'une attaque sur la nouvelle période temporelle ÔtN±i. Le procédé se 10 poursuit alors à l'étape E40. Lors de cette étape E40, pour chaque agrégat obtenu à l'étape E4 (pour chaque période temporelle Ôt; de la première fenêtre temporelle d'observation nt), un deuxième vecteur de mesure Yi est déterminé. Ce deuxième vecteur de mesure Yi caractérise l'agrégat auquel il est associé par l'intermédiaire d'autres 15 paramètres caractéristiques. Ces autres paramètres caractéristiques sont distincts des paramètres caractéristiques associés aux premiers vecteurs de mesure X. Ces autres paramètres caractéristiques permettent cette fois de caractériser, non plus le flux de connexion IP, mais plutôt l'exécution des logiciels embarqués dans le dispositif de filtrage 2 de flux d'attaque. Ces autres paramètres 20 caractéristiques permettent en particulier de décrire la dispersion des instructions et des données par rapport aux différents niveaux de mémoire inclus dans le dispositif de filtrage 2 d'un flux d'attaque. Parmi ces autres paramètres caractéristiques, on distingue par exemple : la fréquence de succès liée à l'accès à un premier niveau de mémoire cache (usuellement mesurée par le « hit rate » 25 de la mémoire cache « instructions » et « données » de niveau 1), la fréquence de succès liée à l'accès à un deuxième niveau de mémoire cache (usuellement mesurée par le « hit rate » de la mémoire cache unifiée de niveau 2), la fréquence d'échec liée à un troisième niveau de mémoire cache ou encore la proportion de mémoire utilisée. 30 Ces paramètres caractéristiques sont connus pour caractériser l'exécution d'un logiciel sur un processeur donné. A l'issue de l'étape E40, un deuxième vecteur de mesure Yi est déterminé par période temporelle Ôt; et donc une pluralité de deuxièmes vecteurs 20 de mesure Yi sont obtenus sur la première fenêtre temporelle d'observation At. Ainsi, par exemple, pour une période temporelle de 100 ms et une première fenêtre temporelle d'observation de 5 s, on obtient 50 deuxièmes vecteurs de mesure. 5 Ces deuxièmes vecteurs de mesure Yi sont utilisés dans la suite du procédé à l'étape E42 dans laquelle ils sont analysés pour permettre de lever le doute quant à la détection de présence ou d'absence d'une attaque. L'analyse des deuxièmes vecteurs de mesure Yi a pour but de repérer des opérations anormales dans l'exécution du logiciel. 10 De la même façon que pour le premier vecteur de mesure Xi lors de l'étape E6, les deuxièmes vecteurs de mesure Yi sont projetés sur des sous-espaces à deux dimensions. Il est également possible d'identifier des nuages de points et de déterminer une autre anormalité moyenne par sous-espace B(k) (sur le même principe que la détermination de l'anormalité moyenne A(k)). 15 Lorsque les étapes précédentes du procédé identifient un doute quant à la présence d'une attaque pendant la nouvelle période temporelle 8tN+1 à partir de l'analyse du nouveau premier vecteur XN+1, un autre score d'anormalité S(YN+1), pour un nouveau deuxième vecteur de mesure YN+1 associé à la nouvelle période temporelle 8tN+1 est calculé selon la méthode décrite précédemment. 20 Cet autre score d'anormalité S(YN+1) est ensuite comparé à un troisième seuil th3. Si l'autre score d'anormalité S(YN+1) est supérieur au troisième seuil th3, la présence d'une attaque pendant la nouvelle période temporelle ÔtN+1 est confirmée. Comme représenté sur la figure 2, à la suite de cette étape E42, si 25 l'absence d'une attaque est détectée, le procédé se poursuit à l'étape E20 décrite précédemment. Dans le cas où à l'issue de l'analyse des deuxièmes vecteurs de mesure, la présence d'une attaque a été détectée, le procédé se poursuit à l'étape REVENDICATIONS1. Procédé de filtrage de flux d'attaque visant un module de connectivité (5) recevant une pluralité de flux de connexion entrant, le procédé comprenant les étapes suivantes : - détermination d'une pluralité d'agrégats, chaque agrégat résultant de la combinaison de la pluralité de flux de connexion entrant pendant une période temporelle prédéfinie (Ôt;), ladite période temporelle (Ôti) considérée pour déterminer chaque agrégat étant différente de celle considérée pour déterminer les autres agrégats, et les périodes temporelles (Ôti) considérées pour déterminer la pluralité d'agrégats étant toutes comprises dans une première fenêtre temporelle d'observation (nt), - détermination d'une pluralité de premiers vecteurs de mesure (Xi) associés chacun à l'un desdits agrégats et comprenant des valeurs de premiers paramètres caractéristiques de l'agrégat auquel il est associé, - projection de la pluralité de premiers vecteurs de mesure (Xi) sur au moins un sous-espace défini par lesdits premiers paramètres caractéristiques, - détermination d'un autre agrégat résultant de la combinaison d'une pluralité de flux de connexion entrant pendant une autre période temporelle (ÔtN,i), ladite autre période temporelle (ÔtN,i) suivant la première fenêtre temporelle d'observation (nt), - détermination d'un autre premier vecteur de mesure (XN+1) associé à l'autre agrégat et comprenant des valeurs de premiers paramètres caractéristiques de l'autre agrégat, - projection de l'autre premier vecteur de mesure (XN+1) sur au moins un sous-espace défini par lesdits premiers paramètres caractéristiques, - détermination d'un score d'anormalité (S(X)) en fonction du résultat de la projection de l'autre premier vecteur de mesure (XN+1) et de la projection de la pluralité des premiers vecteurs de mesure (Xi), puis, si le score d'anormalité (S(X)) est compris dans une zone de doute quant à la présence de flux d'attaque : - détermination d'une pluralité de deuxièmes vecteurs de mesure (Yi) associés chacun à l'un desdits agrégats et comprenant des valeurs d'autres 22 paramètres caractéristiques de l'agrégat auquel il est associé, lesdits autres paramètres caractéristiques étant distincts desdits premiers paramètres caractéristiques, - détermination d'un autre deuxième vecteur de mesure (YN+1) associé à 5 l'autre agrégat et comprenant des valeurs d'autres paramètres caractéristiques de l'autre agrégat, et - détection de la présence ou de l'absence d'une attaque par analyse de l'autre deuxième vecteur de mesure (YN+1). 2. Procédé de filtrage de flux d'attaque selon la revendication 1, dans 10 lequel, pour déterminer si le score d'anormalité (S(X)) est compris dans une zone de doute quant à la présence de flux d'attaque, il est prévu de comparer le score d'anormalité (S(X)) à un premier seuil (th1) et à un deuxième seuil (th2). 3. Procédé de filtrage de flux d'attaque selon la revendication 1 ou 2, dans lequel il est prévu de comparer le score d'anormalité (S(X)) avec un 15 deuxième seuil (th2), et si le score d'anormalité (S(X)) est supérieur au deuxième seuil (th2), la présence d'une attaque est détectée sur l'autre période temporelle (btN+1)- 4. Procédé de filtrage de flux d'attaque selon l'une quelconque des revendications 1 à 3, dans lequel il est prévu de comparer le score d'anormalité 20 (S(X)) avec un premier seuil (th1) et, si le score d'anormalité (S(X)) est inférieur au premier seuil (th1), l'absence d'attaque est détectée sur l'autre période temporelle (btN+1)- 5. Procédé de filtrage de flux d'attaque selon l'une quelconque des revendications 1 à 4, comprenant également les étapes suivantes : 25 - définition d'une deuxième fenêtre temporelle d'observation (nt'), ladite deuxième fenêtre temporelle d'observation (nt') correspondant à la première fenêtre temporelle d'observation (nt) décalée de ladite autre période temporelle (ÔtN+1), - détermination d'un nouvel agrégat, le nouvel agrégat résultant de la 30 combinaison de la pluralité de flux de connexion entrant pendant une nouvelle période temporelle (8tN+2), ladite nouvelle période temporelle (8tN+2) suivant la deuxième fenêtre temporelle d'observation (nt'), - détermination d'un nouveau premier vecteur de mesure (XN+2) associé 23 au nouvel agrégat et comprenant les valeurs des premiers paramètres caractéristiques dudit nouvel agrégat, - suppression de la projection d'un premier vecteur de mesure associé à l'agrégat résultant de la combinaison de la pluralité de flux de connexion entrant 5 pendant la période temporelle située dans la première fenêtre temporelle d'observation (nt) mais exclue de la deuxième fenêtre temporelle d'observation (nt'), - projection du nouveau premier vecteur (XN+2) sur au moins ledit sous-espace défini par lesdits premiers paramètres caractéristiques, et 10 - détermination d'un nouveau score d'anormalité en fonction du résultat de ladite projection. 6. Procédé de filtrage de flux d'attaque selon l'une quelconque des revendications 1 à 5 dans lequel, il est prévu à l'étape de projection, une projection de la pluralité de premiers vecteurs de mesure (X) sur plusieurs sous- 15 espaces, et dans lequel le scores d'anormalité (S(X)) est déterminé à partir d'une somme de fonctions d'anormalité (F (X , k)), une fonction d'anormalité (F (X, k)) étant déterminée par sous-espace en fonction du résultat de ladite projection de la pluralité de premiers vecteurs de mesure (Xi) et de la projection l'autre premier vecteur de mesure (XN+1) et d'une anormalité moyenne (A(k)), l'anormalité 20 moyenne (A(k)) étant également déterminée à partir de ladite projection de la pluralité de premiers vecteurs de mesure (Xi) et de la projection de l'autre premier vecteur de mesure (XN+1). 7. Procédé de filtrage de flux d'attaque selon la revendication 6, comprenant également, si la présence d'une attaque est détectée, les étapes 25 suivantes : - comparaison des fonctions d'anormalité (F (X, k)) déterminées pour tous les sous-espaces, - sélection d'au moins un sous-espace ayant la fonction d'anormalité (F (X, k)) la plus élevée, 30 - séparation de l'autre agrégat en une pluralité de flux de connexion séparés, - détermination d'une pluralité de vecteurs d'identification de la pluralité de flux de connexion séparés, les vecteurs d'identification comprenant les mêmes premiers paramètres caractéristiques que les premiers vecteurs de mesure (X;), 24 - projection de ladite pluralité de vecteurs d'identification sur ledit au moins un sous-espace sélectionné, - identification d'au moins un flux de connexion illégitime, ledit flux de connexion illégitime correspondant au flux de connexion associé à une projection 5 anormale d'un vecteur d'identification, et - filtrage du flux de connexion illégitime. 8. Procédé de filtrage de flux d'attaque selon l'une quelconque des revendications 1 à 7, dans lequel un sous-espace est défini par un premier axe et un deuxième axe, le premier axe correspondant à un premier paramètre 10 caractéristique et le deuxième axe correspondant à un deuxième paramètre caractéristique sélectionné parmi les premiers paramètres caractéristiques. 9. Procédé de filtrage de flux d'attaque selon l'une quelconque des revendications 1 à 8, dans lequel l'un au moins des premiers paramètres caractéristiques comprend l'une des données suivantes : 15 - le nombre de sources de flux de connexion (xi), - le nombre moyen de sources de flux de connexion par sous-réseau (x2), - la proportion de requête de transmission (x3), - la proportion de requête d'erreurs reçues (x4), 20 - la taille moyenne des requêtes reçues (x5), - le temps de vie moyen des requêtes reçues. 10 Procédé de filtrage de flux d'attaque selon l'une quelconque des revendications 1 à 9, dans lequel l'un au moins des autres paramètres caractéristiques comprend l'une des données suivantes : 25 - la fréquence de succès liée à l'accès à un premier niveau de mémoire cache, - la fréquence de succès liée à l'accès à un deuxième niveau de mémoire cache, - la fréquence d'échec liée à l'accès à un autre niveau de mémoire 30 cache, - la proportion de mémoire utilisée. 11. Dispositif de filtrage de flux d'attaque visant un module de connectivité (5) parmi une pluralité de flux de connexion entrant, comportant : - un module de détermination d'une pluralité d'agrégats, chaque agrégat 25 résultant de la combinaison de la pluralité de flux de connexion entrant pendant une période temporelle prédéfinie (Ôt;), ladite période temporelle (Ôti) considérée pour déterminer chaque agrégat étant différente de celle considérée pour déterminer les autres agrégats, et les périodes temporelles (Ôti) considérées pour 5 déterminer la pluralité d'agrégats étant toutes comprises dans une première fenêtre temporelle d'observation (nt), - un module de détermination d'une pluralité de premiers vecteurs de mesure (Xi) associés chacun à l'un desdits agrégats et comprenant des premiers paramètres caractéristiques de l'agrégat auquel il est associé, 10 - un module de projection de la pluralité de premiers vecteurs de mesure (X) sur au moins un sous-espace défini par lesdits premiers paramètres caractéristiques, - un module de détermination d'un autre agrégat résultant de la combinaison d'une pluralité de flux de connexion entrant pendant une autre 15 période temporelle (8tN+1), ladite autre période temporelle (ÔtN±i) suivant la première fenêtre temporelle d'observation (nt), - un module de détermination d'un autre premier vecteur de mesure (XN+1) associé à l'autre agrégat et comprenant des valeurs de premiers paramètres caractéristiques de l'autre agrégat, 20 - un module de projection de l'autre premier vecteur de mesure (XN+1) sur au moins un sous-espace défini par lesdits premiers paramètres caractéristiques, - un module de détermination d'un score d'anormalité (S(X)) en fonction du résultat de la projection de l'autre premier vecteur de mesure (XN+1) et de la projection de la pluralité des premiers vecteurs de mesure (Xi), 25 - un module de détermination adapté à déterminer, si le score d'anormalité (S(X)) est compris dans une zone de doute quant à la présence de flux d'attaque une pluralité de deuxièmes vecteurs de mesure (Yi) associés chacun à l'un desdits agrégats et comprenant d'autres paramètres caractéristiques de l'agrégat auquel il est associé, lesdits autres paramètres 30 caractéristiques étant distincts desdits premiers paramètres caractéristiques, - un module de détermination d'un autre deuxième vecteur de mesure (YN+1) associé à l'autre agrégat et comprenant des valeurs d'autres paramètres caractéristiques de l'autre agrégat, et 26 - un module de détection de la présence ou de l'absence d'une attaque par analyse de l'autre deuxième vecteur de mesure (YN+1).