Brevet FR3095313A1 — publié le 20201023

Description Titre de l'invention : Procédé et dispositif de traitement d'un message d'alerte notifiant une anomalie détectée dans un trafic émis via un réseau Technique antérieure 100011 L'invention se rapporte au domaine général des télécommunications. 100021 Elle concerne plus particulièrement un mécanisme permettant la détection d'attaques informatiques (ou « cyber-attaques ») dans un réseau de communications électroniques. 100031 Aucune limitation n'est attachée à la nature du réseau. L'invention s'applique toutefois de façon privilégiée aux réseaux mobiles, et notamment aux réseaux mobiles de cinquième génération ou réseaux mobiles 5G. 100041 Les réseaux mobiles 5G, avec les techniques de communication avancées qu'ils mettent en oeuvre et les capacités nouvelles qu'ils offrent en matière notamment de débits, de volumes d'information et de connexion, ouvrent des perspectives d'usage inédites qui posent de véritables challenges en termes de cyber sécurité. Au cours des années précédentes, de nombreuses techniques de détection d'intrusion (ou IDS pour « Intrusion Detection Systems » en anglais) et de défense ont été développées, s'appuyant sur des approches proactivcs permettant d'une part, d'anticiper et de réduire les vulnérabilités dans les systèmes informatiques, et d'autre part. de déclencher des réactions de mitigation efficaces lorsque des attaques ou des intrusions sont détectées dans ces systèmes informatiques. Toutefois, la 5G. en raison de ses spécificités et de ses contraintes, rend inappropriées et inefficaces les techniques classiques de détection d'intrusion si celles-ci ne sont pas adaptées pour tenir compte de ces spécificités et de ces contraintes. [0005] Le document de L. Fernandez Maimo et al. intitulé « A self-adaptive deep learning- based system for anomaly detection in 5G networks ». IEEE Access, Special section on cyber-physical-social computing and networking, March 12, 2018, propose une architecture pour la détection de cyber attaques dans un réseau 5G. capable de s'adapter de façon automatique aux fluctuations du trafic dans le réseau. Le système proposé, qui s'appuie sur une technique d'apprentissage automatique profond (ou « deep learning » en anglais), peut décider de déployer davantage de ressources de calcul (via des fonctions réseaux virtualisées) ou d'adapter l'approche d'apprentissage ou le modèle de détection appliqué en fonction du contexte courant de cyberdéfense dans lequel il se trouve, ce contexte étant identifié par le système à partir du comportement du trafic. [0006] L'architecture proposée dans le document de L. Fernandez Malin° et al. repose sur la 2 collecte, par des équipements utilisateurs connectés au réseau, de différentes caractéristiques du trafic généré par ces équipements utilisateurs, et l'agrégation de ces caractéristiques par un module ASD (pour « Anomaly Symptom Detection » en anglais) de détection de symptômes d'anomalies situé au niveau du réseau d'accès. Le module ASD effectue une recherche rapide de symptômes d'anomalies en inspectant les caractéristiques agrégées. Les symptômes sont ensuite fournis à un module NAD (pour « Network Anomaly Detection » en anglais) de détection d'anomalies réseau situé dans le coeur de réseau. Dès qu'une anomalie est détectée, elle est notifiée à un module de surveillance et de diagnostic chargé d'analyser les causes de cette anomalie et. de reporter ces causes à un gestionnaire de la politique de sécurité apte à prendre rapidement des actions appropriées, comme notamment l'adaptation de la configuration du système. [0007] Dans le système proposé par L. Fernandcz Maimo et al., la détection d'intrusions, bien que réalisée à partir des symptômes identifiés par les réseaux d'accès en analysant les caractéristiques de trafic collectées par les équipements utilisateurs, est centralisée au niveau du coeur de réseau. C'est dans le coeur de réseau que sont effectués les principaux traitements et calculs permettant de conclure si une intrusion est perpétrée contre le réseau. Cette architecture se traduit par un overhcad (ou surplus) important dans le réseau, cc qui peut avoir un impact négatif sur la qualité de service et les performances du réseau. Exposé de l'invention [0008] L'invention permet notamment de remédier à cet inconvénient en proposant une approche hiérarchique selon laquelle la détection d'anomalies et d'intrusions est opérée à plusieurs niveaux, en tenant compte des contraintes des équipements appartenant à ces différents niveaux. Au sens de l'invention, plus le niveau hiérarchique augmente, plus les équipements appartenant à ce niveau hiérarchique disposent de visibilité sur le réseau et de ressources : ils sont donc en mesure de réaliser une détection plus fiable des intrusions liées à des attaques informatiques. Aucune limitation n'est attachée à la nature de ces attaques informatiques (virus, trojans, etc.). [0009] Plus spécifiquement, l'invention propose de mettre à oeuvre au niveau des équipements utilisateurs, au niveau de dispositifs du réseau (appartenant au réseau d'accès et/ou au coeur de réseau) et au niveau d'un centre d'opérations de sécurité (aussi communément désigné par SOC pour « Security Operations Center » en anglais) supervisant le réseau, des techniques de détection d'intrusions et/ou d'anomalies adaptées aux ressources disponibles au niveau de chacun de ces équipements, et qui tiennent compte, lors de leur exécution, des contraintes des équipements situés au(x) niveau(x) inférieur(s) afin d'être en mesure, si cela est pertinent, de leur faire un retour 3 adapté. De telles contraintes peuvent être notamment des contraintes en ternies de ressources (par exemple de mémoire, de stockage, ou encore de puissance de calcul) ou des contraintes en termes de performances réseau (telles que des contraintes de latence, de débit, etc.). [0010] Ainsi, de cette sorte, l'invention exploite les avantages offerts à chaque niveau pour permettre une détection rapide et fiable des attaques informatiques susceptibles d'affecter un réseau et les équipements utilisateurs qui y sont connectés, sans impactcr les performances du réseau. [0011] L'invention s'appuie donc sur trois procédés, et sur les différents équipements aptes à mettre en oeuvre ces procédés, à savoir un équipement utilisateur, un dispositif du réseau (qui peut être indifféremment localisé dans le réseau d'accès ou dans le coeur du réseau), et un centre d'opérations de sécurité supervisant le réseau. [0012] Plus spécifiquement, l'invention vise un procédé de traitement, par un dispositif d'un réseau, d'un message d'alerte reçu d'un équipement utilisateur connecté au réseau, et notifiant une anomalie détectée par l'équipement utilisateur dans un trafic émis via le réseau. Le procédé de traitement comprend : - une étape d'obtention, à partir du message d'alerte, d'au moins une information représentative d'au moins une contrainte de l'équipement utilisateur ; - une étape de traitement, au moyen d'un algorithme de détection d'attaques informatiques, de caractéristiques du trafic fournies par l'équipement utilisateur et associées à l'anomalie détectée, l'algorithme de détection d'attaques informatiques étant sélectionné et/ou paramétré en fonction de ladite au moins une information ; et - une étape de détermination en fonction d'un résultat de l'étape de traitement, et si une attaque informatique est détectée, de ladite au moins une information, d'une réponse à l'équipement utilisateur concernant l'anomalie détectée. [0013] Corrélativement, l'invention concerne un dispositif d'un réseau comprenant : - un module de réception, apte à recevoir un message d'alerte en provenance d'un équipement utilisateur connecté au réseau, ce message d'alerte notifiant une anomalie détectée par l'équipement utilisateur dans un trafic émis via le réseau ; - un module d'obtention, configuré pour obtenir à partir du message d'alerte au moins une information représentative d'au moins une contrainte de l'équipement utilisateur ; - un module de traitement, configuré pour traiter au moyen d'un algorithme de détection d'attaques informatiques des caractéristiques du trafic fournies par l'équipement utilisateur et associées à l'anomalie détectée, l'algorithme de détection d'attaques informatiques étant sélectionné et/ou paramétré en fonction de ladite au moins une information ; et - un module de détermination, configuré pour déterminer en fonction d'un résultat de l'étape de traitement, et si une attaque informatique est détectée, de ladite au moins une information, une réponse à l'équipement utilisateur concernant l'anomalie détectée. [0014] L'invention vise aussi un procédé de supervision, par un centre d'opérations de sécurité supervisant au moins un réseau, comprenant : - une étape de réception, en provenance d'un dispositif du réseau, d'un message d'alerte notifiant une anomalie détectée par un équipement utilisateur connecté au réseau ou par le dispositif du réseau dans un trafic émis via ledit réseau, ce message d'alerte comprenant des caractéristiques du trafic obtenues par l'équipement utilisateur ou par le dispositif du réseau associées à l'anomalie détectée, et au moins une information représentative d'au moins une contrainte du dispositif du réseau ; - une étape de traitement, au moyen d'un algorithme de détection d'attaques informatiques, des caractéristiques du trafic, l'algorithme de détection étant sélectionné et/ ou paramétré en fonction de ladite au moins une information ; et - une étape de détermination, en fonction d'un résultat de l'étape de traitement et, si une attaque est détectée, de ladite au moins une information, d'une réponse au dispositif du réseau et/ou à l'équipement utilisateur concernant l'anomalie détectée. [0015] Corrélativement, l'invention concerne un centre d'opérations de sécurité supervisant au moins un réseau, comprenant : - un module de réception, apte à recevoir en provenance d'un dispositif du réseau un message d'alerte notifiant une anomalie détectée par un équipement utilisateur connecté au réseau ou par le dispositif du réseau dans un trafic émis via le réseau, ce message d'alerte comprenant des caractéristiques du trafic obtenues par l'équipement utilisateur ou par le dispositif du réseau associées à l'anomalie détectée, et au moins une information représentative d'au moins une contrainte du dispositif du réseau ; - un module de traitement, configuré pour traiter au moyen d'un algorithme de détection d'attaques informatiques, les caractéristiques du trafic, l'algorithme de détection étant sélectionné et/ou paramétré en fonction de ladite au moins une information ; et - un module de détermination, configuré pour déterminer en fonction d'un résultat de l'étape de traitement et, si une attaque est détectée, de ladite au moins une information, une réponse au dispositif du réseau et/ou à l'équipement utilisateur concernant l'anomalie détectée. [0016] L'invention vise aussi un procédé de notification, par un équipement utilisateur connecté à un réseau, comprenant : - une étape de détection d'une anomalie dans un trafic émis via le réseau, à partir de caractéristiques du trafic obtenues par l'équipement utilisateur ; - si l'équipement utilisateur est incapable de déterminer si l'anomalie détectée correspond à un comportement normal ou à une attaque informatique, une étape d'envoi, à un dispositif du réseau, d'un message d'alerte lui notifiant l'anomalie détectée, ce message d'alerte comprenant les caractéristiques du trafic et au moins une information représentative d'au moins une contrainte de l'équipement utilisateur ; et - une étape de réception d'un message du dispositif de réseau concernant l'anomalie détectée élaboré en fonction de ladite au moins une information. [0017] Corrélativement, l'invention concerne un équipement utilisateur connecté à un réseau, comprenant : - un module de détection, configure pour détecter une anomalie dans un trafic émis via le réseau à partir de caractéristiques du trafic obtenues par l'équipement utilisateur ; - un module d'envoi, activé si l'équipement utilisateur est incapable de déterminer si l'anomalie détectée correspond à un comportement normal ou à une attaque informatique, cc module d'envoi étant configure pour envoyer à un dispositif du réseau un message d'alerte lui notifiant l'anomalie détectée, cc message d'alerte comprenant les caractéristiques du trafic et au moins une information représentative d'au moins une contrainte de l'équipement utilisateur ; et - un module de réception, apte à recevoir un message du dispositif de réseau concernant l'anomalie détectée élaboré en fonction dc ladite au moins une information. [0018] Enfin, l'invention vise également un système de surveillance d'un réseau comprenant : - au moins un équipement utilisateur conforme à l'invention ; - au moins un dispositif du réseau conforme à l'invention (qui peut être localisé dans le réseau d'accès du réseau ou dans le coeur du réseau) ; et - un centre d'opérations de sécurité conforme à l'invention. [0019] L'invention propose donc de déployer de manière hiérarchique des algorithmes (ou agents) de détection d'intrusions à différents niveaux qui vont coopérer les uns avec les autres de sorte à améliorer leur efficacité. Cette coopération se fait avantageusement en tenant compte des contraintes présentes à chaque niveau, quelle que soit la nature de ces contraintes (ex. matérielles, logicielles, performances réseau, sécurité, consommation d'énergie, etc.). [0020] Ainsi par exemple, lorsqu'on considère un équipement utilisateur de type capteur, disposant de faibles ressources et ayant de fortes contraintes en termes de consommation d'énergie, on envisagera préférentiellement un algorithme de détection d'intrusions relativement simple et léger au niveau de cet équipement utilisateur, comme par exemple un algorithme basé sur la recherche dans le trafic transitant ou écouté par l'équipement utilisateur de signatures d'attaques prédéterminées et en nombre réduit. Un tel algorithme présente de façon connue des performances inférieures à un algorithme d'apprentissage automatique, plus consommateur en termes de ressources (temps de traitement, ressources de calcul, etc.). 6 [0021] Pour compenser ces moins bonnes performances (et un risque plus élevé de mauvaises détections), conformément à l'invention, si l'équipement utilisateur détecte une anomalie dans le trafic échangé via le réseau et qu'il n'est pas en mesure de statuer sur la nature de cette anomalie (autrement dit, de déterminer s'il s'agit d'un comportement normal ou d'une attaque), il notifie un dispositif du réseau selon l'invention de l'anomalie qu'il a détectée pour que celui-ci puisse procéder à une analyse plus poussée, à l'aide d'algorithmes de détection plus performants. Ce dispositif étant localisé dans le réseau (au niveau du réseau d'accès ou dans le coeur du réseau, autrement dit à un niveau hiérarchique supérieur par rapport à l'équipement utilisateur), il dispose de ressources matérielles plus importantes qu'un équipement utilisateur, a une meilleure visibilité sur le trafic échangé sur le réseau, et ne présente pas à proprement parler de contraintes en termes de consommation d'énergie. Il est donc possible d'utiliser au niveau de ce dispositif du réseau des algorithmes de détection plus performants tels que par exemple des algorithmes d'apprentissage automatique (ex. algorithmes d'apprentissage profond ou « deep lcarning » en anglais), qui peuvent permettre de statuer sur la nature de l'anomalie détectée par l'équipement utilisateur. [0022] Avantageusement selon l'invention, le choix et le paramétrage des algorithmes utilisés au niveau du dispositif du réseau sont réalisés en tenant compte des contraintes de l'équipement utilisateur ; il en est de même de l'élaboration de la réponse apportée à l'équipement utilisateur concernant l'anomalie détectée par celui-ci. Grâce à cette disposition, on s'assure que l'équipement utilisateur bénéficie d'une réponse adaptée à ses contraintes lorsqu'il détecte une anomalie, c'est-à-dire, d'une réponse rapide s'il a une contrainte de latence forte, ou nécessitant un faible overhead (surplus de ressources de calcul, de signalisation, etc.) si ses ressources sont limitées, etc. [0023] On note que si le dispositif du réseau détermine que l'anomalie est liée à un com- portement normal du réseau, il peut s'abstenir de répondre au message d'alerte remonté par l'équipement utilisateur, en vue notamment de limiter la signalisation échangée sur le réseau et d'économiser encore davantage les ressources de l'équipement utilisateur (qui n'a de ce fait pas à traiter de message de réponse). [0024] De même, si le dispositif du réseau n'est pas en mesure de déterminer à l'aide de l'algorithme de détection d'intrusion qu'il utilise, si l'anomalie qui lui a été rapportée est dû à un comportement normal ou à une attaque informatique, il sollicite un niveau hiérarchique supérieur, à savoir un centre d'opérations de sécurité supervisant le réseau (et éventuellement d'autres réseaux gérés par un même opérateur ou par des opérateurs différents). De façon connue en soi, un centre d'opérations de sécurité ou SOC est une plateforme permettant la supervision et l'administration de la sécurité d'un ou de plusieurs systèmes d'information, par exemple ici, d'un ou de plusieurs réseaux de communication. Il s'appuie, à cet effet, sur divers outils de collecte, de corrélation 7 d'événements, d'analyse des activités sur les réseaux et sur les différents équipements qui les composent (ex. bases de données, applications, serveurs, équipements utilisateurs, etc.), ainsi que sur l'expertise d'analystes et de spécialistes en sécurité ; il peut disposer en outre de moyens d'intervention à distance. Autrement dit, il s'agit d'une entité de confiance dotée d'une grande expertise et permettant une détection précise et fiable des intrusions dans un réseau. [0025] L'invention en s'appuyant sur les trois niveaux hiérarchiques précités offre une solution efficace de détection d'intrusions dans un réseau, particulièrement bien adaptée aux réseaux mobiles 4G et 5G et à la diversité des équipements utilisateurs susceptibles d'être connectés à ces réseaux. Elle permet de réagir rapidement et de manière pertinente en cas de détection d'une anomalie par un équipement utilisateur. [0026] L'invention est par ailleurs relativement facile à mettre en oeuvre, et peut être embarquée aisément dans des solutions de cyber sécurité telles que par exemple des solutions de type SIEM (pour « Sccurity Information and Event Management »). [0027] L'invention est très flexible et peut plus généralement être appliquée à tout type de réseaux (2G, 3G, 4G, 5G, etc.) en vue de les protéger des cyberattaques, y compris lorsque celles-ci sont complexes. Elle s'adapte à tout type de terminaux et plus généralement d'équipements utilisateurs, en tenant compte avantageusement de leurs contraintes. [0028] Par exemple, dans un mode particulier de réalisation du procédé de traitement, ladite au moins une information obtenue par le dispositif du réseau est représentative d'au moins une contrainte en termes de ressources (matérielles, logicielles, etc.) et/ou de sécurité et/ou de performances réseau de l'équipement utilisateur. [0029] Une telle contrainte en termes de ressources peut être notamment une contrainte de consommation d'énergie ou d'espace de stockage disponible. Une telle contrainte en termes de performances réseau peut être notamment une contrainte de latence, de bande passante, de débit, de temps de traitement d'informations fournies à l'équipement utilisateur ou de quantité de surplus d'informations fournies à l'équipement utilisateur. Une telle contrainte en termes de sécurité peut être un taux de détection d'attaques informatiques, un taux de faux positifs, ou un caractère critique de l'équipement utilisateur (s'il s'agit d'un véhicule par exemple, le risque encouru par ce véhicule en raison de la présence (l'une attaque informatique peut être important et nécessiter une réaction rapide et adaptée au risque encouru). [0030] Ces exemples ne sont donnés qu'à titre illustratif, et aucune limitation ne s'attache au type de contraintes auquel est sujet l'équipement utilisateur dès lors que le dispositif du réseau est informé de ces contraintes et peut ainsi les prendre en compte pour fournir une réponse adaptée à l'équipement utilisateur. [0031] Comme mentionné précédemment, la prise en compte des contraintes peut se faire au 8 niveau de l'algorithme de détection d'attaques informatiques sélectionné et appliqué par le dispositif du réseau pour analyser l'anomalie reportée par l'équipement utilisateur. [0032] Ainsi, dans un mode de réalisation, l'algorithme de détection d'attaques infor- matiques utilisé peut être sélectionné par le dispositif du réseau parmi : - un algorithme de détection basé sur des signatures d'attaques informatiques ; et - un algorithme de détection par apprentissage automatique. [0033] Un algorithme de détection par apprentissage automatique (par exemple de type deep learning) bénéficie, de façon connue, d'un meilleur taux de détection et d'un taux de détection de faux positifs plus faible qu'un algorithme de détection basé sur des signatures d'attaques informatiques, qui est quant à lui, généralement moins complexe et plus rapide à mettre en oeuvre. Bien entendu ces exemples ne sont donnés qu'à titre illustratif et d'autres algorithmes de détection peuvent être envisagés dans le contexte de l'invention. [0034] Outre la sélection de l'algorithme de détection d'attaques informatiques, c'est également le dimensionnement des paramètres de l'algorithme sélectionné qui peut tenir compte avantageusement des contraintes de l'équipement utilisateur. Ainsi, dans un mode particulier de réalisation, lorsqu'un algorithme de détection par apprentissage automatique est sélectionné lors de l'étape de traitement, la durée d'apprentissage considérée pour cet algorithme peut être paramétrée en fonction de ladite au moins une information représentative de la ou des contraintes de l'équipement utilisateur. Par exemple, si l'équipement utilisateur a de fortes contraintes en termes de latence, on peut sélectionner au niveau du dispositif du réseau une durée d'apprentissage permettant de respecter la latence supportée par l'équipement utilisateur. [0035] De façon alternative, lorsqu'un algorithme de détection basé sur des signatures d'attaques informatiques est considéré, c'est le nombre de signatures utilisées qui peut être dimensionné en fonction des contraintes de l'équipement utilisateur (pour être en mesure de répondre plus ou moins rapidement selon ces contraintes). [0036] Dans un mode particulier de réalisation du procédé de traitement : - l'étape de traitement comprend la détection d'une attaque informatique contre un équipement utilisateur connecté au réseau et/ou contre un élément du réseau ; et - l'étape de détermination comprend l'évaluation d'une fonction dite d'efficacité à partir d'au moins une métrique dérivée de ladite au moins une information et d'une capacité de détection d'attaques par l'équipement utilisateur, la réponse étant déterminée en fonction de la valeur de la fonction d'efficacité. [0037] Ce mode de réalisation permet d'apporter une réponse à l'équipement utilisateur concernant l'anomalie détectée (qui en l'espèce provient d'une attaque) qui vérifie un compromis entre les contraintes de l'équipement utilisateur et la précision de la 9 détection d'attaques mise en oeuvre par celui-ci, ce compromis étant modélisé par la fonction d'efficacité. Cette fonction d'efficacité peut être notamment une somme pondérée d'un premier paramètre évalué à partir de la ou des contraintes de l'équipement utilisateur et d'un second paramètre reflétant la capacité de détection d'attaques atteinte au niveau de l'équipement utilisateur. Une telle capacité est par exemple donnée par le ratio du nombre d'attaques détectées par le dispositif du réseau sur le nombre d'anomalies remontées par l'équipement utilisateur sur lesquelles il n'a pas été en mesure de statuer. [0038] Via l'évaluation de la fonction d'efficacité, le dispositif du réseau met en balance les contraintes de l'équipement utilisateur et la précision de la détection d'attaques et élabore une réponse à l'équipement utilisateur concernant l'attaque qu'il a détectée offrant un compromis entre ces deux paramètres. S'agissant d'une attaque que l'équipement utilisateur n'a pas été en mesure de détecter, cette réponse peut notamment comprendre de nouvelles signatures et/ou de nouveaux attributs à appliquer par l'équipement utilisateur pour améliorer sa capacité de détection d'attaques et en particulier être en mesure de détecter une attaque du type de celle ayant provoqué l'anomalie remontée par l'équipement utilisateur. [0039] Plus particulièrement, dans un mode de réalisation particulier, la réponse déterminée par le dispositif du réseau peut comprendre l'envoi d'un message à l'équipement utilisateur comprenant N signatures et/ou attributs de l'attaque obtenues par le dispositif du réseau, N désignant un nombre entier dépendant de la valeur de la fonction d'efficacité. [0040] Le nombre N peut croître notamment avec la valeur de la fonction d'efficacité. Ainsi, lorsque la fonction d'efficacité a une valeur supérieure à un seuil dit haut, toutes les signatures et/ou attributs de l'attaque détectée par le dispositif du réseau connus de celui-ci peuvent être envoyés à l'équipement utilisateur. Inversement, en deçà d'un seuil dit bas, le dispositif du réseau peut décider de n'envoyer aucune nouvelle signature et aucun nouvel attribut à l'équipement utilisateur. Enfin si la valeur de la fonction d'efficacité évaluée se trouve entre le seuil bas et le seuil haut, le dispositif du réseau peut décider de n'envoyer qu'un sous-ensemble des signatures et/ou des attributs de l'attaque détectée dont il dispose, typiquement les signatures et/ou les attributs les plus pertinents (i.e. ceux qui se manifestent le plus souvent ou permettent d'identifier une attaque plus aisément) pour permettre une mise à jour de l'équipement utilisateur. [0041] Dans un mode particulier de réalisation, le nombre N peut dépendre en outre d'autres facteurs, comme par exemple d'un facteur de coût fourni par l'équipement utilisateur. [0042] Ce facteur de coût peut être choisi par le constructeur de l'équipement utilisateur et refléter ses exigences en matière de prise en compte des contraintes de l'équipement utilisateur. Il offre davantage de flexibilité en permettant une pondération additionnelle du nombre de signatures renvoyées à l'équipement utilisateur en fonction des contraintes qui sont critiques pour le constructeur. [0043] On note que les signatures de l'attaque détectée par le dispositif du réseau peuvent lui être fournies par exemple par un centre d'opérations de sécurité supervisant le réseau. [0044] Comme mentionné précédemment, dans un mode particulier de réalisation, si lors de l'étape de traitement, le dispositif du réseau est incapable de déterminer si l'anomalie détectée correspond à un comportement normal ou à une attaque informatique, le procédé de traitement comprend une étape d'envoi à un centre d'opérations de sécurité supervisant le réseau, d'un message d'alerte lui notifiant l'anomalie détectée par l'équipement utilisateur et comprenant les caractéristiques du trafic fournies par l'équipement utilisateur et associées à l'anomalie détectée et au moins une information représentative d'une contrainte du dispositif du réseau. [0045] Ce mode de réalisation permet de bénéficier de l'expertise du centre d'opérations de sécurité tout en tenant compte des contraintes imposées au dispositif du réseau (qu'il s'agisse de contraintes propres à celui-ci et au notamment de contraintes réseau que celui-ci doit respecter, ou que ces contraintes lui soient imposées indirectement par l'équipement utilisateur). [0046] On peut envisager d'autres cas de figure dans lesquels il est pertinent que le dispositif du réseau informe le centre d'opérations de sécurité de l'anomalie détectée par l'équipement utilisateur. [0047] Ce peut être le cas quand le dispositif du réseau détecte lui-même localement une anomalie sur laquelle il n'est pas capable de statuer. [0048] Ainsi, dans un mode particulier de réalisation, le procédé de traitement comprend en outre : - une étape de détection par le dispositif du réseau, d'une anomalie dans un trafic émis sur le réseau à partir de caractéristiques du trafic obtenues par le dispositif du réseau ; - une étape d'envoi à un centre d'opérations de sécurité supervisant le réseau pour analyse de l'anomalie détectée par le dispositif du réseau, d'un message de notification de cette anomalie comprenant lesdites caractéristiques du trafic obtenues par le dispositif du réseau et au moins une information représentative d'une contrainte du dispositif du réseau. [0049] La notification du centre d'opérations de sécurité peut également se faire dans un but informatif, pour permettre au centre d'opérations de sécurité de maintenir à jour des statistiques sur le réseau et les attaques dont il fait l'objet. [0050] Ainsi, dans un mode particulier de réalisation, le procédé de traitement comprend en outre si lors de l'étape de traitement, le dispositif du réseau détecte une attaque in- formatique contre un équipement utilisateur connecté au réseau et/ou contre un 11 élément du réseau, une étape de notification d'un centre d'opérations de sécurité supervisant le réseau de l'attaque détectée. [0051] Dans un mode particulier de réalisation de l'invention, le procédé de traitement, le procédé de supervision et/ou le procédé de notification sont mis en oeuvre par un ordinateur. [0052] L'invention vise également un premier programme d'ordinateur sur un support d'enregistrement, ce programme étant susceptible d'être mis en oeuvre dans un ordinateur ou plus généralement dans un dispositif de réseau conforme à l'invention et comporte des instructions adaptées à la mise en oeuvre d'un procédé de traitement tel que décrit ci-dessus. [0053] L'invention vise aussi un deuxième programme d'ordinateur sur un support d'enregistrement, ce programme étant susceptible d'être mis en oeuvre dans un ordinateur ou plus généralement dans un centre d'opérations de sécurité conforme à l'invention et comporte des instructions adaptées à la mise en oeuvre d'un procédé de supervision tel que décrit ci-dessus. [0054] L'invention concerne enfin un troisième programme d'ordinateur sur un support d'enregistrement, ce programme étant susceptible d'être mis en oeuvre dans un ordinateur ou plus généralement dans un équipement utilisateur conforme à l'invention et comporte des instructions adaptées à la mise en oeuvre d'un procédé de notification tel que décrit ci-dessus. [0055] Chacun de ces programmes peut utiliser n'importe quel langage de programmation, et être sous la forme de code source, code objet, ou de code intermédiaire entre code source et code objet, tel que dans une forme partiellement compilée, ou dans n'importe quelle autre forme souhaitable. [0056] L'invention vise aussi un support d'information ou un support d'enregistrement lisibles par un ordinateur, et comportant des instructions du premier, du deuxième ou du troisième programme d'ordinateur mentionné ci-dessus. [0057] Les supports d'information ou d'enregistrement peuvent être n'importe quelle entité ou dispositif capable de stocker les programmes. Par exemple, les supports peuvent comporter un moyen de stockage, tel qu'une ROM, par exemple un CD ROM ou une ROM de circuit microélectronique, ou encore un moyen d'enregistrement magnétique, par exemple un disque dur, ou une mémoire flash. [0058] D'autre part, les supports d'information ou d'enregistrement peuvent être des supports transmissibles tels qu'un signal électrique ou optique, qui peut être acheminé via un câble électrique ou optique, par lien radio, par lien optique sans fil ou par d'autres moyens. [0059] Les programmes selon l'invention peuvent être en particulier téléchargés sur un réseau de type Internet. 12 100601 Alternativement, chaque support d'informations ou d'enregistrement peut être un circuit intégré dans lequel un programme est incorporé, le circuit étant adapté pour exécuter ou pour être utilisé dans l'exécution du procédé de communication, conforme à l'invention, ou du procédé de sélection, conforme à l'invention. [0061] On peut également envisager, dans d'autres modes dc réalisation, que le procédé de traitement, le procédé dc notification, le procédé de supervision, le dispositif du réseau, l'équipement utilisateur, le centre d'opérations de sécurité et le système de surveillance selon l'invention présentent en combinaison tout ou partie des caractéristiques précitées. Brève description des dessins [0062] D'autres caractéristiques et avantages de la présente invention ressortiront de la des- cription faite ci-dessous, en référence aux dessins annexés qui en illustrent un exemple de réalisation dépourvu de tout caractère limitatif. Sur les figures : [fig.11 la figure 1 représente dans son environnement, un système de surveillance conforme à l'invention dans un mode particulier de réalisation ; [fig.21 la figure 2 représente les principales étapes d'un procédé dc notification selon l'invention, dans un mode particulier de réalisation ; [fig.3[ la figure 3 représente les principales étapes d'un procédé dc traitement selon l'invention, dans un mode particulier de réalisation ; et [fig.4[ la figure 4 représente les principales étapes d'un procédé dc supervision selon l'invention, dans un mode particulier de réalisation. Description de l'invention [0063] La figure I illustre, dans son environnement, un système 1 de surveillance d'un réseau de communications NW, conforme à l'invention, dans un mode particulier de réalisation. [0064] Dans l'exemple envisagé sur la figure I, le réseau NW est un réseau de commu- nications 5G (5'"i' Génération) comprenant un coeur de réseau CN auquel les équipements des utilisateurs du réseau peuvent se connecter par l'intermédiaire d'un réseau d'accès, tel que par exemple un réseau d'accès mobile cellulaire. Ces hypothèses ne sont toutefois pas limitatives et l'invention s'applique à d'autres types dc réseaux, comme par exemple à des réseaux 2G, 3G ou encore 4G. [0065] De façon connue en soi, les réseaux 5G tels que le réseau NW offrent la possibilité à une grande diversité d'équipements utilisateurs (référencés de manière générale ici par UE), de bénéficier d'une connectivité (i.e. d'être « connectés ») : véhicules (ex. terrestres ou aéroportés), objets IoT (pour « Internet of Things » en anglais ou encore Internet des Objets) tels que des capteurs, des montres, etc., terminaux intelligents tels que des smartphones, tablettes numériques, ordinateurs portables, etc. Ces équipements 13 utilisateurs sont de natures très diverses, permettent à leurs utilisateurs d'accéder à des services très diverses également, et peuvent de ce fait avoir des contraintes aussi bien matérielles que réseau différentes. [0066] Ainsi par exemple, un objet connecté tel un capteur dispose de ressources de stockage, de calcul et d'énergie relativement faibles par rapport à un ordinateur ou à un véhicule. [0067] Chacun de ces équipements utilisateurs UE est connecté au réseau NW par l'intermédiaire d'un point d'accès au réseau d'accès, généralement référencé dans la suite par AP. Un tel point d'accès peut être, suivant le réseau d'accès envisagé, une station de base BS, un noeud eNodeB, un noeud gNodeB, etc. Il s'agit d'un dispositif du réseau d'accès et a fortiori du réseau NW au sens de l'invention. [0068] Comme mentionné précédemment, l'invention propose pour protéger efficacement le réseau 50 NW d'attaques informatiques (intrusions, virus, etc.), une approche hiérarchique selon laquelle la détection d'anomalies et d'intrusions (ou d'attaques) est opérée à plusieurs niveaux, en tenant compte des contraintes des équipements appartenant à ces différents niveaux. Plus spécifiquement, l'invention propose de mettre à oeuvre au niveau des équipements utilisateurs UE (niveau qualifié de « local »), au niveau de dispositifs du réseau NW (dans l'exemple envisagé à la figure 1, au niveau des points d'accès AP notamment) (niveau qualifié de « global ») et au niveau d'un centre d'opérations de sécurité SOC (Security Operation Center) supervisant le réseau NW (niveau qualifié de « central »), des techniques de détection d'intrusions et/ou d'anomalies adaptées aux ressources disponibles au niveau de chacun de ces équipements, et qui tiennent compte, lors de leur exécution, des contraintes des équipements situés au(x) niveau(x) inférieur(s). De telles contraintes peuvent être notamment des contraintes en termes de ressources (par exemple de mémoire, de stockage, ou encore de puissance de calcul), des contraintes en termes de performances réseau (telles que des contraintes de latence, de débit, de temps de traitement d'informations fournies, de quantité d'informations en surplus fournies, etc.), ou encore des contraintes en termes de sécurité (telles qu'un taux de détection d'attaques, ou un taux de faux positifs, etc.). [0069] Ainsi, dans l'exemple envisagé sur la figure 1, les équipements utilisateurs UE connectés au réseau NW et les points d'accès AP utilisés par ces équipements utilisateurs pour accéder au réseau NW sont respectivement des équipements utilisateurs et des dispositifs du réseau NW conformes à l'invention. Plus spécifiquement, les équipements utilisateurs UE embarquent chacun un agent dit « local » de détection d'intrusions, L-IDA (pour « Local Intrusion Detection Agent »), comprenant des moyens configurés pour mettre en oeuvre les étapes d'un procédé de notification selon l'invention ; chaque point d'accès AP embarque de façon similaire un agent dit 14 « global » de détection d'intrusions, 0-IDA (pour « Global Intrusion Detection Agent »), comprenant des moyens configurés pour mettre en oeuvre les étapes d'un procédé de traitement selon l'invention. [0070] Dans une variante de réalisation, seule une partie des équipements utilisateurs UE et/ ou des points d'accès AP embarquent des agents L-IDA et 0-IDA respectivement. [0071] Par ailleurs, le centre d'opérations de sécurité SOC supervisant le réseau NW est également conforme à l'invention, et embarque ici un agent dit « central » de détection d'intrusions, C-IDA (pour « Central Intrusion Detection Agent »), comprenant des moyens configurés pour mettre en oeuvre un procédé de supervision selon l'invention. On note que le centre d'opérations de sécurité SOC peut également, dans un mode particulier de réalisation, superviser d'autres réseaux que le réseau NW. [0072] Plus particulièrement, le centre d'opérations de sécurité SOC supervise et administre la sécurité du réseau NW (et éventuellement d'autres réseaux). Il s'appuie, à cet effet, sur divers outils de collecte, de corrélation d'événements, d'analyse des activités sur les réseaux et sur les différents équipements qui les composent (ex. bases de données, applications, serveurs, équipements utilisateurs, etc.), ainsi que sur l'expertise d'analystes et de spécialistes en sécurité ; il peut disposer en outre de moyens d'intervention à distance. [0073] Dans le mode de réalisation décrit ici, les procédés de notification, de traitement et de supervision selon l'invention sont mis en oeuvre respectivement au sein des agents L-IDA, 0-IDA et C-IDA au moyen de composants logiciels et/ou matériels définissant différents modules fonctionnels dûment configurés pour mettre en oeuvre les étapes des procédés précités (modules de détection, d'envoi et de réception notamment pour les agents L-IDA ; modules de réception, d'obtention, de traitement et de détermination notamment pour les agents 0-IDA; et modules de réception, de traitement et de détermination notamment pour l'agent C-IDA). On peut regrouper ces modules fonctionnels au niveau de chaque agent IDA, au sein de trois catégories plus générales de modules, à savoir : - un module de surveillance ; - un module de détection d'anomalies et/ou d'attaques ; et - un module d'intervention ou de réaction. [0074] Les composants logiciels précités peuvent être intégrés à un programme d'ordinateur conforme à l'invention. Les équipements utilisateurs UE, les points d'accès AP et/ou le centre d'opérations de sécurité SOC selon l'invention peuvent avoir par exemple l'architecture matérielle d'un ordinateur, et comprendre notamment un processeur, une mémoire vive, une mémoire morte, une mémoire flash non volatile, ainsi que des moyens de communication comprenant une ou plusieurs interfaces de communication. Dans le mode de réalisation décrit ici, la mémoire morte de l'ordinateur est un support d'enregistrement conforme à l'invention, lisible par le processeur et sur lequel est enregistré un programme d'ordinateur selon l'invention, qui comporte, selon l'équipement considéré, des instructions pour la mise en oeuvre d'un procédé de notification selon l'invention (si l'équipement considéré est un équipement utilisateur), d'un procédé de traitement selon l'invention (si l'équipement considéré est un point d'accès ou plus généralement un dispositif du réseau) et d'un procédé de supervision (si l'équipement considéré est un centre d'opérations de sécurité). [0075] On note que dans un autre mode de réalisation, d'autres dispositifs du réseau NVV, et notamment des dispositifs se trouvant dans le coeur de réseau CN, peuvent embarquer des agents G-IDA tels que mentionnés ci-dessus et mettre en oeuvre le procédé de traitement selon l'invention. [0076] Nous allons maintenant décrire, en référence aux figures 2-4, les principales étapes d'un procédé de notification, d'un procédé de traitement et d'un procédé dc supervision telles qu'elles sont mises en oeuvre respectivement, dans un mode particulier de réalisation, par chaque équipement utilisateur UE, chaque point d'accès AP et par le centre d'opérations de sécurité SOC de la figure 1 dans un mode particulier de réalisation. [0077] En référence à la figure 2, dans le mode de réalisation décrit ici, l'agent L-IDA de chaque équipement utilisateur UE est configuré pour surveiller le trafic entrant et sortant (autrement dit, les paquets de données entrants et sortants) de l'équipement utilisateur UE (étape E10). Il est en outre configuré ici pour surveiller le trafic entrant et/ ou sortant d'autres équipements utilisateurs, se trouvant dans son voisinage radio par exemple et qu'il peut recevoir et écouter. [0078] Pour opérer cette surveillance, l'agent L-IDA de l'équipement utilisateur UE s'appuie sur un module de surveillance configuré pour obtenir, à partir de l'analyse des paquets de données entrants et sortants des équipements surveillés, un certain nombre de caractéristiques du trafic échangé via le réseau NW, comme par exemple le type de protocoles ou de services correspondant aux paquets échangés, la durée des communications, le nombre de connexions échouées, le nombre de paquets perdus, etc. Certaines caractéristiques peuvent être extraites par le module de surveillance directement des paquets de données échangés (comme par exemple le type de protocoles ou de services correspondant aux paquets échangés ou la durée des communications) ; d'autres peuvent être obtenues par calcul, comme par exemple le nombre de paquets perdus, l'intensité du signal reçu, le débit d'envoi des paquets, la durée entre deux paquets consécutifs (aussi appelée « jitter » en anglais), etc. Ces différentes caractéristiques de trafic sont classiquement collectées lors de la détection d'intrusions dans un réseau, et la façon d'obtenir ces caractéristiques est connue de l'homme du métier et n'est pas décrite en détail ici. 16 [0079] On note toutefois que conformément à l'invention, les caractéristiques qui sont collectées par le module de surveillance de l'agent L-IDA peuvent être choisies et dimensionnées en fonction des contraintes de l'équipement utilisateur UE embarquant l'agent L-IDA. Ainsi, si celui-ci ne dispose que de peu de ressources de calcul et/ou de stockage, le module de surveillance peut collecter un nombre réduit de caractéristiques, judicieusement sélectionnées, et/ou limiter les caractéristiques qui ont besoin d'être calculées. [0080] Les différentes caractéristiques du trafic collectées par le module de surveillance sont fournies à un module de détection d'anomalies et/ou d'attaques informatiques de l'agent L-IDA. Ce module de détection de l'agent L-IDA applique sur les différentes caractéristiques du trafic fournies, diverses règles de sécurité avec lesquelles il a été configure qui lui permettant d'identifier dans le trafic surveillé la présence d'anomalies (par exemple en comparant certaines caractéristiques à des seuils d'alerte prédéfinis) et/ou de comportements malicieux liés à des attaques informatiques. Il implémente à cet effet en particulier un algorithme de détection d'attaques informatiques (aussi appelé algorithme de détection d'intrusions). [0081] Différents algorithmes de détection d'attaques peuvent être mis en oeuvre par l'agent L-IDA, comme par exemple un algorithme de détection basé sur des signatures d'attaques informatiques, ou encore un algorithme de détection par apprentissage automatique (ou « machine learning » en anglais). [0082] Les algorithmes de détection basés sur des signatures d'attaques informatiques s'appuient sur l'analyse du trafic réseau entrant et sortant : les paquets de données échangés sont comparés, au moyen de règles de sécurité préétablies, avec une base de signatures représentatives d'attaques informatiques connues. Les règles de sécurité sont définies par des experts et peuvent être mises à jour au cours du temps, en fonction de la découverte de nouvelles attaques, de nouvelles signatures, etc. De tels algorithmes sont connus en soi et sont décrits par exemple dans le document de J.Ma et al. intitulé « Detecting Distributed Signature-based Intrusion : the Case of Multi-Path Routing Attacks », IEEE Infocom, pp. 558-566, 2015. [0083] Les algorithmes de détection par apprentissage automatique sont généralement plus complexes que les algorithmes basés sur des signatures mais présentent un meilleur taux de détection et un taux plus faible de faux positifs. Ils peuvent être classés en trois catégories : algorithmes supervisés, non supervisés, et de renforcement. De tels algorithmes sont décrits plus en détail dans le document de P.V.Klaine et al. intitulé « A Survey of Machine Leaming Techniques Applied to Self-Organizing Cellular Networks », IEEE Communications Surveys & Tutorials, vol. 19, n°4, pp. 2392-2431, 2017. [0084] Le choix d'appliquer au niveau de l'agent L-IDA l'une ou l'autre de ces techniques 17 de détection d'attaques est fait, conformément à l'invention, en fonction des contraintes de l'équipement utilisateur UE embarquant l'agent L-IDA, et notamment de ses contraintes matérielles (ressources matérielles disponibles, contraintes en termes de consommation d'énergie, etc.), de ses contraintes réseau (faible latence, etc.), et/ou de ses contraintes de sécurité (taux de détection d'attaques, taux de faux positifs, etc.). [0085] Ainsi, par exemple pour un équipement utilisateur UE de type capteur, l'agent L-IDA applique préférentiellement un algorithme simple et peu consommateur en ternies de ressources de calcul tel qu'un algorithme de détection basé sur la recherche de signatures d'attaques informatiques prédéterminées et/ou de règles de sécurité prédéterminées, préalablement fournies à l'équipement utilisateur et stockées dans l'une de ses mémoires. Si l'équipement utilisateur UE dispose de ressources de stockage limitées, seul un nombre réduit de signatures et/ou de règles de sécurité est stocké au niveau de l'équipement utilisateur UE, typiquement les signatures qui sont le plus représentatives d'attaques informatiques connues (autrement dit le plus souvent rencontrées pour ces attaques) et susceptibles d'affecter ce type d'équipement utilisateur. [0086] Ainsi, non seulement le type d'algorithme de détection appliqué peut différer en fonction de l'équipement utilisateur, mais également le paramétrage de cet algorithme, en vue de réaliser un compromis entre les contraintes de l'équipement utilisateur et le niveau de sécurité assuré. On évitera ainsi par exemple d'appliquer un algorithme d'apprentissage automatique non supervisé ou de renforcement au niveau d'un équipement utilisateur ayant des contraintes fortes en termes de ressources de calcul et de stockage comme un capteur, du fait de la complexité d'un tel algorithme. [0087] En revanche, au niveau d'un équipement utilisateur tel un terminal mobile, les contraintes en termes de consommation d'énergie et de stockage du terminal mobile n'étant pas trop fortes, on pourra envisager l'application d'un algorithme d'apprentissage automatique supervisé léger (i.e. peu complexe) comme par exemple un algorithme de détection comportementale utilisant une machine à vecteurs de support (ou SVM pour Support Vector Machine en anglais) s'appuyant sur divers attributs comportementaux (ex. nombre de paquets supprimés, nombre de paquets envoyés, etc.) modélisant des attaques connues stockés au niveau de l'équipement utilisateur UE. [0088] Au niveau d'un équipement utilisateur tel un véhicule, on pourra considérer un al- gorithme d'apprentissage automatique plus robuste comme un algorithme d'apprentissage automatique non supervisé ou un algorithme de renforcement. Toutefois la durée de l'apprentissage (paramètre de l'algorithme de détection au sens de l'invention) pourra varier en fonction de l'équipement utilisateur et de ses contraintes réseau, notamment de la latence supportée par l'équipement utilisateur. [0089] Le tableau 1 ci-après illustre des exemples de compromis appliqués au niveau des 18 équipements utilisateurs entre contraintes matérielles, réseau et sécurité, et configuration envisagée du module de détection d'anomalies et/ou d'attaques. [0090] [Tableaux 1] Equipements uti- lisateur Contraintes matérielles Contraintes réseau et sécurité Configuration du module de détection Terminal mobile (ex. téléphone in- telligent) Consommation d'énergie faible, stockage limité Large bande passante ; Taux de détection d'attaques et de de faux positifs ; Latence faible Algorithmes basés sur des signatures ou algorithme d'apprentissage au-tomatique léger (ex. SVM) Objet connecté IoT (ex. capteur) Consommation d'énergie très faible, stockage très limité Faible bande passante ; Taux de détection d'attaques et de de faux positifs ; Latence faible Algorithmes basés sur des signatures, avec nombre de règles de sécurité limité Système de transport in- telligent (cx. véhicule autonome) Taux de détection d'attaques et dc de faux positifs ; Latence ultra faible, et faible surplus (overhead) de communication Algorithmes d'apprentissage automatique non su-pervisés ou de mn-forcement [0091] Si l'agent L-IDA ne détecte pas d'anomalies (réponse non à l'étape E20), il continue sa surveillance du trafic échangé sur le réseau NW. On note que préférentiellement, une surveillance active (i.e. en continu) du trafic est mise en oeuvre par l'agent L-IDA. Toutefois, cette surveillance peut être suspendue temporairement (ex. basculer en mode veille) ou définitivement par l'équipement utilisateur UE en fonction du contexte, notamment s'il est jugé, par exemple par des experts en cyber sécurité, qu'il n'y a pas de risques d'attaques au niveau du réseau NW. [0092] Si l'agent L-IDA détecte une anomalie dans le trafic (réponse oui à l'étape E20), deux situations peuvent alors se présenter (étape test E30) : - l'agent L-IDA est en mesure de gérer lui-même cette anomalie (réponse oui à l'étape test E30), autrement dit, le module de détection de l'agent L-IDA a identifié que cette anomalie est liée à une attaque informatique que l'agent UEDA sait traiter 19 (far exemple, l'anomalie correspond à une signature d'une attaque informatique que le module de détection cannait et l'agent L-IDA est configure avec un traitement idoine à appliquer pour répondre à cette attaque), ou le module de détection de l'agent L-IDA a déterminé que l'anomalie qu'il a détectée est liée à un comportement normal du réseau : dans ce cas, l'agent L-IDA traite par lui-même l'anomalie détectée (étape E40), à savoir, si cette anomalie est liée à une attaque, il applique via son module d'intervention le traitement avec lequel il a été configure pour répondre à l'attaque détectée, et s'il s'agit d'un comportement normal du réseau NW, il ne fait rien et continue sa surveillance du trafic. On note que le traitement appliqué par le module d'intervention en réponse à l'attaque détectée peut dépendre du type d'équipement utilisateur UE et/ou de la nature de l'attaque détectée (typiquement de sa gravité). Ainsi par exemple, si l'équipement utilisateur UE est un véhicule autonome, une réponse à l'attaque mise en oeuvre par le module d'intervention peut consister à réduire la vitesse du véhicule afin d'éviter qu'un dommage critique affecte le véhicule (ex. crash du véhicule, altération de sa vitesse) une autre réponse peut être de déconnecter l'équipement utilisateur UE du réseau NW, ou de l'éteindre, etc. Préférentiellement, l'équipement utilisateur UE informe, via son module d'intervention, le point d'accès AP du réseau NW auquel il est connecté de la détection le cas échéant d'une attaque en lui indiquant la nature de cette attaque ainsi que les caractéristiques du trafic ayant permis sa détection. Ceci permet au dispositif du réseau NW de mettre à jour ses statistiques de détection et d'informer à son tour le centre de supervision SOC de l'attaque détectée. Ce dernier peut alors décider, en fonction de l'attaque détectée, d'une action complémentaire à celle appliquée par l'équipement utilisateur UE. En variante, l'équipement utilisateur UE peut informer directement le centre de supervision SOC de l'attaque qu'il a détectée ; - l'agent L-IDA n'est pas en mesure de gérer lui-même cette anomalie (réponse non à l'étape test E30), autrement dit, il ne sait pas conclure sur la nature de l'anomalie qu'il a détectée et est incapable de déterminer si l'anomalie détectée correspond à un comportement normal du réseau ou à une attaque informatique : dans ce cas, le module d'intervention de l'agent L-IDA est configuré pour envoyer un message d'alerte, nommé ici ALERT, à un dispositif du réseau NW équipé d'un module 0-IDA, à savoir ici au point d'accès AP auquel il est connecté pour accéder au réseau NW (étape E50). L'envoi de ce message d'alerte se fait via l'interface de communication de l'équipement utilisateur UE. [0093] Le message d'alerte ALERT envoyé le cas échéant par le module d'intervention de l'agent L-IDA notifie le point d'accès Al'', et plus particulièrement son agent G-IDA, de l'anomalie détectée par l'agent L-IDA de l'équipement utilisateur UE afin que celui-ci procède à une analyse plus approfondie de cette anomalie. Le message d'alerte ALERT comprend les caractéristiques du trafic ayant permis à l'agent L-IDA de détecter une anomalie (c'est-à-dire associées à cette anomalie), ainsi que, conformément à l'invention, au moins une information représentative d'au moins une contrainte de l'équipement utilisateur UE (ex. matérielle, réseau, sécurité, etc.). On note que pour informer le point d'accès AP et/ou le centre de supervision SOC d'une attaque qu'il a détectée le cas échéant (cf. ci-dessus), l'équipement utilisateur UE peut également utiliser le message ALERT. [0094] Ladite au moins une information représentative de ladite au moins une contrainte de l'équipement utilisateur peut prendre différentes formes, notamment selon la nature de la ou des contraintes signalées par l'équipement utilisateur UE. [0095] Dans le mode de réalisation décrit ici, le module d'intervention de l'agent L-IDA de l'équipement utilisateur UE évalue une fonction seuil, notée de façon générale TFx(UE), pour tout ou partie des contraintes dont il dispose : par exemple, une fonction seuil TEe(UE) pour ses contraintes en termes de consommation d'énergie, une fonction seuil TEm(UE) pour ses contraintes en termes de stockage et une contrainte TF1(UE) pour ses contraintes en termes de latence. Ces fonctions seuils représentent ici des taux et ont des valeurs comprises entre 0 et 1. Elles représentent respectivement les taux maximums d'énergie, de mémoire et de latence que l'agent 0-DA du point d'accès AP doit respecter pour l'équipement utilisateur UE pour la détection d'attaques. Elles reflètent les contraintes de l'équipement utilisateur en matière de consommation d'énergie, de stockage et de latence dont doit tenir compte le point d'accès et plus particulièrement l'agent (i-IDA. [0096] Plus particulièrement, dans le mode de réalisation décrit ici, le module d'intervention de l'agent L-IDA de l'équipement utilisateur UE calcule les valeurs des trois fonctions seuils linéaires suivantes : TEe(UE)=a1.Te(UE)[1-E(UE)/Etot(UE)I-Fb1 TEm(UE)=a2.Tm(UE)[1-M(UE)/Mtot(UE)1-412 TE1(UE)=a3.TRUE)[1-L(UE)/Ltot(UE)I-Eb3 où E(UE) désigne l'énergie consommée à un instant t considéré au niveau de l'équipement utilisateur UE pour la détection d'attaques et Etot(UE) l'énergie totale au niveau de l'équipement utilisateur UE dédiée à la détection d'attaques, M(UE) désigne la mémoire consommée de l'équipement utilisateur UE à l'instant t pour la détection d'attaques et Mtot(UE) la mémoire totale au niveau de l'équipement utilisateur UE dédiée à la détection d'attaques, L(UE) désigne la latence introduite à l'instant t par la détection d'attaques au niveau de l'équipement utilisateur UE et Ltot(UE) la latence maximale pouvant être supportée au niveau de l'équipement utilisateur UE pour la détection d'attaques. On note que l'instant t considéré est choisi pour refléter un état courant de la consommation de l'équipement utilisateur UE en termes d'énergie et de 21 mémoire et la latence courante introduite au niveau de l'équipement utilisateur UE; il peut s'agir par exemple de l'instant d'évaluation des fonctions TFe(UE), TFm(UE) et TFRUE) ou de l'instant de détection de l'anomalie par l'équipement utilisateur UE. [0097] Les valeurs Te(UE), Tm(UE), et Tl(UE) sont des valeurs réelles fixes comprises également entre 0 et 1 : il s'agit de taux propres à chaque équipement utilisateur UE, et avec lesquels l'équipement utilisateur UE peut avoir été préalablement configure (par exemple statiquement par son fabricant ou dynamiquement par l'opérateur du réseau NW). Ces valeurs Te(UE), Tm(UE), et Tl(UE) définissent respectivement un seuil maximal d'énergie, de mémoire et de latence qui peut être alloué au niveau de l'équipement utilisateur UE pour la détection d'attaques, compte tenu de l'énergie, de la mémoire et de la latence totales dont l'équipement utilisateur UE dispose à cet effet. Par exemple, si l'énergie totale dédiée au niveau de l'équipement utilisateur UE à la détection d'attaques est Etot(UE) (UE) =100:1 (joules) et l'énergie consommée par l'équipement utilisateur UE lors de la détection de l'anomalie est E(UE)=25I (joules), Te(UE)=85% (ou 0.85) signifie que 85% de 75:1 (i.e. 100:1-25J) peuvent être encore alloués au niveau de l'équipement utilisateur UE à la détection d'attaques. [0098] Les facteurs al, a2, a3, hl, h2 et 113 sont des facteurs de pondération réels choisis entre 0 et 1 et de sorte à garantir des valeurs des fonctions TFe(UE), TFm(UE) et TFRUE) comprises entre 0 et 1. Ils peuvent être déterminés par expérimentation ou par expertise. Ils sont introduits ici pour refléter l'importance des contraintes de consommation d'énergie, de stockage et de latence pour l'équipement utilisateur UE considéré, et peuvent permettre en fonction de leur choix de hiérarchiser ces contraintes entre elles. Ainsi, si la contrainte de consommation d'énergie est une contrainte forte pour l'équipement utilisateur UE considéré, le facteur al est choisi supérieur au facteur bl, et tend préférentiellement vers 1 tandis que le facteur bl tend vers 0. Inversement, si l'équipement utilisateur UE n'a qu'une contrainte assez faible en termes de consommation d'énergie, al peut être choisi tendant vers 0 tandis que bl tend vers I. On note que si l'équipement utilisateur UE n'a aucune contrainte en termes de consommation d'énergie, on peut dans ce cas prendre al=b1=Te(UE)=0. [0099] Cet exemple des trois fonctions seuils TFe(UE), TFm(UE) et TF1(UE) évaluées et fournies par l'équipement utilisateur UE n'est donné qu'à titre illustratif, considérant que les contraintes de consommation d'énergie, de stockage et de latence sont les contraintes les plus courantes rencontrées au niveau des équipements utilisateurs. En variante, d'autres contraintes (ex. matérielles, réseau et/ou de sécurité) peuvent être envisagées en complément ou en remplacement des contraintes précitées. En outre, ces contraintes peuvent prendre d'autres formes que les fonctions seuils TFe(UE), TFm(UE) et TF1(UE) (par exemple on peut avoir al=a2=a3=1 et bl=b2=b3=0). [0100] Le module d'intervention de l'agent L-IDA de l'équipement utilisateur UE insère les valeurs calculées des fonctions TFe(UE), TFm(UE) et TFRUE) dans le message ALERT envoyé au point d'accès AP, ainsi que les valeurs de E(UE), Etot(UE), M(UE), Mtot(UE), L(UE) et Ltot(UE), par exemple dans des champs du message prévus à cet effet. Ces valeurs sont des informations représentatives de contraintes de l'équipement utilisateur UE au sens de l'invention. [0101] En variante, le module d'intervention de l'agent L-IDA de l'équipement utilisateur UE peut insérer dans le message ALERT envoyé au point d'accès les valeurs E(UE), Etot(UE), M(UE), Mtot(UE), L(UE) et Ltot(UE), Te(UE), Tm(UE), Tl(UE) et les facteurs de pondération ai, bl a2, b2, a3, b3, et c'est le point d'accès AP qui évalue les fonctions TFe(UE), TFm(UE) et TFRUE) à partir des informations fournies par l'équipement utilisateur UE. Dans une autre variante encore, les facteurs de pondération ai, hi, a2, b2, a3, 1)3 peuvent être accessibles par le point d'accès AP auprès d'une hase de données et ne pas être fournis par l'équipement utilisateur UE dans le message ALERT. [0102] En variante, les informations représentatives des contraintes de l'équipement uti- lisateur UE peuvent prendre d'autres formes. Par exemple, l'équipement utilisateur UE peut spécifier dans le message ALERT un indicateur du type d'équipement auquel il appartient, cet indicateur étant associé dans une base de données pré-remplie, accessible par le point d'accès AP, à une ou plusieurs contraintes des équipements utilisateurs de ce type. [0103] En référence à la figure 3, sur réception par le point d'accès AP d'un message d'alerte ALERT d'un équipement utilisateur UE (étape F10), l'agent 0-IDA du point d'accès AP active son module de détection d'anomalies et d'attaques (étape F20). [0104] Le module du point d'accès AP extrait du message ALERT reçu les caractéristiques du trafic collectées par l'équipement utilisateur UE et associées à l'anomalie que celui-ci a détectée (étape F30). [0105] III obtient par ailleurs à partir du message d'alerte ALERT reçu, des informations re- présentatives des contraintes de l'équipement utilisateur UE à l'origine du message (étape F30). [0106] Dans le mode de réalisation décrit ici, ces informations sont les valeurs des fonctions seuils TFe(UE), TFm(UE) et TF1(UE) et les valeurs de E(UE), Etot(UE), M(UE), Mtot(UE), L(UE) et Ltot(UE) insérées par l'équipement utilisateur dans le message ALERT [0107] En variante, comme mentionné précédemment, l'agent 0-IDA du point d'accès AP peut obtenir ces informations en rapprochant un indicateur du type de l'équipement utilisateur UE à l'origine du message ALERT contenu dans ce message, de contraintes auxquelles sont sujets les équipements utilisateurs de ce type, stockées par exemple dans une base de données accessible par le point d'accès AP (localisée ou non dans le 23 réseau NW). [0108] Puis le module de détection d'anomalies et d'attaques est configure en fonction des contraintes ainsi identifiées pour l'équipement utilisateur UE (étape F40). Cette configuration comprend notamment la sélection d'un algorithme de détection d'attaques adapté aux contraintes de l'équipement utilisateur UE et/ou un paramétrage de l'algorithme de détection d'attaques appliqué par le module de détection adapté à ces contraintes. [0109] On note que l'algorithme de détection d'attaques utilisé par le module de détection est également adapté aux contraintes du point d'accès AP. Toutefois, ce dernier se trouvant dans le réseau NW, ses contraintes, au moins matérielles, sont généralement moins importantes que celles de l'équipement utilisateur UE (notamment en termes de consommation d'énergie, de stockage ou encore de calcul). Le point d'accès AP peut par conséquent appliquer un algorithme de détection d'attaques plus complexe et plus robuste que celui appliqué par l'équipement utilisateur UE, présentant de meilleures performances en termes de taux de détection d'attaques et/ou de taux de faux positifs. [0110] A titre d'exemple, lors de la configuration du module de détection, un algorithme de détection rapide à exécuter peut être sélectionné si l'équipement utilisateur UE a une contrainte importante voire ultra-importante en termes de latence (estimée à partir de la valeur de TFRUE).[Ltot(UE)-L(UE)], par exemple par comparaison avec un seuil). Un tel algorithme peut être un algorithme basé sur des signatures dont le nombre de signatures considérées est choisi en fonction de la latence maximum pouvant être supportée par l'équipement utilisateur UE (donnée par la valeur de TF1(UE).[Ltot(UE)-L(UE)I), ou en variante un algorithme de détection par apprentissage automatique paramétré en fonction de la latence maximum donnée par la valeur TF1(UE).[Ltot(UE)-L(UE)]. Un exemple d'un tel paramétrage consiste par exemple à dimensionner la durée de l'apprentissage en fonction de la valeur TF1(UE).[Ltot(UE)-L(UE)I, pour respecter cette valeur de latence maximale supportée par l'équipement utilisateur UE tout en garantissant un niveau de sécurité acceptable pour l'équipement utilisateur UE (en termes de taux de détection par exemple ou de faux positifs). Les valeurs de paramétrage peuvent être déterminées préalablement expérimentalement de sorte à vérifier une série de compromis prédéfinis par exemple, et permettre à l'agent 0-IDA de rapidement sélectionner les paramètres adaptés aux contraintes en matière de sécurité, de contraintes réseau et de ressources matérielles de l'équipement utilisateur UE. [0111] Le module de détection de l'agent 0-IDA traite ensuite les caractéristiques du trafic extraites du message ALERT reçu avec l'algorithme de détection dûment configuré (étape F50). [0112] On note que lors de ce traitement, le module de détection peut également utiliser des 24 caractéristiques du trafic collectées par le point d'accès AP ou remontées par d'autres équipements utilisateur connectés au point d'accès AP, ou par d'autres points d'accès AP du réseau NW se trouvant par exemple dans son voisinage et aptes à communiquer avec lui. Il peut ainsi agréger un grand nombre de caractéristiques collectées et renforcer la robustesse de la détection mise en oeuvre. Avantageusement, le point d'accès AP bénéficie d'une meilleure visibilité sur le trafic échangé via le réseau NW que chaque équipement utilisateur UE individuellement. [0113] On note par ailleurs qu'une détection locale peut également être mise en oeuvre indé- pendamment par le point d'accès AP via son module de détection à partir des caractéristiques collectées par le point d'accès AP, en vue de détecter des anomalies se manifestant au niveau du réseau NW. On a ainsi deux niveaux de détection opérés par le point d'accès AP : une détection locale des anomalies et d'attaques à partir des caractéristiques du trafic collectées par le point d'accès AP lui-même, et une détection d'attaques opérée sur les anomalies remontées par l'équipement utilisateur UE à partir des caractéristiques collectées parce dernier. Pour la détection locale d'anomalies et d'attaques à partir des caractéristiques du trafic collectées par le point d'accès AP lui-même, le module de détection du point d'accès AP est configure en tenant compte de ses propres contraintes. Le point d'accès AP peut en variante être doté de deux modules de détection distincts, un destiné à opérer sur les caractéristiques du trafic remontées par l'équipement utilisateur UE et configure en fonction des contraintes de l'équipement utilisateur UE comme décrit précédemment, et un destiné à opérer sur les caractéristiques du trafic collectées localement par le point d'accès AP et configuré en fonction des contraintes de ce point d'accès AP. [0114] Différentes situations peuvent se présenter selon le résultat du traitement opéré par le module de détection de l'agent G-IDA : - l'agent G-IDA est en mesure de gérer lui-même l'anomalie remontée par l'équipement utilisateur UE (réponse oui à l'étape test F60), autrement dit, le module de détection de l'agent 0-IDA a identifié que cette anomalie est liée à une attaque informatique que l'agent 0-IDA sait traiter (par exemple, l'anomalie correspond à une signature (l'une attaque informatique que le module de détection connait), ou le module de détection de l'agent G-IDA a déterminé que l'anomalie détectée par l'équipement utilisateur UE est liée à un comportement normal du réseau. Dans ce cas, l'agent 0-IDA traite par lui-même l'anomalie détectée (étape F70), à savoir : si cette anomalie est liée à une attaque (contre un équipement utilisateur connecté au réseau ou contre un élément du réseau), il prépare via son module d'intervention une réponse destinée à l'équipement utilisateur UE pour lui permettre de répondre à cette attaque. La façon dont la réponse est déterminée est décrite plus en détail ultérieurement. Par ailleurs, dans le mode de réalisation décrit ici, le module d'intervention de l'agent G-IDA envoie un message de notification de l'attaque détectée au centre d'opérations de sécurité SOC supervisant le réseau NW. Ce message (qui peut être un message ALERT tel que décrit précédemment ou un autre message de notification) vise à alerter le centre d'opérations de sécurité SOC de l'attaque en cours afin que celui-ci mette à jour les informations dont il dispose sur le réseau NW et les attaques perpétrées contre ce réseau, et ainsi enrichir les bases de données et les statistiques qu'il maintient sur le ou les réseaux qu'il supervise. Il peut contenir les caractéristiques du trafic associées à l'attaque détectée et collectées par l'équipement utilisateur UE, niais également d'autres types d'informations collectées par exemple par le point d'accès. Le centre d'opérations de sécurité peut également prendre une décision quant à la gestion de l'attaque détectée et la ou les actions qui peuvent être mises en oeuvre pour mitiger cette attaque : inscription de l'équipement utilisateur UE ou plus généralement de la ou des cibles suspectées de l'attaque sur une liste noire, mise à jour de clés cryptographiques, déploiement d'agents IDA dans la zone affectée, etc. ; s'il s'agit d'un comportement normal du réseau NW, dans le mode de réalisation décrit ici, le module d'intervention de l'agent G-IDA ne fait rien, i.e. il ne répond pas à l'équipement utilisateur UE afin de préserver la signalisation échangée avec ce dernier et ses ressources de traitement de la réponse ; le module d'intervention n'informe pas non plus le centre d'opérations de sécurité de l'anomalie remontée par l'équipement utilisateur UE. En variante, si l'anomalie détectée par l'équipement utilisateur UE est liée à un comportement normal du réseau NW, le module d'intervention de l'agent G-IDA répond à l'équipement utilisateur UE en lui signalant ce comportement normal ; - l'agent G-IDA n'est pas en mesure de gérer lui-même l'anomalie (réponse non à l'étape test F60), autrement dit, il ne sait pas conclure sur la nature de l'anomalie que l'équipement utilisateur UE a détectée et en particulier, il est incapable de déterminer si l'anomalie détectée correspond à un comportement normal du réseau NW ou à une attaque informatique : dans ce cas, le module d'intervention de l'agent G-IDA est configuré pour envoyer un message d'alerte ALERT au centre d'opérations de sécurité SOC supervisant le réseau NW, pour analyse complémentaire de l'anomalie (étape F80). L'envoi de ce message d'alerte se fait via l'interface de communication du point d'accès AP. [0115] Lorsque le module de détection de l'agent G-IDA détecte une attaque à partir de l'anomalie remontée par l'équipement utilisateur UE, le traitement de l'attaque détectée par le module d'intervention de l'agent G-IDA et la réponse qui est faite à l'équipement utilisateur UE concernant l'anomalie qu'il a détectée et remontée, dépend de plusieurs paramètres comme notamment de la nature et de la gravité de l'attaque, de la cible que l'on souhaite protéger de cette attaque, etc. [0116] En outre, conformément à l'invention, le module d'intervention de l'agent G-1DA 26 détermine (i.e. élabore) la réponse qu'il apporte à l'équipement utilisateur UE concernant l'anomalie qu'il a détectée en fonction des contraintes de cet équipement utilisateur UE. [0117] Une telle réponse peut consister par exemple à envoyer dans un message de réponse à l'équipement utilisateur UE, nommé par la suite FEEDBACK, de nouvelles signatures et/ou de nouveaux attributs d'attaques (suivant l'algorithme de détection utilisé par l'agent L-IDA de l'équipement utilisateur UE) destinés à être appliqués par l'équipement utilisateur UE pour être en mesure de détecter des attaques du type de celle détectée par l'agent 0-IDA. Ces nouvelles signatures (par exemple pour un algorithme de détection basé sur des signatures) et/ou ces nouveaux attributs (par exemple pour un algorithme de détection comportemental basé sur un apprentissage automatique) peuvent être par exemple les signatures et/ou les attributs qui ont été utilisés ou considérés le cas échéant par le module de détection de l'agent 0-IDA pour détecter l'attaque. En variante, ils peuvent avoir été fournis à l'agent G-IDA par une entité IDS (Intrusion Detection System) externe, comme par exemple par le centre d'opérations de sécurité SOC. [0118] Le nombre de signatures et/ d'attributs fournis dans le message FEEDBACK peut être dimensionné par le module d'intervention de l'agent G-IDA en fonction des contraintes de l'équipement utilisateur UE. [0119] A cet effet, dans le mode de réalisation décrit ici, le module d'intervention de l'agent 0-IDA évalue une fonction d'efficacité notée EF(UE), comprise entre 0 et 1, et définie par la somme pondérée suivante : EF(UE)=E[a4.AD(UE)-b4.TE(UE)] où EH désigne l'espérance mathématique, a4 et b4 sont des facteurs de pondération réels compris entre 0 et 1 et déterminés expérimentalement en tenant compte par exemple des contraintes en matière de taux de détection d'attaques et des autres contraintes de l'équipement utilisateur, AD(UE) désigne la capacité (ou l'efficacité) de détection d'attaques par l'agent L-IDA de l'équipement utilisateur UE, et : TF(UE),(Te(UE)-FTm(UE)-FT1) (UE)/(TEe(UE)-FTFm(UE)+TF1(UE)) [0120] La capacité de détection d'attaques (ou de nouvelles attaques) par l'agent L-IDA de l'équipement utilisateur UE peut être évaluée par le module d'intervention de l'agent 0-IDA à partir de l'inverse du ratio du nombre d'anomalies remontées par l'équipement utilisateur UE (sur lesquelles l'équipement utilisateur UE n'a pas été en mesure de conclure à une attaque ou à un comportement normal) et du nombre d'attaques détectées le module de détection de l'agent 0-IDA parmi ces anomalies. [0121] En variante, la capacité de détection d'attaques par l'agent L-IDA de l'équipement utilisateur UE peut être évaluée de sorte à tenir compte également du taux de faux positifs détectés par l'équipement utilisateur UE. 27 [0122] On note que TF(UE) peut avoir été calculée par l'équipement utilisateur UE et être remontée par celui-ci dans le message ALERT envoyé au point d'accès AP (à la place ou en complément des valeurs de TFe(UE), TFtn(UE) et TFRUE)). [0123] Grâce à la fonction d'efficacité EF(AP), le module d'intervention de l'agent G-IDA peut adapter sa réponse à l'équipement utilisateur UE en fonction d'un compromis choisi entre efficacité de la détection opérée par l'équipement utilisateur UE et contraintes matérielles/réseau/sécurité de cet équipement utilisateur UE. L'accent peut être mis davantage sur l'efficacité ou sur les contraintes via le choix des facteurs de pondération a4 et b4. [0124] Plus particulièrement, dans le mode de réalisation décrit ici, le module d'intervention de l'agent G-IDA adapte le nombre N de signatures et/ou le nombre d'attributs (suivant l'algorithme de détection utilisée par l'agent L-IDA de l'équipement utilisateur UE) envoyés à l'équipement utilisateur UE en réponse à l'anomalie détectée par ce dernier en fonction de la valeur prise par la fonction d'efficacité EF(AP). Par exemple : - si 0.7 REVENDICATIONSProcédé de traitement, par un dispositif (AP) d'un réseau (NW), d'un message d'alerte reçu d'un équipement utilisateur (LW) connecté au réseau, ledit message d'alerte notifiant une anomalie détectée par l'équipement utilisateur dans un trafic émis via le réseau, ledit procédé de traitement comprenant : - une étape d'obtention (F30), à partir du message d'alerte, d'au moins une information représentative d'au moins unc contrainte de l'équipement utilisateur ; - une étape de traitement (F50), au moyen d'un algorithme de détection d'attaques informatiques, de caractéristiques du trafic fournies par l'équipement utilisateur et associées à l'anomalie détectée, l'algorithme de détection d'attaques informatiques étant sélectionné et/ou paramétré en fonction de ladite au moins une information ; et - une étape de détermination (F70) en fonction d'un résultat de l'étape de traitement, et si une attaque informatique est détectée, de ladite au moins une information, d'une réponse à l'équipement utilisateur concernant l'anomalie détectée. Procédé de traitement selon la revendication 1 dans lequel ladite au moins une information obtenue est représentative d'au moins une contrainte en termes de ressources et/ou de performances réseau de l'équipement utilisateur. Procédé de traitement selon la revendication 2 dans lequel : - la contrainte en termes de ressources est une contrainte de consommation d'énergie ou d'espace de stockage disponible ; - la contrainte en termes de performances réseau est une contrainte de latence, de bande passante, de débit, de temps de traitement d'informations fournies à l'équipement utilisateur ou de quantité de surplus d'informations fournies à l'équipement utilisateur. Procédé de traitement selon l'une quelconque des revendications 1 à 3 dans lequel l'algorithme de détection d'attaques informatiques est sélectionné parmi : - un algorithme de détection basé sur des signatures d'attaques informatiques ; - un algorithme de détection par apprentissage automatique. Procédé de traitement selon la revendication 4 dans lequel, lorsqu'un algorithme de détection par apprentissage automatique est sélectionné lors 37 de l'étape de traitement, une durée d'apprentissage considérée pour ledit algorithme est paramétrée en fonction de ladite au moins une information. [Revendication 6] Procédé de traitement selon l'une quelconque des revendications 1 à dans lequel : - l'étape de traitement comprend la détection d'une attaque informatique contre un équipement utilisateur connecté au réseau et/ou contre un élément du réseau ; et - l'étape de détermination comprend l'évaluation d'une fonction dite d'efficacité à partir d'au moins une métrique dérivée de ladite au moins une information et d'une efficacité de détection d'attaques par l'équipement utilisateur, la réponse étant déterminée en fonction de la valeur de la fonction d'efficacité. [Revendication 7] Procédé de traitement selon la revendication 6 dans lequel la réponse déterminée comprend l'envoi d'un message à l'équipement utilisateur comprenant N signatures et/ou attributs de l'attaque obtenues par le dispositif du réseau, N désignant un nombre entier dépendant de la valeur de la fonction d'efficacité. [Revendication 8] Procédé de traitement selon la revendication 7 dans lequel N dépend en outre d'un facteur de coût fourni par l'équipement utilisateur. [Revendication 9] Procédé de traitement selon la revendication 7 ou 8 dans lequel les si- gnatures et/ou attributs de l'attaque sont obtenues par le dispositif du réseau d'un centre d'opérations de sécurité supervisant ledit réseau. [Revendication 10] Procédé de traitement selon l'une quelconque des revendications 1 à 9 comprenant, si lors de l'étape de traitement, le dispositif du réseau est incapable de déterminer si l'anomalie détectée correspond à un comportement normal ou à une attaque informatique, une étape d'envoi (F80) à un centre d'opérations de sécurité (SOC) supervisant le réseau, d'un message d'alerte lui notifiant l'anomalie détectée par l'équipement utilisateur et comprenant les caractéristiques du trafic fournies par l'équipement utilisateur et associées à l'anomalie détectée et au moins une information représentative d'une contrainte du dispositif du réseau. [Revendication ii]Procédé de traitement selon l'une quelconque des revendications 1 à 10 comprenant en outre : - une étape de détection par le dispositif du réseau, d'une anomalie dans un trafic émis sur le réseau à partir de caractéristiques du trafic obtenues par le dispositif du réseau ; - une étape d'envoi à un centre d'opérations de sécurité (SOC) su- 38 [Revendication 12] [Revendication 13] [Revendication 14] pervisant le réseau pour analyse de l'anomalie détectée par le dispositif du réseau, d'un message de notification de cette anomalie comprenant lesdites caractéristiques du trafic obtenues par le dispositif du réseau et au moins une information représentative d'une contrainte du dispositif du réseau. Procédé de traitement selon l'une quelconque des revendications 1 àll comprenant en outre si lors de l'étape de traitement, le dispositif du réseau détecte une attaque informatique contre un équipement utilisateur connecté au réseau et/ou contre un élément du réseau, une étape de notification d'un centre d'opérations de sécurité supervisant le réseau de l'attaque détectée. Procédé de supervision, par un centre d'opérations de sécurité (SOC) supervisant au moins un réseau, comprenant : - une étape de réception (H10), en provenance d'un dispositif du réseau, d'un message d'alerte notifiant une anomalie détectée par un équipement utilisateur connecté au réseau ou par le dispositif du réseau dans un trafic émis via ledit réseau, ledit message d'alerte comprenant des caractéristiques du trafic obtenues par l'équipement utilisateur ou par le dispositif du réseau et associées à l'anomalie détectée, et au moins une information représentative d'au moins une contrainte du dispositif du réseau ; - une étape de traitement (H30, H80), au moyen d'un algorithme de détection d'attaques informatiques, desdites caractéristiques du trafic, l'algorithme de détection étant sélectionné et/ou paramétré en fonction de ladite au moins une information ; et - une étape de détermination (H50, H100), en fonction d'un résultat de l'étape de traitement et, si une attaque est détectée, de ladite au moins une information, d'une réponse au dispositif du réseau et/ou à l'équipement utilisateur concernant l'anomalie détectée. Procédé de notification, par un équipement utilisateur (UE) connecté à un réseau, comprenant : - une étape de détection (E20) d'une anomalie dans un trafic émis via le réseau, à partir de caractéristiques du trafic obtenues par l'équipement utilisateur ; - si l'équipement utilisateur est incapable de déterminer si l'anomalie détectée correspond à un comportement normal ou à une attaque informatique, une étape d'envoi (E50), à un dispositif du réseau, d'un message d'alerte lui notifiant l'anomalie détectée, ledit message d'alerte 39 [Revendication 15] [Revendication 16] comprenant lesdites caractéristiques du trafic et au moins une information représentative d'au moins une contrainte de l'équipement utilisateur ; et - une étape de réception (E60) d'un message du dispositif de réseau concernant l'anomalie détectée élaboré en fonction de ladite au moins une information. Dispositif d'un réseau (AP) comprenant : - un module de réception (G-IDA), apte à recevoir un message d'alerte en provenance d'un équipement utilisateur connecté au réseau, ce message d'alerte notifiant une anomalie détectée par l'équipement utilisateur dans un trafic émis via le réseau ; - un module d'obtention (G-IDA), configuré pour obtenir à partir du message d'alerte au moins une information représentative d'au moins une contrainte de l'équipement utilisateur ; - un module de traitement (G-IDA), configuré pour traiter au moyen d'un algorithme de détection d'attaques informatiques des caractéristiques du trafic fournies par l'équipement utilisateur et associées à l'anomalie détectée, l'algorithme de détection d'attaques informatiques étant sélectionné et/ou paramétré en fonction dc ladite au moins une information ; et - un module de détermination (G-IDA), configuré pour déterminer en fonction d'un résultat de l'étape de traitement, et si une attaque informatique est détectée, de ladite au moins une information, une réponse à l'équipement utilisateur concernant l'anomalie détectée. Centre d'opérations de sécurité (SOC) supervisant au moins un réseau comprenant : - un module de réception (C-IDA), apte à recevoir en provenance d'un dispositif du réseau un message d'alerte notifiant une anomalie détectée par un équipement utilisateur connecté au réseau ou par le dispositif du réseau dans un trafic émis via ledit réseau, ce message d'alerte comprenant des caractéristiques du trafic obtenues par l'équipement utilisateur ou par le dispositif du réseau associées à l'anomalie détectée, et au moins une information représentative d'au moins une contrainte du dispositif du réseau ; - un module de traitement (C-IDA), configuré pour traiter au moyen d'un algorithme de détection d'attaques informatiques, lesdites caractéristiques du trafic, l'algorithme de détection étant sélectionné et/ou pai-amétré en fonction de ladite au moins une information ; et 40 [Revendication 17] [Revendication 18] [Revendication 19] [Revendication 20] - un module de détermination (C-IDA), configure pour déterminer en fonction d'un résultat de l'étape de traitement et, si une attaque est détectée, de ladite au moins une information, une réponse au dispositif du réseau et/ou à l'équipement utilisateur concernant l'anomalie détectée. Equipement utilisateur (UE) connecté à un réseau, comprenant : - un module de détection (L-IDA), configure pour détecter une anomalie dans un trafic émis via le réseau à partir de caractéristiques du trafic obtenues par l'équipement utilisateur ; - un module d'envoi (L-1DA), activé si l'équipement utilisateur est incapable de déterminer si l'anomalie détectée correspond à un comportement normal ou à une attaque informatique, ledit module d'envoi étant configure pour envoyer à un dispositif du réseau un message d'alerte lui notifiant l'anomalie détectée, ce message d'alerte comprenant lesdites caractéristiques du trafic et au moins une information représentative d'au moins une contrainte de l'équipement utilisateur ; et - un module de réception (L-IDA), apte à recevoir un message du dispositif de réseau concernant l'anomalie détectée élaboré en fonction de ladite au moins une information. Système de surveillance (1) d'un réseau comprenant : - au moins un équipement utilisateur (UE) selon la revendication 17 ; - au moins un dispositif du réseau (AP) selon la revendication 15 ; et - un centre d'opérations de sécurité (SOC) selon la revendication 16. Système de surveillance selon la revendication 18 dans lequel le dispositif du réseau est un équipement d'un réseau d'accès du réseau. Système de surveillance selon la revendication 18 dans lequel le dispositif du réseau est un équipement d'un coeur du réseau.