Brevet FR3094600A1 — publié le 20201002

Description Titre de l'invention : Procédé d'extraction d'au moins un motif de communication dans un réseau de communication Technique antérieure [0001] La présente invention appartient au domaine général de la sécurité informatique. Elle concerne plus particulièrement un procédé d'extraction d'au moins un motif de communication à partir d'un registre de réseau comportant des connexions préalablement établies dans un réseau de communication. Elle concerne aussi un procédé de détection d'un comportement dans un réseau de communication, à partir d'un registre de réseau courant comportant des connexions établies dans ledit réseau. L'invention trouve une application particulièrement avantageuse, bien que nullement limitative, dans le cas d'un réseau faisant l'objet d'une intrusion malveillante. [0002] Par « réseau de communication », on fait référence ici à l'ensemble des ressources matérielles et logicielles utiles à la transmission et l'échange d'informations entre différentes entités regroupées dans ledit réseau. [0003] Une détection rapide et précise de menaces et d'intrusions, conespondant le cas échéant à des attaques effectives, dans des réseaux de communication est une problématique critique pour la sécurité des entités partageant de tels réseaux. L'ampleur de cette problématique ne cesse en outre de s'accroître de nos jours à mesure que le volume de trafic généré dans ces réseaux augmente. 100041 Aujourd'hui, la prise en charge de cette problématique est réalisée par des experts en sécurité des réseaux, éventuellement regroupés dans une entité dite « SOC» (acronyme de l'expression anglo-saxonne « Security Operating Center ») au sein d'une entreprise. Ces experts mettent en oeuvre des outils dédiés de protection, typiquement des systèmes de type SIEM (acronyme de l'expression anglo-saxonne « Security Information and Event Management ») permettant de corréler des connexions établies au sein d'un réseau de communication entre deux entités, cela afin d'identifier d'éventuels liens entre lesdites connexions (une connexion correspondant à un « log » dans la littérature anglo-saxonne lorsqu'elle est horodatée). De cette manière, il est possible, via ces systèmes SIEM, d'émettre des alertes en cas d'intrusion malveillante au sein du réseau, ainsi que de générer des rapports relatifs aux incidents et anomalies analysées. 100051 Les systèmes SIEM ne peuvent toutefois pas être considérés comme optimaux en termes de stratégie de protection et de défense vis-à-vis d'intrusions dans un réseau de communication. En effet, ces derniers s'appuient sur des règles de détection statiques, et ne sont pas aptes à détecter des variantes d'attaques ciblées, de sorte qu'ils génèrent 2 des fausses alertes en quantité non négligeable. Ces règles doivent donc être régulièrement mises à jour manuellement pour tenir compte d'évolutions des attaques, ce qui consomme énormément de temps d'experts tout en leur demandant des efforts considérables. Il en découle une stratégie de protection coûteuse, peu réactive, et dès lors peu adaptée à des détections rapides aptes à réduire le taux de fausses alertes. [0006] D'autres systèmes ont alors été proposés en complément des systèmes STEM. Tl s'agit de systèmes de détection de type IDS (acronyme de l'expression anglo-saxonne « Intrusion Dctection System »), conçus pour repérer des activités anormales dans un réseau ou sur une machine informatique, et pouvant se décliner selon deux alternatives. [0007] Selon une première alternative, un système IDS repère automatiquement une activité anormale dans l'activité d'un réseau à partir d'une bibliothèque de signatures, chaque signature étant associée à une intrusion spécifique connue. Autrement dit, une signature correspond à un comportement anormal au sein du réseau. En sus de la détection d'une intrusion, un tel système IDS est capable de catégoriser une intrusion détectée, cela grâce à des étiquettes respectivement attribuées, de manière supervisée, aux signatures de la bibliothèque. [0008] Selon une seconde alternative, un système IDS réalise une détection sur la hase d'un modèle comportemental, dite encore « détection par anomalie ». Tl s'agit ici d'apprendre de manière non supervisée, c'est-à-dire au cours d'une phase d'apprentissage automatique, un comportement normal des entités partageant le réseau. Par « comportement normal », on fait référence ici à un comportement nominal des entités sur le réseau, en dehors de toute intrusion malveillante. De cette manière, toute divergence pal- rapport au comportement normal peut ensuite être signalée au moyen d'une alerte. [0009] Cela étant, bien que les systèmes IDS permettent d'améliorer la surveillance des réseaux, ils présentent néanmoins aussi des inconvénients. [0010] En effet, les systèmes de détection par signatures mettent en oeuvre, finalement, une démarche similaire à celle d'un anti-virus, et restent par conséquent purement réactifs. Ils sont donc contournables, même par des variantes mineures des signatures enregistrées. Ils nécessitent donc là aussi des mises à jour récurrentes par les experts. Par ailleurs, l'efficacité de ces systèmes repose fondamentalement sur la qualité des étiquettes attribuées manuellement, ce qui les rend donc peu robustes en cas d'erreurs ou même de manque d'information sur lesdites étiquettes. [0011] En ce qui concerne les systèmes IDS de détection par anomalie, on comprend qu'ils ne sont pas mis en oeuvre pour reconnaître des intrusions spécifiques, mais pour signaler toute activité perçue comme anormale, que cette dernière soit malveillante ou non. Il en résulte une incapacité à catégoriser les intrusions détectées, et, plus fondamentalement, un besoin d'ajustements récurrents pour faire évoluer l'apprentissage du 3 comportement normal des entités fonctionnant sur le réseau. [0012] Par ailleurs, la manière selon laquelle un système IDS, quel que soit son type, analyse les connexions établies au sein d'un réseau peut elle aussi varier : connexion par connexion, ou bien paquet de connexions par paquet de connexions. Pour chacune de ces variantes, les connexions / paquets sont traités au fur et à mesure de leur établissement / arrivée dans le réseau, de sorte qu'elles / ils ne présentent pas de lien particulier entre elles / eux. Une telle manière de procéder est pénalisante car les alertes remontées par un système TDS sont alors trop peu détaillées quant au mode opératoire des intrusions détectées (cause d'alerte non expliquée, moment d'intrusion mal défini, etc.), et manquent alors de pertinence. Exposé de l'invention [0013] La présente invention a pour objectif de remédier à tout ou partie des inconvénients de l'art antérieur, notamment ceux exposés ci-avant, en proposant unc solution qui permette de détecter automatiquement un comportement jusqu'alors inconnu, et correspondant par exemple à une intrusion malveillante, dans un réseau de communication, de sorte à obtenir une description très précise du mode opératoire de cc comportement. De cette manière, le temps à investir pour analyser et valider le comportement détecté est considérablement réduit, si bien qu'il est possible de mettre en place, le cas échéant, des mesures de sécurité adaptées très rapidement. [0014] A cet effet, et selon un premier aspect, l'invention concerne un procédé d'extraction d'au moins un motif de communication à partir d'au moins un registre de réseau comportant un ensemble de connexions préalablement établies dans un réseau de communication, une connexion étant associée à un ensemble d'attributs comportant au moins unc paire d'adresses, une paire d'adresses comprenant unc adresse source et une adresse destinataire. En outre, ledit procédé comporte : - une étape de détermination d'au moins un registre relatif à unc paire d'adresses associées à au moins deux connexions, dit « registre de paire » et comprenant lesdites au moins deux connexions, - une étape de détermination de séquences de connexions contenues dans le registre de paire, le nombre de connexions d'une séquence étant supérieur ou égal à 2, - une étape de comparaison des séquences entre elles par paires de séquences, conformément à au moins une règle d'autorisation de comparaison prédéfinie et à au moins un ensemble d'au moins une règle de similarité prédéfinie, dit « ensemble règlementaire », une règle de similarité étant évaluée en fonction d'au moins un attribut pour estimer si deux séquences sont similaires au regard de ladite règle, une mesure de similarité associée audit ensemble règlementaire étant obtenue pour chaque paire de séquences autorisées à être comparées, et, lorsqu'au moins une mesure de similarité satisfait un critère de similarité prédéfini associé audit ensemble règlementaire, - une étape d'extraction, pour l'ensemble règlementaire considéré, d'au moins un motif de communication, ledit motif comportant ledit ensemble règlementaire. [0015] Ainsi, le procédé d'extraction utilise des registres de paire afin d'y répertorier des connexions. Sur la hase de ces connexions, des séquences de connexions sont déterminées. Ces séquences de connexions correspondent à une suite de connexions effectuées par deux entités du réseau. De cette manière, si plusieurs paires d'adresses sont considérées, on obtient plusieurs registres de paire, et donc aussi des séquences de connexions réparties entre lesdits registres de paire. [0016] Sous réserve de satisfaire une règle d'autorisation de comparaison, lesdites séquences de connexions sont comparées entre elles deux à deux au moyen de règles de similarité, afin d'évaluer leur similarité. Si au moins deux séquences sont jugées similaires, au regard d'un critère de similarité, un motif en est extrait, ce motif une représentation généralisée d'un comportement dans le réseau. [0017] Cette manière de procéder pour extraire un motif est particulièrement avantageuse car elle permet de détecter automatiquement des comportements jusqu'alors inconnus. [0018] En outre, le fait de déterminer au moins un motif sur la hase desdites séquences de connexions permet d'identifier toutes les connexions impliquées dans le comportement associé au motif, et donc de précisément délimiter ledit comportement. Ainsi, la tâche d'un expert souhaitant identifier un comportement dans un réseau sur la base d'un motif extrait est significativement réduite, de sorte à diminuer son temps d'investigation. [0019] De plus, le motif extrait décrit le comportement associé d'une manière particu- lièrement simple, à savoir au moyen de règles de similarité. Une telle description formalisée est particulièrement simple de lecture pour un expert, ainsi que manipulable au moyen d'une machine, comme par exemple un ordinateur. Il découle de ce formalisme une grande rapidité d'identification d'un comportement par un expert, de sorte que des mesures de sécurité adaptées peuvent très rapidement être mises en place [0020] Dans des modes particuliers de mise en oeuvre, le procédé d'extraction peut comporter en outre l'une ou plusieurs des caractéristiques suivantes, prises isolément ou selon toutes les combinaisons techniquement possibles. [0021] Dans des modes particuliers de mise en oeuvre, une règle d'autorisation de com- paraison consiste à comparer des séquences n'ayant pas de connexions en commun. [0022] Dans des modes particuliers de mise en oeuvre, une règle d'autorisation de com- paraison consiste à comparer des séquences de même taille. [0023] De telles règles de comparaison permettent de réaliser un compromis entre une étape de comparaison qui soit la plus exhaustive possible et une charge de calcul qui reste contenue. [0024] Dans des modes particuliers de mise en oeuvre, l'étape de comparaison comporte, pour une taille donnée k de séquence : - un regroupement des séquences de taille k dans un ensemble, dit « ensemble de niveau k ». - une comparaison des séquences de l'ensemble de niveau k conformément à ladite au moins une règle d'autorisation de comparaison et audit au moins un ensemble règlementairc, le regroupement et la comparaison de niveau k étant réalisés de manière itératives suivant les tailles k décroissantes. [0025] Le fait de regrouper et de comparer les séquences de cette manière permet d'obtenir un bon compromis pour l'extraction de motifs. Plus particulièrement, les inventeurs ont constaté que procéder ainsi permet de ne pas comparer toutes les séquences entre elles, et donc d'alléger la charge de calcul, tout en obtenant une extraction de bonne qualité, c'est-à-dire qui soit exhaustive et qui limite également le risque d'extraire des motifs correspondant à de fausses intrusions malveillantes. [0026] Dans des modes particuliers de mise en oeuvre, au cours d'une itération, la com- paraison de niveau k est suivie d'une suppression, parmi toutes les séquences de taille inférieure à k, des séquences comportant des connexions en commun avec les séquences de l'ensemble de niveau k. [0027] Une telle mise en oeuvre évite d'effectuer des comparaisons potentiellement re- dondantes, et donc d'augmenter inutilement la charge de calcul. [0028] Dans des modes particuliers de mise en oeuvre, au cours d'une itération, la com- paraison de niveau k est suivie d'une suppression, parmi toutes les séquences de taille k, des séquences dont une mesure de similarité associée ne satisfait pas le critère de similarité et comportant des connexions en commun avec les séquences de taille k qui satisfont ledit critère de similarité. [0029] En procédant ainsi, on effectue un tri à chaque niveau k afin d'écarter les séquences qui sont potentiellement moins pertinentes pour l'extraction de motif, du fait qu'elles ne satisfont pas le critère de similarité, et qui sont en outre susceptibles de créer des redondances dans les motifs extraits. [0030] Dans des modes particuliers de mise en oeuvre, l'ensemble d'attributs d'une connexion comporte un horodatage, le registre de paire étant déterminé de sorte que ses connexions sont classées par ordre chronologique, les séquences du registre de paire étant ensuite déterminées, pour tout k compris entre 2 et le cardinal du registre de paire, au moyen d'une fenêtre glissante de taille k. [0031] Dans des modes particuliers de mise en oeuvre, la paire d'adresses considérée pour déterminer le registre de paire est associée à au moins trois connexions, le nombre de 6 connexions d'une séquence étant en outre supérieur ou égal à 3. [0032] Le fait de considérer une telle minoration du nombre de connexions pour une paire d'adresses ainsi que pour une séquence permet de chercher à identifier des comportements de complexité plus grande que dans le cas où une séquence comporte uniquement deux connexions. [0033] Dans des modes particuliers de mise en oeuvre, au moins une règle de similarité d'un ensemble règlementaire est évaluée également en fonction d'un paramètre de tolérance prédéfini associé audit au moins un attribut de ladite règle de similarité. [0034] La prise en compte d'un tel paramètre de tolérance permet avantageusement de relâcher la contrainte imposée par une règle. Dit autrement, le paramètre de tolérance permet d'interpréter une règle de manière plus large afin d'accroitre la probabilité que deux séquences soient similaires pour cette règle. [0035] Dans des modes particuliers de mise en oeuvre, l'étape de comparaison est itéréc jusqu'à l'atteinte d'une condition d'arrêt prédéfinie, au moins un paramètre de tolérance associé à au moins un ensemble réglementaire étant mis àjour au cours de chaque itération, de sorte que : - une règle de similarité mise à jour en conséquence permet potentiellement d'augmenter le nombre de paires de séquences considérées comme similaires pour ladite règle, - des mesures de similarité mises àjour sont obtenues. [0036] Le fait d'augmenter, pour au moins une règle de similarité, le nombre potentiel de séquences considérées comme similaires permet de relâcher la contrainte de respect de ladite règle par les séquences déterminées auparavant. De cette manière, on peut avantageusement détecter des variantes d'une intrusion, c'est-à-dire des variations d'exécution d'une même intrusion. [0037] Dans des modes particuliers de mise en oeuvre, la condition d'arrêt correspond à un nombre maximal de mesures de similarité satisfaisant ledit critère de similarité. [0038] Majorer ainsi le nombre de mesures de similarité satisfaisant ledit critère de si- milarité tend à favoriser une limitation du nombre de variantes potentielles recherchées. [0039] Dans des modes particuliers de mise en oeuvre, un motif extrait comporte également une valeur correspondant à la taille maximale des séquences autorisées à être comparées et pour lesquelles il a été obtenu une mesure de similarité satisfaisant le critère de similarité. [0040] De telles dispositions permettent d'obtenir un motif ciblant très précisément un com- portement particulier caractérisé non seulement par les règles de similarité mais aussi par la taille d'une séquence de connexions pouvant être représentative dudit comportement. 7 [0041] Dans des modes particuliers de mise en oeuvre, ledit procédé comportant en outre, à la suite de l'étape d'extraction, une étape de validation du comportement d'au moins un des motifs extraits, de sorte que ledit au moins un motif extrait est associé à une étiquette représentative dudit comportement en cas de validation. [0042] En procédant ainsi, il est possible de confirmer ou d'infirmer la nature du com- portement (malveillant, bénin) associé au motif extrait, ce qui permet d'éviter par la suite l'émission de fausses alertes. Le format d'un motif étant très simple à manipuler, le temps à consacrer pour réaliser une telle validation est fortement réduit. [0043] Selon un deuxième aspect, l'invention concerne un programme d'ordinateur comportant des instructions pour la mise en oeuvre d'un procédé d'extraction selon l'invention lorsque ledit programme est exécuté par un processeur. [0044] Selon un troisième aspect, l'invention concerne un support d'enregistrement lisible par un ordinateur sur lequel est enregistré un programme d'ordinateur selon l'invention pour la mise en oeuvre d'un procédé d'extraction selon l'invention. [0045] Selon un quatrième aspect, l'invention concerne un dispositif d'extraction d'au moins un motif de communication à partir d'au moins un registre de réseau comportant un ensemble de connexions préalablement établies dans un réseau de communication, une connexion étant associée à un ensemble d'attributs comportant au moins une paire d'adresses, une paire d'adresses comprenant une adresse source et une adresse destinataire, ledit dispositif d'extraction comportant : - un premier module de détermination, configuré pour déterminer au moins un registre relatif à une paire d'adresses associées à au moins deux connexions, dit registre de paire » et comprenant lesdites au moins deux connexions, - un second module de détermination, configuré pour déterminer des séquences de connexions contenues dans le registre de paire, le nombre de connexions d'une séquence étant supérieur ou égal à 2, - un module de comparaison, configuré pour comparer des séquences entre elles par paires de séquences, conformément à au moins une règle d'autorisation de comparaison prédéfinie et à au moins un ensemble d'au moins une règle de similarité prédéfinie, dit « ensemble règlementaire », une règle de similarité étant évaluée en fonction d'au moins un attribut pour estimer si deux séquences sont similaires au regard de ladite règle, une mesure de similarité associée audit ensemble règlementaire étant obtenue pour chaque paire de séquences autorisées à être comparées, - un module d'extraction, configuré pour extraire, lorsqu'au moins une mesure de similarité satisfait un critère de similarité prédéfini associé audit ensemble règlementaire, au moins un motif de communication pour l'ensemble règlementaire considéré, ledit motif comportant ledit ensemble règlementaire. [0046] Selon un cinquième aspect, l'invention concerne un procédé de détection d'un com- 8 portement dans un réseau de communication, à partir d'au moins un registre de réseau courant comportant un ensemble de connexions établies dans ledit réseau de communication, une connexion étant associée à un ensemble d'attributs comportant au moins une paire d'adresses, une paire d'adresses comprenant une adresse source et une adresse destinataire, ledit procédé de détection comportant : - une étape d'obtention d'au moins un motif de communication préalablement extrait, selon un procédé d'extraction conforme à l'invention, dans un registre de réseau comportant un ensemble de connexions établies antérieurement aux connexions dudit registre de réseau courant, - une étape de détermination d'au moins un registre relatif à une paire d'adresses associées à au moins deux connexions, dit « registre de paire » et comprenant lesdites au moins deux connexions, - une étape de détermination d'au moins une séquence de connexions contenues dans le registre de paire, le nombre de connexions d'une séquence étant supérieur ou égal à 2. - une étape de vérification d'une correspondance entre le motif de communication et ladite séquence. [0047] Ainsi, le procédé de détection s'appuie sur au moins un motif obtenu grâce au procédé d'extraction selon l'invention, et permet de vérifier si ce motif correspond à des séquences déterminées au cours du procédé de détection. La correspondance ici entre motif et séquence permet donc d'affirmer que le comportement associé au motif a été observé dans le réseau. [0048] Une telle manière de procéder reprend tout ou partie des avantages liés à la mise en oeuvre du procédé d'extraction selon l'invention. Par ailleurs, la détection d'un comportement à partir d'un motif extrait est très simple et très rapide à effectuer, étant donné le format dudit motif. En effet, il suffit de vérifier l'application des règles de similarité contenues dans le motif aux séquences déterminées pendant le procédé de détection. [0049] Dans des modes particuliers de réalisation, le registre de réseau courant est mis à jour en temps réel à chaque nouvelle connexion dans le réseau de communication, les étapes de détermination d'au moins une séquence ainsi que de vérification étant itérées à chaque mis à jour dudit registre réseau courant. [0050] Selon un sixième aspect, l'invention concerne un programme d'ordinateur comportant des instructions pour la mise en oeuvre d'un procédé de détection selon l'invention lorsque ledit programme est exécuté par un processeur. [0051] Selon un septième aspect, l'invention concerne un support d'enregistrement lisible par un ordinateur sur lequel est enregistré un programme d'ordinateur selon l'invention pour la mise en oeuvre d'un procédé de détection selon l'invention. 9 100521 Selon un huitième aspect., l'invention concerne un dispositif de détection d'un com- portement dans un réseau de communication, à partir d'au moins un registre de réseau courant comportant. un ensemble de connexions établies dans ledit réseau de communication, une connexion étant associée à un ensemble d'attributs comportant au moins une paire d'adresses, une paire cl' adresses comprenant une adresse source et une adresse destinataire, ledit dispositif de détection comportant : - un module d'obtention, configuré pour obtenir au moins un motif de communication préalablement extrait par un dispositif d'extraction selon l'invention dans un registre de réseau comportant des communications établies antérieurement aux connexions dudit. registre de réseau courant, - un module de détermination, configuré pour déterminer au moins une séquence de connexions contenues dans le registre de paire, le nombre de connexions d'une séquence étant. supérieur ou égal à 2, - un module de vérification, configuré pour vérifier une correspondance entre le motif de communication et ladite séquence. [0053] Selon un neuvième aspect, l'invention concerne un système de détection d'un com- portement dans un registre de réseau courant comportant des connexions établies dans un réseau de communication, chaque connexion étant associée à un ensemble d'attributs comportant au moins une paire d'adresses, une paire d'adresses comprenant une adresse source et une adresse destinataire, ledit système comportant un dispositif d'extraction selon l'invention ainsi qu'un dispositif de détection selon l'invention. Brève description des dessins [0054] D'autres caractéristiques et avantages de la présente invention ressortiront de la des- cription faite ci-dessous, en référence aux dessins annexés qui en illustrent un exemple de réalisation dépourvu de tout caractère limitatif. Sur les figures : [0055] [fig. I la figure 1 représente schématiquement un exemple de réalisation, conforme à l'invention, d'un système de détection d'un comportement dans un réseau de communication ; [0056] [fig.2] la figure 2 représente schématiquement sous forme d'ordinogramme un mode de mise en oeuvre, conforme à l'invention, d'un procédé d'extraction d'au moins un motif de communication malveillant à partir d'au moins un registre de réseau ; [0057] [fig.3] la figure 3 représente schématiquement un mode particulier de mise en oeuvre du procédé de la figure 2, dans lequel des variations d'exécution d'une même intrusion sont recherchées; 100581 Ifig.41 la figure 4 représente schématiquement sous forme d'ordinogramme un mode de mise en oeuvre, conforme à l'invention, d'un procédé de détection d'un comportement dans le réseau de communication. Description des modes de réalisation [0059] La présente invention trouve sa place dans le domaine de la sécurité informatique, plus précisément dans le domaine de la prévention contre des intrusions malveillantes dans des réseaux de communication. [0060] La figure 1 représente schématiquement un exemple de réalisation d'un système de détection 1 d'un comportement dans un réseau de communication. Tel qu'illustré dans la figure 1, le système de détection I comporte un dispositif d'extraction 2 et un dispositif de détection 4 qui sont décrits en détail ci-après. [0061] Par « réseau de communication », on fait référence ici à l'ensemble des ressources matérielles et logicielles (encore dits « équipements ») utiles à la transmission et l'échange d'informations entre différentes entités regroupées en réseau. De telles entités sont par exemple des terminaux (ordinateurs, imprimantes, téléphone, etc.), serveurs (serveur Web, serveur d'application, etc.), routeurs, pare-feux, proxys, commutateurs, cartes réseau, etc. Cet aspect n'est pas détaillé plus avant ici car bien connu de l'homme du métier. [0062] La suite de la description vise plus spécifiquement, mais de manière nullement li- mitative, un réseau de type IP sur lequel des échanges entre entités sont réalisées pour un mode de transport donné, c'est-à-dire un protocole dc transport. Dans le présent exemple dc réalisation, le protocole de transport considéré est TCP (acronyme de l'expression anglo-saxonne « Transmission Control Protocol »).En outre, le réseau IP est ici déployé au sein d'une entité organisationnelle, comme par exemple unc entreprise. [0063] Rien n'exclut cependant de considérer d'autres types dc réseau, comme par exemple Internet, un réseau local (LAN, WLAN, etc.), un réseau personnel, etc., mais également d'autres types de protocole dc transport (UDP, SCTP, etc.) adaptés aux échanges sur ces réseaux. D'une manière générale, aucune limitation n'est attachée au réseau de communication et au protocole considérés, ni même à l'étendue de ce réseau. [0064] Les informations échangées par les différentes entités du réseau le sont sous la forme de données numériques au cours de connexions établies entre lesdites entités. Sauf indication contraire, le terme « comportement » fait référence ici à une séquence de connexions entre deux entités du réseau, cette séquence étant représentative d'un comportement particulier qui peut être attendu ou bien anormal. Dans l'exemple de réalisation décrit ici, cette séquence correspond à une intrusion malveillante au sein du 11 réseau de communication. [0065] Chaque connexion entre deux entités du réseau est associée à un ensemble d'attributs comportant au moins une paire d'adresses, à savoir une adresse source A, et une adresse destinataire Ad, plus particulièrement ici des adresses IP respectives des entités de la connexion. On note que l'association desdites adresses source A, et destinataire A d pour une connexion forme un identifiant de ladite connexion. Par ailleurs, l'adresse source A, d'une connexion correspond typiquement à l'adresse de l'entité à partir de laquelle la connexion est établie. [0066] Pour la suite de la description, on se place de manière non limitative dans le cas où un horodatage, en tant qu'attribut, est associé à chaque connexion en sus des adresses source A, et destinataire Ad (une connexion correspondant ainsi notamment à un log). Il faut néanmoins noter que le fait de considérer un horodatage parmi les attributs d'une connexion n'est en rien essentiel à l'invention. La manière dont l'invention s'applique lorsqu'aucun horodatage n'est considéré est explicitée ultérieurement. [0067] D'une manière plus générale, il convient de noter qu'aucune limitation n'est attachée aux attributs associés à une connexion au sein du réseau de communication, hormis celle de comporter a minima ladite paire d'adresses (As. Ad). Ainsi, d'autres attributs peuvent être considérés pour une connexion, comme par exemple, à titre nullement limitatif : - un port source (de l'entité à laquelle correspond l'adresse source) et un port destinataire (de l'entité à laquelle correspond l'adresse destinataire), - un nombre total de données, par exemple compté en octets, envoyés de la source vers le destinataire, - un nombre total de données, par exemple compté en octets, reçus par le destinataire en provenance de la source, - etc. [0068] De manière connue en soi, les connexions au sein du réseau sont répertoriées dans au moins un registre de réseau (encore appelé «journal d'évènements ») après avoir été récoltées par des moyens dédiés associés aux ressources matérielles et logicielles partageant le réseau, et faisant par exemple partie du système de détection 1. Par exemple, un registre peut être généré localement pour des programmes d'arrière-plan (emails, bases de données, proxys, pare-feux, etc.), pour des serveurs (serveurs Web, d'application, etc.), etc. Il existe en outre des registres conçus pour centraliser les registres associés à plusieurs entités, voire toutes, du réseau. [0069] De tels registres, locaux ou de centralisation, sont mis à jour de manière récurrente lorsque des connexions sont établies entre les entités qui les concernent. Chaque registre est en outre stocké de manière connue en soi, par exemple dans une base de données appartenant au système de détection 1 ou bien dans une base de données 12 externe audit système de détectionl. Il convient de noter que l'invention s'applique indistinctement aux registres centraux ou bien locaux. [0070] En outre, il est fait référence par la suite à « un registre de réseau ». Une telle ex- pression ne limite cependant pas le nombre de registres de réseau pouvant être considérés pour l'invention. L'homme du métier comprendra en effet qu'un registre de réseau peut correspondre à une agrégation de plusieurs registres de réseau. [0071] Lorsqu'un ensemble de connexions a été répertorié dans un registre de réseau, cet ensemble est utilisé par le dispositif d'extraction 2 faisant partie du système de détection 1. Le dispositif d'extraction 2 est configuré pour effectuer des traitements visant à extraire au moins un motif de communication malveillant parmi les connexions répertoriées, en mettant en oeuvre un procédé d'extraction d'un tel motif. On comprend donc que le procédé d'extraction est mis en oeuvre à partir d'un registre de réseau figé. Bien entendu, un tel registre de réseau figé peut être extrait à partir d'un registre de réseau en cours d'écriture du fait d'entités actives sur le réseau. [0072] A cet effet, le dispositif d'extraction 2 comporte par exemple un ou plusieurs pro- cesseurs et des moyens de mémorisation (disque dur magnétique, mémoire électronique, disque optique, etc.) dans lesquels sont mémorisés des données et un programme d'ordinateur, sous la forme d'un ensemble d'instructions de code de programme à exécuter pour mettre en oeuvre tout ou partie des étapes du procédé d'extraction. Alternativement ou en complément, le dispositif d'extraction 2 comporte également un ou des circuits logiques programmables, de type FPGA, PLD, etc., et / ou circuits intégrés spécialisés (ASIC), et / ou un ensemble de composants électroniques discrets, etc. adaptés à mettre en oeuvre tout ou partie des étapes du procédé d'extraction. [0073] Dans le présent exemple de réalisation, le registre de réseau à partir duquel le dispositif d'extraction 2 extrait au moins un motif de communication malveillant est initialement stocké par les moyens de mémorisation dudit dispositif d'extraction 2. Alternativement, lorsque ce registre de réseau est stocké de manière externe au dispositif d'extraction, par exemple dans une base de données du réseau, le dispositif d'extraction 2 comporte un module de communication 3 configuré, de manière connue en soi, pour lui permettre d'avoir accès audit registre de réseau et ainsi exécuté le procédé d'extraction. [0074] En d'autres termes, le dispositif d'extraction 2 comporte un ensemble de moyens configurés de façon logicielle (programme d'ordinateur spécifique) et / ou matérielle (FPGA, PLD, ASIC, etc.) pour mettre en oeuvre les différentes étapes du procédé d'extraction d'au moins un motif de communication malveillant. [0075] La figure 2 représente schématiquement sous forme d'ordinogramme un mode de mise en oeuvre du procédé d'extraction d'au moins un motif de communication mal- 13 veillant selon l'invention. [0076] Tel qu'illustré dans la figure 2, le procédé d'extraction comporte plusieurs étapes. Dans son principe général, le procédé d'extraction consiste tout d'abord à déterminer, à partir d'un registre de réseau, l'ensemble des connexions associées à au moins une paire d'adresses. Les séquences de connexions réalisables dans cet ensemble sont à leur tour déterminées pour ensuite être comparées entre elles, afin d'évaluer leur similarité. Lorsqu'au moins deux séquences sont jugées similaires, il est alors possible d'en extraire un motif de communication malveillant. [0077] A cet effet, le procédé d'extraction comporte dans un premier temps une étape El 0 de détermination d'au moins un registre relatif à une paire d'adresses associées à au moins deux connexions, dit « registre de paire » et comprenant lesdites au moins deux connexions. [0078] Dans un exemple de mise en oeuvre, et dans la mesure où l'ensemble d'attributs comporte ici un horodatagc, le registre de paire associé à une paire d'adresses (A' Ad) est déterminé de sorte que ses connexions sont classées par ordre chronologique. Rien n'exclut cependant de considérer que les connexions du registre de paire ne sont pas classées par ordre chronologique, et cc quand bien même elles seraient horodatées. [0079] Les connexions associées à une paire sont extraites du registre réseau, et le cas échéant classées par ordre chronologique, de manière connue en soi, par exemple au moyen d'algorithmes de tri portant sur les attributs considérés (adresses, horodatage). Cet aspect de l'invention n'est par conséquent pas détaillé plus avant ici. [0080] Dans un mode particulier de mise en oeuvre, une seule paire d'adresses associée à au moins deux connexions est considérée. Il en résulte qu'un seul registre de paire est déterminé au cours de cette étape. Cette manière de procéder est avantageusement adaptée à l'extraction d'un motif correspondant à une intrusion malveillante de type DoS (acronyme de l'expression anglo-saxonne « Denial of Service attack »). En effet, dans ce type d'intrusions malveillantes, une même paire d'adresses est ciblée afin de réaliser en très peu de temps, par exemple de l'ordre de la seconde, un très grand nombre de connexions, par exemple environ une dizaine, cela afin de saturer, et donc rendre inutilisable, des services associés au réseau. La paire d'adresses considérée dans ce mode particulier correspond par exemple à des adresses d'entités du réseau dont il est connu qu'elles sont plus vulnérables ou bien plus souvent ciblées lors d'attaques DoS, ou bien encore dont on sait qu'elles ont été la cible d'une attaque antérieure DoS. [0081] L'invention n'est cependant pas limitée à l'analyse d'intrusions malveillantes de type DoS. Elle peut en effet s'appliquer également à des intrusions malveillantes de type DDoS (acronyme de l'expression anglo-saxonne « Distributed Denial of Service attack »), qu'une ou plusieurs paires d'adresses soient considérées. On note que lorsque plusieurs paires d'adresses sont considérées, plusieurs registres de paire sont dé- 14 terminés au cours de l'étape E10. [0082] Selon encore d'autres alternatives, une ou plusieurs paires d'adresses sont considérées pour rechercher des intrusions malveillantes autres que DoS ou DDoS, comme par exemple une intrusion plus étalée dans le temps, par exemple de l'ordre de plusieurs minutes (propagation d'un virus à travers des ports destinataires selon un ou plusieurs protocoles présentant des vulnérabilités, téléchargement de code malveillant par une ou plusieurs entités infectées générant ainsi un volume de communication identifiable dans les connexions, etc.). En effet, il est plus aisé de constituer des séquences de connexions étalées dans le temps, comme cela est détaillé ci-après, à partir de plusieurs registres de paire. [0083] D'une manière générale, quel que soit le type d' intrusion recherchée, le choix consistant à considérer une seule ou une pluralité de paires d'adresses ne constitue qu'une variante d'implémentation de l'invention. [0084] Comme mentionné ci-avant, la paire d'adresses associée à un registre de paire est associée à au moins deux connexions. Dans un exemple plus particulier de mise en oeuvre, ladite paire d'adresses est associée à au moins trois connexions. Cela permet de chercher à identifier des intrusions de complexité plus grande que dans le cas où le registre de paire comporte uniquement deux connexions. Ainsi, le risque d'extraire des motifs correspondant à de fausses intrusions malveillantes (faux positif) est réduit. [0085] Pour la suite de la description, et à titre nullement limitatif, on considère désormais que n registres de paire HI, H2,..., H, sont déterminés au cours de l'étape E10, où n est un entier supérieur où égal à 2. Autrement dit, plusieurs paires d'adresse sont désormais considérées. Chaque registre de paire Hi est associé à une paire d'adresses source As.; et destinataire Adi. La manière dont l'invention s'applique au cas où un seul registre de paire est considéré apparaitra clairement à l'homme du métier, et ne sera que succinctement commentée ultérieurement. [0086] Le procédé d'extraction comporte ensuite une étape E20 de détermination de séquences de connexions contenues dans des registres de paire Hi respectifs, le nombre de connexions d'une séquence étant supérieur ou égal à 2. [0087] Le fait de déterminer des séquences de connexions au sein des registres de paire permet de rechercher des comportements susceptibles d'être suivis sur le réseau par les entités associées aux paires d'adresses. Ces comportements peuvent ensuite être analysés pour déterminer s'il s'agit d'intrusions malveillantes. [0088] 11 faut noter que par « séquence », il est fait référence ici une suite de connexions au sein d'un registre de paire, sans que soit nécessairement attaché à cette suite une notion d'ordre chronologique. En outre, la taille d'une séquence correspond au nombre de connexions formant cette séquence. [0089] Dans un mode particulier de mise en oeuvre, lorsque les registres de paire HI, H2,..., H' sont déterminés de sorte que leurs connexions respectives sont classées par ordre chronologique, lesdites séquences sont déterminées, pour chaque registre H, et pour tout k compris entre 2 et le cardinal dudit registre Hi, au moyen d'une fenêtre glissante de taille k. Le fait d'utiliser une fenêtre glissante dc taille k permet d'obtenir facilement des séquences de taille k d'un registre de paire. [0090] Par exemple, à titre purement illustratif, considérons un registre de paire H, comportant six connexions Cl, C2, C3. C4, G, et C6 avec C, antérieure à C pour kj. Dès lors, les séquences de taille 3 obtenues par un fenêtrage de taille 3 appliqué à H, cor- respondent à {CI, C2, C3}, {C2, C4}, {C3, C4, G} et { C4. G, G}. Cc processus est répété pour les autres tailles de séquences qu'il est possible de considérer dans ledit registre de paire Hi, à savoir : 2, 4, 5 et 6. [0091] On note que dans cet exemple de mise en oeuvre, toutes les séquences de taille 3 et ordonnées chronologiquement sont déterminées. Rien n'exclut cependant, lorsqu'une fenêtre glissante est utilisée, de déterminer seulement un sous-ensemble parmi toutes les séquences ordonnées chronologiquement. Ainsi, selon un autre exemple, les séquences sont déterminées au moyen d'une fenêtre glissante, de sorte que seules les séquences ne comportant pas dc connexions communes sont retenues. De cette manière, le nombre potentiel de comportements susceptibles d'être suivis sur le réseau par les entités associées aux paires d'adresses est réduit, allégeant ainsi la charge de calcul. [0092] A titre illustratif, en reprenant les données introduites dans l'exemple précédent, et en conservant une fenêtre glissante de taille 3, les séquences obtenues correspondent alors à /CI, C2, C3/ et {C4, C5, C6}, qui n'ont pas donc pas de connexions communes. [0093] Dans un autre mode particulier de mise en oeuvre, pour chaque registre de paire Hi et pour tout k compris entre 2 et le cardinal dudit registre Hi, toutes les séquences de taille k de ce registre Hi sont déterminées. Le fait de déterminer toutes les séquences de taille k dans les registres HI, H2,..., H. permet d'envisager tous les comportements susceptibles d'être suivis sur le réseau par les entités associées aux paires d'adresses. [0094] Dans ce mode de mise en oeuvre, il n'est pas tenu compte de l'ordre chronologique des connexions dans les registres de paires. Par contre, il est tenu compte de l'ordre des connexions au sein des séquences afin de les différencier entre elles. Autrement dit, le nombre de séquences de taille k déterminées pour un registre de paire Hi correspond au nombre d'arrangements (au sens de l'analyse combinatoire mathématique) de taille k contenus dans ledit registre de paire H. La manière dont sont déterminés ces arrangements est connue de l'homme du métier qui saura choisir un algorithme combinatoire à cet effet. [0095] Par exemple, à titre purement illustratif, considérons un registre de paire H1 comportant trois connexions Cl, C2, C3. Dès lors, toutes les séquences de taille 3 cor- 16 respondent à {CI, C2, C3}, {CI, C3, C2}, {C2, C3, Cl}, {C2, Cl, C3}, {C3, C2, C1} et { C3, CI, C2}. [0096] Bien que les exemples de mise en oeuvre précédemment décrits illustrent des cas où plusieurs séquences sont déterminées au sein d'un registre Hi pour une taille k donnée, il faut noter que la détermination des séquences au cours de l'étape E20 n'impose pas d'obtenir pour chaque registre de paire Hi une pluralité de séquences. Ainsi, il est possible de déterminer des séquences de sorte qu'un ou plusieurs registres de paire n'en contiennent respectivement qu'une, voire aucune. [0097] D'une manière générale, aucune limitation n'est attachée à la manière dont sont dé- terminées les séquences parmi les registres de paire HI, H,,..., H', dès lors qu'au moins deux séquences sont obtenues à l'issue de l'étape E20 [0098] Préférentiellement, afin de limiter les redondances de connexions dans les séquences, le nombre de connexions d'une séquence est compris entre 2 et le cardinal du registre de paire Hi considéré. [0099] Rien n'exclut non plus de considérer un nombre de connexions supérieur ou égal à 3. Là encore, le fait de considérer des séquences comportant au moins trois connexions permet de chercher à identifier des comportements, et donc des intrusions, de complexité plus grande que dans le cas où une séquence comporte uniquement deux connexions. Au final, le risque d'extraire des motifs correspondant à de fausses intrusions malveillantes est réduit. Une telle mise en oeuvre est bien entendu compatible avec le fait de considérer également des paires d'adresses respectivement associées à au moins trois connexions, de sorte à réduire encore plus le risque d'extraire des motifs correspondant à de fausses intrusions malveillantes. [0100] Après que des séquences aient été déterminées au cours de l'étape E20, le procédé comporte une étape E30 de comparaison des séquences entre elles par paires de séquences. L'objectif de cette étape de comparaison E30 est d'évaluer la similarité entre paires de séquences autorisées à être comparées. [0101] Une telle comparaison est mise en oeuvre conformément à au moins une règle d'autorisation de comparaison. Par « règle d'autorisation de comparaison », on fait référence ici à une règle selon laquelle deux séquences sont autorisées ou non à être comparées entre elles. [0102] Par exemple, une règle de comparaison consiste à comparer des séquences n'ayant pas de connexions en commun. Le fait de considérer une telle règle résulte d'un compromis entre une étape de comparaison qui soit la plus exhaustive possible et une charge de calcul qui reste contenue. On comprend en effet qu'une telle règle évite d'effectuer des comparaisons potentiellement redondantes, et donc d'augmenter inutilement la charge de calcul. [0103] Selon un autre exemple, une règle d'autorisation de comparaison consiste à comparer 17 des séquences de même taille. Là encore, la considération d'une telle règle résulte d'un compromis entre une étape de comparaison qui soit la plus exhaustive possible et une charge de calcul qui reste contenue. [0104] Il est à noter qu'une règle d'autorisation de comparaison peut consister au moins en une comparaison de séquences de tailles respectives distinctes. Par exemple, considérons à titre illustratif deux séquences SI et S, de tailles respectives kl et k2 distinctes, k, étant supérieure à kl, et appartenant respectivement à deux registres de paire HI et H, distincts. La comparaison de SI et S, s'effectue alors par exemple en comparant toutes les sous-séquences de taille kl issues de S, avec la séquence 51. [0105] Les exemples de règles d'autorisation de comparaison donnés ci-dessus ne s'excluent pas les uns des autres, et peuvent être combinés ensemble, de sorte que plusieurs règles d'autorisation de comparaison peuvent être considérées simultanément. D'une manière générale, le choix d'une ou plusieurs règles d'autorisation de comparaison ne constitue qu'une variante d'implémentation de l'invention. [0106] La comparaison des séquences entre elles par paires est également mise en oeuvre conformément à au moins un ensemble d'au moins une règle de similarité, dit « ensemble réglementaire », et noté Q. [0107] Par « règle de similarité », on fait référence ici à une règle traduisant un com- portement particulier lié à une séquence de connexions, et permettant également de quantifier un degré de similarité entre deux séquences qui sont comparées entre elles. A cet effet, une règle de similarité est évaluée en fonction d'au moins un attribut, et permet notamment d'estimer si deux séquences sont similaires au regard de ladite règle. Il en résulte, pour une paire de séquences données autorisées à être comparées et pour une règle de similarité donnée, l'obtention d'une valeur locale de similarité. [0108] Par exemple, considérons un ensemble réglementaire Q comprenant une règle notée R, visant à évaluer si les intervalles de temps entre connexions d'une séquence sont tous égaux à une quantité prédéfinie, par exemple 1 seconde. Par conséquent, une telle règle de similarité R, porte sur l'attribut correspondant à l'horodatage. Considérons également deux séquences de connexions S, et S2, de même taille, autorisées à être comparées. Une valeur locale de similarité est alors attribuée à l'évaluation de la règle R, sur ces séquences, notée RI(S,,S2). Par exemple, lorsque les séquences S, et S2 présentent effectivement des intervalles de temps identiques entre leurs connexions respectives, la valeur locale de similarité RI(S,,S2) est égale à 1, sinon à 0. [0109] Toujours selon cet exemple, considérons désormais deux séquences de connexions S3 et S4 de tailles respectives k3 et 1(4 distinctes, avec k3 inférieure à k4. Dans ce cas, la comparaison de S3 et S4 s'effectue par exemple en comparant toutes les sous-séquences de taille k3 issues de S4 avec la séquence S3. Alors, dès que la comparaison entre 54 et une de ces sous-séquences satisfait la règle de similarité RI, la valeur locale de si- 18 milarité RI(S3,54) est égale à 1. Si par contre aucune des paires formées d'une telle sous-séquence et de la séquence 53 ne satisfait la règle RI, alors la valeur locale de similarité RI(S3,54) est égale à 0. [0110] Il importe de noter qu'une règle de similarité s'applique aussi bien à une séquence de connexions qu'à deux séquences de connexions, par exemple selon l'équation Ri(S,,S7) = R;(51) x R;(52), où R.;(51) (respectivement R;(5,)) peut prendre une valeur égale à 0 ou 1. A titre d'illustration, en reprenant les exemples précédents, et si on considère que les connexions de la première séquence 51 sont effectivement toutes espacées d'une durée égale à 1 seconde, on obtient que R1(51) est bien vérifiée, et prend par exemple une valeur égale 1. [0111] D'une manière générale, aucune limitation n'est attachée aux attributs pouvant être considérés dans l'évaluation d'une règle de similarité, dès lors que ces attributs sont associés aux connexions des séquences à comparer. Ainsi, selon d'autres exemples de mise en oeuvre, une règle de similarité permet d'évaluer si deux séquences autorisées à être comparées ont : - le même nombre de ports source uniques, et / ou - le même nombre de ports destinataire uniques, et / ou - le même ordre de ports source, et / ou - le même ordre de portes destinataire, et / ou - la même correspondance entre les ports source et destinataire, et / ou - la même quantité d'octets envoyée par les ports source correspondants, et /ou - la même quantité d'octets reçue par les ports destinataire correspondants, et / ou - les mêmes relations d'adjacence entre les ports source, et / ou - la même direction de communication, - etc. On comprend bien sûr que les règles considérées sont choisies en fonction du type de comportement qu'on souhaite identifier et extraire sous forme de motif. Dans la présente mise en oeuvre, les comportements à identifier sont de type malveillant, si bien que les règles considérées sont choisies à cet effet. L'homme du métier sait définir et choisir de telles règles en fonction du comportement à identifier dans le registre de réseau. [0112] Dans un mode particulier de mise en oeuvre, au moins une règle de similarité R d'un ensemble règlementaire Q est évaluée également en fonction d'un paramètre de tolérance s(Ri) prédéfini associé audit au moins un attribut de ladite règle de similarité. La prise en compte d'un tel paramètre de tolérance e(Ri) est particulièrement avantageuse car elle permet de relâcher la contrainte imposée par la règle R. Dit autrement, le paramètre de tolérance s(R) permet d'interpréter la règle Ri de manière plus large afin d'accroitre la probabilité que deux séquences soient similaires pour 19 cette règle. Ainsi, le paramètre de tolérance s(Ri) fait varier la métrique associée à l'attribut (ou aux attributs) associé à la règle R. [01 1 3] Par exemple, considérons une règle RI portant sur l'attribut correspondant à r horodatagc et visant à évaluer si deux séquences de connexions SI et S,, de même taille, ont des intervalles de temps entre connexions tous égaux à 3 minutes. Considérant également pour cette règle RI, un paramètre de tolérance E(R1) égal à 1. Dès lors, l'intervalle entre connexions pour cette règle RI n'est plus égal uniquement à 3 minutes, mais désormais compris dans l'intervalle [3-E(R1), 3-Es(121)1, soit [2, 4]. On comprend alors que la probabilité d'évaluer les séquences SI et S, comme similaire a augmenté. [0114] On note que rien n'exclut de considérer une pluralité d'ensembles réglementaires Q1, Q,,..., pour réaliser la comparaison des séquences entre elles par paires. Dans cc cas, la similarité d'une paire de séquences SI et S2 est évaluée une pluralité de fois, à savoir autant de fois qu'il y a d'ensembles réglementaires. Il en résulte une pluralité de valeurs locales de similarité, non seulement parce que plusieurs ensemhles réglementaires sont considérés, mais aussi également parce que plusieurs règles de similarité peuvent être considérées au sein de chaque ensemble réglementaire. En outre, rien n'exclut que ces ensemhles partagent des règles communes. Rien n'exclut non plus que tout ou partie des règles de similarité associées à un ou plusieurs ensembles réglementaires soient évaluées en fonction de paramètres de tolérance respectifs. [0115] Le fait de considérer une pluralité d'ensembles réglementaires permet d'évaluer la si- milarité des séquences selon plusieurs aspects, ce qui fournit une aide à la discrimination de fausses intrusions malveillantes. [0116] Par exemple, on peut considérer dans un ensemble réglementaire 52, une ou plusieurs règles portant sur les attributs « port source » et « port destinataire », ainsi que dans un autre ensemble réglementaire Q2 une ou plusieurs règles portant sur les attributs « quantité d'octets envoyés » et « quantité d'octets reçus ». Ainsi, la similarité entre deux séquences S, et S2 est évaluée de deux manières différentes. [0117] Au final, l'étape de comparaison E30 permet d'obtenir, pour chaque paire de séquences autorisées à être comparées, une mesure de similarité, notée D_Q, associée à chaque ensemble réglementaire Q. Une telle mesure de similarité correspond à un agrégat des valeurs locales de similarité obtenues lors de comparaisons des séquences entre elles au moyen de règles comprises dans chaque ensemble réglementaire. Autrement dit, une mesure de similarité D_Q correspond à une évaluation globale de la similarité entre deux séquences pour un ensemble réglementaire Q donné. On comprend donc que si plusieurs ensembles réglementaires sont considérés, plusieurs mesures de similarité sont obtenues pour chaque paire de séquences autorisées à être comparées. [0118] Par ailleurs, chaque ensemble réglementaire Q est également associé à un critère de similarité prédéfini, de sorte que si une mesure de similarité D_Q associée audit ensemble réglementaire Q satisfait ledit critère de similarité, les séquences ayant fait l'objet de ladite mesure de similarité D_Q sont considérées similaires. Le fait d'obtenir au moins une paire de séquences similaires traduit l'existence d'un comportement particulier au sein du réseau de communication. Par conséquent, plus il y a de séquences évaluées comme similaires pour un ensemble réglementaire, plus le comportement associé est pertinent pour être analysé en détail, afin notamment de déterminer s'il s'agit d'une intrusion malveillante. [0119] Par exemple, un tel critère de similarité correspondant à une comparaison d'une mesure de similarité avec une valeur seuil V Q, afin de qualifier le degré de similarité entre deux séquences (similaires ou bien non similaires). Cette comparaison consiste à vérifier si une mesure de similarité est supérieure ou égale, en valeur absolue, à la valeur absolue de ladite valeur seuil V Q, de sorte que plus une valeur seuil V Q est élevée, en valeur absolue, plus il est difficile de satisfaire le critère de similarité [0120] Le fait de considérer des valeurs absolues pour une mesure de similarité ainsi que pour la valeur seuil V 52dépend bien sûr du signe des valeurs de similarité locales obtenues par évaluation des règles de similarité, ainsi que de la manière dont est évaluée une mesure de similarité. [0121] Par exemple, la mesure de similarité D_Q(SI,S2) associée à un ensemble régle- mentaire Q, ainsi qu'à deux séquences Si et S2, est calculée égale à la somme des valeurs locales de similarité obtenues lors de comparaisons des séquences S, et S2 entre elles au moyen des règles comprises dans ledit ensemble Q. Plus particulièrement, si l'ensemble Q comprend par exemple N règles RI, R2...., 12,, alors on obtient: En outre, dans cet exemple, le critère de similarité correspond ici à une comparaison à une valeur seuil V_52 égale à 1+E(N/2), où E(N/2) désigne la partie entière de N/2. [0122] Pour illustrer cet exemple de mise en oeuvre, considérons à nouveau un ensemble ré- glementaire Q comprenant une règle notée R1 visant à évaluer si deux séquences de connexions SI et S2, de même taille, ont les mêmes intervalles de temps entre les connexions. Considérons en outre que cet ensemble réglementaire Q comprend deux autres règles R2 et R3 visant à évaluer respectivement : - si la même quantité d'octets est envoyée par les ports source respectifs des séquences SI et Sn (règle Rn), - si la même quantité d'octets est reçue par les ports destinataire respectifs des 21 séquences SI et 57 (règle R3). Enfin, supposons que les règles RI et R3 sont satisfaites, mais que la règle R7 n'est quant à elle pas satisfaite. Par conséquent, on a RI(S1,S2) = R3(S1,S7) = 1 ainsi que R,(S 1,57) = 0. La mesure de similarité D Q (S1,S2) associée aux séquences SI et S2, pour ledit ensemble réglementaire Q, est alors égale à 2. De plus, la valeur seuil V Q considérée pour le critère de similarité est égale ici à la partie entière de 1+E(312), soit 2.11 en résulte que les séquences SI et S2 sont similaires au regard de l'ensemble réglementaire Q. [0123] Le choix selon lequel une mesure de similarité est calculée égale à la somme des valeurs locales de similarité associées à un ensemble réglementaire ne constitue qu'une variante d'implémentation de l'invention. D'autres calculs de la mesure de similarité sont par conséquent envisageables, comme par exemple une somme pondérée des valeurs locales de similarité (selon qu'on souhaite attacher plus ou moins d'importance à une règle de similarité par rapport à une autre). Par ailleurs, aucune limitation n'est attachée au choix de la valeur seuil pour un ensemble réglementaire. Plus largement, rien n'exclut de considérer un critère de similarité autre qu'une comparaison avec une valeur seuil, comme par exemple une vérification de l'appartenance d'une mesure de similarité à un intervalle de valeurs. [0124] Outre les aspects liés aux règles d'autorisation de comparaison, aux règles de si- milarité et à l'obtention de mesures de similarités, les comparaisons des séquences entre elles par paires peuvent également tenir compte de considérations liées à l'ordre dans lequel ces comparaisons sont exécutées. [0125] Ainsi, dans un mode particulier de mise en oeuvre, l'étape de comparaison comporte, pour une taille donnée k de séquence : - un regroupement des séquences de taille k dans un ensemble, dit « ensemble de niveau k », et noté Ek. Ainsi, cet ensemble Ek comprend toutes les séquences de taille k qui ont été déterminées au cours de l'étape E20. On comprend donc que ce regroupement s'effectue indistinctement de l'appartenance des séquences aux registres de paire Hi. Autrement dit, rien n'exclut d'avoir dans l'ensemble Ek des séquences respectivement associées à des registres de paire distincts, dès lors qu'elles sont de taille k - une comparaison des séquences de l'ensemble Ek conformément à ladite au moins une règle d'autorisation de comparaison et à audit au moins un ensemble règlementaire. Les comparaisons des séquences entre elles s'effectuent selon les caractéristiques décrites ci-avant, de sorte qu'on obtient, pour chaque ensemble réglementaire Q et pour chaque paire de séquences autorisées à être comparées, une mesure de similarité D52. De plus, le regroupement et la comparaison de niveau k sont réalisés de manières itératives suivant les tailles k décroissantes. Par conséquent, les itérations débutent pour une taille k correspondant à la plus grande taille de séquence identifiée parmi toutes les séquences obtenues lors de l'étape E20. On note que cette « plus grande taille k » correspond également au cardinal le plus grand parmi les cardinaux respectifs des registres H. [0126] Ainsi, dans cc mode de mise en oeuvre, les séquences sont comparées au sein de chaque ensemble Ek. Autrement dit, seules des séquences de taille identique sont comparées entre elles. Ce qui signifie que ladite au moins une règle d'autorisation de comparaison correspond au moins à une règle selon laquelle seules des séquences de taille identique sont autorisées à être comparées. [0127] Dans un exemple plus particulier de mise en oeuvre, au cours d'une itération, la com- paraison de niveau k est suivie d'une suppression, parmi toutes les séquences de taille inférieure à k, des séquences comportant des connexions en commun avec les séquences de l'ensemble de niveau k. On note que pour examiner toutes les séquences de taille inférieure à k, il suffit de regarder les séquences qui n'ont pas encore été regroupées dans un ensemble de niveau. Une telle mise en oeuvre évite d'effectuer des comparaisons potentiellement redondantes, et donc d'augmenter inutilement la charge de calcul. On comprend également qu'une telle mise en oeuvre est optionnelle, et ce d'autant plus si une règle d'autorisation de comparaison consistant à comparer des séquences n'ayant pas de connexions en commun est implémentée. Enfin, le fait d'itérer suivant les tailles k décroissantes permet ici de privilégier une extraction de motifs malveillants parmi des séquences longues, autrement dit de favoriser la découverte d'intrusions malveillantes complexes. [0128] Dans un autre exemple de mise en oeuvre, au cours d'une itération, la comparaison de niveau k est suivie d'une suppression, parmi toutes les séquences de taille k, des séquences dont une mesure de similarité associée ne satisfait pas le critère de similarité et comportant des connexions en commun avec les séquences de taille k qui satisfont ledit critère de similarité. En procédant ainsi, on effectue un tri à chaque niveau k afin d'écarter les séquences qui sont potentiellement moins pertinentes pour l'extraction de motif, du fait qu'elles ne satisfont pas le critère de similarité, et qui sont en outre susceptibles de créer des redondances dans les motifs extraits. [0129] Rien n'exclut de combiner ce dernier exemple de mise en oeuvre dans lequel sont supprimées des séquences pour lesquelles le critère de similarité n'est pas satisfait et qui comportent des connexions en commun avec les séquences qui satisfont quant à elles ce critère, avec l'exemple de mise en oeuvre dans lequel sont supprimées des séquences comportant des connexions communes aux niveaux inférieurs. [0130] D'une manière générale, le choix visant à regrouper les séquences dans les ensembles Ek pour ensuite les comparer entre elles ne constitue qu'une variante d'implémentation 23 de l'invention. D'autres variantes peuvent être envisagées, comme par exemple une variante dans laquelle les séquences sont regroupées au sein des ensembles Ek de manière itérative, et une fois que tous les regroupements ont été effectués, comparer les séquences entre elles au sein de chaque ensemble Ek. [0131] La détermination de la satisfaction du critère de similarité par une mesure de si- milarité au cours d'une étape E40 est bien sûr effectuée après que cette mesure de similarité ait été déterminée, comme illustré par la figure 2. Lorsque plusieurs mesures de similarité sont déterminées au cours dc l'étape E30, la détermination dc la satisfaction du critère de similarité est effectuée par exemple après chaque détermination d'une mesure de similarité, ou bien encore après que toutes les mesures de similarité aient été déterminées. [0132] Aussi, lorsqu'au moins une mesure de similarité satisfait le critère de similarité prédéfini, le procédé comporte une étape E50 d'extraction, pour l'ensemble réglementaire Q considéré (à savoir l'ensemble réglementaire Q associé audit critère de similarité), d'au moins un motif comportant ledit ensemble réglementaire Q. [0133] Par «un motif comportant ledit ensemble réglementaire Q », on fait référence ici à un motif correspondant à un fichier informatique qui liste, notamment, les règles Ri contenus dans l'ensemble réglementaire Q. [0134] L'étape E50 d'extraction s'effectue donc en créant ledit fichier auquel correspond le motif. De cette manière, on obtient un fichier très simple à manipuler qui décrit très précisément un comportement malveillant, jusqu'alors inconnu et qui a été découvert au cours des étapes du procédé d'extraction. Cette description très précise correspond à la liste des règles. Bien entendu, si le critère de similarité n'est pas satisfait, aucun motif n'est extrait. [0135] Dans un mode particulier de mise en oeuvre, un motif extrait comporte également une valeur correspondant une taille de séquence parmi les séquences autorisées à être comparées et pour lesquelles il a été obtenu une mesure de similarité satisfaisant le critère de similarité. Ainsi, le motif extrait comporte un champ supplémentaire se rapportant à ladite taille. De telles dispositions permettent d'obtenir un motif ciblant très précisément un comportement particulier caractérisé non seulement par les règles de similarité mais aussi par la taille d'une séquence de connexions pouvant être représentative dudit comportement. [0136] Par exemple, ladite taille correspond à la taille maximale des séquences autorisées à être comparées et pour lesquelles il a été obtenu une mesure de similarité satisfaisant le critère de similarité. De cette manière, la découverte d'intrusions malveillantes complexes (dit encore autrement de comportements complexes dans le réseau) est favorisée. [0137] Rien n'exclut cependant de considérer une taille qui soit inférieure à ladite taille 24 maximale. D'ailleurs, il est possible d'envisager, au cours de l'étape E50, d'extraire une pluralité de motifs comportant chacun les règles de similarité de l'ensemble réglementaire Q considéré, et présentant des tailles respectives distinctes inférieures ou égales à ladite taille maximale. De cette manière, on ne restreint pas à la recherche des comportements les plus complexes, et on diminue ainsi le risque de ne pas identifier un comportement malveillant. [0138] A titre d'exemple nullement limitatif, et afin d'illustrer de manière détaillée la forme pouvant être prise par un motif, considérons une première séquence SI formée de trois connexions CI, C2 et C3 qui sont : C1= 09:31::08, 10.101.60.170, 5.34.248.148, 44331, 53, 106, 0 C2 = 09:31::55, 10.101.60.170, 5.34.248.148, 44331, 53, 106, 74 C3 = 09:34::25, 10.101.60.170, 5.34.248.148, 44331, 53, 180, 60 Chacune de ces connexions est associée à 7 attributs séparés par des virgules, et qui correspondent respectivement, lorsqu'on les lit de gauche à droite, à : un horodatage (en heures:minutes::secondes), une adresse source A' une adresse destinataire Ad, un port source, un port destinataire, une quantité d'octets envoyés par le port source, une quantité d'octets reçus par le port destinataire. Considérons également, suivant un modèle de connexion identique, une deuxième séquence S2 formée également de trois connexions C',, C'2 et qui sont : C', = 15:22::58, 10.101.60.168, 5.34.248.148, 53886, 53, 106, 0 C'2 = 15:23::47, 10.101.60. 168, 5.34.248.148, 53886, 53, 106, 74 C'3 = 15:26::16, 10.101.60. 168, 5.34.248.148, 53886, 53, 180, 60 On comprend donc que les deux séquences Si et S2 sont respectivement associées à deux registres de paire H, et H2. Ces deux registres de paire sont distincts étant donné que les connexions de Si diffèrent de celles de S2 au niveau des adresses source (donc in fine au niveau de la paire adresse source/adresse destinataire). On considère également : - une unique règle d'autorisation de comparaison qui consiste à comparer des séquences de même taille. Par conséquent, S'et S2 peuvent bien être comparées ; - un seul ensemble réglementaire Q comprenant 5 règles de similarité RI, R2, R3, R4 et R,; - une mesure de similarité égale à la somme des valeur locales de similarité ; - une valeur seuil V_52 égale à 3 ; - un motif comportant, en sus des règles de similarité, une valeur correspondant à la taille maximale des séquences autorisées à être comparées et pour lesquelles il a été obtenu une mesure de similarité satisfaisant le critère de similarité Pour cet exemple, on considère que cette taille maximale est égale à 3. Les règles de similarité portent respectivement sur : - Ri : un unique port source pour chaque connexion, avec un paramètre de tolérance «Ri) égal à 1 ; - R, : une suite {53, 53, 53} chronologique de ports destinataire, avec un paramètre de tolérance s(Rn) égal à 0 ; - Rd : des intervalles entre connexions de lmin ou de 3 min, avec un paramètre de tolérance s(R3) égal à 1 ; - R4 : une suite {106, 106, 180} chronologique de quantités d'octets envoyés, avec un paramètre de tolérance s(R4) égal à 10 (dans ce cas le paramètre de tolérance peut s'appliquer à chaque élément de la suite {106, 106, 180}) ; - R5: une suite {0, 74, 60} chronologique de quantités d'octets reçus, avec un paramètre de tolérance s(R5) égal à 10. On obtient alors RI(SI,S2) = Ro(S1,S2) = R3(SI,S2) = R4(S1,S2) = R3(SI,S,) = 1. Ainsi, D Q(S1,S2) = 5 et donc SI et S, sont similaires pour l'ensemble réglementaire Q. Le motif M Q de communication extrait associé à Q s'écrit : M Q = {3, Ri, R2,12', R4, Rs}. Sur la base de cc motif, jusqu'alors inconnu, il est désormais possible d'identifier un comportement associé dans le réseau de communication. [0139] Selon un autre exemple permettant d'illustrer une extraction d'un motif cor- respondant à une attaque DDoS, considérons une première séquence Si formée de 7 connexions C, à C7 qui sont : C, = 11:32::49, 5.187.120.163, 82.122.1.10, 44339, 80, 120, 0 C, = 11:32::49, 5.187.120.163, 82.122.1.10, 28039, 80, 120, 0 C3 = 11:32::49, 5.187.120.163, 82.122.1.10, 40239, 80, 120, 0 C4 = 11:32::49, 5.187.120.163, 82.122.1.10, 33255, 80, 120, 0 C5. = 11:32::49, 5.187.120.163, 82.122.1.10, 52265, 80, 120, 0 C6 = 11:32::49, 5.187.120.163, 82.122.1.10, 23479, 80, 120, 0 C7 = 11:32::49, 5.187.120.163, 82.122.1.10, 42799, 80, 120, 0 Chacune de ces connexions est associée à 7 attributs séparés par des virgules, et qui correspondent respectivement, lorsqu'on les lit de gauche à droite, à : un horodatage (en heures:minutes::secondes), une adresse source A, une adresse destinataire Ad, un port source, un port destinataire, une quantité d'octets envoyés par le port source, une quantité d'octets reçus par le port destinataire. Considérons également, suivant un modèle de connexion identique, une deuxième séquence S2 formée également de 7 connexions C'1 à C'7 qui sont : C'1 = 11:32::49, 5.187.120.159, 82.122.1.10, 56437, 80, 120, 0 C'2 = 11:32::49, 5.187.120.159, 82.122.1.10, 10699, 80, 120, 0 C'3 = 11:32::49, 5.187.120.159, 82.122.1.10, 47793, 80, 120, 0 C'4 = 11:32::49, 5.187.120.159, 82.122.1.10, 45725, 80, 120, 0 26 C', = 11:32::49, 5.187.120.159, 82.122.1.10, 53877, 80, 120, 0 C'6 = 1 1:32::49, 5.187.120.159, 82.122.1.10, 56143, 80, 120, 0 C'7 = 11:32::49, 5.187.120.159, 82.122.1.10, 38585, 80, 120, 0 On comprend donc que les deux séquences S1 et S2 sont respectivement associées à deux registres de paire H, et H,. Ces deux registres de paire sont distincts étant donné que les connexions de SI diffèrent de celles de S, au niveau des adresses source (donc in fine au niveau de la paire adresse source/adresse destinataire). On considère également : - une unique règle d'autorisation de comparaison qui consiste à comparer des séquences de même taille. Par conséquent, SI et S, peuvent bien être comparées ; - un seul ensemble réglementaire Q comprenant 4 règles de similarité RI, 122, R3, et R4; - une mesure de similarité égale à la somme des valeur locales de similarité ; - une valeur seuil V Q égale à 4 ; - un motif comportant, en sus des règles de similarité, une valeur correspondant à la taille maximale des séquences autorisées à être comparées et pour lesquelles il a été obtenu une mesure de similarité satisfaisant le critère de similarité Pour cet exemple, on considère que cette taille maximale est égale à 7. Les règles de similarité portent respectivement sur : - RI : une suite {80, 80, 80, 80, 80, 80, 80} chronologique de ports destinataire, avec un paramètre de tolérance r(R,) égal à 0 ; - R2 : une durée totale de séquence égale à 1 seconde, avec un paramètre de tolérance s(R2) égal à 1 ; - : une suite {120, 120, 120, 120, 120, 120, 120} chronologique de quantités d'octets envoyés, avec un paramètre de tolérance s(12%) égal à 20 ; - R4 : une suite {0, 0, 0, 0, 0, 0, 0} chronologique de quantités d'octets reçus, avec un paramètre de tolérance r(R4) égal à 20. On obtient alors RI(SI,S.,) =121,(SI,S2) =127'(SI,S.,) = R4(SI,S2) =12,(SI,S2) = 1. Ainsi, D_Q(S1,S2) = 4 et donc SI et S2 sont similaires pour l'ensemble réglementaire Q. Le motif M_52 de communication extrait associé à Q s'écrit : M_Q = {7, RI, R,, R4, R4}. Sur la base de ce motif, jusqu'alors inconnu, il est désormais possible d'identifier un comportement associé dans le réseau de communication. [0140] Ainsi, à l'issue de l'étape E50, on dispose d'au moins un motif de communication correspondant à l'identification d'une intrusion malveillante au sein du réseau de communication. On note que ce motif obtenu peut avantageusement faire l'objet d'une analyse ultérieure, par exemple par un expert en sécurité informatique appartenant à l'entreprise, afin d'en valider le caractère malveillant ou non malveillant. [0141] A cet effet, dans un mode particulier de mise en oeuvre, illustré par la figure 2 à titre 27 nullement limitatif, le procédé comporte en outre, à la suite de l'étape d'extraction, une étape E60 de validation du comportement d'au moins un des motifs extraits, de sorte que ledit au moins un motif extrait est associé à une étiquette représentative dudit comportement en cas de validation. Une telle étiquette correspond encore, comme cela est connu de l'homme du métier, à un label. [0142] En procédant ainsi, il est possible de confirmer ou d'infirmer le caractère malveillant d'un motif extrait, ce qui permet d'éviter par la suite l'émission de fausses alertes. Le format d'un motif étant très simple à manipuler, le temps à consacrer pour réaliser une telle validation est fortement réduit. Par exemple, ledit motif peut être appliqué sur des séquences de connexions dont on tonnait a priori le caractère malveillant ou bénin, de sorte à détecter très rapidement si le motif extrait est erroné. [0143] On note que le fait d'attribuer une étiquette permet de classifier ledit motif, de sorte à pouvoir constituer une base de données de motifs. En outre, dans le cas où le motif extrait correspond effectivement à une intrusion malveillante, l'étiquette attribuée peut également comporter une indication relative au type de l'attaque, constituant ainsi une information précieuse pour des détections ultérieures dans le réseau de communication. [0144] Il faut également noter que l'invention s'applique sans qu'il soit nécessaire que les connexions établies dans le registre de réseau soient elles-mêmes associées à des étiquettes. Toutefois, rien n'exclut que ce soit le cas. Par exemple, lorsqu'un motif a été extrait, validé comme correspondant à une intrusion malveillante et puis étiqueté, les connexions faisant partie des séquences à partir desquelles le motif a été extrait sont également associées à ladite étiquette, de sorte que de futures connexions identiques établies dans le réseau de communication portent ladite étiquette. [0145] Cette manière de procéder permet avantageusement, lorsque tout ou partie des connexions destinées à être établies sont déjà étiquetées, de supprimer totalement la validation des motifs extraits. En effet, un motif extrait de la sorte est par conséquent aussi étiqueté, sans qu'il soit nécessaire de faire appel à une validation externe. [0146] Selon un exemple de mise en oeuvre, lorsque toutes les connexions ont été préa- lablement étiquetées, l'étape de regroupement des séquences de taille k détaillée ci-avant, dans le cadre de la description de l'étape E30 de comparaison, comporte également un tri parmi les séquences de tailles k regroupées. Ce tri vise à regrouper entre elles les séquences ayant des connexions portant toutes la même étiquette, de sorte qu'un motif extrait sur la base de ces séquences soit associé de manière automatique à ladite étiquette. [0147] La figure 3 représente schématiquement un mode particulier de mise en oeuvre du procédé de la figure 2, dans lequel l'étape E30 de comparaison est itérée jusqu'à l'atteinte d'une condition d'arrêt C', prédéfinie, au moins un paramètre de tolérance s(Ri) associé à au moins un ensemble réglementaire Q étant mis à jour au cours de 28 chaque itération, de sorte que : - une règle de similarité Ri mise à jour en conséquence permet potentiellement d'augmenter le nombre de paires de séquences considérées comme similaires pour ladite règle, - des mesures de similarité mises àjour sont obtenues. [0148] Le fait d'augmenter, pour au moins une règle de similarité Ri, le nombre potentiel de séquences considérées comme similaires permet de relâcher la contrainte de respect de ladite règle Ri par les séquences déterminées au cours de l'étape E20. De cette manière, on peut avantageusement détecter des variantes d'une intrusion, c'est-à-dire des variations d'exécution d'une même intrusion. [0149] A titre d'exemple nullement limitatif, à chaque itération de l'étape E30 dc com- paraison, la mise àjour d'une règle Ri s'effectue en augmentant ou diminuant le paramètre de tolérance s(Ri) associé, par exemple d'un pas constant. Le choix entre une augmentation ou une diminution de cc paramètre dépend bien entendu de la nature de la règle considérée, sachant qu'il convient d'augmenter le nombre potentiel de séquences considérées comme similaires. Par ailleurs, il résulte dc la modification d'un paramètre de tolérance qu'une mesure de similarité mise àjour en conséquence est supérieure, en valeur absolue, à la mesure de similarité correspondante avant mise àjour. [0150] On note que dans cet exemple de mise en oeuvre, lorsqu'un ensemble réglementaire comprend une pluralité de règles de similarité, un seul des paramètres de tolérance associés à ces règles, et par exemple choisi aléatoirement, peut être mis à jour. Alternativement, une pluralité, voire la totalité, (lesdits paramètres de tolérance est mise à jour. [0151] On comprend également que le choix de la condition C,, résulte d'un compromis entre rechercher le plus de variantes potentielles d'une intrusion, quitte à extraire des motifs associés à de fausses intrusions, et limiter le nombre de variantes potentielles ainsi qu'in fine l'extraction de motifs associés à de fausses intrusions. [0152] Par exemple, ladite condition d'arrêt correspond à un nombre maximal de mesures de similarité satisfaisant ledit critère de similarité. Ce nombre maximal correspond ainsi à une valeur seuil. Majorer ainsi le nombre de mesures de similarité satisfaisant ledit critère de similarité tend à favoriser une limitation du nombre de variantes potentielles recherchées. [0153] Rien n'exclut de considérer des conditions d'arrêt C'01, de type différent, comme par exemple une condition d'arrêt portant sur une ou plusieurs valeurs seuil associées respectivement à un ou plusieurs paramètres de tolérance. [0154] On note que des variantes du mode de mise en oeuvre de la figure 2 peuvent être considérées. Par exemple, dans le cas où les séquences ont déjà toutes été regroupées parmi des ensembles de niveau k, on peut envisager une étape de suppression des séquences de taille k dont une mesure de similarité associée ne satisfait pas le critère de 29 similarité, et comportant en outre des connexions en commun avec les séquences de taille j satisfaisant quant à elles le critère de similarité, pour j REVENDICATIONS[Revendication 1] Procédé d'extraction d'au moins un motif de communication à partir d'au moins un registre de réseau comportant un ensemble de connexions préalablement établies dans un réseau de communication, une connexion étant associée à un ensemble d'attributs comportant au moins une paire d'adresses, une paire d'adresses comprenant une adresse source et une adresse destinataire, ledit procédé comportant : - une étape de détermination (HO) d'au moins un registre relatif à une paire d'adresses associées à au moins deux connexions, dit « registre de paire » et comprenant lesdites au moins deux connexions, - une étape de détermination (E20) de séquences de connexions contenues dans le registre de paire, le nombre de connexions d'une séquence étant supérieur ou égal à 2, - une étape de comparaison (E30) des séquences entre elles par paires de séquences, conformément à au moins une règle d'autorisation de comparaison prédéfinie et à au moins un ensemble d'au moins une règle de similarité prédéfinie, dit « ensemble règlementaire », une règle de similarité étant évaluée en fonction d'au moins un attribut pour estimer si deux séquences sont similaires au regard de ladite règle, une mesure de similarité associée audit ensemble règlementaire étant obtenue pour chaque paire de séquences autorisées à être comparées, et, lorsqu'au moins une mesure de similarité satisfait un critère de similarité prédéfini associé audit ensemble règlementaire (E40), - une étape d'extraction (E50), pour l'ensemble règlementaire considéré, d'au moins un motif de communication, ledit motif comportant ledit ensemble règlementaire. [Revendication 2] Procédé selon la revendication 1, dans lequel une règle d'autorisation de comparaison consiste à comparer des séquences n'ayant pas de connexions en commun. [Revendication 3] Procédé selon l'une quelconque des revendications 1 à 2, dans lequel une règle d'autorisation de comparaison consiste à comparer des séquences de même taille. [Revendication 4] Procédé selon la revendication 3, dans lequel l'étape de comparaison (E30) comporte, pour une taille donnée k de séquence : - un regroupement des séquences de taille k dans un ensemble, dit « ensemble de niveau k », - une comparaison des séquences de l'ensemble de niveau k 34 conformément à ladite au moins une règle d'autorisation de comparaison et audit au moins un ensemble règlementaire, le regroupement et la comparaison de niveau k étant réalisés de manière itératives suivant les tailles k décroissantes. [Revendication 5] Procédé selon la revendication 4, dans lequel, au cours d'une itération, la comparaison de niveau k est suivie d'une suppression, parmi toutes les séquences de taille inférieure à k, des séquences comportant des connexions en commun avec les séquences de l'ensemble de niveau k. [Revendication 6] Procédé selon l'une des revendications 4 à 5, dans lequel, au cours d'une itération, la comparaison de niveau k est suivie d'une suppression, parmi toutes les séquences de taille k, des séquences dont une mesure de similarité associée ne satisfait pas le critère de similarité et comportant des connexions en commun avec les séquences de taille k qui satisfont ledit critère de similarité. [Revendication 7] Procédé selon l'une quelconque des revendications 1 à 6, dans lequel au moins une règle de similarité d'un ensemble règlementaire est évaluée également en fonction d'un paramètre de tolérance prédéfini associé audit au moins un attribut de ladite règle de similarité. [Revendication 8] Procédé selon la revendication 7, dans lequel l'étape de comparaison (E30) est itérée jusqu'à l'atteinte d'une condition d'arrêt prédéfinic, au moins un paramètre de tolérance associé à au moins un ensemble réglementaire étant mis à jour au cours de chaque itération, de sorte que : - une règle de similarité mise à jour en conséquence permet potentiellement d'augmenter le nombre de paires de séquences considérées comme similaires pour ladite règle, - des mesures de similarité mises à jour sont obtenues. [Revendication 9] Procédé selon l'une quelconque des revendications 1 à 8, dans lequel un motif extrait comporte également une valeur correspondant à une taille de séquence parmi les séquences autorisées à être comparées et pour lesquelles il a été obtenu une mesure de similarité satisfaisant le critère de similarité. [Revendication 10] Procédé selon l'une quelconque des revendications 1 à 9, ledit procédé comportant en outre, à la suite de l'étape d'extraction, une étape de validation (E60) du comportement d'au moins un des motifs extraits, de sorte que ledit au moins un motif extrait est associé à une étiquette représentative dudit comportement en cas de validation. [Revendication 11] Programme d'ordinateur comportant des instructions pour la mise en oeuvre d'un procédé d'extraction selon l'une quelconque des reven- 35 [Revendication 12] [Revendication 13] dications 1 à 10 lorsque ledit programme est exécuté par un processeur. Dispositif d'extraction (2) d'au moins un motif de communication à partir d'au moins un registre de réseau comportant un ensemble de connexions préalablement établies dans un réseau dc communication, une connexion étant associée à un ensemble d'attributs comportant au moins une paire d'adresses, une paire d'adresses comprenant une adresse source et une adresse destinataire, ledit dispositif d'extraction (2) comportant : - un premier module dc détermination, configuré pour déterminer au moins un registre relatif à une paire d'adresses associées à au moins deux connexions, dit « registre de paire » et comprenant lesdites au moins deux connexions, - un second module de détermination, configuré pour déterminer des séquences de connexions contenues dans le registre de paire, le nombre de connexions d'une séquence étant supérieur ou égal à 2, - un module de comparaison, configure pour comparer des séquences entre elles par paires de séquences, conformément à au moins une règle d'autorisation de comparaison prédéfinic et à au moins un ensemble d'au moins une règle de similarité prédéfinic, dit « ensemble règlementaire », une règle de similarité étant évaluée en fonction d'au moins un attribut pour estimer si deux séquences sont similaires au regard de ladite règle, une mesure de similarité associée audit ensemble règlementaire étant obtenue pour chaque paire de séquences autorisées à être comparées, - un module d'extraction, configuré pour extraire, lorsqu'au moins une mesure de similarité satisfait un critère de similarité prédéfini associé audit ensemble règlementaire, au moins un motif de communication pour l'ensemble règlementaire considéré, ledit motif comportant ledit ensemble règlementaire. Procédé de détection d'au moins un comportement dans un réseau de communication, à partir d'au moins un registre de réseau courant comportant un ensemble de connexions établies dans ledit réseau de communication, une connexion étant associée à un ensemble d'attributs comportant au moins une paire d'adresses, une paire d'adresses comprenant une adresse source et une adresse destinataire, ledit procédé de détection comportant : - une étape d'obtention (E100) d'au moins un motif de communication préalablement extrait selon un procédé d'extraction conforme à l'une 36 [Revendication 14] [Revendication 15] [Revendication 16] quelconque des revendications 1 à 10 dans un registre de réseau comportant un ensemble de connexions établies antérieurement aux connexions dudit registre de réseau courant, - une étape de détermination (E200) d'au moins un registre relatif à une paire d'adresses associées à au moins deux connexions, dit « registre de paire » et comprenant lesdites au moins deux connexions, - une étape de détermination (E300) d'au moins une séquence de connexions contenues dans le registre de paire, le nombre de connexions d'une séquence étant supérieur ou égal à 2, - une étape de vérification (E400) d'une correspondance entre le motif de communication et ladite séquence. Programme d'ordinateur comportant des instructions pour la mise en oeuvre d'un procédé de détection selon la revendication 13 lorsque ledit programme est exécuté par un processeur. Dispositif de détection (4) d'au moins un comportement dans un réseau de communication, à partir d'au moins un registre de réseau courant comportant un ensemble de connexions établies dans ledit réseau de communication, une connexion étant associée à un ensemble d'attributs comportant au moins une paire d'adresses, une paire d'adresses comprenant une adresse source et une adresse destinataire, ledit dispositif de détection (4) comportant : - un module d'obtention, configuré pour obtenir au moins un motif de communication préalablement extrait par un dispositif d'extraction (2) conforme à la revendication 12 dans un registre de réseau comportant des communications établies antérieurement aux connexions dudit registre de réseau courant, - un module de détermination, configuré pour déterminer au moins une séquence de connexions contenues dans le registre de paire, le nombre de connexions d'une séquence étant supérieur ou égal à 2, - un module de vérification, configuré pour vérifier une correspondance entre le motif de communication et ladite séquence. Système de détection (1) d'un comportement dans un registre de réseau courant comportant des connexions établies dans un réseau de communication, chaque connexion étant associée à un ensemble d'attributs comportant au moins une paire d'adresses, une paire d'adresses comprenant une adresse source et une adresse destinataire, ledit système (1) comportant un dispositif d'extraction (2) selon la revendication 12 ainsi qu'un dispositif de détection (4) selon la revendication 15..