Brevet FR3087912A1 — publié le 20200501

PROCEDE D'ANTICIPATION D'INTRUSION INFORMATIQUE DOMAINE TECHNIQUE L'invention concerne un procédé d'anticipation d'intrusion informatique, c'est-à-dire un procédé permettant de détecter l'imminence d'une tentative d'intrusion informatique afin d'activer les contres mesures efficaces. Par exemple, l'invention permet de limiter les accès à un serveur informatique pour un ensemble d'adresses internet lorsqu'un risque d'attaque en provenance de ces adresses est détecté. L'invention trouve une application particulièrement avantageuse pour contrer les pirates 15 informatiques qui mènent des attaques massives sur un système informatique au moyen de bots. Le terme « bot » est la contraction du terme « robot ». Au sens de l'invention, un bot est un agent logiciel automatique ou semi-automatique qui interagit avec au moins un serveur 20 informatique à la manière d'un programme client utilisé par un humain. Cette interaction entre le serveur et le bot est facilitée par l'utilisation du réseau Internet et du protocole de transmission et de contrôle des adresses Internet, plus connu sous l'abréviation TCP/IP pour « Transmission Control Protocol / Internet Protocol » dans la littérature anglo-saxonne. 25 La présente invention concerne un domaine d'analyse particulier, à savoir l'analyse de données symboliques. ART ANTERIEUR 30 La dernière décennie a vu l'émergence d'attaques informatiques massives visant à déstabiliser un ou plusieurs systèmes informatiques. De nombreuses analyses sont menées sur ces attaques afin de déterminer les protagonistes et/ou les motivations cachées derrière ces attaques massives. 2 En outre, certaines analyses ont montré des comportements récurrents chez les pirates, tels que les techniques de harponnage par des messages électroniques. Suite à ces analyses, le personnel d'un grand nombre d'entreprises a été formé pour déjouer ce type 5 d'attaque. Cependant, seuls les comportements observables les plus évidents sont détectables avec les méthodes d'analyses de données numériques classiques. 10 La présente invention concerne un domaine d'analyse plus général que le domaine numérique, à savoir l'analyse de données symboliques. L'analyse de données symboliques permet d'étendre l'analyse de données classique à des données plus complexes et souvent plus proches de la réalité multidimensionnelle. Ce nouveau domaine d'analyse mathématique est notamment décrit dans les publications scientifiques « Analyse de données symboliques et graphe de connaissance d'un agent » par Philippe Caillou et Edwin Diday (EGC 2005, Paris) et « Introduction à l'analyse de données symboliques » de Edwin Diday (HAL, mai 2006). L'analyse de données symboliques (ADS) est basée sur une modélisation du monde réel supposé constitué d'individus et de concepts. Les individus sont modélisés dans un espace de description qui exprime les propriétés à l'aide de variables et une description est constituée d'un ou plusieurs produits exprimant ces propriétés par leur domaine de variation pour l'individu considéré. Une classe d'individus est modélisée dans l'espace des descriptions à l'aide d'un opérateur utilisant les descriptions des individus qui la constituent. Chaque individu est ainsi considéré comme un cas particulier de classes d'individus. Les concepts sont modélisés dans un espace dit des « objets symboliques». Chaque objet symbolique est défini par un triplet formé par une description d'une classe d'individus, un opérateur de comparaisons entre deux descriptions et une fonction de reconnaissance. 3 Le principe de l'ADS est d'analyser un ensemble d'individus tout en prenant en compte la statistique propre, les données répétées et la variation interne de chacun d'entre eux. En résumé, l'ADS est un nouveau domaine d'analyse mathématique visant à conserver la 5 complexité d'un grand nombre de données agglomérées. L'ADS a déjà montré des résultats intéressants pour des applications multiples, telles que la détection d'anomalies sur des ouvrages d'art, la surveillance de la santé structurale des ouvrages d'art, la prédiction de la durée de vie des ouvrages d'art, la mise en oeuvre de systèmes intelligents pour la prévention des risques structurels, l'étude des parcours de soins des patients d'un 10 territoire, ou encore l'étude et la prévention des risques naturels et technologiques d'un territoire. Cependant, l'ADS n'a jamais été utilisée dans le domaine des intrusions informatiques. 15 Le problème technique objectif que ce propose de résoudre l'invention est d'anticiper certaines tentatives d'intrusion informatique. EXPOSE DE L'INVENTION 20 La présente invention est issue d'une découverte selon laquelle l'analyse de données symboliques sur les attaques passées permet de regrouper plusieurs intrusions ou tentatives d'intrusions antérieures à une attaque massive donnée. Pour chaque attaque massive, il est possible de rechercher la survenue d'évènements précurseurs de l'attaque. Ces évènements précurseurs correspondent, le plus souvent, à des tests réalisés pour 25 configurer les bots destinés à perpétrer les attaques. Ainsi, en recherchant la survenue de ces évènements précurseurs, souvent mineurs, difficilement décelables et isolés, il est possible d'anticiper une future tentative d'intrusion informatique. 30 Dans le contexte de l'invention, l'ADS vise à détecter ces évènements précurseurs dans un grand nombre de données collectées hétérogènes. L'ADS permet de fusionner et 4 exploiter ces données hétérogènes au moyen d'un algorithme de nuées dynamiques avec plusieurs conditions initiales. A cet effet, l'invention concerne un procédé d'anticipation d'intrusion informatique 5 comportant les étapes suivantes : - agrégation de données d'intrusions ou de tentatives d'intrusions passées, chaque donnée comportant au moins une indication d'horodatage, une adresse internet de provenance, une adresse internet cible et un port lié à l'intrusion ou à la tentative d'intrusion passée ; 10 - enrichissement de chaque donnée de sorte à associer ladite adresse internet de provenance avec au moins une information géographique et ladite adresse internet cible avec au moins un secteur d'activité ; - création de classes de données symboliques sur lesdites données enrichies, lesdites classes de données symboliques comportant : 15 - au moins une classe liée à une information temporelle de première détection de chaque adresse internet de provenance ; - au moins une classe liée à une information de récurrence de chaque adresse internet de provenance - au moins une classe liée à une information de récurrence de chaque 20 adresse internet cible ; et - au moins une classe liée à une information de récurrence de chaque port de chaque donnée ; - pour plusieurs conditions initiales, regroupement desdites classes de données symboliques à partir d'une condition initiale au moyen d'un algorithme de nuées 25 dynamiques; - détermination des regroupements les plus récurrents formant des ensembles d'intrusions ou de tentatives d'intrusions passées concomitantes ; - recherche d'au moins un élément précurseur lié à un ensemble , et - mise en oeuvre de moyens de détection dudit au moins un élément précurseur de 30 sorte à anticiper la survenue d'une tentative d'intrusion informatique. L'invention permet ainsi d'exploiter les classes de données symboliques pour former des regroupements et détecter des récurrences dans ces regroupements formant des ensembles d'intrusions ou de tentatives d'intrusions passées concomitantes. Par exemple, il est possible de détecter qu'un grand nombre d'attaques sont réalisées concomitamment depuis plusieurs adresses internet simultanément et que ces attaques visent généralement le même secteur d'activité. 5 En recherchant les activités précédentes de ces adresses internet, il est possible de détecter que des tests à petite échelle sont tout d'abord réalisés depuis une adresse internet particulière et dans des conditions particulières, par exemple un jour férié dans le pays de l'adresse internet attaquante. Ce faisant, il est possible de détecter un évènement 10 précurseur lié à un ensemble d'intrusions ou de tentatives d'intrusions passées. Au sens de l'invention, l'adresse internet se comprend au sens du protocole TCP/IP, par exemple le protocole TCP/IP version 4 ou version 6. La détection de cet évènement précurseur est particulièrement intéressante pour protéger 15 un réseau, car il suffit de mettre en oeuvre des moyens de détection de cet évènement précurseur, sous la forme d'un scénario, pour détecter l'imminence d'une tentative d'intrusion. Dans l'exemple précédent, en détectant que des tests à petite échelle, précédant une attaque massive, sont réalisés par une adresse internet particulière ou par une adresse internet de la même ville, il suffit de mettre en oeuvre une détection des 20 requêtes provenant de cette adresse internet pour anticiper une attaque massive. En outre, si la requête est réalisée un jour férié, il y a de fortes chances qu'elle constitue un test de vulnérabilité avant une attaque massive. Il est également possible de détecter le temps entre la première requête et l'attaque 25 massive, correspondant généralement au temps nécessaire au pirate pour préparer son attaque massive. Par exemple, si le temps moyen entre la première requête émanant d'une adresse internet et l'attaque massive associée à cette adresse internet est d'une semaine. Il est possible d'anticiper le jour d'une attaque massive en détectant une première requête provenant de l'adresse internet détectée comme évènement précurseur. 30 Le jour de l'attaque massive anticipée, il est possible de limiter le nombre de requête ou de bloquer les requêtes provenant d'une liste d'adresse, d'une ville, d'une région, d'un pays ou d'un ensemble numérique défini comme une communauté d'objets connectés. En 6 variante, si le jour de l'attaque massive n'est pas détecté, il est possible de bloquer ces requêtes pendant une durée prédéterminée, par exemple pendant une semaine. Ce faisant, l'invention permet d'anticiper une attaque massive planifiée par un pirate ou 5 un groupe de pirates afin de minimiser ou d'annuler les effets de cette attaque massive. Pour ce faire, il est important de former des regroupements efficaces des classes de données symboliques. En amont, il convient donc de former des classes de données symboliques pertinentes pour ces regroupements. 10 Pour obtenir des résultats exploitables, l'invention propose de former les classes suivantes : - au moins une classe liée à une information temporelle de première détection de chaque adresse internet de provenance, par exemple une première classe représentant le 15 jour de ladite première détection de chaque adresse internet de provenance, une seconde classe représentant le mois de ladite première détection de chaque adresse internet de provenance, une troisième classe représentant le trimestre de ladite première détection de chaque adresse internet de provenance, une quatrième classe représentant l'heure de ladite première détection de chaque adresse internet de provenance, et une cinquième classe 20 représentant la présence ou non d'un jour férié, dans le pays de l'adresse internet cible, le jour de ladite première détection de chaque adresse internet de provenance ; - au moins une classe liée à une information de récurrence de chaque adresse internet de provenance, par exemple une classe représentant le nombre de données liées à un pays ou une ville spécifique de ladite adresse internet de provenance, et une classe 25 représentant, sous forme d'histogrammes, lesdites données liées à un pays ou une ville spécifique de ladite adresse internet de provenance ; - au moins une classe liée à une information de récurrence de chaque adresse internet cible, par exemple une première classe représentant le nombre de données liées à une adresse internet cible et/ou un secteur d'activité, et une seconde classe représentant, 30 sous forme d'histogrammes, lesdites données liées à une adresse internet cible et/ou un secteur d'activité ; et - au moins une classe liée à une information de récurrence de chaque port de chaque donnée, par exemple une première classe représentant l'évolution de l'intervalle 7 de récurrence des données associées au port , et une seconde classe représentant, sous forme d'histogrammes, lesdites évolutions de ladite première classe. En variante, il est possible de sélectionner seulement une ou plusieurs des classes décrites 5 pour peu que l'ensemble des classes présente une classe liée à une information temporelle de première détection de chaque adresse internet de provenance, une classe liée à une information de récurrence de chaque adresse internet de provenance, une classe liée à une information de récurrence de chaque adresse internet cible et une classe liée à une information de récurrence de chaque port de chaque donnée. 10 Il est également possible de lier l'adresse internet de provenance avec un sous-réseau, tel qu'un quartier, région ou un continent géographique. Ainsi, il est possible de déterminer des classes de données symboliques liées à un sous-réseau spécifique de l'adresse internet de provenance. Au sens de l'invention, un sous-réseau se comprend en référence aux 15 couches du protocole TCP/IP, par exemple le protocole TCP/IP version 4 ou version 6. Lorsque les classes sont définies, un algorithme de nuées dynamiques effectue des regroupements à partir de conditions initiales. Cet algorithme est une méthode itérative qui, quel que soit son point de départ converge vers une solution. Par exemple, pour une 20 première itération, un premier point de départ vise à associer le centre des classes à des objets. Dans une seconde itération, la distance entre les objets et les centres est calculée et les objets sont affectés aux centres dont ils sont les plus proches. Dans une troisième itération, les centres sont redéfinis à partir des objets qui ont été affectés aux différentes classes. Dans une quatrième itération, les objets sont réaffectés en fonction de leur 25 distance aux nouveaux centres et ainsi de suite jusqu'à ce que la convergence soit atteinte. La solution obtenue n'est pas nécessairement la même quel que soit le point de départ. Pour cette raison, les calculs de regroupement sont réalisés pour plusieurs conditions initiales pour ne retenir que la solution la plus optimale pour le critère choisi. Ces points de départ peuvent être un horodatage sur une période donnée, une adresse internet de 30 provenance dans un intervalle donné, un port dans une liste donnée, et une adresse internet cible et/ou un secteur d'activité dans une liste donnée. DESCRIPTION SOMMAIRE DES FIGURES 8 La manière de réaliser l'invention ainsi que les avantages qui en découlent, ressortiront bien du mode de réalisation qui suit, donné à titre indicatif mais non limitatif, à l'appui des figures annexées dans lesquelles les figures 1 et 2 représentent : 5 - Figure 1 : une représentation schématique d'un ensemble de serveurs protégés par un dispositif d'anticipation d'intrusion informatique ; et - Figure 2 : un ordinogramme des étapes du procédé d'anticipation d'intrusion informatique selon un mode de réalisation de l'invention. 10 DESCRIPTION DETAILLEE DE L' INVENTION Dans la présente description qui suit, la théorie mathématique complète de l'analyse de données symboliques ne sera pas décrite dans le détail en raison de sa complexité. Cependant, tel que décrit précédemment, l'invention concerne le domaine technique de 15 l'analyse de données symboliques et un homme du métier connaît les théories mathématiques liées à l'analyse de données symboliques. Plus particulièrement, tel qu'illustré sur la figure 1, l'invention requiert l'utilisation d'un algorithme de nuées dynamiques 23 pour effectuer des regroupements R1-R5 à partir de 20 conditions initiales Ci. Il existe plusieurs méthodes pour implémenter physiquement cet algorithme de nuées dynamiques 23. Par exemple, trois de ces méthodes sont décrites dans la publication scientifique « trois nouvelles méthodes de classification automatique de données symboliques de type intervalle », Rev. Statistique Appliquée, 2003, LI (4), 529, M. Chavent & co. 25 L'une ou l'autre de ces méthodes peut être utilisée pour réaliser l'invention. En outre, le logiciel SYR de la société SYMBAD® peut être utilisé pour former ces regroupements R1-R5 à partir de classes Cx et de conditions initiales Ci prédéfinies. 30 Avant d'obtenir des classes cohérentes, tel qu'illustré sur la figure 2, une première étape consiste à agréger 50 des données d'intrusions. Comme dans de nombreux systèmes d'analyses statistiques, plus le nombre de données d'intrusion est important, plus il est possible de caractériser des phénomènes. A cet effet, les données 14a-14e d'intrusions 9 et/ou de tentatives d'intrusions de multiples serveurs 13a-13e connectés sur internet 11 sont récupérées par un module 20. Ces serveurs 13a-13e comportent généralement un dispositif de filtrage des requêtes 12a- 5 12e et chaque requête peut être répertoriée au niveau de ce dispositif de filtrage des requêtes 12a-12e ou au niveau du serveur 13a-13e. Après une intrusion d'un pirate ou, plus généralement, une tentative d'intrusion, les informations 14a-14e contenues dans les requêtes du pirate peuvent être distinguées des autres requêtes reçues par le serveur 13a-13e. 10 Pour effectuer une requête sur un serveur 13a-13e, le logiciel transmettant la requête doit fournir une adresse internet IP_D correspondant aux serveurs ciblés 13a-13e ainsi qu'un numéro de port P de ce serveur 13a-13e sur lequel la requête doit être exécutée. 15 Au niveau du serveur 13a-13e, lorsqu'une requête est reçue, l'adresse internet IP_A de l'ordinateur sur lequel la requête a été générée apparaît. Le répertoire de stockage des requêtes liste classiquement, de manière chronologique et horodatée, l'ensemble des requêtes reçues par le serveur 13a-13e en indiquant, sur chaque ligne, la date et l'heure de la requête ainsi que l'adresse internet de provenance IP_A et le port P sur lequel la 20 requête a été présentée. Le module d'agrégation 20 récupère l'ensemble des requêtes identifiées comme provenant d'un pirate et, pour chaque requête, associe l'adresse internet IP_D du serveur 13a-13e sur lequel la requête a été présentée. Au cours du temps, le module d'agrégation 20 liste un grand nombre de requêtes de 25 pirates informatiques avec, pour chaque requête, au moins l'adresse internet de l'attaquant [P_A, l'adresse internet de destination EP D sur laquelle le la requête a été présentée, le port P sur lequel la requête a été présentée, et une information d'horodatage Dt de la requête, typiquement la date et l'heure à laquelle la requête a été présentée. D'autres informations peuvent également être agrégées au niveau du 30 module 20. Par exemple, il est possible de détecter un temps avant qu'une adresse internet IP_A d'un pirate soit référencée dans une liste noire. 10 Tel qu'illustré sur la figure 2, lorsque les données Dx sont collectées, le procédé comporte une étape 51 visant à enrichir ses données Dx. En effet, en analysant une adresse internet, il est possible d'en déduire la ville, le pays, la région, le quartier ainsi qu'un grand nombre d'informations géographiques et structurelles du réseau à travers lequel l'adresse internet 5 est contenue. Cette étape d'enrichissement vise à déterminer au moins le pays et/ou la ville associée à l'adresse internet IP A d'un pirate. De même, l'adresse internet IP_D du serveur ciblé peut être référencée dans une base de données associant l'adresse internet de chaque serveur avec une information sur la nature 10 de la société utilisant le serveur 13a-13e. Par exemple, chaque adresse internet des différents serveurs 13a-13e peut correspondre à un code APE, utilisé en France pour catégoriser les produits et services d'une entreprise. En utilisant les données Dx associées au port P mentionné dans la requête, il est possible 15 de déterminer le type d'attaque perpétrée par le pirate. Par exemple, lorsqu'une requête est présentée sur un port spécifique, il peut être interprété que le pirate cherche à réaliser une tentative d'intrusion selon un mode opératoire spécifique, tel que la prise de contrôle à distance ou la tentative de surmenage d'un site internet. 20 Il est ainsi possible d'obtenir des données enrichies Dx correspondant aux données agrégées dans l'étape 50 associées à certaines données déduites à partir des données agrégées. Sur la base de ces données enrichies générées par un module 21, l'invention propose de générer des classes de données symboliques. 25 Au sens de l'invention, le mot « classe » prend un sens mathématique, c'est-à-dire qu'il correspond un sous-ensemble d'individus munis d'une propriété commune. Diverses sortes de variabilités sont décrites à l'intérieur des classes. Dans l'analyse de données symboliques, deux types de variables sont utilisés : 30 - les variables « initiales », appelées ainsi car elles sont définies sur la population initiale des individus et 11 - les variables dites « symboliques », dont la première caractéristique est d'être définies sur des classes d'individus de la population initiale, et la seconde caractéristique est de prendre des valeurs symboliques non réductibles à des nombres ou à des catégories. 5 Dans le contexte de l'invention, les variables initiales correspondent aux données enrichies. Les classes de données symboliques peuvent correspondre au jour Jd de la première détection de l'adresse internet IP_A du pirate sur l'ensemble des serveurs ainsi qu'au trimestre Td, au mois Md et à l'heure Hd de cette première détection. En outre, une classe de données symboliques binaires Jf peut indiquer, pour chaque adresse internet 10 IP_A, si le jour Jd de la première détection correspond un jour férié. Pour former une classe de données symboliques, il est possible d'analyser et d'extraire des informations dans un fichier initial regroupant l'ensemble des données enrichies Dx. 15 D'autres classes de données symboliques peuvent correspondre au nombre de lignes du fichier initial comportant un pays identique nb_pays_IP_A. Ce type de classe est appelé intervalle dans le domaine de l'analyse de données symboliques. Sur la base de ce nombre de lignes du fichier initial présentant un pays identique nb_pays_IP_A, il est possible de créer une nouvelle classe de données symboliques nb_pays_IP_A_h5 représentant cette 20 première classe données symboliques sous le forme d'un histogramme discrétisé. Par exemple, en utilisant une discrétisation de niveau 5, la première colonne de l'histogramme peut contenir uniquement les pays qui sont présents une seule fois sur l'ensemble des attaques, la deuxième colonne de l'histogramme peut contenir les pays qui sont représentés deux à quatre fois sur l'ensemble des attaques, la troisième colonne de 25 l'histogramme peut contenir les pays qui sont présents entre cinq et neuf fois dans l'ensemble des attaques, la quatrième colonne de l'histogramme peut contenir les pays présents entre 10 et 20 fois alors que la cinquième colonne peut contenir les pays présents plus de 20 fois. 30 Ces classes peuvent être formées de manière identique sur les villes nb_ville_IP_A, nb_ville_IP_A_h5 de l'adresse internet IP_A du pirate ou sur le sous-réseau nb_IP_tr, nb_IP_tr _h5 utilisé par le pirate. De la même manière, il est possible de regrouper les attaques visant un même secteur d'activité en identifiant le nombre de lignes du fichier 12 initial correspondant à une activité identique. À partir de cette classe nb_act_IP_D, il est possible de discrétiser le nombre de lignes du fichier initial sous forme d'histogramme nb_act_IP_D_h5. Une autre classe de données symboliques peut correspondre au nombre de lignes du fichier initial concernant à un port P identique nb_port ou encore 5 une classe di scrétisée nb_port_h5 sur cette classe correspondant aux ports P utilisés par les pirates. Ces classes de données symboliques correspondent uniquement à des exemples d'interprétation des données enrichies Dx. En fonction de la nature des attaques dont la 10 prévision est souhaitée, il est possible de modifier ou d'ajouter des classes de données symboliques. Par exemple, il est possible de détecter la date à laquelle une adresse internet du pirate est inscrite dans une liste noire de chaque serveur 13a-13e et de détecter une durée au cours de laquelle le pirate utilise toujours cette adresse pour réaliser des requêtes avant de faire évoluer ses attaques, typiquement en utilisant une nouvelle adresse 15 internet. En utilisant cette information, il est possible de suivre l'activité d'un pirate spécifique afin de rechercher son identité ou, à tout le moins, son pays d'origine. Il est également possible d'intégrer dans les classes de données symboliques le nombre d'attaques réalisées depuis 20 une même adresse internet IP_A ou sur un même serveur ciblé 13a-13e. Comme pour les classes précédentes, ce nombre d'attaques peut être obtenu en associant à chaque adresse internet du pirate détecté dans le fichier initial le nombre de lignes du fichier initial correspondant à cette adresse internet. Une autre classe de données symboliques peut également discrétiser ces valeurs. Par exemple, en discréti sant cette valeur en 7 colonnes, 25 il est possible de former une première colonne dans laquelle l'adresse internet IP_A a réalisé moins de 10 attaques, une seconde colonne dans laquelle l'adresse internet IP_A a réalisé entre 11 et 50 attaques, une troisième colonne dans laquelle l'adresse internet IP_A a réalisé entre 51 et 200 attaques, une quatrième colonne dans laquelle l'adresse internet IP_A a réalisé entre 200 et 1000 attaques, une cinquième colonne dans laquelle 30 l'adresse internet IP_A a réalisé entre 1001 et 10 000 attaques, une sixième colonne dans laquelle l'adresse internet IP_A a réalisé entre 10 001 et 100 000 attaques, et une septième colonne dans laquelle l'adresse internet IP_A a réalisé plus de 100 000 attaques. 13 En utilisant la durée de détection des adresses internet du pirate avant qu'elles soient positionnées en liste noire, il est possible de former une classe de données symboliques sur cette durée de détection afin d'obtenir une information sur la réactivité de la sécurité du serveur 13a-13e. Encore une fois, une classe discrétisée de cette durée de détection 5 peut être formée sur 8 colonnes distinctes, une première colonne dans laquelle la durée de mise en liste noire de l'adresse internet est inférieure à 20 secondes, une deuxième colonne dans laquelle la durée est comprise entre 20 secondes et une minute, une troisième colonne dans laquelle la durée est comprise entre une minute et 10 minutes, quatrième colonne dans laquelle la durée est comprise entre 10 minutes et une heure, une 10 cinquième colonne dans laquelle la durée comprise entre une heure et 24 heures, une sixième colonne dans laquelle la durée comprise entre un jour et 10 jours, une septième colonne dans laquelle la durée comprise entre 10 jours et 60 jours, et une huitième colonne dans laquelle la durée supérieure à 60 jours. 15 Il est également possible de former des classes de données symboliques par des opérations entre des classes précédemment définies. Par exemple, il est possible de former une classe de données symboliques qui multiplie la durée avant la mise en liste noire d'une adresse internet par le nombre d'attaques associées 20 à cette adresse internet. Ainsi, un grand nombre de classes de données symboliques peuvent être formées sur les données enrichies Dx par un module 22 de création des classes Cx. 25 Ces classes Cx sont ensuite transmises à l'algorithme 23 précédemment décrit. Cet algorithme 23 va utiliser des conditions initiales Ci pour regrouper les différentes classes de données symboliques Cx. Il convient donc de définir, dans une étape 53, une condition initiale Ci afin de réaliser un regroupement particulier, dans une étape 54. Lorsque le regroupement est réalisé, tel qu'illustré sur la figure 1, un ou plusieurs regroupements R1- 30 R5 de classes de données symboliques Cx peuvent être détectés. Ces regroupements R1-R5 sont stockés et de nouveaux regroupements sont recherchés pour d'autres conditions initiales Ci. 14 Les conditions initiales Ci, peuvent correspondre un horodatage sur une période donnée, une adresse internet de provenance dans un intervalle donné, un port dans une liste donnée et une adresse ciblée ou un secteur d'activité dans une liste donnée. Pour chacune de ces conditions initiales Ci, des regroupements R1-R5 identiques ou distincts peuvent 5 apparaître. À l'issue de la détermination de ces multiples regroupements R1-R5, des regroupements récurrents Rx sont détectés dans une étape 55. Ainsi, les regroupements récurrents Rx font apparaître qu'une des classes de données symboliques est directement liée à une autre classe de données symboliques. Par exemple, 10 une adresse internet d'un pirate peut être liée à une classe illustrant la durée avant qu'une adresse internet soit stockée dans une liste noire. Ce regroupement peut indiquer qu'un pirate particulier a l'habitude de détecter les serveurs qui ne mettent pas à jour rapidement les adresses internet détectées dans la liste noire. Le pirate peut alors avoir l'habitude de se servir de cette information pour mener une attaque massive avec des adresses internet 15 connues du serveur mais qui ne sont pas encore mises dans une liste noire. En faisant ce type de regroupement, il est possible, dans une étape 56, de rechercher un élément précurseur Ep dans un regroupement récurrent Rx précédemment détecté. 20 Par exemple, cet élément précurseur Ep peut correspondre à une première attaque d'une adresse internet spécifique ou à une heure précise à laquelle un pirate réalise classiquement ces tests de vulnérabilités. Lorsque cet élément précurseur Ep est détecté par un module 24, un module 25 met en 25 oeuvre, dans une étape 55, des moyens de détection de cet élément précurseur Ep. Typiquement, une information 15a-15e est propagée sur les différents serveurs 13a-13e afin qu'ils mettent en oeuvre les contre réactions nécessaires. L'invention permet ainsi d'anticiper une intrusion informatique sur la base d'un modus 30 operandi précédemment observé d'un pirate ou d'un ensemble de pirates. En effet, les pirates utilisent de plus en plus des logiciels malveillants avec un algorithme spécifique. En étudiant la nature, la fréquence et le type de requête, il est possible de détecter un fonctionnement récurrent issu d'un algorithme d'un logiciel malveillant. Même si un pirate 15 utilise pour la première fois ce logiciel, les comportements intrinsèques du logiciel ont pu être précédemment observés et les actions du pirate peuvent être anticipées car des regroupements précédents ont montré comment un pirate allait agir par l'intermédiaire de ce logiciel malveillant. 5 Ces logiciels malveillants peuvent être vendus à des pirates via des plateformes de commerce. L'invention permet donc de neutraliser un logiciel malveillant utilisé par une communauté neutralisant ainsi plusieurs pirates. 10 De manière plus générale, l'invention permet d'améliorer la sécurité informatique d'un REVENDICATIONS1. Procédé d'anticipation d'intrusion informatique caractérisé en ce qu'il comporte les étapes suivantes : - agrégation (50) de données d'intrusions ou de tentatives d'intrusions passées (14a-14e), chaque donnée (Dx) comportant au moins une indication d'horodatage (Dt), une adresse internet de provenance (IP A), une adresse internet cible (IP D) et un port (P) lié à l'intrusion ou à la tentative d'intrusion passée ; - enrichissement (51) de chaque donnée (Dx) de sorte à associer ladite adresse 10 internet de provenance (IP_A) avec au moins une information géographique (villelP_A, payslP_A) et ladite adresse internet cible (IP_D) avec au moins un secteur d'activité (act IP D) ; - création (52) de classes de données symboliques (Cx) sur lesdites données enrichies (Dx), lesdites classes de données symboliques (Cx) comportant : 15 - au moins une classe (Jd, Jf, Hd, Md, Td) liée à une information temporelle de première détection de chaque adresse internet de provenance (IP_A) ; - au moins une classe (nb pays IP A, nb pays IP A h5, nb ville IP A, nb ville _ IP A h5) liée à une information de récurrence de chaque adresse 20 internet de provenance (IP_A) ; - au moins une classe (nb act IP D nb act IP D h5) liée à une information de récurrence de chaque adresse internet cible (IP_D) ; et - au moins une classe (nbport, nb_port h5) liée à une information de récurrence de chaque port (P) de chaque donnée ; 25 - pour plusieurs conditions initiales (Ci), regroupement (54) desdites classes de données symboliques (Cx) à partir d'une condition initiale (Ci) au moyen d'un algorithme de nuées dynamiques (23) ; - détermination (55) des regroupements (R1-R5) les plus récurrents formant des ensembles d'intrusions ou de tentatives d'intrusions passées concomitantes ; 30 - recherche (56) d'au moins un élément précurseur (Ep) lié à un ensemble ; et - mise en oeuvre (57) de moyens de détection (15a-15e) dudit au moins un élément précurseur (Ep) de sorte à anticiper la survenue d'une tentative d'intrusion informatique. 17 2. Procédé d'anticipation selon la revendication 1, dans lequel l'étape de regroupement (54) desdites classes de données symboliques (Cx) est réalisée à partir de quatre conditions initiales (Ci) : - un horodatage (Dt) sur une période donnée ; 5 - une adresse internet de provenance (IP A) dans un intervalle donné ; - un port (P) dans une liste donnée ; et - une adresse internet cible (IP D) et/ou un secteur d'activité (act IP D) dans une liste donnée. 3. Procédé d'anticipation selon la revendication 2, dans lequel, lesdites classes de données symboliques comportent au moins deux classes liées à une information de récurrence de chaque port (P) de chaque donnée : - une première classe (nb_port) représentant l'évolution de l'intervalle de récurrence des données associées au port ; et - une seconde classe (nb_port_h5) représentant, sous forme d'histogrammes, lesdites évolutions de ladite première classe. 4. Procédé d'anticipation selon l'une des revendications 1 à 3, dans lequel, lesdites classes de données symboliques comportant au moins cinq classes liées à une information 20 temporelle de première détection de chaque adresse internet de provenance (IP A) : - une première classe (Jd) représentant le jour de ladite première détection de chaque adresse internet de provenance ; - une seconde classe (Md) représentant le mois de ladite première détection de chaque adresse internet de provenance ; 25 - une troisième classe (Td) représentant le trimestre de ladite première détection de chaque adresse internet de provenance ; - une quatrième classe (Hd) représentant l'heure de ladite première détection de chaque adresse internet de provenance ; et - une cinquième classe (7f) représentant la présence ou non d'un jour férié, dans le 30 pays de l'adresse internet cible (IP D), le jour de ladite première détection de chaque adresse internet de provenance (IP A). 18 5. Procédé d'anticipation selon l'une des revendications 1 à 4, dans lequel, ladite au moins une information géographique de ladite adresse internet de provenance (IP A) comporte une information (villelP A) sur la ville de ladite adresse internet de provenance et une information (payslP_A) sur le pays de ladite adresse internet de provenance. 5 6. Procédé d'anticipation selon la revendication 5, dans lequel lesdites classes de données symboliques (Cx) comportent : - une classe (nb_pays IP A) représentant le nombre de données liées à un pays spécifique de ladite adresse internet de provenance (IP A) ; et 10 - une classe (nb_pays IP A h5) représentant, sous forme d'histogrammes, lesdites données liées à un pays spécifique de ladite adresse internet de provenance (IP_A). 7. Procédé d'anticipation selon la revendication 5 ou 6, dans lequel lesdites classes de 15 données symboliques (Cx) comportent : - une classe (nb ville _IP_A) IP _A) représentant le nombre de données liées à une ville _ spécifique de ladite adresse internet de provenance (IP A) ; et - une classe (nb _ ville _ IP _ A_ h5) représentant, sous forme d'histogrammes, lesdites données liées à une ville spécifique de ladite adresse internet de 20 provenance (IP A). 8. Procédé d'anticipation selon l'une des revendications 1 à 7, dans lequel, ladite au moins une information géographique de ladite adresse internet de provenance (IP_A) comporte une information sur le sous-réseau (SR_IP_A) de ladite adresse internet de 25 provenance (IP_A). 9. Procédé d'anticipation selon la revendication 8, dans lequel lesdites classes de données symboliques (Cx) comportent : - une classe (nb 1P tr) représentant le nombre de données liées au sous-réseau 30 spécifique de ladite adresse internet de provenance (IP A) ; et - une classe (nb IP tr h5) représentant, sous forme d'histogrammes, lesdites données liées à un sous-réseau spécifique de ladite adresse internet de provenance (IP_A). 19 10. Procédé d'anticipation selon l'une des revendications 1 à 9, dans lequel, lesdites classes de données symboliques (Cx) comportent au moins deux classes liées à une information de récurrence de chaque adresse internet cible (IP D) : - une première classe (nb_act_IP_D) représentant le nombre de données liées à 5 une adresse internet cible (W D) et/ou un secteur d'activité (act W D) ; et - une seconde classe (nb _ act _ IP D _h5) représentant, sous forme d'histogrammes, _ lesdites données liées à une adresse internet cible (IP D) et/ou un secteur d'activité (act IP D).