Brevet FR3098615A1 — publié le 20210115

Description Titre de l'invention : PROTECTION CONTRE LES INTRUSIONS AVANT ROUTAGE POUR ENVIRONNEMENTS INFOR- MATIQUES VIRTUELS EN NUAGE. [pool j La présente invention concerne le domaine de la sécurité des réseaux et, plus particu- lièrement, la prévention des intrusions dans un environnement informatique virtualisé. [0002] La sécurité des réseaux se compose des politiques et pratiques adoptées pour empêcher et contrôler les accès non autorisés, mauvais usages, modifications ou attaques d'un réseau informatique et de ressources accessibles par réseau. Différents outils statistiques sont combinés pour assurer la sécurité d'un réseau, incluant le plus communément des pare-feux adaptés pour la prévention des intrusions, des anti-virus et des moyens de détection de logiciels malveillants pour la détection et la correction des intrusions, et des commandes pilotées par une politique de gestion de systèmes de fichiers visant à limiter la capacité d'individus à transmettre certains types de données à certains destinataires en fonction d'une identité ou d'un rôle de l'émetteur. Cependant, la nature des menaces de sécurité sur les réseaux est en constante évolution. A ce titre, les outils statistiques sont insuffisants pour traiter l'évolution dynamique des menaces sur la sécurité des réseaux. [0003] Pour traiter la nature dynamique des menaces de sécurité sur les réseaux, les systèmes de prévention et de détection des intrusions effectuent en temps réel une analyse de données sur des paquets d'un flux de paquets soumis à une inspection de paquets. En utilisant différentes règles de sécurité réseau, des outils de détection et de prévention des intrusions identifient dans les paquets des motifs connus pour refléter une menace d'intrusion de façon à offrir l'opportunité de réagir à la menace sans permettre la transmission plus avant des motifs suspects. Dans un environnement informatique autonome, de tels outils dynamiques se sont avérés hautement efficaces, même dans le cas où les outils dynamiques sont déployés à distance sous la forme d'un service et reliés uniquement par un couplage faible au système informatique protégé sous-jacent. [0004] Le couplage faible d'outils dynamiques de protection contre les intrusions et de prévention des intrusions dans le cas d'un système informatique autonome propriétaire diffère cependant de celui de l'environnement informatique en nuage. Dans un environnement informatique en nuage, l'infrastructure sous-jacente n'est pas accessible au client utilisant un conteneur virtualisé dans l'environnement informatique en nuage. A ce titre, des techniques de protection contre les intrusions et de prévention des intrusions comptent généralement exclusivement sur l'analyse de fichiers journaux 2 générés dans le conteneur virtualisé de l'environnement informatique en nuage. Il n'y a donc pas de protection en temps réel disponible dans l'environnement informatique en nuage - seule une forme de protection rétrospective externe est possible. [0005] Des formes de réalisation de la présente invention remédient aux insuffisances de la technique en ce qui concerne la sécurité des réseaux dans un environnement informatique en nuage, et mettent à disposition un procédé, un système et un produit de programme informatique nouveaux et non évidents de sécurité réseau avant routage pour informatique en nuage. Dans une forme de réalisation de l'invention, un procédé de sécurité réseau avant routage pour informatique en nuage comprend la réception, dans un composant de routage, tel qu'un équilibreur de charge, d'un environnement informatique en nuage qui comprend plusieurs conteneurs virtualisés différents, tels que des machines virtuelles, d'un flux de paquets ciblant une adresse réseau de destination. Avant le traitement du flux de paquets dans le composant de routage, le flux de paquets est dévié vers un inspecteur de paquets s'exécutant dans Fun des différents conteneurs virtualisés de l'environnement informatique en nuage. Ensuite, seule une fraction des paquets du flux de paquets dévié est renvoyée au composant de routage par l'inspecteur de paquets s'exécutant dans ledit un des différents conteneurs virtualisés, et la fraction de paquets est ensuite traitée dans le composant de routage afin d'être acheminée vers l'adresse réseau de destination. [0006] Selon un aspect de la forme de réalisation, l'adresse de destination est interne à un autre des conteneurs virtualisés, qui est différent dudit un des conteneurs virtualisés qui accueille l'inspecteur de paquets, et le flux de paquets est reçu d'une source de transmission de données externe à l'environnement informatique en nuage. D'une autre manière, selon un autre aspect de la forme de réalisation, l'adresse de destination est externe à l'environnement informatique en nuage, et le flux de paquets est reçu d'une source de transmission de données interne à un autre des conteneurs virtualisés. Selon encore un autre aspect de la forme de réalisation, l'adresse de destination est interne à un autre des conteneurs virtualisés, et le flux de données est reçu d'une source de transmission de données interne à encore un autre des conteneurs virtualisés. [0007] En particulier, selon encore un autre aspect de la forme de réalisation, l'inspecteur de paquets exécute une détection d'intrusion sur le flux de paquets. De plus, selon encore un autre aspect de la forme de réalisation, l'inspecteur de paquets identifie une tentative de transmission de données à une destination réglementée d'après l'adresse réseau de destination et, en réponse, écarte le flux de paquets sans permettre un retour du flux de paquets au composant de routage de façon à empêcher la transmission des données. [0008] Selon une autre forme de réalisation de l'invention, un système de traitement de données d'informatique en nuage est configuré pour assurer une sécurité réseau avant routage. Le système comporte au moins deux conteneurs virtualisés d'un envi- 3 ronnement informatique en nuage et un composant de routage adapté pour acheminer des flux de paquets vers, à l'intérieur et hors de l'environnement informatique en nuage. A cet égard, le composant de routage peut être un équilibreur de charge pour l'environnement informatique en nuage. Le composant de routage a une configuration propre à traiter tous les flux de paquets reçus à une adresse réseau de déviation spécifiée, au niveau de l'un des conteneurs virtualisés, à l'exception des flux de paquets reçus dudit un des conteneurs virtualisés. A cet égard, ledit un des conteneurs virtualisés accueille l'exécution d'un module de sécurité réseau avant routage qui est accessible à l'adresse réseau de déviation spécifiée. [0009] Le module contient des instructions de programme informatique permettant, lors de leur exécution dans ledit un des conteneurs virtualisés, la réception, en provenance du composant de routage, d'un flux de paquets reçu dans celui-ci et ciblant une adresse réseau de destination spécifiée, mais ayant été dévié vers ledit un des conteneurs virtualisés en raison de l'adresse réseau de déviation spécifiée. Les instructions de programme permettent en outre l'exécution dune inspection de paquets sur le flux de paquets, l'application d'une multitude de règles de prise de décision concernant les paquets spécifiant des résultats de transmission ou de rejet, le rejet de ceux des paquets qui ont été sélectionnés pour avoir reçu un résultat de rejet lors de l'application des règles, et le renvoi au composant de routage de seulement une fraction des paquets du flux de paquets dévié pour son acheminement vers l'adresse réseau de destination par le composant de routage. [0010] Des aspects additionnels de l'invention seront en partie définis dans la description ci- après, et seront en partie évidents à la lecture de la description, ou pourront être appris par la mise en pratique de l'invention. Les aspects de l'invention seront réalisés et atteints au moyen des éléments et combinaisons particulièrement mentionnés dans les revendications jointes. On comprendra que la description générale ci-dessus et la description détaillée ci-après ne sont fournies qu'à titre d'exemple et d'explication et ne sont pas restrictives de l'invention, telle que revendiquée. [0011] Les dessins joints, qui sont incorporés dans la présente description et qui en font partie, illustrent des formes de réalisation de l'invention et, associés à la description, permettent d'expliquer les principes de l'invention. Les formes de réalisation illustrées dans le présent document sont actuellement préférées, étant cependant entendu que l'invention n'est pas limitée aux arrangements et instruments précis représentés. Dans les dessins: [0012] [fig.1] est une illustration schématique d'un procédé de sécurité réseau avant routage pour informatique en nuage; [0013] [fig.2] est une illustration schématique d'un système de traitement de données d'informatique en nuage; et, [0014] [fig.3] est un organigramme illustrant un procédé de sécurité réseau avant routage pour informatique en nuage. [0015] Des formes de réalisation de l'invention concernent la sécurité réseau avant routage pour informatique en nuage. Selon une forme de réalisation de l'invention, un composant de routage, tel qu'un équilibreur de charge, d'un environnement informatique en nuage qui comprend plusieurs conteneurs virtualisés différents, reçoit un flux de paquets configure pour être acheminé vers une destination cible, soit dans l'environnement informatique en nuage, soit en dehors de l'environnement informatique en nuage. Avant le routage de chaque paquet du flux de paquets vers la destination cible, chacun des paquets du flux de paquets est dévié du composant de routage jusqu'à l'un des différents conteneurs virtualisés de l'environnement informatique en réseau dans lequel différentes règles de sécurité réseau sont appliquées à chacun des paquets afin de déterminer s'il faut renvoyer l'un correspondant des paquets vers le composant de routage, ou rejeter ledit paquet correspondant de façon à empêcher l'acheminement de ce paquet correspondant vers la destination cible. Ainsi, seule une partie des paquets du flux de paquets est renvoyée au composant de routage pour être acheminée vers la destination cible. Une sécurité réseau incluant une prévention des intrusions et une protection contre les intrusions peut ainsi être mise en oeuvre dans l'environnement informatique en nuage sans être limitée à un simple traitement de journal pour un ou plusieurs des conteneurs virtualisés de l'environnement informatique en nuage. [0016] A titre d'illustration supplémentaire, la Figure 1 représente de manière schématique un procédé de sécurité réseau avant routage pour informatique en nuage. Comme le montre la Figure 1, un environnement informatique en nuage 100 comprend plusieurs conteneurs virtualisés différents 110A, 110B. tels que des machines virtuelles différentes, fonctionnant chacun dans l'environnement informatique en nuage 100 et accueillant l'exécution d'une ou plusieurs applications 160. Un flux de paquets 150A est reçu dans un composant de routage 120 de l'environnement informatique en nuage 100, par exemple un équilibreur de charge de l'environnement informatique en nuage 100. A cet égard, le flux de paquets 150A peut provenir de l'une des applications 160 en exécution dans l'un des conteneurs virtualisés 110A ou d'un serveur terminal externe 130 résidant en dehors de l'environnement informatique en nuage 100 et externe à celui-ci. [0017] Lors de la réception du flux de paquets 150A, chacun des paquets du flux de paquets 150A est dévié selon une règle de configuration 140 du composant de routage vers un conteneur virtualisé particulier 110B des conteneurs virtualisés 110A. 110B de l'environnement informatique en nuage 100. A cet égard, la règle 140 indique l'acheminement vers un inspecteur de paquets 190 du conteur virtualisé particulier 110B, dans lequel différentes règles de sécurité réseau 170 sont appliquées à chacun des paquets du flux de paquets 150A soumis à une inspection de paquet afin de produire un résultat de rejet ou de transmission. Plus particulièrement, les règles de sécurité réseau 170 incluent des règles de sécurité des données 170A, des règles de prévention d'intrusion 170B et des règles de détection d'intrusion 170C. Les règles de sécurité des données 170A déterminent si des données destinées à être transmises à une destination particulière sont ou non autorisées à être transmises à la destination particulière en fonction d'une identité des données, d'une identité de la destination particulière, de l'identité de la source de données, ou de toute combinaison de celles-ci. Les règles de prévention d'intrusion 170B identifient quant à elles des motifs visibles dans un ou plusieurs des paquets afin de déterminer s'il faut ou non autoriser la transmission de chacun des paquets à une destination cible. De manière analogue, les règles de détection d'intrusion 170C identifient des motifs visibles dans un ou plusieurs des paquets afin de déterminer s'il faut ou non autoriser la transmission de chacun des paquets à une destination cible de façon à détecter une intrusion entrante dans l'un des conteneurs virtualisés 110A, et éventuellement rejeter ceux des paquets qui sont incriminés avant qu'une intrusion ne commence. [0018] Une fois que les règles de sécurité réseau 170 ont été appliquées à chacun des paquets du flux de paquets 150A, certains sont devenus des paquets rejetés 150C et sont éliminés, tandis que d'autres ne sont pas rejetés et forment la base d'un flux de paquets fractionnaire 150B qui comprend un plus petit nombre de paquets que le flux de paquets 150A. L'inspecteur de paquets 190 renvoie ensuite le flux de paquets fractionnaire 150B au composant de routage 120. Lors du retour des paquets du flux de paquets fractionnaire 150B au composant de routage 120, ce dernier achemine ensuite les paquets du flux de paquets fractionnaire 150B vers la destination cible. A cet égard, la destination cible peut être l'une des applications 160 s'exécutant dans l'un correspondant des conteneurs virtualisés 110A, ou dans le serveur terminal externe 130. [0019] Le procédé décrit en lien avec la Figure 1 peut être mis en oeuvre dans un système de traitement de données d'informatique en nuage. A titre d'illustration supplémentaire, la Figure 2 illustre de manière schématique un système de traitement de données d'informatique en nuage conçu pour assurer une sécurité réseau avant routage. Le système comprend un environnement informatique en nuage 200 couplé en communication à différents dispositifs informatiques 240 sur un réseau de communication informatique 230. L'environnement informatique en nuage 200 comprend un ou plusieurs ordinateurs serveurs 210 ayant chacun une mémoire et au moins un processeur. Plusieurs conteneurs virtualisés différents 220 sont exécutés dans un ou plusieurs des ordinateurs serveurs 210. L'environnement informatique en nuage 200 comprend un outre un composant de routage 280 adapté pour acheminer du trafic 6 réseau vers et depuis des conteneurs correspondants des conteneurs virtualisés 220. De manière optionnelle, le composant de routage 280 peut être constitué de deux sous-composants de routage ou plus, tel qu'un composant de routage sortant conçu pour gérer les flux de trafic sortant de l'environnement informatique en nuage 200, et un composant de routage entrant acheminant le flux de trafic entrant dans l'environnement informatique en nuage 200. [0020] En particulier, l'un des conteneurs virtualisés 220 comprend un inspecteur de paquets 260 s'exécutant en son sein et adapté pour appliquer différentes règles de sécurité réseau 270 à différents paquets soumis à une inspection de paquet par l'inspecteur de paquets 260. De plus, un module de sécurité réseau avant routage 300 s'exécute dans l'un des conteneurs virtualisés 220. Le module de sécurité réseau avant routage 300 comprend des instructions de programme informatique activées, lorsqu'elles sont exécutées, pour la réception d'un flux de paquets 250 en provenance du composant de routage 280, émanant soit de l'intérieur de l'autre des conteneurs virtualisés 220, soit de l'un des dispositifs informatiques 240 sur le réseau de communication informatique 230. A cet égard, le flux de paquets 250 indique non seulement la source d'origine du flux de paquets 250, mais également une adresse de destination du flux de paquets 250, ainsi qu'une charge utile de données 290. [0021] Ensuite, les instructions de programme du module de sécurité réseau avant routage 300 sont activées pour la soumission du flux de paquets 250 à l'inspecteur de paquets 260 pour l'application des règles de sécurité réseau 270 de façon à produire une partie fractionnaire du flux de paquets 250. Les instructions de programme sont en outre activées, lorsqu'elles sont exécutées, pour le renvoi de la partie fractionnaire du flux de paquets 250 au composant de routage 280. Ainsi, le composant de routage 280 peut ensuite acheminer la partie fractionnaire du flux de paquets vers sa destination prévue, que celle-ci se trouve dans l'un des différents dispositifs informatiques 240, ou dans l'autre des conteneurs virtualisés 220. [0022] A titre d'autre illustration supplémentaire du fonctionnement des instructions de programme du module de sécurité réseau avant routage 300, la Figure 3 est un organigramme illustrant un procédé de sécurité réseau avant routage pour informatique en nuage. En commençant au bloc 310, un flux de paquets est reçu dans un inspecteur de paquets en provenance du composant de routage de l'environnement informatique en nuage, et au bloc 320, un premier paquet du flux de paquets est extrait du flux pour être traité. Au bloc 330, une règle est sélectionnée pour être appliquée au paquet extrait, par exemple une règle de sécurité des données, une règle de prévention d'intrusion ou une règle de détection d'intrusion. Au bloc 340, la règle est appliquée au paquet extrait. [0023] Au bloc de décision 350, il est déterminé s'il faut rejeter ou transmettre le paquet 7 extrait d'après l'application de la règle. Si la décision est de rejeter le paquet extrait, alors, au bloc 360, le paquet extrait est éliminé. Dans l'un ou l'autre cas, au bloc de décision 370, il est déterminé s'il reste ou non des règles de sécurité réseau additionnelles à appliquer au paquet extrait. Si tel est le cas, le processus se répète au bloc 330 avec l'extraction d'une nouvelle règle à appliquer au paquet extrait, au bloc 340. Au bloc de décision 370, lorsqu'il ne reste aucune règle additionnelle à traiter, au bloc de décision 380, il est déterminé s'il reste des paquets additionnels à traiter. Si tel est le cas, un nouveau paquet est extrait pour être traité au bloc 320, et le processus se répète au bloc 330, avec l'application d'une première règle de sécurité réseau. Au bloc de décision 380, lorsqu'il ne reste aucun paquet à traiter dans le flux de paquets, les paquets du flux de paquets qui n'ont pas été précédemment éliminés sont renvoyés au composant de routage, au bloc 390. [0024] La présente invention peut être mise en oeuvre dans un système, un procédé, un produit de programme informatique ou toute combinaison de ceux-ci. Le produit de programme informatique peut comprendre un ou plusieurs supports de stockage lisibles par ordinateur, contenant des instructions de programme lisibles par ordinateur, destinées à faire en sorte qu'un processeur exécute des aspects de la présente invention. Le support de stockage lisible par ordinateur peut être un dispositif tangible qui peut retenir et stocker des instructions destinées à être utilisées par un dispositif d'exécution d'instructions. Le support de stockage lisible par ordinateur peut être, par exemple, mais sans y être limité, un dispositif de stockage électronique, un dispositif de stockage magnétique, un dispositif de stockage optique, un dispositif de stockage électromagnétique, un dispositif de stockage semi-conducteur, ou toute combinaison appropriée de ceux-ci. [0025] Les instructions de programme lisibles par ordinateur décrites dans le présent document peuvent être téléchargées dans des dispositifs de calcul / traitement respectifs depuis un support de stockage lisible par ordinateur ou sur un ordinateur externe ou un dispositif de stockage externe, via un réseau. Les instructions de programme lisibles par ordinateur peuvent s'exécuter entièrement sur l'ordinateur de l'utilisateur, partiellement sur l'ordinateur de l'utilisateur, sous la forme d'un progiciel autonome, partiellement sur l'ordinateur de l'utilisateur et partiellement sur un ordinateur distant ou entièrement sur l'ordinateur ou serveur distant. Des aspects de la présente invention sont décrits ici en liaison avec des organigrammes et/ou schémas fonctionnels de procédés, d'appareils (systèmes) et de produits de programmes informatiques selon des formes de réalisation de l'invention. On comprendra que chaque bloc des organigrammes et/ou schémas fonctionnels, et des combinaisons de blocs des organigrammes et/ou schémas fonctionnels, peuvent être mis en oeuvre par des instructions de programme lisibles par ordinateur. 8 [0026] Ces instructions de programme lisibles par ordinateur peuvent être fournies à un processeur d'un ordinateur d'usage général, un ordinateur d'usage spécial, ou un autre appareil de traitement de données programmable pour produire une machine, de telle sorte que les instructions, qui s'exécutent via le processeur de l'ordinateur ou autre appareil de traitement de données programmable, créent des moyens de mise en oeuvre des fonctions / actions spécifiées dans le ou les blocs des organigrammes et/ou schémas fonctionnels. Ces instructions de programme lisibles par ordinateur peuvent également être stockées dans un support de stockage lisible par ordinateur qui peut commander un ordinateur, un appareil de traitement de données programmable et/ou d'autres dispositifs afin qu'ils fonctionnent d'une manière particulière, de telle sorte que le support de stockage lisible par ordinateur sur lequel sont stockées des instructions comprenne un article manufacturé incluant des instructions qui mettent en oeuvre des aspects de la fonction / action spécifiée dans le ou les blocs des organigrammes et/ou schémas fonctionnels. [0027] Les instructions de programme lisibles par ordinateur peuvent être chargées sur un ordinateur, un autre appareil de traitement de données programmable, ou un autre dispositif pour faire en sorte qu'une série d'étapes opérationnelles soit exécutée sur l'ordinateur, autre appareil programmable ou autre dispositif pour produire un processus mis en oeuvre par ordinateur, de telle sorte que les instructions qui s'exécutent sur l'ordinateur, autre appareil programmable, ou autre dispositif, mettent en oeuvre les fonctions / actions spécifiées dans le ou les blocs des organigrammes et/ ou schémas fonctionnels. [0028] Les organigrammes et schémas fonctionnels des Figures illustrent l'architecture, la fonctionnalité et le fonctionnement de mises en oeuvre possibles de systèmes, procédés et produits de programmes informatiques selon différentes formes de réalisation de la présente invention. A cet égard, chaque bloc des organigrammes ou schémas fonctionnels peut représenter un module, un segment ou une portion d'instructions, qui inclut une ou plusieurs instructions exécutables pour la mise en oeuvre d'une ou plusieurs fonctions logiques spécifiées. Dans certaines autres formes de réalisation, les fonctions notées dans le bloc peuvent être exécutées dans un autre ordre que celui qui est noté sur les figures. Par exemple, deux blocs présentés à la suite l'un de l'autre peuvent, en fait, être exécutés essentiellement en même temps, ou bien les blocs peuvent parfois être exécutés dans l'ordre inverse, selon la fonctionnalité enjeu. On notera également que chaque bloc des schémas fonctionnels et/ou organigrammes, et des combinaisons de blocs des schémas fonctionnels et/ou organigrammes, peuvent être mis en oeuvre par des systèmes matériels à usage spécial qui exécutent les fonctions ou actions spécifiées ou des combinaisons d'instructions informatiques et de matériel à usage spécial. 9 [0029] Finalement, la terminologie utilisée ici a pour seul objet de décrire des formes de réa- lisation particulières et n'est pas destinée à limiter l'invention. Telles qu'utilisées ici, les formes au singulier de "un", "une", "le" et "la" sont destinées à inclure également les formes au pluriel, sauf mention contraire. On comprendra que les termes "comprend" et/ou "comprenant", tels qu'utilisés ici, spécifient la présence de caractéristiques, entités, étapes, opérations, éléments et/ou composants mentionnés, mais n'excluent pas la présence ou l'ajout d'un ou une ou plusieurs autres caractéristiques, entités, étapes, opérations, éléments et/ou composants, et/ou groupes de ceux-ci. [0030] Les structures, matériaux, actions et équivalents correspondants de tous les moyens ou étapes et éléments fonctionnels mentionnés dans les revendications ci-après sont destinés à inclure tous et toutes structures, matériaux ou actions pour l'exécution de la fonction en combinaison avec d'autres éléments revendiqués, tels que spécifiquement revendiqués. La description de la présente invention a été donnée à titre d'illustration et de description, mais n'a pas pour objet d'être exhaustive ou de limiter l'invention à la forme décrite. De nombreuses modifications et variantes seront évidentes pour l'homme du métier sans sortir du cadre et de l'esprit de l'invention. La forme de réalisation a été choisie et décrite afin de mieux expliquer les principes de l'invention et l'application pratique, et de permettre à d'autres personnes du métier de comprendre l'invention pour différentes formes de réalisation ayant différentes modifications telles qu'appropriées à l'utilisation particulière envisagée. [0031] L'invention ayant ainsi été décrite en détail et en référence à ses formes de réa- lisation, il sera bien évident que des modifications et variantes sont possibles sans sortir du cadre de l'invention tel que défini dans les revendications ci-après: 10 REVENDICATIONS[Revendication 1] Procédé de sécurité réseau avant routage pour informatique en nuage, comprenant: - la réception, dans un composant de routage (120) d'un environnement informatique en nuage (100) comprenant au moins deux conteneurs virtualisés différents (110A, 110B), d'un flux dc paquets (150) ciblant une adresse réseau de destination; - avant le traitement du flux de paquets (150) dans le composant de routage (120), la déviation du flux de paquets (150) vers un inspecteur de paquets s'exécutant dans l'un des différents conteneurs virtualisés (110A, 110B) de l'environnement informatique en nuage (100); - la réception, dans le composant de routage (120), en provenance dudit un des conteneurs virtualisés (110A, 110B), de seulement une fraction des paquets du flux de paquets dévié; et, - le traitement de la fi-action de paquets dans le composant de routage (120) de façon à acheminer la fraction de paquets vers l'adresse réseau de destination. [Revendication 2] Procédé selon la revendication 1, dans lequel l'adresse de destination est interne à un autre des conteneurs virtualisés, et dans lequel le flux de paquets est reçu d'une source de transmission de données externe à l'environnement informatique en nuage. [Revendication 3] Procédé selon la revendication 1, dans lequel l'adresse de destination est externe à l'environnement informatique en nuage, et dans lequel le flux de paquets est reçu d'une source de transmission de données interne à un autre des conteneurs virtualisés. [Revendication 4] Procédé selon la revendication 1, dans lequel l'adresse de destination est interne à un autre des conteneurs virtualisés, et le flux de données est reçu d'une source de transmission de données interne à encore un autre des conteneurs virtualisés. [Revendication 5] Procédé selon la revendication 1, dans lequel le composant de routage est un équilibreur de charge pour l'environnement, informatique en nuage. [Revendication 6] Procédé selon la revendication 3, dans lequel l'inspecteur de paquets identifie une tentative de transmission de données à une destination réglementée d'après l'adresse réseau de destination et., en réponse, écarte le flux de paquets sans permettre un retour du flux de paquets au composant de routage. 11 [Revendication 7] [Revendication 8] [Revendication 9] Système de traitement de données d'informatique en nuage configure pour assurer une sécurité réseau avant routage, le système comprenant: - une pluralité de conteneurs virtualisés différents (220) s'exécutant dans la mémoire d'un ou plusieurs ordinateurs d'un environnement informatique en nuage (200); - un module de sécurité réseau avant routage (300) s'exécutant dans l'un des conteneurs virtualisés (220) et accessible à l'adresse réseau de déviation spécifiée; et, - un composant de routage (280) pour l'environnement informatique en nuage (200) ayant une configuration propre à traiter tous les flux de paquets reçus à l'adresse réseau de déviation spécifiée, à l'exception des flux de paquets reçus d'une adresse réseau associée audit un des conteneurs virtualisés dans lequel s'exécute le module de sécurité réseau avant routage (300); et, - le module (300) comprenant des instructions de programme informatique permettant, lors de leur exécution dans le second conteneur virtualisé: - la réception en provenance du composant de routage, d'un flux de paquets reçu dans celui-ci et ciblant une adresse réseau de destination spécifiée, mais ayant été dévié vers ledit un des conteneurs virtualisés en raison de l'adresse réseau de déviation spécifiée; - l'exécution d'une inspection de paquets sur le flux de paquets dans ledit un des conteneurs virtualisés, - l'application dans ledit un des conteneurs virtualisés d'une multitude de règles de prise de décision concernant les paquets spécifiant des résultats de transmission ou de rejet, - le rejet de ceux des paquets qui ont été sélectionnés pour avoir reçu un résultat de rejet pendant l'application des règles, et - la transmission, au composant de routage, de seulement une fraction des paquets du flux de paquets dévié pour son acheminement vers l'adresse réseau de destination par le composant de routage. Système selon la revendication 7, dans lequel le composant de routage est un équilibreur de charge pour l'environnement informatique en nuage. Système selon la revendication 7, dans lequel l'adresse de destination est interne à un autre des conteneurs virtualisés, et dans lequel le flux de paquets est reçu d'une source de transmission de données externe à l'environnement informatique en nuage. 12 [Revendication 10] Système selon la revendication 7, dans lequel l'adresse de destination est externe à l'environnement informatique en nuage, et dans lequel le flux de paquets est reçu d'une source de transmission de données interne à un autre des conteneurs virtualisés. [Revendication 11] Système selon la revendication 7, dans lequel l'adresse de destination est interne à un autre des conteneurs virtualisés, et dans lequel le flux de données est reçu d'une source de transmission de données interne à encore un autre des conteneurs virtualisés. [Revendication 12] Système selon la revendication 9, dans lequel l'application d'au moins l'une des règles permet de déterminer une tentative d'intrusion sur l'autre des conteneurs virtualisés. [Revendication 13] Système selon la revendication 10, dans lequel l'application d'au moins l'une des règles permet de déterminer une tentative de transmission de données à une destination réglementée d'après l'adresse réseau de destination et est adaptée pour produire, en réponse, un résultat de rejet. [Revendication 14] Produit de programme informatique pour un procédé de sécurité réseau avant routage pour informatique en réseau, le produit de programme informatique incluant un support de stockage lisible par ordinateur contenant des instructions de programme, les instructions de programme étant exécutables par un dispositif pour faire en sorte que le dispositif exécute un procédé comprenant: - la réception, dans un composant de routage d'un environnement informatique en nuage comprenant au moins deux conteneurs virtualisés différents, d'un flux de paquets ciblant une adresse réseau de destination; - avant le traitement du flux de paquets dans le composant de routage, la déviation du flux de paquets vers un inspecteur de paquets s'exécutant dans l'un des différents conteneurs virtualisés de l'environnement informatique en nuage; - la réception, dans le composant de routage, en provenance dudit un des conteneurs virtualisés, de seulement une fraction des paquets du flux de paquets dévié, et - le traitement de la fraction de paquets dans le composant de routage de façon à acheminer la fraction de paquets vers l'adresse réseau de destination. [Revendication 15] Produit de programme informatique selon la revendication 14, dans lequel l'adresse de destination est interne à un autre des conteneurs virtualisés, et dans lequel le flux de paquets est reçu d'une source de 13 transmission de données externe à l'environnement informatique en nuage. [Revendication 16] Produit de programme informatique selon la revendication 14, dans lequel l'adresse de destination est externe à l'environnement informatique en nuage, et dans lequel le flux de paquets est reçu d'une source de transmission de données interne à un autre des conteneurs virtualisés. [Revendication 17] Produit de programme informatique selon la revendication 14, dans lequel l'adresse de destination est interne à un autre des conteneurs virtualisés, et le flux de données est reçu d'une source de transmission de données interne à encore un autre des conteneurs virtualisés. [Revendication 18] Produit de programme informatique selon la revendication 14, dans lequel l'inspecteur de paquets effectue une détection d'intrusion sur le flux de paquets. [Revendication 19] Produit de programme informatique selon la revendication 14, dans lequel le composant de routage est un équilihreur de charge pour l'environnement informatique en nuage. [Revendication 20] Produit de programme informatique selon la revendication 17, dans lequel l'inspecteur de paquets identifie une tentative de transmission de données à une destination réglementée d'après l'adresse réseau de destination et, en réponse, rejette le flux de paquets sans permettre un retour du flux de paquets au composant de routage.