Brevet FR3105486A1 — publié le 20210625

Procédé de détection d’un comportement malveillant dans un réseau de communication, dispositif, équipement d’accès audit réseau, procédé de détection d’une attaque distribuée dans ledit réseau, dispositif, équipement nœud, système, fichier de données et programmes d’ordinateur correspondants L'invention concerne un procédé de détection d’un comportement malveillant de la part d’un objet communicant connecté à un réseau de télécommunications distant par l’intermédiaire d’un réseau de télécommunications local géré par un équipement d’accès audit réseau de télécommunications distant, ledit procédé étant mis en œuvre par un agent local connecté au réseau de télécommunications local, ledit procédé comprenant : - l’obtention (31) par l’équipement d’accès d’informations représentatives d’une séquence d’événements réseau datés, survenus dans une fenêtre temporelle prédéterminée; - la détection d’un comportement malveillant par mise en correspondance (33) des informations obtenues avec une signature, parmi une pluralité de signatures de comportements malveillants, stockées dans au moins une table de signatures ; et - la décision (34) de déclenchement d’au moins une action de protection du réseau de télécommunications local et/ou du réseau de télécommunications distant contre le comportement malveillant détecté. Fig. 3 Procédé de détection d’un comportement malveillant dans un réseau de communication, dispositif, équipement d’accès audit réseau, procédé de détection d’une attaque distribuée dans ledit réseau, dispositif, équipement nœud et programmes d’ordinateur correspondants Domaine de l'invention Le domaine de l'invention est celui des réseaux de télécommunication, en particulier de la sécurité de tels réseaux. L'invention concerne plus précisément la détection par un réseau de télécommunications d’un comportement malveillant d’un ou plusieurs terminaux ou objets communicants connectés à ce réseau. Elle trouve notamment une application pour améliorer la sécurité des réseaux de télécommunications qui font actuellement face à un risque majoré d’attaques, provenant de plus en plus souvent de l’intérieur même de ces réseaux. Art antérieur et ses inconvénients La gestion de la sécurité des réseaux domestiques est problématique. En effet, les terminaux d’utilisateur et plus généralement les objets communicants qui s’y connectent sont soumis aujourd’hui à un risque majoré d’attaques, par le biais d’une installation, à l’insu de leur utilisateur, d’un logiciel malveillant (pour « malware », en anglais). Il s’agit d’un programme informatique développé dans le but de nuire à un système informatique, qui est installé dans le système d’exploitation d’un objet communicant, sans le consentement et à l’insu de son utilisateur. De nos jours, le terme « virus » est souvent employé, à tort, pour désigner toutes sortes de logiciels malveillants qui « infectent » les objets communicants. Il englobe notamment les vers et les chevaux de Troie. Pour lutter contre ce type d’attaques, dites « locales », on connaît des programmes informatiques appelés « anti-virus » (ou « anti-malware », en anglais), spécialisés dans la détection de logiciels malveillant sur un terminal de type ordinateur personnel par exemple. De tels programmes informatiques sont préalablement installés dans le terminal et surveillent les logiciels installés sur ce terminal. Lorsqu’ils détectent un nouveau logiciel malveillant, ils alertent l’utilisateur et proposent une action corrective, telle qu’une désinstallation du logiciel incriminé. Il existe aussi, côté opérateur d’un réseau de télécommunications, des solutions pour lutter contre une attaque dite « globale » de type réseau d’agents dormants (pour « botnet », en anglais), lorsqu’elle vient de l’extérieur du réseau. Dans ce type d’attaque, là encore, un logiciel malveillant est installé sur un terminal à l’insu de son utilisateur, mais son activation n’est pas nécessaire immédiatement. En effet, une fois installé, ce type de logiciel profite de l’accès dont dispose le terminal au réseau de télécommunications pour se connecter à un équipement (serveur) maître distant et se placer en attente de ses ordres. Alternativement, il peut ouvrir un port vers le point d’accès, à l’aide d’un protocole de type UPnP (pour « Universal Plug and Play », en anglais) qui permet une mise en réseau poste à poste de deux dispositifs sans fil quelconques et donc une communication entre le logiciel et un équipement distant, via le point d’accès. Dans les deux cas, la détection du logiciel malveillant est le plus souvent basée sur la reconnaissance locale d’une signature numérique représentative d’un logiciel malveillant déjà connu et surveillé. Autrement dit, la signature d’un logiciel est une séquence d’octets utilisée pour l’identifier. Le logiciel anti-malware doit donc maintenir une base de données de signatures de logiciels déjà connus et la mettre à jour dès qu’une nouvelle attaque est découverte. Par exemple, les algorithmes MD5 et SHA1 sont utilisés pour générer la signature de hachage d’un fichier exécutable (16 octets pour MD5 et 20 octets pour SHA1). Une détection basée sur la signature est facile, plutôt rapide et efficace contre les types de malware ordinaire. L'inconvénient de cette méthode et qu'elle nécessite pour être efficace une mise-à-jour très régulière de la base de données des signatures, puisque, si la signature d'un logiciel malveillant n'est pas présente dans celle-ci, il ne sera pas détecté comme tel. Or, les attaquants (« hackers », en anglais) savent modifier très facilement les signatures de leurs logiciels malveillants pour les rendre indétectables par les logiciels « anti-malware », ce qui réduit drastiquement l’efficacité des logiciels anti-malware actuels. Par exemple, une simple technique d'offuscation peut être utilisée pour changer la signature d'un même malware et par conséquent, échapper à la détection de signature. Il existe même des logiciels malveillants dits polymorphes, dont la signature change à chaque nouvelle contamination d’un objet communicant ou d’un terminal. En ce qui concerne les botnets issus de l’intérieur du réseau de l’opérateur, c’est-à-dire d’un attaquant connecté à ce réseau, s’ajoute à cette difficulté, le fait qu’il n’est souvent pas possible de les identifier à partir de détections locales isolées. En outre, les solutions existant actuellement au niveau de l’opérateur ne permettent pas de détecter le botnet, donc de le contrer avant qu’il ne démarre, c’est-à-dire tant que les logiciels malveillants locaux n’ont pas été activés. Au mieux, les solutions existantes sont correctives, plutôt que préventives. Enfin, en dehors des ordinateurs personnels et téléphones mobiles de type téléphone intelligent (pour « smartphone », en anglais), les objets communicants ne sont généralement pas équipés de dispositifs « anti-malware ». Il existe donc un besoin d’améliorer la situation. En particulier, il existe un besoin d'une technique de détection d’un logiciel malveillant de la part d’un terminal utilisateur ou, plus généralement, de tout objet communicant connecté à un réseau de télécommunications distant, au niveau d’un réseau local géré par un point d’accès à ce réseau distant ou au niveau d’un équipement nœud de ce réseau. Il existe en outre un besoin d’une technique de détection d’un logiciel malveillant qui soit plus efficace face aux attaques, qu’elles soient locales ou distribuées. Il existe enfin un besoin d’une solution de détection d’un logiciel malveillant qui soit plus robuste vis-à-vis des modifications de sa signature pratiquées par l’attaquant. L'invention répond à ce besoin en proposant un procédé de détection d’un comportement malveillant de la part d’un objet communicant connecté à un réseau de télécommunications distant par l’intermédiaire d’un réseau de télécommunications local géré par un équipement d’accès audit réseau de télécommunications distant, ledit procédé étant mis en œuvre par un agent local connecté au réseau de télécommunications local. Selon l’invention, ledit procédé comprend : - l’obtention par l’équipement d’accès d’informations représentatives d’une séquence d’événements réseau datés, survenus dans une fenêtre temporelle prédéterminée; - la détection d’un comportement malveillant par mise en correspondance des informations obtenues avec une signature, parmi une pluralité de signatures de comportements malveillants, stockées dans au moins une table de signatures ; et - la décision de déclenchement d’au moins une action de protection du réseau de télécommunications local et/ou du réseau de télécommunications distant contre le comportement malveillant détecté. Contrairement à l’art antérieur, l’invention propose une approche tout-à-fait nouvelle et inventive dans le domaine de la protection des réseaux de télécommunications, qui consiste à détecter des comportements malveillants, plutôt qu’une présence d’un logiciel malveillant. Elle s’appuie pour ce faire sur la mise en correspondance de séquences d’événements réseau datés, collectées par un équipement d’accès au réseau avec des signatures de comportements malveillants locaux stockées en mémoire. Lorsqu’une signature a été reconnue, une action de protection locale ou distante du réseau est déclenchée. Ainsi l’invention permet d’une part de s’abstraire de la problématique de polymorphisme des logiciels malveillants et d’autre part de surveiller tout type d’équipement utilisateur ou objet communicant connecté au réseau local géré par l’équipement d’accès. De la sorte, le réseau est mieux protégé contre les attaques perpétrées par l’intermédiaire d’objets communicant qui sont dépourvus de système de protection anti logiciel malveillant. Selon un aspect de l’invention, la pluralité de signatures comprend des signatures de comportements malveillants localisés dans le réseau de télécommunications local, dit comportements locaux, unedite signature étant associée à au moins une action de protection locale au réseau de télécommunications local et des signatures de comportements malveillants locaux suspectés d’appartenir à une attaque distribuée dans le réseau de télécommunications distant, unedite signature étant associée à une action de transmission d’un message d’alerte à un agent global du réseau de télécommunications distant, configuré pour détecter une attaque distribuée dans ledit réseau. De la sorte, l’invention permet de distinguer les comportements malveillants locaux des comportements malveillants locaux qui sont des manifestations locales d’attaques distribuées et d’adapter sa réponse au type de comportement détecté. Selon un autre aspect de l’invention, la signature du comportement malveillant comprend des informations représentatives d’événements réseau et un ensemble de règles régissant des contraintes temporelles entre lesdits événements réseau, dit chronique. Un intérêt majeur de la formalisation par une chronique est la modélisation simple d’un ordre partiel. En effet, une chronique prend en considération les dates d’occurrence des événements sans imposer une séquence exacte de ces événements les uns par rapport aux autres. Elle permet aussi d’exprimer une absence d’occurrence d’événement sur un intervalle de temps donné. Selon encore un autre aspect de l’invention, le procédé comprend une normalisation des informations représentatives de séquence la d’événements réseau datés. Un avantage est d’homogénéiser les informations reçues de différentes sources. Selon encore un autre aspect de l’invention, le message d’alerte comprend des informations représentatives de la séquence d’événements réseau survenus dans le réseau local dans une fenêtre temporelle prédéterminée et reconnues comme la signature d’un comportement malveillant local suspecté d’appartenir à une attaque distribuée sur le réseau de télécommunications distant. Un avantage est que l’agent global peut agréger les événements réseaux reçus à d’autres issus d’autres réseaux locaux pour former des nouvelles séquences d’événements réseaux et faire apparaître des modèles d’attaques distribuées déjà surveillées. Selon encore un autre aspect, le message d’alerte comprend des informations représentatives du comportement malveillant local détecté. Un avantage est que l’agent global qui reçoit le message identifie immédiatement le comportement malveillant détecté localement. Par exemple, l’occurrence du comportement malveillant détecté est décrit comme un événement déduit de la séquence d’événements détectée par l’agent local, cet événement déduit étant spécifié dans les signatures d’attaques distribuées stockées en mémoire, sous la forme de chroniques. Corrélativement, l’invention concerne un procédé de détection d’une attaque distribuée dans un réseau de télécommunication distant, comprenant : - l’obtention d’au moins un message d’alerte en provenance d’un agent local connecté à un réseau de télécommunications local géré par un point d’accès audit réseau, ledit message d’alerte comprenant des informations représentatives d’une séquence d’événements réseau survenus dans le réseau local dans une fenêtre temporelle prédéterminée et reconnues comme la signature d’un comportement malveillant local suspecté d’appartenir à une attaque distribuée sur le réseau de télécommunications distant; - l’agrégation à des informations représentatives à au moins une séquence d’événements réseau datés, obtenues d’au moins un autre agent local connecté à un autre réseau de télécommunications local géré par un autre point d’accès audit réseau distant, et reconnues par ledit autre agent local comme la signature dudit ou d’un autre comportement malveillant local suspecté d’appartenir à une attaque distribuée sur le réseau de télécommunications distant ; - la détection d’une attaque distribuée dans le réseau distant, par mise en correspondance des informations agrégées avec une signature parmi une pluralité de signatures d’attaques distribuées stockées dans au moins une table de signatures; et - la décision de déclenchement d’au moins une action de protection du réseau contre l’attaque distribuée détectée. L’invention propose ainsi une solution de détection d’attaque distribuée dans le réseau de télécommunications. Le fait de s’appuyer sur la détection de comportements malveillants locaux et de les agréger pour reconnaître une attaque distribuée, permet de mettre en place une protection de façon anticipée, dès les premières manifestations locales de préparation de l’attaque. L’invention concerne également un produit programme d'ordinateur comprenant des instructions de code de programme pour la mise en œuvre d’un procédé détection d’un comportement malveillant et un produit programme d'ordinateur comprenant des instructions de code de programme pour la mise en œuvre d’un procédé de détection d’une attaque distribuée dans un réseau de télécommunication distant selon l’invention tel que décrit précédemment, lorsqu’il est exécuté par un processeur. L’invention vise également un support d’enregistrement lisible par un ordinateur sur lequel sont enregistrés les programmes d’ordinateur tels que décrits ci-dessus. Un tel support d'enregistrement peut être n'importe quelle entité ou dispositif capable de stocker le programme. Par exemple, le support peut comporter un moyen de stockage, tel qu'une ROM, par exemple un CD ROM ou une ROM de circuit microélectronique, ou encore un moyen d'enregistrement magnétique, par exemple une clé USB ou un disque dur. D'autre part, un tel support d'enregistrement peut être un support transmissible tel qu'un signal électrique ou optique, qui peut être acheminé via un câble électrique ou optique, par radio ou par d'autres moyens, de sorte que le programme d’ordinateur qu’il contient est exécutable à distance. Les programme selon l'invention peuvent être en particulier téléchargés sur un réseau par exemple le réseau Internet. Alternativement, le support d'enregistrement peut être un circuit intégré dans lequel le programme est incorporé, le circuit étant adapté pour exécuter ou pour être utilisé dans l'exécution des procédés de détection précités. L'invention concerne également un dispositif de de détection d’un comportement malveillant de la part d’au moins un objet communicant connecté à un réseau de télécommunications local géré par un équipement d’accès à un réseau de télécommunications distant. Ledit dispositif est configuré pour : - obtenir par l’équipement d’accès des informations représentatives d’une séquence d’événements réseau datés, survenus dans une fenêtre temporelle prédéterminée; - détecter un comportement malveillant par mise en correspondance des informations obtenues avec une signature, parmi une pluralité de signatures de comportements malveillants, stockées dans au moins une table de signatures; et - décider de déclencher d’au moins une action de protection du réseau contre le comportement malveillant détecté. Avantageusement, ledit dispositif est configuré pour mettre en œuvre le procédé de détection d’un comportement malveillant précité, selon ses différents modes de réalisation. Avantageusement, ledit dispositif est intégré dans un équipement d’accès à un réseau de télécommunications distant, configuré pour gérer un réseau de télécommunications local auquel se connecte au moins un objet communicant. Il s’agit par exemple d’une passerelle résidentielle ou d’un nœud collecteur d’un réseau de capteurs ou IoT (pour « Internet of Things », en anglais), d’un point d’accès wifi ou même d’un répéteur Wifi. L’équipement d’accès, le dispositif de détection d’un comportement malveillant ou agent local et le programme d'ordinateur correspondants précités présentent au moins les mêmes avantages que ceux conférés par le procédé de détection d’un comportement malveillant selon la présente invention. L’invention concerne aussi un dispositif de détection d’une attaque distribuée dans un réseau de télécommunications distant, dit agent global, configuré pour : - recevoir au moins un message d’alerte en provenance d’un agent local connecté à un réseau de télécommunications local géré par un équipement d’accès audit réseau, ledit message d’alerte comprenant des informations représentatives d’une séquence d’événements réseau survenus dans une fenêtre temporelle prédéterminée et reconnues comme la signature d’un comportement malveillant local détecté par ledit agent local et suspecté d’appartenir à une attaque distribuée dans ledit réseau; - agréger les informations reçues à des informations obtenues d’au moins un autre agent local connecté à un autre réseau de télécommunications local géré par un autre point d’accès audit réseau distant, et reconnues par ledit autre agent local comme la signature dudit ou d’un autre comportement malveillant local suspecté d’appartenir à une attaque distribuée du réseau distant ; - détecter une attaque distribuée par mise en correspondance des informations agrégées avec une signature parmi une pluralité de signatures de attaques distribuées stockées dans au moins une table de signatures; et - décider de déclencher moins une action de protection du réseau contre l’attaque distribuée détectée. Avantageusement, ledit dispositif est configuré pour mettre en œuvre le procédé de détection d’une attaque distribuée précité, selon ses différents modes de réalisation. Avantageusement, ledit dispositif est intégré dans un équipement nœud d’un réseau de télécommunications distant. L’équipement noeud, le dispositif de détection d’une attaque distribuée ou agent global et le programme d'ordinateur correspondants précités présentent au moins les mêmes avantages que ceux conférés par le procédé de détection d’une attaque distribuée selon la présente invention. Corrélativement, l’invention concerne aussi un fichier de données comprenant une table de signatures comprenant des entrées, une entrée comprenant des informations représentatives d’une séquence d’événements réseau survenus dans une fenêtre temporelle prédéterminée, formant une signature d’un comportement malveillant ou d’une attaque distribuée, et au moins une action de protection du réseau, associée à ladite signature. L’invention concerne enfin un système de protection d’un réseau de télécommunications distant contre un comportement malveillant ou une attaque distribuée, comprenant au moins deux agents locaux précités, connectés chacun à un réseau de télécommunications local, undit réseau local étant géré par un équipement d’accès audit réseau de télécommunications distant, un agent global précité et au moins un fichier de données précité, comprenant une table de signatures de comportements malveillants ou d’attaques distribuées. Liste des figures D'autres buts, caractéristiques et avantages de l'invention apparaîtront plus clairement à la lecture de la description suivante, donnée à titre de simple exemple illustratif, et non limitatif, en relation avec les figures, parmi lesquelles : Cette figure représente de façon schématique un système de détection d’un comportement malveillant d’un terminal d’utilisateur connecté à un réseau de télécommunications local géré par un point d’accès à un réseau distant, selon un exemple de réalisation de l’invention ; Cette figure représente de façon schématique un dispositif d’agent local apte à détecter un comportement malveillant dans un réseau de télécommunications selon un exemple de réalisation de l’invention ; Cette figure représente sous forme de logigramme les différentes étapes d’un procédé de détection d’un comportement malveillant local d’un équipement terminal connecté à un réseau de télécommunications, selon un mode de réalisation de l’invention ; Cette figure représente de façon schématique un dispositif d’agent global apte à traiter une alerte relative à un comportement malveillant local d’un terminal détecté dans un réseau de télécommunications selon un exemple de réalisation de l’invention ; Cette figure représente sous forme de logigramme les différentes étapes d’un procédé de traitement d’une alerte relative à un comportement malveillant local détecté dans un réseau de télécommunications, selon un mode de réalisation de l’invention ; Cette figure représente de façon schématique un système distribué de détection de comportements malveillants de terminaux d’utilisateur connectés à un réseau de télécommunications selon un exemple de réalisation de l’invention ; Cette figure propose un schéma synoptique d’un équipement d’accès à un réseau de télécommunication comprenant un dispositif de détection d’un comportement malveillant d’un terminal utilisateur dans un réseau de télécommunications selon un exemple de réalisation de l’invention ; et Cette figure propose un schéma synoptique d’un équipement nœud ou serveur d’un réseau de communication comprenant un dispositif de traitement d’une alerte relative à au moins un comportement malveillant local détecté dans ledit selon un exemple de réalisation de l’invention. Description détaillée de modes de réalisation de l'invention Le principe général de l'invention repose sur la détection à partir d’informations relatives à une séquence d’événements réseaux enregistrés pendant une période temporelle prédéterminée, de comportements malveillants de la part d’objets communicants connectés à un réseau de télécommunications local géré par un point d’accès à un réseau de télécommunications distant. Un agent local est configuré pour reconnaître la signature d’un comportement malveillant surveillé à partir des informations reçues par le point d’accès ou générées au niveau de ce point d’accès et pour déclencher une action de protection du réseau associée à la signature reconnue. Avantageusement, lorsque le comportement malveillant détecté est suspecté d’appartenir à une attaque distribuée dans le réseau de télécommunications distant, l’action de protection comprend la transmission d’un message d’alerte à un agent global. Selon l’invention, l’agent global est configuré pour agréger les informations reçues de plusieurs agents locaux en vue de détecter et reconnaître une attaque distribuée à dans réseau de télécommunications distant et déclencher à son tour une ou plusieurs actions de protection de ce réseau, associées à l’attaque reconnue. L’invention trouve de nombreuses applications, en particulier dans les équipements d’accès à un réseau de télécommunications d’un opérateur, type passerelle résidentielle (pour « home gateway », en anglais), et plus généralement dans tout équipement nœud de ce réseau. Dans la suite de la description, on s’attache à décrire en détails un exemple de mise en œuvre de l’invention. En relation avec la figure 1 , on présente dans son environnement un système 10, conforme à l’invention, dans un mode de réalisation. Dans l’exemple envisagé par la figure 1 , le réseau de télécommunications RT est un réseau WAN (pour « Wide Access Network », en anglais) d’un opérateur, auquel accèdent des équipements utilisateurs ou objets communicants OC1, OC2…OCM, avec M entier. Dans le mode de réalisation décrit ici, on désigne par objet communicant aussi bien un équipement terminal d’un utilisateur, tel que par exemple un ordinateur personnel OC3, OC8, un téléphone intelligent (pour « smartphone », en anglais) OC2, OC7, ou une tablette, qu’un objet capable de se connecter à un réseau de télécommunications et de communiquer avec d’autres équipements connectés ou machines, tel qu’une station météo, un actuateur, une imprimante OC5, une caméra OC4, OC6 etc, ou tout autre type d’objet communicant (non représenté) comme une station météo, un actuateur, ou tout type de capteur, dit M2M (pour « machine to machine », en anglais), pourvu qu’il soit capable de se connecter au réseau local LAN1, LAN2, LAN3. Ces objets communicants se connectent au réseau WAN par l’intermédiaire de réseaux locaux LAN (pour « Local Access Network », en anglais) LAN1, LAN2, LAN3 d’utilisateurs particuliers, via des équipements dits points d’accès AP1, AP2, AP3 tels que des passerelles résidentielles ou des points d’accès publics (pour « hotspots », en anglais) via un lien filaire ou sans fil. De tels point d’accès sont configurés pour router des communications en provenance d’équipements utilisateurs de leur réseau LAN vers le réseau de télécommunications distant de l’opérateur et vice versa. Ils sont donc équipés d’une fonction de routage. Bien sûr l’invention n’est pas limitée à cet exemple et concerne aussi un réseau RT cellulaire, tel que par exemple un réseau 2G, 3G, 4G ou 5G défini par le standard 3GPP. Elle peut aussi être mise en œuvre dans un réseau sans fil de type réseau de capteurs ou IoT (pour « Internet of Things », en anglais), dans lequel les points d’accès sont des nœuds collecteurs de données mesurées par des nœuds capteurs TU, ou encore dans tout autre type de réseau sans fil basée sur une technologie de communication sans fil telle que Wi-Fi®, Bluetooth®, ZigBee, Z-Wave®, etc. Conformément à l’invention, le système 10 est configuré pour détecter au moins localement un comportement malveillant de la part d’un objet communicant ou terminal connecté à ce réseau de télécommunications RT et pour réagir à cette détection en déclenchant une ou plusieurs actions de protection du réseau. Dans l’exemple considéré sur la figure 1 , le système 10 comprend, pour détecter un comportement malveillant dans le réseau RT : - au moins un dispositif de détection d’un comportement malveillant ou agent local LA, 100, qui peut être intégré dans un point d’accès AP1, AP2, AP3 ; - une table de signatures de comportements malveillants locaux représentatifs d’une attaque locale TS Loc et une table de signatures de comportements malveillants locaux suspectés d’appartenir à une attaque globale TS Susp stockées dans une mémoire M ; - un dispositif de détection d’une attaque distribuée ou agent global GA, 200, qui peut être intégré à un équipement nœud du réseau RT, tel que par exemple l’équipement serveur SR, 300 ; - une table de signatures de comportements malveillants représentatifs d’une attaque globale TS Susp stockée une mémoire M’; La mémoire M peut être intégrée dans le dispositif 100, ou bien dans un point d’accès AP1, AP2, AP3. Elle peut aussi être stockée dans un équipement distant du réseau RT auquel le dispositif de détection locale LA,100 peut accéder. De façon alternative, les deux tables TS Loc et TS Susp peuvent être fusionnées en une seule table. La mémoire M’peut être intégrée dans le dispositif 200, ou bien dans l’équipement nœud SR. Elle peut aussi être stockée dans un autre équipement distant du réseau RT auquel le dispositif de détection globale GA,200 peut accéder. Avantageusement, au sein du système 10, les dispositifs 100 des différents points d’accès AP1, AP2, AP3 sont agencés pour communiquer avec le dispositif 200. Le dispositif 200 peut aussi communiquer avec le système d’information IS de l’opérateur du réseau RT. On décrit maintenant en relation avec la figure 2 un dispositif 100 ou agent local LA selon un mode de réalisation de l’invention. Le dispositif 100 comprend un module de collecte COLL configuré pour collecter des événements réseau datés en provenance de différentes sources situées dans le réseau RT et en provenance desquelles le dispositif 100 reçoit du trafic de données. Dans cet exemple, l’agent local 100 est intégré dans un point d’accès/routeur AP1, AP2, AP3. Ce dernier étant configuré pour réaliser différents services tels que par exemple des services de pare-feu 22 (pour « firewall », en anglais), client Web 21, résolution d’adresses DNS 23 (pour « Domain Name System », en anglais), de configuration dynamique d’adresses par exemple selon le protocole DHCP 24 (pour « Dynamic Host Configuration Protocol », en anglais) ainsi que des fonctions de routage 25 de données en provenance d’un objet communicant OC1,…,OC8 qui lui est connecté, ces sources sont donc de natures variées. Le dispositif 100 comprend optionnellement un module de normalisation NORM des informations relatives aux événements réseau reçus, apte à homogénéiser les informations décrivant chacun de ces événements et un module de reconnaissance RECO d’une signature d’un comportement malveillant à partir d’un événement collecté ou préférentiellement de plusieurs d’événements collectés dans une fenêtre temporelle prédéterminée et de modèles ou signatures de comportements malveillants connus et préalablement stockés en mémoire dans la table de signatures TS Loc et TS Susp . Il comprend enfin un module de décision DEC apte à déclencher au moins une action de traitement associée au comportement malveillant reconnu. Nous allons maintenant décrire en relation avec le logigramme de la figure 3 , les différentes étapes d’un procédé de détection d’un comportement malveillant mis en œuvre par le dispositif de détection LA, 100 selon un mode de réalisation de l’invention. En 31, le dispositif 100 obtient, à partir de données reçues ou générées par l’équipement d’accès des informations représentatives d’une pluralité d’événements réseau datés, survenus dans une fenêtre temporelle prédéterminée et il les stocke en mémoire. On désigne ici par événement réseau tout événement daté qui a donné lieu à l’enregistrement par un logiciel ou un système d’exploitation d’un équipement connecté au réseau, d’une ligne dans un journal d’événements, dit moteur de logs. Il s’agit par exemple d’un accès au système, d’une modification d’un fichier, d’une demande d’ouverture de port UPnP, d’un trafic de paquets destiné à une adresse IP cible et un port cible, d’une quantité d’informations envoyées etc. Optionnellement, en 32, une normalisation des informations relatives aux événements reçus est mise en œuvre pour homogénéiser les informations décrivant chacun de ces événements. A titre d’exemple, on considère l’enregistrement suivant, issu d’un journal du pare-feu : 2019 Aug 4 13:23:00 centos kernel: IPTables-Dropped: IN=em1 OUT= MAC=a2:be:d2:ab:11:af:e2:f2:00:00 SRC=193.252.19.3 DST=80.11.95.103 LEN=52 TOS=0x00 PREC=0x00 TTL=127 ID=9434 DF PROTO=TCP SPT=58428 DPT=443 WINDOW=8192 RES=0x00 SYN URGP=0. On considère aussi un enregistrement issu du journal du client Web 21 : 193.252.19.3 - peter [9/Feb/2019:10:34:12 -0700] "GET /sample-image.png HTTP/2" 200 1479. Une normalisation de ces deux exemples d’événements consiste avantageusement à : - ne garder que les informations essentielles ; - homogénéiser la présentation des informations qu’ils contiennent, par exemple en observant le même ordonnancement de leurs champs ; - normaliser l’information de date. On choisit par exemple le formalisme suivant : “date service-evenement param1 param2 param3”. où : - « date » est le nombre de secondes écoulées depuis le 1 er janvier 1970 ; - « service-evenement » est le nom de l’événement tel qu’il figure dans les modèles ou signatures de comportements malveillants surveillés, stockés en mémoire ; - « param1..paramn » sont les paramètres constituant les modèles ou signatures. En 33, l ‘agent local 100 cherche à mettre en correspondance au moins une partie des événements réseaux reçus dans la fenêtre temporelle et optionnellement normalisés, avec des signatures ou modèles de comportements malveillants surveillés préalablement stockées en mémoire dans la ou les tables de signatures. Avantageusement une signature de comportement malveillant selon l’invention est décrite sous la forme d’une chronique, c’est-à-dire comme un ensemble d’événements datés associés à des contraintes temporelles, représenté par un n-uplet. En langage informatique, ce n-uplet prend la forme d’un tuple (S,T), où S désigne l’ensemble d’événements et T les contraintes temporelles sur ces événements. Un intérêt majeur de la formalisation par une chronique est la modélisation simple d’un ordre partiel. En effet, une chronique prend en considération les dates d’occurrence des événements sans imposer une séquence exacte de ces événements les uns par rapport aux autres. Elle permet aussi d’exprimer une absence d’occurrence d’événement sur un intervalle de temps donné. Par exemple, l’occurrence de trois événements A, B et C dans une fenêtre temporelle de moins de 5 secondes peut s’écrire à l’aide de la chronique suivante : C=(S,T) S={(A, ?tA), (B, ?tB), (C,?tC)} T={(?tA En langage informatique, elle se traduirait comme suit : chronicle c { event (a, Ta) event (b, Tb) event (c, Tc) Ta } Pour décrire le fait que deux événements A,B se produisent consécutivement, sans l’occurrence d’un troisième événement C entre eux dans un intervalle temporel de moins de 5 secondes, on définirait la chronique suivante : chronicle c { event (a, Ta) event (b, Tb) Ta noevent (c, (Ta,Tb)) } Il convient de noter que si les exemples qui viennent d’être donnés à titre illustratif sont simples, il est néanmoins possible de paramétrer les événements et les chroniques elles-mêmes, pour tenir compte de variables relatives à un événement enregistré dans un journal d’événements : - identifiant PID d’un processus ; - adresse IP d’une requête ; - nom d’un utilisateur ; - URL accédée - etc. Dans cet exemple de réalisation de l’invention, le module de reconnaissance RECO du dispositif 100 est donc configuré pour reconnaître une chronique. A ce stade, deux cas de figure sont considérés : - selon un premier cas de figure, aucune signature n’a été reconnue et le procédé reprend à l’étape 31 d’obtention de nouveaux événements réseau ; - selon un deuxième cas de figure, une signature a été reconnue en 33. Selon l’invention, le modèle de signature stocké en mémoire comprend au moins une action associée. L’étape 34 de décision d’une action de traitement extrait cette action et déclenche son exécution. On notera qu’elle peut être locale ou distante. Une action locale est une action de remédiation exécutée par le dispositif 100 lui-même ou dont l’exécution est commandée à un équipement du réseau LAN auquel il est connecté. Il s’agit par exemple de modifier le comportement d’un pare-feu, de fermer un service local, d’interdire le trafic vers une adresse IP particulière. Par exemple, si l’adresse IP source à l’origine du comportement malveillant reconnu est celle d’un objet communicant connecté au réseau LAN, une action peut être de la bloquer et au moins de couper la communication frauduleuse. Par exemple une boucle de rétroaction permettrait au point d’accès/routeur du réseau LAB de couper la communication frauduleuse, en isolant l’objet communicant à l’origine de ces communications et d’inviter l’administrateur du réseau LAN, par exemple l’utilisateur de la passerelle domestique, à désinfecter ses machines. Une action distante est la transmission de toute ou partie des événements formant la signature reconnue à un agent global 200 afin qu’il les agrège à d’autres événements collectés auprès d’autres agents locaux en vue de détecter une signature d’un comportement malveillant représentatif d’une attaque distribuée sur plusieurs réseaux LAN. On comprend qu’une action distante est avantageusement associée à un comportement malveillant suspecté d’être une manifestation locale d’une attaque distribuée, par exemple de type « botnet ». L’agent global 200 est avantageusement configuré pour recevoir la séquence d’événements réseaux reconnue comme suspecte par l’agent local et l’agréger à d’autres séquences reçues d’autres agents locaux, selon un procédé qui sera détaillé ci-après. Quelle soit locale ou distante, le déclenchement de l’action associée à la chronique reconnue est implémentée sous la forme d’un programme informatique qui fait appel à l’action par le biais d’une fonction de rappel (pour « call back », en anglais), c’est-à-dire comme une fonction qui est passée en argument à une autre fonction. Cette dernière peut alors faire usage de cette fonction de rappel comme de n'importe quelle autre fonction, alors qu'elle ne la connaît pas par avance. Par exemple, plusieurs fonctions de « callback » peuvent être appelées par ce programme informatique : - une fonction coupant toute communication en provenance ou à destination d’une adresse IP ; - une fonction enregistrant toute la signalisation réseau liée à une adresse IP ; - une fonction envoyant un mail à l’utilisateur client du point d’accès/routeur, l’informant d’une activité frauduleuse sur son réseau local LAN ; - etc. Dans le mode de réalisation décrit ici, l’agent local LA 100 accède avantageusement à deux tables de signatures ou modèles : - une table locale TS Loc , comprenant des entrées associant chacune une signature de comportement malveillant local connu et surveillé, à au moins une action de traitement locale ; - une table TS Susp , comprenant des entrées associant chacune une signature de comportement malveillants local suspectés d’appartenir à une attaque distribuée, à une action de traitement distante. De façon alternative, les entrées des deux tables peuvent bien sûr être stockées dans une seule et même table de signatures. On décrit maintenant en relation avec la figure 4 un dispositif 200 ou agent global GA selon un mode de réalisation de l’invention. En plus des modules de collecte COLL, de normalisation NORM, de reconnaissance RECO et de décision DEC déjà décrits pour l’agent local 100, l’agent global 200 comprend un module REC de réception de messages d’alerte comprenant tout ou partie des séquences d’événements réseaux datés en provenance d’agents locaux 100 1 , 100 2 , 100 3 , par exemple intégrés dans des points d’accès AP1, AP2, AP3 au réseau de communication RC, ces séquences d’événements réseaux ayant été reconnues comme des signatures de comportements malveillants locaux suspectés d’appartenir à une attaque globale. L’agent global GA 200 comprend en outre un module AGGR d’agrégation des séquences d’événements reçues des différents agents locaux, les séquences agrégées étant présentées ensuite au module RECO de reconnaissance. A cet égard, le module de reconnaissance de l’agent global GA 200 s’appuie sur une table de signatures TS Dist spécifique à l’agent global GA, 200, et différente de celle de l’agent local 100 qui vient d’être décrit en relation avec la figure 2. Les signatures ou modèles stockés dans la table TS Dist sont représentatives d’attaques distribuées dans le réseau WAN, et sont par exemple de type « botnet ». Bien sûr, un agent global peut aussi jouer en plus le rôle d’agent local et traiter des séquences d’événements réseau en accédant aux tables TS Loc et TS Susp précédemment décrites. Nous allons maintenant décrire en relation avec le logigramme de la figure 5 , les différentes étapes d’un procédé de détection d’une attaque distribuée par le dispositif 200 selon un mode de réalisation de l’invention. En 51, le dispositif 200 obtient au moins un message d’alerte en provenance d’un dispositif de détection locale LA 100, par exemple un des dispositifs 100 1 , 100 2 , 100 3 intégrés dans les points d’accès AP1, AP2, AP3 audit réseau, ledit message d’alerte comprenant des informations représentatives d’une séquence d’événements réseau survenus dans une fenêtre temporelle prédéterminée et reconnues comme la signature d’un comportement malveillant local suspecté par ledit dispositif 100 d’appartenir à une attaque distribuée dans le réseau distant WAN. Le dispositif 200 reçoit donc des séquences d’événements émises par des agents locaux LA 100, qu’il extrait et stocke en mémoire. En 52, de façon optionnelle, l’agent global 200 normalise les séquences d’événements réseau reçus des différents agents locaux pour homogénéiser les informations qu’elles contiennent. On note que l’agent global reçoit des évènements qui peuvent déjà avoir été normalisés par les agents locaux. Lorsqu’un agent local LA, 100 reconnaît une signature d’un comportement malveillant suspecté d’appartenir à une attaque distribuée, il peut propager tout ou partie des événements qu’il a reconnus comme une signature de ce comportement à l’agent global 200. De façon alternative, il peut aussi créer un nouvel événement pour indiquer à l’agent global qu’il a reconnu un comportement malveillant suspecté d’appartenir à une attaque distribuée, à un instant donné, et lui envoie dans un message d’alerte. En 53, le dispositif 200 agrège des informations extraites des messages d’alerte reçus et relatifs aux comportements malveillants reconnus localement par des dispositifs locaux 100 1 , 100 2 , 100 3 distincts, comme des signatures de comportements malveillants suspectés d’appartenir à une attaque distribuée. A ce stade, deux options sont envisagées : - le message d’alerte comprend des informations relatives aux événements détectés par l’agent local et à partir desquelles il a reconnu le comportement malveillant. L’agent global peut les exploiter pour former de nouvelles séquences à partir d’événements issus d’agents locaux distincts et survenus dans une fenêtre temporelle qui peut être différente de celle utilisée par les agents locaux, par exemple plus grande ; - le message d’alerte comprend des informations représentatives d’un événement déduit par l’agent local, qui identifie le comportement malveillant local détecté. Cet autre type d’événement peut lui aussi être mis à profit par l’agent global pour former une nouvelle séquence d’événements à confronter avec sa propre table de signatures. En 54, le dispositif 200 met en correspondance les nouvelles séquences d’événements formées avec des signatures ou modèles d’attaques distribuées stockées dans la table de signatures TS Dist . Comme pour l’agent local 100, les signatures prennent avantageusement la forme de chroniques. A ce stade, deux cas de figures sont considérés : - selon un premier cas de figure, aucune signature n’a été reconnue et le procédé reprend à l’étape 51 en vue d’obtenir de nouveaux messages d’alerte, comprenant de nouvelles séquences d’événements détectées comme des comportements malveillants locaux suspectés d’appartenir à une attaque distribuée, ou directement un événement représentatif du comportement malveillant local détecté. - selon un deuxième cas de figure, une signature a été reconnue en 54. Selon l’invention, le modèle de signature stocké en mémoire comprend au moins une action associée. L’étape 55 de décision d’une action de traitement comprend l’obtention de l’action associée à la signature reconnue et la décision de déclencher l’exécution de cette action. On notera qu’elle peut être locale et/ou distante. Une action locale est une action de remédiation exécutée par l’agent global 200 lui-même ou dont l’exécution est commandée à un agent local 1001, 1002, 1003 auquel il est connecté. Il s’agit par exemple de modifier le comportement d’un pare-feu, de fermer un service local, d’interdire le trafic vers une adresse IP particulière. On comprend que l’agent global est configuré pour orchestrer une réponse globale au scénario d’attaque distribuée qui a été reconnu, en pilotant les actions de traitement à mettre en œuvre auprès des différents agents locaux ou des points d’accès. De telles actions peuvent comprendre le blocage de terminaux ou objets communicants à l’origine de communications frauduleuses. Selon un premier exemple, suite à la détection de l’ouverture d’un port UPnP suspecté d’être utilisé par les botnets, l’agent local LA, 100, transmet un message d’alerte à l’agent global GA, 200, comprenant des informations relatives à un événement du type « suspicion de botnet en UPnP ». On suppose que l’agent global GA, 200, recevoir 1000 messages d’alerte de ce type dans une fenêtr temporelle d’une heure. Il forme une séquence d’événements à partir de laquelle il reconnaît la signature d’une attaque distribuée de type botnet, ce qui déclenche une action de protection qui consiste à donner l’ordre à chacun des points d’accès locaux de fermer le port incriminé. Selon un deuxième exemple, un pare-feu repère un trafic de données anormal vers une adresse IP localisée dans un territoire considéré à risque, reconnaît la signature d’un comportement malveillant suspecté d’appartenir à une attaque distribuée de type botnet et remonte un message d’alerte à l’agent global GA, 200. On support que l’agent global reçoit un nombre important d’alertes du même type dans un intervalle de temps donné et reconnaît là encore la signature d’une attaque distribuée. Il déclenche alors une action de protection à destination des points d’accès/routeurs locaux pour qu’ils coupent la communication incriminée et interdisent toute communication vers cette adresse IP. L’agent global peut également prendre une décision globale d’interdire le trafic de tout le réseau WAN de l’opérateur vers cette adresse IP. Une action distante est la transmission d’un message d’alerte comprenant tout ou partie des événements formant la signature reconnue par l’agent global 200 à un équipement plus central du réseau de télécommunications RT, par exemple un équipement du système d’information IS de l’opérateur de ce réseau, afin qu’il engage des actions spécifiques, comme par exemple émettre des lettres de recommandations Hadopi ou bloquer des accès à certains équipements ou encore alerter un centre de sécurité opérationnel pour la détection d’incidents de sécurité (« cybersoc »), afin qu’il corrèle en temps réel ces informations avec d’autres données dont il dispose. Ainsi, le système 10 selon l’invention, comprenant un agent global 200 et plusieurs agents locaux 100 permet de réaliser une détection distribuée de comportements malveillants dans le réseau de télécommunications RC. En effet, avec l’invention, on peut avantageusement chaîner les agents locaux et globaux entre eux afin de mettre en place un système de détection distribuée. Par exemple, comme illustré par la figure 6 , on peut envisager d’intégrer un dispositif d’agent local 100 dans des équipements de type répéteur REP de réseau sans fil (pour « extender » en anglais) dans un réseau LAN, d’intégrer un agent global GA 200 dans une passerelle résidentielle AP1, AP2, AP3 et d’intégrer un agent global GA, 200 dans un équipement serveur réseau SR qui lui-même remonte des alertes au système d’information de l’opérateur du réseau RC. On détaille maintenant des exemples de comportements malveillants surveillés détectés par l’invention. Premier exemple : scan de ports à partir d’un équipement du réseau WAN Selon un premier exemple, on considère un équipement pare-feu, par exemple le pare-feu « IPtables » du système d’exploitation Linux, par exemple intégré dans un point d’accès/routeur AP1, AP2, AP3 du réseau local LAN1, LAN2, LAN3 d’un utilisateur. Un tel point d’accès fait l’interface entre le réseau local et le réseau de télécommunications WAN d’un opérateur. Le pare-feu est configuré pour générer un journal d’événements relatifs à des tentatives de connexion au point d’accès AP1, AP2, AP3 via le réseau WAN, et par exemple l’événement suivant : 2019 Aug 4 13:23:00 centos kernel: IPTables-Dropped: IN=em1 OUT= MAC=a2:be:d2:ab:11:af:e2:f2:00:00 SRC=193.252.19.3 DST=80.11.95.103 LEN=52 TOS=0x00 PREC=0x00 TTL=127 ID=9434 DF PROTO=TCP SPT=58428 DPT=443 WINDOW=8192 RES=0x00 SYN URGP=0. Il s’agit d’un seul événement daté du 4 août 2019 à 13h23 et 0 seconde, en provenance du noyau Linux (« Centos kernel »). Il a été enregistré par le pare-feu dans une table « DROPPED » du pare-feu Linux. - IN désigne l’interface réseau par laquelle le paquet de données est arrivé - OUT : ne comprend aucune information car le paquet a été rejeté (« dropped ») ; - MAC : désigne l’adresse MAC qui a émis le paquet ; - SRC : désigne l’adresse IP à l’origine du paquet ; - DST : désigne l’adresse IP destinataire du paquet ; - PROTO désigne le protocole de communication utilisé par la couche 3 du modèle OSI (TCP) ; - SPT : désigne le port d’expédition du paquet sur l’équipement ou machine source ; - DPT : désigne le port de réception sur l’équipement ou machine cible (443 -> HTTPS). Une fois normalisé, cet événement prend une forme simplifiée du type suivant : iptables-in(interface,source_ip,dest_port,date). Il précise donc l’interface concernée, l’adresse IP source qui tente de se connecter, le port de destination auquel elle tente de se connecter et la date et heure de la tentative. Avec l’exemple ci-dessus, on obtient : iptables-in(em1,193.252.19.3,443,1564924980) La date est exprimée ici en nombre de secondes écoulées depuis le 1 er janvier 1070, selon un format UNIX standard. On suppose qu’un modèle de scénario suspect pourrait être formulé en langage naturel de la façon suivante : « Une même adresse IP tente, dans une fenêtre temporelle de 10 secondes, de se connecter aux ports 21 (FTP), 22 (SSH), 23 (Telnet), 80 (HTTP) et 443 (HTTPS). » En effet, un tel événement est symptomatique d’un comportement anormal qui ne devrait pas se produire. Le pare-feu émet, à chaque tentative de connexion détectée, un message destiné à un agent local LA, 100, comprenant les informations essentielles pour définir cet événement, relatives à l’interface concernée, l’adresse IP source, l’adresse IP de destination. Un tel message prend par exemple la forme suivante : message iptables-in [?interface, ?source_ip, ?dest_port] On suppose qu’un message est envoyé pour chacune des tentatives de connexion aux 5 adresses citées ci-dessus. Ce message est daté par l’agent local LA 100 à sa réception. Il devient ainsi un nouvel événement à traiter par l’agent local LA 100. On suppose que l’agent local LA 100 a reçu les 5 événements évoqués ci-dessus et que son module de reconnaissance RECO cherche à les mettre en correspondance avec la chronique suivante, stockée dans sa table de signatures de comportements malveillants locaux : chronicle wan-scan { event (iptables-in [“em1”, ?SRC_IP1, 21], T_FTP) event (iptables-in [“em1”, ?SRC_IP2, 22], T_SSH) event (iptables-in [“em1”, ?SRC_IP3, 23], T_TELNET) event (iptables-in [“em1”, ?SRC_IP4, 80], T_HTTP) event (iptables-in [“em1”, ?SRC_IP5, 44], T_HTTPS) T0 T0 T0 T0 T0 Avec une telle chronique, un moteur de reconnaissance de chroniques mis en œuvre par le module RECO ou l’étape 33, à partir d’une séquence d’événements réseau reçue, doit satisfaire la contrainte suivante : constraint match [?ip1, ?ip2, ?ip3, ?ip4, ?ip5] { ?ip1 == ?ip2 == ?ip3 == ?ip4 == ?ip5 } Cette contrainte est définie comme un prédicat qui fait partie intégrante de la chronique. Elle signifie que les 5 adresses IP ip1 à ip5 sont égales. Cette contrainte est ensuite vérifiée par le moteur de reconnaissance de chroniques, en réalisant le test suivant : match [?SRC_IP1, ?SRC_IP2, ?SRC_IP3, ?SRC_IP4, ?SRC_IP5] } Ce test consiste donc à vérifier que les 5 adresses SRC_IP1 à SRC_IP5 sont en fait une seule et même adresse et donc que c’est le même objet communicant qui tente de se connecter simultanément à plusieurs services. Dans cet exemple, la chronique « wan-scan » est purement locale et demande un traitement local. Une action AC de traitement local lui est associée dans la table TS Loc . Le module RECO de reconnaissance du dispositif 100, LA est par exemple mis en œuvre sous la forme d’un programme informatique dans lequel l’action AC est implémentée sous la forme d’une fonction de rappel ou callback. Par exemple, l’action de traitement locale consister à rejeter tous les paquets de données reçus par l’équipement pare-feu en provenance de l’adresse IP source. Elle peut être formulée comme une règle dont le dispositif 100, LA commande l’installation dans le pare-feu. 2 ème exemple : suspicion de présence d’un botnet Pour rappel, un botnet est un « réseau d’agents dormants » mis en place à l’insu des utilisateurs d’équipements terminaux ou d’objets communicants connectés au réseau de télécommunications RT. En règle générale, l’utilisateur d’un terminal est victime d’un hameçonnage (pour « phishing », en anglais), qui prend par exemple la forme d’un e-mail frauduleux qui l’invite à cliquer sur un lien ou à télécharger un fichier. Cette opération déclenche l’installation d’un logiciel malveillant à l’insu de l’utilisateur, qui peut ensuite commander au terminal ou à l’objet communicant par exemple de : - se connecter à un serveur distant, afin d’attendre les ordres de son maître ; - d’ouvrir un port en UPnP sur le routeur, afin que son maître le prévienne quand il aura besoin de lui. De tels événements peuvent être détectés, le premier par un journal d’événements de connexion généré par le parefeu iptables, par exemple intégré dans le point d’accès/routeur AP1, AP2, AP3, en particulier un événement du type suivant : iptables-out(interface,source_ip,dest_port,date) Le deuxième est enregistré dans un journal d’événements d’ouvertures de port généré par le service UPnP intégré dans le point d’accès/routeur, en particulier un événement du type suivant : upnp-port(ext_port,in_port,in_ip,date) Dans cet exemple de réalisation de l’invention, un modèle de chronique a été créé pour chacun de ces deux types d’événements. Chacune de ces chroniques s’appuie sur la détermination préalable des caractéristiques d’un comportement malveillant connu et surveillé. De façon connue, chaque service dit « standard » est associé à un numéro de port connu. Par exemple, le numéro de port 80 est associé au service Web « http », et le numéro de port 443 est associé au service Web https, ce qui permet de s’adresser à un site web sans avoir besoin de préciser « :80 » ou « :443 » à la fin de chaque adresse web. Par opposition, on désigne par port non standard tout port qui ne figure pas dans une liste des ports standards utilisés par un système d’exploitation (par exemple, le fichier /etc/services sous Linux), ou dans une autre liste de ports standards gérée par l’opérateur du réseau de télécommunications WAN. Pour le premier cas, une simple connexion sur un port non standard peut être considérée comme suspecte. Pour le deuxième cas, on peut considérer qu’un objet communicant qui demande l’ouverture d’un port en UPnP a un comportement suspect. On définit alors le message suivant : message upnp-port [?ext_port, ?in_port, ?in_ip] deduced message upnp-suspicious [?ext_port] constraint is_iot [?ip] { ?ip in {192.168.1.23, 192.168.1.27} } Il intègre un prédicat définissant une contrainte sur un type d’équipement utilisateur possédant l’adresse IP, en l’espèce un équipement utilisateur de type objet communicant M2M (pour « Machine to Machine ») ou IoT (pour « Internet of Thing »), en anglais. Il définit aussi un message, dit déduit pour l’agent local, intitulé « upnp-suspicious », à envoyer à un agent global pour l’alerter de l’occurrence d’une ouverture de port suspecte. On en déduit la chronique suivante : chronicle local-botnet-upnp { event (upnp-port [?EXT_PORT, ?IN_PORT, ?IN_IP], T_UPNP)) is_iot [?IN_IP] when recognized { emit event (upnp-suspicious [?EXT_PORT], T_UPNP) } } Ces deux chroniques sont chacune l’expression de la signature d’un comportement malveillant local suspecté d’appartenir au scénario d’une attaque distribuée de type « botnet ». Elles sont donc stockées dans la base locale TS Susp . Chacune d’entre elles s’appuie sur la détection d’un seul événement déclencheur et est associée à une action de traitement, comprenant l’envoi de l’événement déclencheur à un agent global GA 200. La structure d’une telle chronique est intéressante, car elle définit à l’intérieur-même de la chronique une contrainte permettant de déterminer si une adresse IP source correspond à celle d’un objet connecté ou non. On note que la chronique, écrite ici, va déclencher une alerte dès qu’un objet communicant IoT dont l’IP est située entre 192.168.1.23 et 192.168.1.27 va tenter d’ouvrir un port UPnP . Du côté de l’agent global, on définit une chronique qui comptabilise les détections d’événements considérés comme localement suspects et qui ont fait l’objet d’une remontée d’information (tentative de connexion sur un port non standard ou demande d’ouvertures de port UPnP par un objet communicant) et sur une fenêtre temporelle prédéterminée. Par exemple, on peut définir que cinq occurrences d’un événement du premier ou deuxième type dans une fenêtre temporelle de 60 secondes sont suffisantes pour décider qu’une attaque de type « botnet » se profile. L’événement est défini par le message déduit suivant : message upnp-suspicious [?ext_port] On lui associe la contrainte suivante : constraint match [?port1, ?port2, ?port3, ?port4, ?port5] { ?port1 == ?port2 == ?port3 == ?port4 == ?port5 } Par exemple, la chronique résultante s’exprime comme suit : chronicle global-botnet-upnp { event (upnp-suspicious [?EXT_PORT1], T1) event (upnp-suspicious [?EXT_PORT2], T2) event (upnp-suspicious [?EXT_PORT3], T3) event (upnp-suspicious [?EXT_PORT4], T4) event (upnp-suspicious [?EXT_PORT5], T5) T0 T0 T0 T0 T0 L’agent global 200 décide que cette chronique est reconnue, si la mise en correspondance suivante est obtenue, c’est-à-dire si la contrainte définie par le prédicat « match » évoqué ci-dessus est vérifiée : match [?EXT_PORT1, EXT_PORT2, ?EXT_PORT3, ?EXT_PORT4, ?EXT_PORT5] } La chronique signifie en langage naturel : « si en l’espace de 60 seconde, 5 alertes « upnp-suspicious » sont reçues de 5 agents locaux sur le même port, alors l’action de traitement associée à la chronique est déclenchée ! » À la reconnaissance de cette chronique sur l’agent global, l’action associée est donc exécutée. Il s’agit par exemple d’une simple fonction de rappel suffira à prendre une décision au niveau réseau, en fonction des paramètres qui ont été remontés. Par exemple la fonction de rappel pourrait, au choix, consister à : - demander aux routeurs locaux de fermer le port qui a été ouvert et couper le trafic en en provenance et à destination de l’objet communicant incriminé ; - dans une démarche plus constructive, enregistrer toutes les connexions à destination de ce port, afin de déterminer la provenance de ce trafic. Troisième exemple : Menace locale Dans cet exemple, on considère le cas d’un utilisateur qui essaie d’attaquer son propre point d’accès au réseau WAN de son opérateur, et à Internet, c’est-à-dire sa passerelle résidentielle («pour « home gateway », en anglais), pour obtenir des informations de l’opérateur, stockées sur cette passerelle, d’en prendre le contrôle ou pour essayer d’attaquer le réseau opérateur. L’invention permet de protéger le réseau de télécommunication RC contre ce genre de pratiques. Il suffit de définir une chronique composite purement locale, basée sur la détection des événements réseau suivants : - a effectué un certain nombre de requêtes web erronées ; - a tenté de faire exécuter des requêtes DNS erronées ; - a tenté un certain nombre d’authentifications sur un service réservé à l’opérateur. Elle est ensuite associée à une action de traitement local de type « couper tous les services ». Dans ce cas de figure, on définirait des chroniques simples pour chacun des événements réseau énoncés ci-dessus. Par exemple, les événements reçus des agents locaux comprennent les messages déduits suivants : deduced message web-suspicious deduced message dns-suspicious deduced message auth-suspicious Ces messages sont émis par les chroniques locales des services de Web, DNS et d’authentification : chronicle web-errors { ... when recognized {` emit event(web-suspicious,T) } } chronicle dns-errors { ... when recognized { emit event(dns-suspicious,T) } } chronicle auth-requests { ... when recognized { emit event(auth-suspicious,T) } } Au niveau de l’agent local, on définit par exemple une chronique composite, dite de menace locale qui est reconnue dès lors qu’un des trois événements suspects précédents se produit dans son réseau local. chronicle local-threat { event (web-suspicious,T1) event (dns-suspicious,T2) event (auth-suspicious,T3) T0 T0 T0 } Ainsi, même pour des comportements malveillants purement locaux, l’invention permet définir des chroniques dites « à tiroir ». Avec l’invention, il est ainsi possible de surveiller n’importe quel type de comportement, à partir du moment où on est capable de le modéliser de manière experte, ou de l’apprendre. On présente maintenant, en relation avec la figure 7 , la structure matérielle d’un dispositif 100 de détection d’un comportement malveillant, ou agent local LA, comprenant un module d’obtention à partir de données reçues par l’équipement d’accès d’informations représentatives d’une séquence d’événements réseau datés, survenus dans une fenêtre temporelle prédéterminée, un module de détection d’un comportement malveillant par mise en correspondance des informations obtenues avec une signature, parmi une pluralité de signatures de comportements surveillés, stockées dans une table de signatures TS Loc et un module de décision de déclenchement d’au moins une action de protection du réseau contre le comportement malveillant détecté. Avantageusement, la pluralité de signatures comprend des signatures de comportements malveillants localisés dans le réseau de télécommunications local, dit comportements locaux surveillés, unedite signature étant associée à au moins une action de protection locale au réseau de télécommunications local et des signatures de comportements malveillants locaux suspectés d’appartenir à une attaque distribuée sur plusieurs réseaux de télécommunications locaux, unedite signature étant associée à une action de transmission d’un message d’alerte à un équipement nœud du réseau de télécommunications distant. Optionnellement, le dispositif 100 comprend aussi un module de normalisation des informations obtenues. Avantageusement, le dispositif 100 comprend en outre un module de stockage ou mémoire M, de la table de signatures TS Loc , par exemple une mémoire morte ou une mémoire non volatile NVRAM. Avantageusement, la mémoire M comprend une autre table de signatures TS Susp représentatives de comportements malveillants locaux suspectés d’appartenir à une attaque globale. Le terme « module » peut correspondre aussi bien à un composant logiciel qu’à un composant matériel ou un ensemble de composants matériels et logiciels, un composant logiciel correspondant lui-même à un ou plusieurs programmes ou sous-programmes d’ordinateur ou de manière plus générale à tout élément d’un programme apte à mettre en œuvre une fonction ou un ensemble de fonctions. Plus généralement, un tel équipement dispositif 100 comprend une mémoire vive 103 (par exemple une mémoire RAM), une unité de traitement 102 équipée par exemple d'un processeur, et pilotée par un programme d'ordinateur Pg1, représentatif des modules d’obtention, optionnellement de normalisation, de reconnaissance et de décision précités, stocké dans une mémoire morte 101 (par exemple une mémoire ROM ou un disque dur). A l'initialisation, les instructions de code du programme d'ordinateur sont par exemple chargées dans la mémoire vive 103 avant d'être exécutées par le processeur de l'unité de traitement 102. La mémoire vive 103 contient notamment les informations relatives aux séquences d’événements reçues. Elle peut comprendre aussi une copie de la ou des tables de signatures TS Loc , TS Susp , chargées elle aussi lors de l’initialisation. Le processeur de l’unité de traitement 102 pilote l’obtention, la normalisation, la reconnaissance et la décision, conformément au logigramme de la figure 3. La figure 7 illustre seulement une manière particulière, parmi plusieurs possibles, de réaliser le dispositif de détection 100, afin qu’il effectue les étapes du procédé de détection d’un comportement malveillant détaillé ci-dessus, en relation avec la figure 3 . En effet, ces étapes peuvent être réalisées indifféremment sur une machine de calcul reprogrammable (un ordinateur PC, un processeur DSP ou un microcontrôleur) exécutant un programme comprenant une séquence d’instructions, ou sur une machine de calcul dédiée (par exemple un ensemble de portes logiques comme un FPGA ou un ASIC, ou tout autre module matériel). Dans le cas où le dispositif 100 est réalisé avec une machine de calcul reprogrammable, le programme correspondant (c'est-à-dire la séquence d’instructions) pourra être stocké dans un médium de stockage amovible (tel que par exemple une disquette, un CD-ROM ou un DVD-ROM) ou non, ce médium de stockage étant lisible partiellement ou totalement par un ordinateur ou un processeur. Les différents modes de réalisation ont été décrits ci-avant en relation avec un dispositif LA, 100 intégré à un équipement d’accès AP1, AP2, AP3 à un réseau de télécommunications sans fil, tel que par exemple une passerelle résidentielle, un répéteur Wifi, ou encore un nœud collecteur d’un réseau de capteurs, mais il peut aussi être intégré au terminal TU lui-même, tel qu’un téléphone mobile de type téléphone intelligent (pour « smartphone », en anglais), un ordinateur de type PC (pour « Personal computer », en anglais) ou une tablette, lorsqu’il est configuré pour rendre la fonction de point d’accès au réseau RT. Selon une variante de réalisation de l’invention (non représentée), le dispositif 100 s’appuie sur la structure matérielle du point d’accès AP1, AP2, AP3 qui a ici la structure matérielle d’un ordinateur et comprend plus particulièrement un processeur, une mémoire vive, une mémoire more, une mémoire flash non volatile ainsi que des moyens de communication sans fil qui lui permettent de communiquer avec le terminal respectivement le(s) point(s) d’accès via le réseau RT. La mémoire morte constitue un support d’enregistrement conforme à l’invention, lisible par le processeur et sur lequel est enregistré le programme d’ordinateur Pg1 conforme à l’invention, comportant des instructions pour l’exécution du procédé de localisation selon l’invention. On présente enfin, en relation avec la fig. 8 , la structure matérielle d’un dispositif 200, GA de détection d’une attaque distribuée dans un réseau de télécommunications distant, comprenant un module de réception d’au moins un message d’alerte en provenance d’un agent local connecté à un réseau de télécommunication local géré par point d’accès audit réseau distant, ledit message d’alerte comprenant des informations représentatives d’une séquence d’événements réseau survenus dans une fenêtre temporelle prédéterminée et reconnues comme la signature d’un comportement malveillant local détecté par ledit agent local et suspecté d’appartenir à une attaque distribuée dans le réseau distant, un module d’agrégation des informations reçues à des informations obtenues d’au moins un autre agent local et reconnues par ledit autre agent local comme la signature dudit ou d’un autre comportement malveillant surveillé, un module de détection d’une attaque distribuée dans le réseau par mise en correspondance des informations agrégées avec une signature parmi une pluralité de signatures de modèles d’attaques distribuées surveillées stockées en mémoire; et un module de décision de déclenchement d’au moins une action de protection du réseau contre l’alerte distribuée détectée. Avantageusement, le dispositif 200 comprend en outre un module de stockage ou mémoire M’, de la table de signatures TS Dist , par exemple une mémoire morte ou une mémoire non volatile NVRAM. Le terme « module » peut correspondre aussi bien à un composant logiciel qu’à un composant matériel ou un ensemble de composants matériels et logiciels, un composant logiciel correspondant lui-même à un ou plusieurs programmes ou sous-programmes d’ordinateur ou de manière plus générale à tout élément d’un programme apte à mettre en œuvre une fonction ou un ensemble de fonctions. Plus généralement, un tel dispositif 200 de détection d’une attaque distribuée comprend une mémoire vive 203 (par exemple une mémoire RAM), une unité de traitement 202 équipée par exemple d'un processeur, et pilotée par un programme d'ordinateur Pg1, représentatif des modules de réception, d’agrégation, de reconnaissance et de décision, stocké dans une mémoire morte 101 (par exemple une mémoire ROM ou un disque dur). A l'initialisation, les instructions de code du programme d'ordinateur sont par exemple chargées dans la mémoire vive 203 avant d'être exécutées par le processeur de l'unité de traitement 202. La mémoire vive 203 peut aussi contenir la table de signature TS Glo . La figure 8 illustre seulement une manière particulière, parmi plusieurs possibles, de réaliser le dispositif 200, GA de détection d’une attaque distribuée dans un réseau de télécommunications afin qu’il effectue les étapes du procédé de détection d’une attaque distribuée tel que détaillé ci-dessus, en relation avec la figure 5 dans ses différents modes de réalisation. En effet, ces étapes peuvent être réalisées indifféremment sur une machine de calcul reprogrammable (un ordinateur PC, un processeur DSP ou un microcontrôleur) exécutant un programme comprenant une séquence d’instructions, ou sur une machine de calcul dédiée (par exemple un ensemble de portes logiques comme un FPGA ou un ASIC, ou tout autre module matériel). Dans le cas où le dispositif 200 est réalisé avec une machine de calcul reprogrammable, le programme correspondant (c'est-à-dire la séquence d’instructions) pourra être stocké dans un médium de stockage amovible (tel que par exemple une disquette, un CD-ROM ou un DVD-ROM) ou non, ce médium de stockage étant lisible partiellement ou totalement par un ordinateur ou un processeur. Les différents modes de réalisation ont été décrits ci-avant en relation avec un dispositif 200 intégré à un équipement nœud d’un réseau de télécommunications distant WAN. Selon une variante de réalisation de l’invention (non représentée), le dispositif 200 s’appuie sur la structure matérielle de l’équipement noeud auquel il est intégré, qui a ici la structure matérielle d’un ordinateur et comprend plus particulièrement un processeur, une mémoire vive, une mémoire more, une mémoire flash non volatile ainsi que des moyens de communication qui lui permettent de communiquer avec les équipements d’accès AP1, AP2, AP3 audit réseau. La mémoire morte constitue un support d’enregistrement conforme à l’invention, lisible par le processeur et sur lequel est enregistré le programme d’ordinateur Pg2 conforme à l’invention, comportant des instructions pour l’exécution du procédé de détection d’un comportement malveillant global selon l’invention. L’invention qui vient d’être décrite dans ses différents modes de réalisation présente de nombreux avantages. En particulier, elle propose de détecter un comportement malveillant, plutôt que la présence d’un logiciel malveillant, ce qui lui permet de s’affranchir des problématiques de polymorphisme. Elle détecte les comportements malveillants de la part d’un équipement utilisateur quelconque, terminal ou objet communicant connecté au réseau de communication, sans nécessiter qu’il soit équipé d’un dispositif anti-logiciel malveillant. Lorsqu’un comportement malveillant a été reconnu par mise en correspondance d’une séquence d’événements réseau datés avec une signature de modèle de comportement malveillant stockée en mémoire, l’invention déclenche la ou les actions de protection du réseau préalablement associée(s) à ce modèle, donc appropriées. Selon un mode de réalisation, l’approche distribuée proposée par l’invention permet d’agréger les détections de comportements malveillants réalisées par différents agents locaux afin de détecter une attaque distribuée dans le réseau distant. De la sorte, les préparatifs locaux de cette attaque peuvent être détectés, ce qui permet de déclencher des actions de protection du réseau WAN, avant que l’attaque elle-même ne soit vraiment lancée, donc de l’anticiper et d’en limiter les effets. Procédé de détection d’un comportement malveillant de la part d’un objet communicant connecté à un réseau de télécommunications distant (WAN) par l’intermédiaire d’un réseau de télécommunications local (LAN) géré par un équipement d’accès audit réseau de télécommunications distant (WAN), ledit procédé étant mis en œuvre par un agent local (LA, 100) connecté au réseau de télécommunications local, caractérisé en ce que ledit procédé comprend : - l’obtention (31) par l’équipement d’accès d’informations représentatives d’une séquence d’événements réseau datés, survenus dans une fenêtre temporelle prédéterminée; - la détection d’un comportement malveillant par mise en correspondance (33) des informations obtenues avec une signature, parmi une pluralité de signatures de comportements malveillants, stockées dans au moins une table de signatures ; et - la décision (34) de déclenchement d’au moins une action de protection du réseau de télécommunications local et/ou du réseau de télécommunications distant contre le comportement malveillant détecté. Procédé de détection d’un comportement malveillant selon la revendication 1 , caractérisé en ce que la pluralité de signatures comprend des signatures de comportements malveillants localisés dans le réseau de télécommunications local (LAN), dit comportements locaux surveillés, unedite signature étant associée à au moins une action de protection locale au réseau de télécommunications local (LAN) et des signatures de comportements malveillants locaux suspectés d’appartenir à une attaque distribuée dans le réseau de télécommunications distant unedite signature étant associée à une action de transmission d’un message d’alerte à un agent global (GA, 200)du réseau de télécommunications distant (WAN), configuré pour détecter une attaque distribuée dans ledit réseau (WAN). Procédé de détection d’un comportement malveillant selon l’une des revendications 1 ou 2 , caractérisé en ce que la signature du comportement malveillant comprend des informations représentatives d’événements réseau (S) et un ensemble de règles régissant des contraintes temporelles (T) entre lesdits événements réseau, dit chronique. Procédé de détection d’un comportement malveillant selon l’une des revendications 1 à 3 , caractérisé en ce qu’il comprend une normalisation des informations représentatives de séquence la d’événements réseau datés. Procédé de détection d’un comportement malveillant selon l’une des revendications 2 à 4 , caractérisé en ce que le message d’alerte comprend des informations représentatives de la séquence d’événements réseau survenus dans le réseau local dans une fenêtre temporelle prédéterminée et reconnues comme la signature d’un comportement malveillant local suspecté d’appartenir à une attaque distribuée sur le réseau de télécommunications distant (WAN). Procédé de détection d’un comportement malveillant selon l’une des revendications 2 à 4, caractérisé en ce que le message d’alerte comprend des informations représentatives du comportement malveillant local détecté. Dispositif (LA, 100) de détection d’un comportement malveillant de la part d’au moins un objet communicant connecté à un réseau de télécommunications local (LAN) géré par un équipement d’accès à un réseau de télécommunications distant (WAN), caractérisé en ce qu’il est configuré pour : - obtenir (COLL) par l’équipement d’accès des informations représentatives d’une séquence d’événements réseau datés, survenus dans une fenêtre temporelle prédéterminée; - détecter (RECO) un comportement malveillant par mise en correspondance des informations obtenues avec une signature, parmi une pluralité de signatures de comportements malveillants, stockées dans au moins une table de signatures; et - décider (DEC) de déclencher d’au moins une action de protection du réseau contre le comportement malveillant détecté. Equipement d’accès (AP1, AP2, AP3) à un réseau de télécommunications distant (LAN) configuré pour gérer un réseau de télécommunications local auquel se connecte au moins un objet communicant, caractérisé en ce qu’il comprend un dispositif (LA, 100) de détection d’un comportement malveillant, dit agent local, selon la revendication 7 . Procédé de détection d’une attaque distribuée dans un réseau de télécommunication distant (WAN), caractérisé en ce qu’il comprend : - l’obtention d’au moins un message d’alerte en provenance d’un agent local connecté à un réseau de télécommunications local (LAN1, LAN2, LAN3) géré par un point d’accès (AP1, AP2, AP3) audit réseau, ledit message d’alerte comprenant des informations représentatives d’une séquence d’événements réseau survenus dans le réseau local dans une fenêtre temporelle prédéterminée et reconnues comme la signature d’un comportement malveillant local suspecté d’appartenir à une attaque distribuée sur le réseau de télécommunications distant (WAN) ; - l’agrégation à des informations représentatives à au moins une séquence d’événements réseau datés, obtenues d’au moins un autre agent local connecté à un autre réseau de télécommunications local géré par un autre point d’accès audit réseau distant, et reconnues par ledit autre agent local comme la signature dudit ou d’un autre comportement malveillant local suspecté d’appartenir à une attaque distribuée sur le réseau de télécommunications distant (WAN) ; - la détection d’une attaque distribuée dans le réseau distant, par mise en correspondance des informations agrégées avec une signature parmi une pluralité de signatures d’attaques distribuées stockées dans au moins une table de signatures (TS Dist ); et - la décision de déclenchement d’au moins une action de protection du réseau contre l’attaque distribuée détectée. Dispositif (200) de détection d’une attaque distribuée dans un réseau de télécommunications distant, dit agent global (GA), caractérisé en ce que ledit dispositif est configuré pour : - recevoir au moins un message d’alerte en provenance d’un agent local connecté à un réseau de télécommunications local (LAN1, LAN2, LAN3) géré par un point d’accès (AP1, AP2, AP3) audit réseau, ledit message d’alerte comprenant des informations représentatives d’une séquence d’événements réseau survenus dans une fenêtre temporelle prédéterminée et reconnues comme la signature d’un comportement malveillant local détecté par ledit agent local et suspecté d’appartenir à une attaque distribuée dans ledit réseau (WAN) ; - agréger les informations reçues à des informations obtenues d’au moins un autre agent local connecté à un autre réseau de télécommunications local géré par un autre point d’accès audit réseau distant, et reconnues par ledit autre agent local comme la signature dudit ou d’un autre comportement malveillant local suspecté d’appartenir à une attaque distribuée du réseau distant (WAN) ; - détecter une attaque distribuée par mise en correspondance des informations agrégées avec une signature parmi une pluralité de signatures de attaques distribuées, stockées dans au moins une table de signatures (TS Dist ); et - décider de déclencher moins une action de protection du réseau contre l’attaque distribuée détectée. Équipement nœud (SR) d’un réseau de télécommunications distant (WAN), caractérisé en ce qu’il comprend un dispositif de détection d’une attaque distribuée dans ledit réseau, dit agent global selon la revendication 10 . Fichier de données (FD) comprenant une table de signatures comprenant des entrées, une entrée comprenant des informations représentatives d’une séquence d’événements réseau survenus dans une fenêtre temporelle prédéterminée, formant une signature d’un comportement malveillant ou d’une attaque distribuée, et au moins une action (AC) de protection du réseau, associée à ladite signature. Système (10) de protection d’un réseau de télécommunications distant (WAN) contre un comportement malveillant ou une attaque distribuée, caractérisé en ce qu’il comprend au moins deux agents locaux (LA, 100) connectés chacun à un réseau de télécommunications local (LAN1, LAN2, LAN3), undit réseau local étant géré par un équipement d’accès (AP1, AP2, AP3) audit réseau de télécommunications distant (WAN), selon la revendication 7 , un agent global (GA, 200) selon la revendication 10 et au moins un fichier de données comprenant une table de signatures de comportements malveillants ou d’attaques distribuées (TS Loc , TS Susp , TS Dist ) selon la revendication 12 . Produit programme d’ordinateur comprenant des instructions de code de programme pour la mise en œuvre d’un procédé selon l’une quelconque des revendications 1 à 6 et 9 , lorsqu’il est exécuté par un processeur. Support d’enregistrement lisible par un ordinateur sur lequel est enregistré un programme d’ordinateur selon la revendication 14.