Brevet FR3104776A1 — publié le 20210618

L’invention porte sur un procédé et un système de détermination d’une réaction à appliquer à un réseau suite à la détection d’une attaque ou plus généralement d’une anomalie. L’invention comporte une phase d’apprentissage lors de laquelle on associe des réactions à appliquer au réseau pour contrer les effets de différentes familles d’attaques, puis une phase opérationnelle on applique les règles apprises lors de la phase d’apprentissage. Figure 1 Procédé de détermination d’une réaction en réponse à une anomalie dans un réseau informatique L’invention concerne le domaine des systèmes de détection d’intrusion ou systèmes IDS (« Intrusion Detection Systems ») qui ont pour fonction la détection d’intrusion ou plus généralement d’anomalie dans un réseau de télécommunications à surveiller. Plus précisément, l’invention porte sur un procédé permettant de déterminer automatiquement une réaction ou une contre-mesure à appliquer à un réseau informatique ou de télécommunications suite à la détection d’une anomalie dans ce réseau. Les systèmes de détection d’intrusion (IDS) ont pour objectif d’agir en complément de mécanismes de sécurité préventifs de type cryptographique ou contrôle d’accès. Il existe principalement deux types de systèmes IDS. Un premier type de système IDS est un système de détection d’intrusion sur hôte encore appelé « Host Intrusion Detection System (HIDS) » en anglais. Il permet de surveiller une machine (par exemple, en observant les différentes opérations conduites par l’utilisateur sur cette machine). Un second type de système IDS est un système de détection d’intrusion sur réseau, encore appelé « Network Intrusion Detection System (NIDS) » en anglais. Il permet la surveillance d’un réseau de communications afin d’y déceler d’éventuelles attaques. Les systèmes IDS peuvent également être catégorisés selon la méthode de détection d’attaque qu’ils mettent en œuvre. Deux types de méthodes de détection d’intrusion existent principalement, les méthodes de détection d’intrusion par signatures ou par anomalies. La détection par signatures repose sur une base de signatures d’attaques. Les différents éléments observés par le système IDS (par exemple, des flux réseau dans le cas d’un système de détection d’intrusion sur réseau) sont comparés aux différentes entrées de cette base. Une correspondance signifie que le système sous surveillance est la cible de l’attaque dont la signature a correspondu à l’observation. Les systèmes de détection par anomalies reposent quant à eux sur la détection d’une opération anormale, par rapport aux observations antérieures, dans l’élément observé. Ces systèmes présentent l’avantage de permettre la détection d’attaques inconnues, jamais observées auparavant et pour lesquelles des signatures n’ont pas encore pu être constituées. Ils sont cependant également caractérisés par des taux de faux positifs élevés. On parle de faux positif quand un événement qui n’est pas une intrusion est identifié comme étant une anomalie. Ce cas arrive, par exemple, lors d’une défaillance du réseau qui provoque un phénomène anormal qui peut être détecté comme étant une intrusion. Les systèmes de détection IDS sont généralement chargés de détecter une anomalie ou une intrusion dans un réseau pour ensuite générer une alerte à un administrateur du système. Ainsi, généralement, ces systèmes ne prévoient pas de mécanisme de réaction pour corriger les effets d’une attaque qui a été détectée. La réaction automatique aux attaques est cependant un composant nécessaire à un système de sécurité efficace, car elle diminue le temps pendant lequel l'attaquant se trouve en mesure d'exploiter des vulnérabilités, et limite ainsi l'impact de son attaque. Même lorsque l'opérateur humain est l'élément décisionnel dans le déclenchement d'une mesure de réaction à une attaque, la réaction automatique peut préconiser une ou plusieurs mesures appropriées, et ainsi faciliter non seulement le processus décisionnel mais également sa mise en application, sauvant là encore de précieux instants. La capacité pour un système IDS de pouvoir déterminer par lui-même les meilleures contre-mesures ou réactions à employer afin de faire face à des attaques représente donc un avantage non négligeable dans la sécurisation de ressources exposées à des cyberattaques, et ce d'autant plus que ces ressources sont critiques. La majorité des systèmes de réponse aux intrusions proposent des réponses de type 'notification' ou 'alarme' qui visent à alerter un opérateur humain de la détection d'un événement potentiellement malveillant ou dommageable. D'autres types de réponses plus élaborés peuvent être envisagés pour tenter de stopper l'attaque en désactivant les ressources informatiques au moyen desquelles elle est menée (par exemple, détruire la session de travail de l'attaquant). D'autres types encore de réponses visent à protéger le réseau en renforçant sa sécurité (par exemple, activation de règles de firewalling plus restrictives). Ces trois types de réponses sont décrits dans le brevet américain US 7228564 B2 ("Method for configuring a network intrusion detection system"). Ces réponses ne permettent pas de remédier aux conséquences d'une attaque sur un réseau endommagé. Des méthodes de réponses aux intrusions plus élaborées font appel à la modélisation des motivations de l'attaquant. Ainsi, la théorie des jeux permet de modéliser les actions de l'attaquant et sa stratégie à long terme, afin de choisir la réponse optimale à l'attaque comme décrit dans la référence [1]. Les graphes d'attaque, qui font apparaître les différentes étapes intermédiaires qui constituent une attaque et que l'attaquant parcourt pour réaliser son but d'attaque, sont également exploités afin de proposer des systèmes autonomes de réponse aux intrusions. Des méthodes basées sur les graphes d’attaque sont décrites notamment dans les documents [2] et [3]. Les approches basées sur la théorie des jeux comme celles basées sur les graphes d'attaque requièrent une analyse très fine des attaques. Ces approches demeurent donc cantonnées à la réponse à des nombres d'attaques limités. La solution proposée dans le brevet EP 1567926 B1 ("Method, system and computer software product for responding to a computer intrusion") se base elle aussi sur une analyse par graphe d'attaque. Elle prévoit l'identification de l'étape de l'attaque et le lancement d'une contre-mesure adaptée à cette étape. Cette approche, qui généralise le paradigme de la réaction basée sur les graphes d'attaque, ne convient pas à la réaction aux attaques inconnues. En particulier, elle ne tire pas d'information des paramètres intrinsèques au réseau (par exemple, sa topologie) et ne modélise pas son état. Comme les approches similaires, les réponses apportées par cette invention ne sont donc pas symptomatiques (analyse de l'état du réseau à un instant t ) mais pour ainsi dire téléologiques (identification d'un événement en tant que partie du processus connu menant à l'accomplissement du but d'attaque d'un attaquant). Cette invention n'est donc pas généralisable à des attaques dont les différentes étapes ne sont pas connues. Un objectif de l’invention est d’estimer l’impact que produit une attaque sur le réseau afin d'en comprendre le comportement et ainsi de proposer une réaction qui permette de réduire l’effet sur le réseau, voire de remettre le réseau dans son état normal. L’objectif n’est pas de trouver la contremesure parfaite associée à l’attaque en cours mais de lutter contre les changements que l'attaque induit sur le réseau en associant la transformation apportée au réseau à une réaction efficace pour rétablir l’état normal du réseau. L’invention présente notamment l’avantage de ne pas nécessiter une identification précise de l’attaque car elle est basée sur un mécanisme d’association entre les effets d’une famille d’attaque mesurés sur un réseau et une réaction à apporter au réseau pour corriger ces effets. Ainsi, l’invention permet d’agir contre des attaques inconnues. L’invention a pour objet un procédé de détermination d’une réaction à appliquer à un réseau informatique, en réponse à une détection d’anomalie dans ledit réseau, le procédé comprenant les étapes de : dans une première phase d’apprentissage, pour au moins un réseau informatique de référence, Définir un ensemble de métriques caractérisant la topologie d’un réseau de référence, Déterminer, pour une pluralité de familles d’attaques produisant chacune des effets différents sur le réseau de référence, une évolution de chaque métrique entre un état postérieur à une attaque et un état de référence, Déterminer une réaction à appliquer au réseau pour compenser les effets de la famille d’attaques sur le réseau, sauvegarder les couples de référence {évolution des métriques, réaction à appliquer} pour chaque famille d’attaques, dans une seconde phase opérationnelle appliquée à un réseau informatique opérationnel, mesurer le même ensemble de métriques pour la topologie du réseau opérationnel, en réponse à une détection d’anomalie dans le réseau opérationnel, mesurer l’évolution de chaque métrique et la comparer aux références sauvegardées pendant la première phase d’apprentissage, en déduire une réaction à appliquer au réseau opérationnel. Selon une variante particulière de l’invention, la première phase d’apprentissage comprend les étapes de : Mesurer sur le réseau de référence l’ensemble de métriques, Simuler les effets de chaque famille d’attaques sur le réseau de référence, Mesurer l’évolution de chaque métrique entre un état postérieur à une attaque et un état de référence. Selon une variante particulière de l’invention, lors de la première phase d’apprentissage, l’entrainement d’un moteur d’apprentissage automatique pour classifier les évolutions de métriques en fonction de la réaction à appliquer et, lors de la seconde phase opérationnelle, exécuter le moteur d’apprentissage entrainé pour déterminer la réaction à appliquer au réseau opérationnel en fonction de l’évolution des métriques mesurées. Selon une variante particulière de l’invention, les métriques relatives à la topologie d’un réseau sont prises parmi des caractéristiques relatives à l’identité des nœuds du réseau, au nombre de nœuds communicants au sein du réseau, au débit de communication au sein du réseau. Selon une variante particulière de l’invention, la première phase d’apprentissage est réalisée pour plusieurs réseaux informatiques de référence. Selon une variante particulière de l’invention, la première phase d’apprentissage est réalisée pour un même réseau informatique de référence à différents instants. Selon une variante particulière, le procédé selon l’invention comprend en outre les étapes de : en réponse à une détection d’anomalie dans le réseau opérationnel, ajouter le couple {évolution des métriques, réaction à appliquer} aux couples de référence sauvegardés lors de la première phase d’apprentissage. L’invention a aussi pour objet un programme d'ordinateur comportant des instructions pour l'exécution du procédé selon l’invention, lorsque le programme est exécuté par un processeur. L’invention a aussi pour objet un support d'enregistrement lisible par un processeur sur lequel est enregistré un programme comportant des instructions pour l'exécution du procédé selon l’invention, lorsque le programme est exécuté par un processeur. L’invention a aussi pour objet un système de détermination d’une réaction à appliquer à un réseau informatique, en réponse à une détection d’anomalie dans ledit réseau, le système comprenant au moins une sonde apte à acquérir un flux réseau ou un ensemble de trames réseau transitant dans ledit réseau et au moins un dispositif informatique configuré pour mettre en œuvre les étapes du procédé de détermination d’une réaction à appliquer audit réseau selon l’une quelconque des revendications précédentes, à partir du flux réseau ou de l’ensemble de trames réseau. D’autres caractéristiques et avantages de la présente invention apparaîtront mieux à la lecture de la description qui suit en relation aux dessins annexés suivants. la figure 1 représente un organigramme détaillant les étapes de mise en œuvre du procédé selon un mode de réalisation de l’invention, la figure 2a représente un exemple de topologie d’un réseau informatique dans un état de référence, la figure 2b représente un exemple de topologie du réseau informatique de la figure 2a après une attaque, la figure 3 représente un schéma d’un système de réaction à une attaque dans un réseau informatique, selon un mode de réalisation de l’invention. La figure 1 schématise, sur un organigramme, les principales étapes du procédé selon l’invention. L’invention est composée de deux phases distinctes. Dans une première phase 100 d’apprentissage, on construit une base B de couples associant respectivement une métrique caractérisant l’impact d’une attaque sur un réseau de référence et une réaction ou contre-mesure à appliquer au réseau de référence pour corriger les effets de l’attaque. Dans une seconde phase 110 opérationnelle, en réponse à la détection d’une intrusion ou d’une attaque sur un réseau, on mesure les mêmes métriques sur le réseau attaqué que celles mesurées pendant la phase d’apprentissage et on en déduit la réaction à appliquer. On décrit tout d’abord la phase 100 d’apprentissage qui est appliquée à un ou plusieurs réseau(x) informatique(s) de référence ou encore à un seul réseau de référence à plusieurs instants différents. Un réseau informatique ou réseau de télécommunications est, de façon générale, constitué de plusieurs équipements, encore appelés nœuds du réseau, qui communiquent entre eux au moyen de liaisons de communications. Les nœuds du réseau peuvent être des terminaux fixes ou mobiles ou plus généralement tout type d’objet ayant des capacités de communication au sein d’un réseau. Les liens de communication sont réalisés au moyen de technologie de communication filaire ou sans fils. Dans une première étape 101, le réseau de référence est analysé pour mesurer un ensemble de caractéristiques relatives à sa topologie, pour un état de référence. Par la suite, on utilisera indifféremment le terme métrique ou caractéristique pour désigner les mesures permettant de caractériser la topologie et le fonctionnement du réseau. L’analyse d’un réseau est, par exemple, réalisée en capturant les trames qui transitent au sein du réseau au moyen d’une sonde implémentant un outil d’analyse réseau. A partir de cette capture, on détermine un ensemble de métriques permettant de caractériser le réseau d’un point de vue global ou local. Ces métriques peuvent notamment inclure : le nombre et les identifiants des nœuds du réseau mais aussi des informations sur le débit de communication sur les différents liens du réseau : débit moyen, médian, maximum, minimum ou toute autre métrique statistique dérivée du débit. De façon générale, toute information permettant de caractériser le fonctionnement du réseau à partir d’informations mesurées par un analyseur réseau, peut être exploitée par l’invention. Les métriques peuvent être mesurées de façon globale pour caractériser le fonctionnement général du réseau ou de façon locale pour caractériser un sous-réseau ou le fonctionnement d’un équipement ciblé du réseau. Par exemple, des métriques peuvent être générées ou mesurées pour identifier un état de connexion (connecté ou déconnecté) d’un équipement à un réseau ou à un sous-réseau. Des métriques peuvent être associées aux liens entre équipements d’un réseau ou d’un sous-réseau. Dans une deuxième étape 102, on simule plusieurs attaques parmi plusieurs familles d’attaques sur le réseau de référence puis on mesure les mêmes caractéristiques qu’à l’étape 101 afin de déterminer leur évolution entre les états antérieurs et postérieurs à l’attaque. Dans une variante de réalisation, les attaques ne sont pas simulées mais leurs conséquences sur l’évolution des métriques sont obtenues à partir d’observations d’attaques en situation réelle ou de prédictions théoriques. Une famille d’attaques simulée est constituée de plusieurs attaques produisant des effets similaires sur un réseau. Des exemples de familles d’attaques sont : les attaques par déni de service ou DoS(« Denial of Service ») qui consistent à rendre inopérant un équipement cible ; les attaques par sondage (« probing »), qui sont utilisées pour découvrir des vulnérabilités ou des portes d’entrées sur l’équipement cible ; les attaques de type R2L (« Remote to Local ») qui visent à accéder à un équipement se trouvant sur un réseau local depuis l’extérieur ; les attaques par escalade de privilèges ou U2R (« User to Root ») dont un objectif est d’obtenir des droits plus importants que ceux autorisés sur l’équipement cible. Pour chaque famille d’attaques simulée sur le réseau de référence, on mesure les mêmes métriques qu’à l’étape 101 puis on détermine l’évolution de chaque métrique par rapport à l’étape 101. Autrement dit, on détermine l’évolution de chaque métrique entre un état antérieur à une attaque et un état postérieur à une attaque. On détermine également, a priori, une réaction à appliquer au réseau pour chaque famille d’attaques identifiée afin de corriger les effets de l’attaque et de tenter de remettre le réseau dans son état de référence initial. Afin d’illustrer l’invention, on décrit à présent plusieurs exemples de réalisation de l’étape 102 du procédé, qui permettent de comprendre comment mettre en œuvre l’invention, ces exemples n’étant pas limitatifs et pouvant être généralisés à tout type d’attaque dont il est possible de caractériser les effets et pour laquelle on peut identifier une contre mesure ou réaction à apporter. Dans l’ensemble des exemples suivants, le contexte est celui d’un réseau domotique constitué d’objets communicants dans des réseaux sans fil, par exemple respectant le standard 802.15.4. Plusieurs équipements communiquent sur un sous-réseau commun appelé (« WPAN1 »). Un attaquant peut à la fois intégrer de façon autonome ce réseau WPAN1, exclure un équipement de ce même réseau WPAN1, communiquer au nom d’un autre équipement ou créer un autre réseau WPAN2. Il possède deux interfaces réseaux et peut donc communiquer simultanément sur deux réseaux distincts. Un premier exemple de famille d’attaques correspond à une attaque de type « déni de service » sur un équipement particulier. Un attaquant réussi à intégrer le réseau WPAN1 et transmet un grand nombre de paquets vers un équipement victime. Cette attaque empêche l’équipement victime de recevoir des ordres d’autres équipements, il est donc hors-service. Les métriques mesurées sur le réseau après cette attaque traduisent une augmentation du nombre d’équipements, une augmentation du trafic dans le réseau WPAN1 et une augmentation du trafic vers l’équipement victime. Une contremesure proposée lorsque ce type d’évolution de métriques est détecté consiste à identifier l’équipement à l’origine de l’augmentation du trafic, éjecter l’équipement attaquant du réseau WPAN1 en l’envoyant en quarantaine dans un réseau séparé contrôlé par un système IDS pour évaluer son comportement. Une réaction complémentaire consiste à renforcer le niveau de sécurité dans le réseau WPAN1. Un deuxième exemple de famille d’attaques correspond à une attaque de type « Kick-Out ». L’attaquant éjecte un équipement victime du réseau principal WPAN1 pour le transférer dans un autre réseau WPAN2. Cela empêche l’équipement victime de recevoir du trafic ou de commander d’autres équipements du réseau principal WPAN1. Les métriques mesurées sur le réseau WPAN1 après cette attaque traduisent une diminution du nombre d’équipements, l’apparition d’un nouveau réseau WPAN2 et la disparition de l’équipement victime du réseau WPAN1. Une contremesure ou réaction associée à cette attaque consiste à identifier l’équipement victime, à le réintégrer au réseau principal WPAN1 et à augmenter le niveau de sécurité de ce réseau WPAN1 (par exemple, en changeant la clé de sécurité du réseau par exemple) pour éviter le retour de l’attaquant. Un troisième exemple de famille d’attaques correspond à une attaque de type « Man-In-the-Middle ». Un attaquant éjecte un équipement victime vers un second réseau WPAN2 et intègre les deux réseaux WPAN1 et WPAN2 (il dispose de deux interfaces réseaux). En relayant l’ensemble des communications depuis et vers l’équipement victime, il est capable de modifier le contenu de ces communications. Les métriques mesurées sur le réseau après cette attaque traduisent l’apparition d’un nouveau réseau, une augmentation d’un facteur deux du trafic global pour les communications impliquant l’équipement victime et la présence de l’équipement victime dans deux réseaux WPAN1 et WPAN2. Une contremesure ou réaction associée à cette attaque consiste à identifier l’attaquant, éjecter l’équipement attaquant du premier réseau WPAN1 et réintégrer l’équipement victime dans le premier réseau WPAN1, tout en augmentant la sécurité associée au réseau WPAN1 pour éviter la reproduction de l’attaque. A l’issue de l’étape 102, on obtient donc pour chaque famille d’attaques simulées, une signature d’attaque associée à une réaction à appliquer au réseau. La signature d’attaque est constituée des évolutions respectives de chaque métrique mesurée entre les instants avant l’attaque et après l’attaque. Les couples {signature d’attaque, réaction à appliquer} sont sauvegardés dans une mémoire B lors d’une étape 103. Plus précisément, les signatures sont associées à l’impact causé sur le réseau par une attaque. Dans certains cas, deux attaques de la même famille produisent des effets différents sur le réseau. Par exemple, une même attaque peut cibler un équipement local ou l’ensemble du réseau. Dans ces deux cas de figure, les réactions à appliquer seront différentes. On peut donc avoir plusieurs signatures d’attaque pour la même famille d’attaques selon l’impact de l’attaque (au niveau local ou global du réseau). Autrement dit, on peut aussi considérer qu’une même attaque appliquée à différents niveaux du réseau correspond à plusieurs attaques différentes car n’ayant pas les mêmes effets sur le réseau. Le procédé se poursuit ensuite avec une seconde phase opérationnelle 110 lors de laquelle on utilise les informations stockées dans la mémoire B pour réagir à une attaque sur un réseau opérationnel qui peut être le réseau de référence sur lequel la première phase d’apprentissage 100 a été réalisée ou un autre réseau. Dans une étape 104, on mesure sur le réseau opérationnel, les mêmes métriques que celles mesurées à l’étape 101 de la phase d’apprentissage 100. A l’étape 105, une anomalie ou une intrusion est détectée dans le réseau opérationnel. En réponse à cet évènement, on mesure, à l’étape 106, l’évolution des métriques suite à l’attaque, de la même façon qu’à l’étape 102 de la phase d’apprentissage. Une signature est ensuite créée à partir des évolutions respectives de chaque métrique mesurée puis, dans une étape 107, la signature est comparée aux signatures générées pendant la phase d’apprentissage. Si la signature est comparable à l’une des signatures enregistrées dans la base de référence B, alors la situation correspond à un impact connu sur le réseau, la réaction associée à la signature de référence est appliquée automatiquement au réseau ou transmise à un administrateur du réseau pour approbation. Dans le cas où la signature n’est comparable à aucune des signatures enregistrées dans la base de référence B, alors l’impact sur le réseau n’est pas reconnu, deux options sont alors possibles. Une première option consiste à déclarer l’anomalie détectée comme un faux positif, c'est-à-dire une erreur du système IDS de détection d’anomalie. Une seconde option consiste à considérer l’anomalie comme résultant d’une attaque non référencée et transmettre la signature à un administrateur du réseau pour investigation. Dans cette seconde option, la signature peut être utilisée pour enrichir la base de référence B avec une nouvelle famille d’attaques et une nouvelle contre-mesure associée. La figure 2a schématise un exemple de topologie de réseau de référence dans un état de référence. Dans cet exemple, les métriques mesurées sur le réseau, à partir d’un analyseur réseau sont le nombre de nœuds connectés 201,202,203,204 (égal à 4), le nombre de liens de communications (égal à 6), le débit moyen du trafic dans le réseau (égal à 5 Mb/s) et le débit médian du trafic dans le réseau (égal à 5 Mb/s). On applique une phase d’apprentissage 100 au réseau en simulant trois familles d’attaques : A, B et C. Pour chaque attaque, on mesure les mêmes métriques que dans l’état de référence et on détermine leur évolution par rapport à l’état de référence. Après l’attaque A, le nombre moyen de nœuds est augmenté d’un facteur 20, le débit moyen du trafic dans le réseau est augmenté d’un facteur 5 et le nombre de liens de communication est augmenté d’un facteur 100. Après l’attaque B, le nombre moyen de nœuds est diminué, le débit moyen du trafic dans le réseau est stable et le débit médian du trafic dans le réseau est diminué d’un facteur 1,5. Après l’attaque C, le nombre moyen de nœuds est stable, le débit moyen du trafic est augmenté d’un facteur 2 et le débit médian du trafic est aussi augmenté d’un facteur 2. A chaque ensemble de métriques correspondant à une attaque, on associe une réaction à apporter au réseau pour le ramener dans son état de référence. La figure 2b représente l’état du même réseau après une nouvelle attaque, lors d’une phase opérationnelle 110. Le nombre de nœuds dans le réseau est diminué (égal à 3), le débit moyen du trafic est stable (égal à 5 Mb/s) et le débit médian du trafic est diminué d’un facteur 1,5 (égal à 3 Mb/s). En comparant les métriques mesurées sur le réseau de la figure 2b avec celles sauvegardées lors de la phase d’apprentissage 100, on en déduit qu’elles correspondent aux évolutions associées à l’attaque B. Ainsi, on applique au réseau, la réaction prévue pour l’attaque B. Dans une variante de réalisation de l’invention, un moteur d’apprentissage automatique, par exemple un réseau de neurones artificiels, est utilisé pendant la phase d’apprentissage 100 pour apprendre à classifier les évolutions de référence en fonction de la réaction à appliquer lors de l’étape 102. Lors de la seconde phase opérationnelle 101, le moteur d’apprentissage entrainé est utilisé pour déterminer la réaction à appliquer au réseau opérationnel en fonction de la signature obtenue à l’étape 107. Dans une autre variante de réalisation de l’invention, les éventuelles nouvelles attaques identifiées lors de la phase opérationnelle 110 sont utilisées pour enrichir la base de référence B en mettant à jour les métriques de référence. Dans une autre variante de réalisation de l’invention, les métriques de référence sont déterminées en réalisant des moyennes de mesures sur plusieurs réseaux de référence différents ou sur un réseau de référence à différents instants. La figure 3 schématise un exemple de réalisation d’un système de détection et correction d’anomalie 300 dans un réseau de télécommunications, selon un mode de réalisation de l’invention. Sur la figure 3, le réseau de télécommunications à surveiller est représenté sous la forme de plusieurs réseaux 301,302,303,304 interconnectés. Le réseau à surveiller peut être de très grandes dimensions, très complexe en termes de topologies et/ou de protocoles. Chaque réseau à surveiller peut être composé d’une pluralité d’éléments pour lesquels le trafic réseau est surveillé. De tels éléments (non représentés sur la figure 3) peuvent être sans limitation des ordinateurs, des serveurs, des contrôleurs ou toute autre ressource ou équipement pour lesquels le système de détection et correction d’anomalie assure une fonction d’analyse des paquets circulant sur des liens réseau en vue de la détection d’éventuelles anomalies ou intrusions et la détermination d’une réaction à apporter pour corriger les effets de ces intrusions. Un équipement 305 est connecté au réseau à surveiller afin de capturer un flux réseau ou des trames réseau qui transitent par le point de connexion. L’équipement 305 est, par exemple, un analyseur réseau ou une sonde réseau qui permet de capturer les trames réseau et de les décoder. Les trames décodées sont ensuite traitées par un module 306 de détection et correction d’anomalies qui est configuré pour mettre en œuvre les étapes du procédé tel que décrit précédemment. L’équipement de capture 305 et le module de détection et correction d’anomalies 306 peuvent être interconnectés au moyen d’un réseau privé 307 ou faire partie d’un seul et même équipement physique. Ainsi, dans un mode de réalisation, le système de détection et correction d’anomalies 300 comprend une sonde 305 de capture de trames ou de flux réseau, un réseau privé 307 et un module de détection et correction d’anomalies 306 à partir du flux réseau ou des trames capturées. Dans un autre mode de réalisation, le système 300 comprend une sonde 305 de capture de flux réseau ou de trames réseau et un module de détection et correction d’anomalies 306 directement connectés l’un à l’autre. Dans encore un autre mode de réalisation, le système 300 est constitué d’un seul équipement qui réalise à la fois la capture des trames réseau ou du flux réseau et la mise en œuvre du procédé de détection et correction d’anomalies selon l’invention. De façon générale, l’invention peut être mise en œuvre à l’aide de composants matériels et/ou logiciels. Les éléments logiciels peuvent être disponibles en tant que produit programme d’ordinateur sur un support lisible par ordinateur, support qui peut être électronique, magnétique, optique ou électromagnétique. Les éléments matériels peuvent être disponibles tous ou en partie, notamment en tant que circuits intégrés dédiés (ASIC) et/ou circuits intégrés configurables (FPGA) et/ou en tant que circuits neuronaux selon l’invention ou en tant que processeur de signal numérique DSP et/ou en tant que processeur graphique GPU, et/ou en tant que microcontrôleur et/ou en tant que processeur général par exemple. Le système selon l’invention peut aussi comprendre une interface homme machine, telle qu’un écran, pour restituer les résultats du procédé de détection d’anomalies à un utilisateur. L’invention présente notamment l’avantage de permettre de corriger les effets d’une attaque ou d’une intrusion sur un réseau informatique, même lorsque l’attaque n’est pas connue et identifiable par un système de détection IDS. L’invention peut être couplée à un système de détection d’intrusion par anomalie pour réagir à une attaque et rétablir l’état du réseau. Elle s’applique avantageusement à tout type de réseau informatique susceptible d’être perturbé, en particulier les systèmes de communication industriels, les réseaux de type IoT, les systèmes d’automatisation de processus industriels, les intranets d’entreprise. Références [1] S. Iannucci and S. Abdelwahed, “Towards Autonomic Intrusion Response Systems,” in 2016 IEEE International Conference on Autonomic Computing (ICAC) , Wuerzburg, Germany, 2016, pp. 229–230. [2] S. A. Zonouz, H. Khurana, W. H. Sanders, and T. M. Yardley, “RRE: A Game-Theoretic Intrusion Response and Recovery Engine,” IEEE Transactions on Parallel and Distributed Systems , vol. 25, no. 2, pp. 395–406, Feb. 2014. [3] Xuan Li, Chunjie Zhou, and Yuanqing Qin, “A Dynamic Decision-Making Approach for Intrusion Response in Industrial Control Systems,” IEEE Transactions on Industrial Informatics , pp. 1–1, 2018. Procédé de détermination d’une réaction à appliquer à un réseau informatique, en réponse à une détection d’anomalie dans ledit réseau, le procédé comprenant les étapes de : dans une première phase d’apprentissage (100), pour au moins un réseau informatique de référence, Définir (101) un ensemble de métriques caractérisant la topologie d’un réseau de référence, Déterminer (102), pour une pluralité de familles d’attaques produisant chacune des effets différents sur le réseau de référence, une évolution de chaque métrique entre un état postérieur à une attaque et un état de référence, Déterminer (102) une réaction à appliquer au réseau pour compenser les effets de la famille d’attaques sur le réseau, sauvegarder (103) les couples de référence {évolution des métriques, réaction à appliquer} pour chaque famille d’attaques, dans une seconde phase opérationnelle (110) appliquée à un réseau informatique opérationnel, mesurer (104) le même ensemble de métriques pour la topologie du réseau opérationnel, en réponse à une détection d’anomalie (105) dans le réseau opérationnel, mesurer (106) l’évolution de chaque métrique et la comparer aux références sauvegardées pendant la première phase d’apprentissage, en déduire (107) une réaction à appliquer au réseau opérationnel. Procédé selon la revendication 1 dans lequel la première phase d’apprentissage (100) comprend les étapes de : Mesurer (101) sur le réseau de référence l’ensemble de métriques, Simuler (102) les effets de chaque famille d’attaques sur le réseau de référence, Mesurer (102) l’évolution de chaque métrique entre un état postérieur à une attaque et un état de référence. Procédé selon l’une des revendications précédentes comprenant, lors de la première phase d’apprentissage (100), l’entrainement d’un moteur d’apprentissage automatique pour classifier les évolutions de métriques en fonction de la réaction à appliquer et, lors de la seconde phase opérationnelle (101), exécuter le moteur d’apprentissage entrainé pour déterminer la réaction à appliquer au réseau opérationnel en fonction de l’évolution des métriques mesurées. Procédé selon l’une quelconque des revendications précédentes dans lequel les métriques relatives à la topologie d’un réseau sont prises parmi des caractéristiques relatives à l’identité des nœuds du réseau, au nombre de nœuds communicants au sein du réseau, au débit de communication au sein du réseau. Procédé selon l’une quelconque des revendications précédentes dans lequel la première phase d’apprentissage est réalisée pour plusieurs réseaux informatiques de référence. Procédé selon l’une quelconque des revendications précédentes dans lequel la première phase d’apprentissage est réalisée pour un même réseau informatique de référence à différents instants. Procédé selon l’une quelconque des revendications précédentes comprenant en outre les étapes de : en réponse à une détection d’anomalie dans le réseau opérationnel, ajouter le couple {évolution des métriques, réaction à appliquer} aux couples de référence sauvegardés lors de la première phase d’apprentissage. Programme d'ordinateur comportant des instructions pour l'exécution du procédé selon l’une quelconque des revendications précédentes, lorsque le programme est exécuté par un processeur. Support d'enregistrement lisible par un processeur sur lequel est enregistré un programme comportant des instructions pour l'exécution du procédé selon l’une quelconque des revendications 1 à 7, lorsque le programme est exécuté par un processeur. Système (300) de détermination d’une réaction à appliquer à un réseau informatique, en réponse à une détection d’anomalie dans ledit réseau, le système comprenant au moins une sonde (305) apte à acquérir un flux réseau ou un ensemble de trames réseau transitant dans ledit réseau et au moins un dispositif (306) informatique configuré pour mettre en œuvre les étapes du procédé de détermination d’une réaction à appliquer audit réseau selon l’une quelconque des revendications précédentes, à partir du flux réseau ou de l’ensemble de trames réseau.