Brevet FR3113962A1 — publié le 20220311

Un procédé de protection d’un système informatique, le système informatique comportant des dispositifs informatiques (U1, V1), le procédé comportant au moins : une étape d’application de règles de sécurité primaires (R1) par au moins un dispositif informatique (U1) appartenant à un premier niveau de manière à générer un rapport de surveillance primaire (PU1-PU2), une étape de transmission du rapport de surveillance primaire (PU1-PU2) à au moins un dispositif informatique (V1) appartenant à un deuxième niveau, une étape d’application de règles de sécurité secondaires (R2) sur les données reçues (DATA2) et le rapport de surveillance primaire (PU1-PU2) reçus par le dispositif informatique (V1) de manière à générer un rapport de surveillance secondaire (PV1), une étape de détermination d’un rapport de surveillance globale (RSG) par un serveur central (SC) par traitement des rapports de surveillance secondaire (PV1) par application de règles de sécurité globales (RG). Figure de l’abrégé : Figure 3 Procédé et système de surveillance d’un système informatique La présente invention concerne le domaine de la sécurité informatique dans une entreprise ou dans l’industrie afin de détecter de manière réactive une attaque informatique. Un système informatique est crucial pour son activité. Celui-ci est susceptible d’être attaqué depuis l’extérieur, par exemple via le réseau internet, ou depuis l’intérieur, par une personne malveillante ayant accès au système informatique. En référence à la figure 1, pour détecter de manière réactive toute attaque d’un pirate PIR, il est connu d’installer un logiciel de surveillance sur chaque poste informatique U1-U3 qui transmet des fichiers de surveillance LOG1-LOG3 à une base de données DBA reliée à un serveur central SCA, également connu de l’homme du métier sous le nom de « puits de logs ». Les fichiers de surveillance LOG1-LOG3 sont transmis à la base de données DBA via le réseau internet INT de manière périodique. Le serveur central SCA se présente sous la forme d’un supercalculateur qui est relié à la base de données DBA comportant l’ensemble des fichiers de surveillance LOG1-LOG3. Le serveur central SCA exécute des algorithmes métiers sur l’ensemble des fichiers de surveillance LOG1-LOG3 et permet d’émettre un rapport de surveillance global RSGA indiquant le niveau de menace ainsi que les correctifs à réaliser. Un tel serveur central SCA est performant et permet d’assurer une sécurité importante. Au cours des dernières années, les systèmes informatiques des entreprises ont grossi de manière importante et les postes informatiques sont de plus en plus nombreux. Cela a augmenté le nombre de fichiers de surveillance LOG1-LOG3 à traiter par le serveur central SCA, ce qui présente plusieurs inconvénients. Tout d’abord, le transfert de nombreux fichiers de surveillance par le réseau internet consomme une part non-négligeable de la bande passante de l’entreprise, ce qui nuit à la productivité de l’entreprise et augmente ses coûts. Sur le plan du stockage, la base de données, qui conserve en mémoire les fichiers de surveillance LOG1-LOG3, voit son volume augmenter de manière exponentielle, ce qui présente des inconvénients en termes de gestion et de coût. En outre, pour traiter des fichiers de surveillance LOG1-LOG3 de plus en plus nombreux, il est nécessaire de prévoir un serveur central SCA dont la puissance est de plus en plus élevée, ce qui augmente le coût. Enfin, l’ensemble des contraintes précitées augmente le temps de calcul du rapport de surveillance global RSGA, ce qui nuit à la réactivité et à l’efficacité de la protection informatique. L’invention vise ainsi à éliminer au moins certains de ces inconvénients en proposant un nouveau procédé de protection d’un système informatique d’une entreprise. PRESENTATION DE L’INVENTION L’invention concerne un procédé de protection d’un système informatique, le système informatique comportant des dispositifs informatiques reliés en réseau, les dispositifs informatiques appartenant à des niveaux organisés selon une hiérarchie déterminée par le réseau, le procédé comportant au moins : une étape d’application de règles de sécurité primaires sur des données reçues par au moins un dispositif informatique appartenant à un premier niveau de manière à générer un rapport de surveillance primaire, une étape de transmission du rapport de surveillance primaire à au moins un dispositif informatique appartenant à un deuxième niveau, hiérarchiquement supérieur au premier niveau, une étape d’application de règles de sécurité secondaires sur les données reçues et le rapport de surveillance primaire reçus par le dispositif informatique appartenant au deuxième niveau de manière à générer un rapport de surveillance secondaire, une étape de réception par une base de données, par le réseau internet, de rapports de surveillance finaux, correspondant aux rapports de surveillance secondaires ou issus de ceux-ci, une étape de détermination d’un rapport de surveillance globale par un serveur central par traitement des rapports de surveillance finaux par application de règles de sécurité globales. Grâce à l’invention, seuls les rapports de surveillance finaux sont traités par le serveur central et une quantité d’informations limitée mais très pertinente est émise vers le serveur central. Cela permet de faciliter le stockage et le traitement des données pour de grands systèmes informatiques. En outre, la bande passante de la société est préservée. L’utilisation de niveaux hiérarchiques pour réaliser des traitements différenciés est avantageuse et permet d’obtenir, par capillarité, des données de plus en plus pertinentes. En outre, cela permet de déporter des traitements et de les répartir sur plusieurs niveaux. Il n’est ainsi plus nécessaire de recourir à un serveur central perfectionné dont le coût est élevé. De préférence, chaque dispositif informatique de premier niveau génère un rapport de surveillance primaire. De préférence encore, chaque dispositif informatique de deuxième niveau génère un rapport de surveillance secondaire. Tous les dispositifs informatiques participent, à leur niveau, à la sécurité et mettant en œuvre des règles propres. Cela permet avantageusement de définir des règles propres aux protocoles utilisés par chaque dispositif informatique. Les règles dépendent avantageusement de l’environnement du dispositif informatique. De manière préférée, le rapport de surveillance secondaire est obtenu par mise en corrélation d’au moins deux rapports de surveillance primaires. Une telle corrélation permet, d’une part de détecter des événements de sécurité globaux et, d’autre part, de réduire la quantité d’information transmise entre chaque niveau. Les évènements de sécurité sont regroupés ensemble suite à la corrélation de manière à être plus facilement interprétables par les niveaux supérieurs. De manière préférée encore, le rapport de surveillance secondaire est obtenu par mise en corrélation d’au moins deux rapports de surveillance primaires et des données reçues par le dispositif informatique appartenant au deuxième niveau et ayant généré le rapport de surveillance secondaire. L’utilisation des données reçues permet d’augmenter la pertinence du rapport de surveillance secondaire qui traite l’ensemble des données primaires et secondaires dont dépend ledit dispositif informatique appartenant au deuxième niveau. De préférence, les règles de sécurité globales sont des règles d’apprentissage par ordinateur. Cela est particulièrement avantageux compte tenu du fait que les données de sécurité ont été traitées et regroupées ensemble. Les règles d’apprentissage (réseau de neurones, intelligence artificielle, etc.) sont particulièrement performantes sur des données peu nombreuses et qualitatives. Les temps de traitement sont améliorés afin de pouvoir obtenir un rapport global de manière réactive pour contrer toute attaque informatique. De préférence, l’étape d’application de règles de sécurité primaires sur des données reçues est mise en œuvre sur au moins deux dispositifs informatiques appartenant à des réseaux de natures ou de fonctions différentes. De manière avantageuse, le procédé de protection permet une protection globale et indépendante des réseaux et protocoles utilisés. L’invention concerne également un système informatique comportant des dispositifs informatiques reliés en réseau, les dispositifs informatiques appartenant à des niveaux organisés selon une hiérarchie déterminée par le réseau, le procédé comportant au moins : au moins un dispositif informatique appartenant à un premier niveau étant configuré pour appliquer des règles de sécurité primaires sur les données reçues de manière à générer un rapport de surveillance primaire, le dispositif informatique étant configuré pour transmettre le rapport de surveillance primaire à au moins un dispositif informatique appartenant à un deuxième niveau, hiérarchiquement supérieur au premier niveau, au moins un dispositif informatique, appartenant à un deuxième niveau, configuré pour appliquer des règles sécurité secondaires sur les données reçues et le rapport de surveillance primaire reçu de manière à générer un rapport de surveillance secondaire, au moins une base de données configurée pour recevoir, par le réseau internet, des rapports de surveillance finaux, correspondant aux rapports de surveillance secondaires ou issus de ceux-ci, et au moins un serveur central configuré pour déterminer un rapport de surveillance globale par traitement des rapports de surveillance finaux par application de règles de sécurité globales. PRESENTATION DES FIGURES L’invention sera mieux comprise à la lecture de la description qui va suivre, donnée à titre d’exemple, et se référant aux figures suivantes, données à titre d’exemples non limitatifs, dans lesquelles des références identiques sont données à des objets semblables. La figure 1 est une représentation schématique d’un procédé de surveillance d’un système informatique selon l’art antérieur. La figure 2 est une représentation schématique d’un procédé de surveillance d’un système informatique selon une forme de réalisation de l’invention. La figure 3 est une représentation schématique des étapes de traitements successives du procédé de surveillance. Il faut noter que les figures exposent l’invention de manière détaillée pour mettre en œuvre l’invention, lesdites figures pouvant bien entendu servir à mieux définir l’invention le cas échéant. DESCRIPTION DETAILLEE DE L’INVENTION L’invention concerne un procédé de protection d’un système informatique d’une entreprise ou d’une industrie. En référence à la figure 2, le système informatique comporte une pluralité de dispositifs informatiques U1-U3, V1-V2. Les dispositifs informatiques U1-U3, V1-V2 se présentent sous des formes diverses, par exemple, des postes d’ordinateurs, des objets connectés, des serveurs d’applications, des équipements industriels, des sondes, des serveurs d’intermédiation, des automates, des routeurs, etc. Les dispositifs informatiques U1-U3, V1-V2 sont reliés en réseau et appartiennent à des niveaux organisés selon une hiérarchie déterminée par le réseau. Le système informatique comporte, de manière déportée, une base de données DB et un serveur central SC configuré pour générer un rapport de surveillance globale RSG par traitement de rapports de surveillance finaux de la base de données DB. Contrairement à l’art antérieur qui considérait tous les dispositifs informatiques comme équivalents pour la surveillance, la présente invention propose de tirer parti de la hiérarchie entre les dispositifs informatiques U1-U3, V1-V2. En effet, les dispositifs informatiques U1-U3, V1-V2 sont connectés en réseau qui définit des niveaux organisés hiérarchiquement. Dans cet exemple, les niveaux hiérarchiques peuvent être déterminés par rapport à un niveau de sous-réseau, un niveau fonctionnel (administratif, production, commerce, environnement, etc.), un niveau applicatif (Système d'Information d'Entreprise ou IT, Système d'Information Industriel ou OT, Internet des objets ou IOT etc.), un niveau protocolaire, etc. Ainsi, un dispositif informatique de rang n U1-U3 communique avec un dispositif de rang n+1 V1-V2 avec lequel il échange des données. Par la suite, par souci de clarté et de concision, il n’est représenté que des dispositifs informatiques U1, U2, U3 appartenant à un premier niveau et des dispositifs informatiques V1, V2 appartenant à un deuxième niveau, directement supérieur au premier niveau. Il va de soi que le nombre de dispositifs informatiques et ainsi que le nombre de niveaux pourraient être plus importants. Selon l’invention, chaque dispositif informatique U1-U3, V1-V2 reçoit des données de sécurité DATA1, DATA2 (connexion d’utilisateur, connexion périphérique, message informatique, données de capteur, données d’état d’un système, information réseau, log Système (journaux d’évènements serveur…), logs du serveur applicatif et logs générées par les librairies tierces, log Wifi, cloud, GTB (gestion technique de bâtiment), logs de mobiles, etc.) et met en œuvre des règles de sécurité déterminée par un programme de surveillance installé préalablement sur ledit dispositif informatique U1-U3, V1-V2. Chaque dispositif informatique U1-U3, V1-V2 met en œuvre des règles de sécurité R1, R2 qui sont propres à son niveau hiérarchique. Ainsi, les dispositifs informatiques U1-U3 appartenant au premier niveau mettent en œuvre des règles de sécurité primaires R1 tandis que les dispositifs informatiques V1-V2 appartenant au deuxième niveau mettent en œuvre des règles de sécurité secondaires R2. La nature des règles de sécurité R1, R2 est fonction des données traitées. Chaque ensemble ou sous ensemble d’une organisation ou d’un système est dans un environnement particulier (environnement technique). Les règles de sécurité sont adaptées au système informatique et optimisées par rapport aux failles susceptibles d’être présentes. Si le système informatique est du type OT (Système d'Information Industriel), il met en œuvre un protocole propre et met en œuvre des règles de sécurité qui permettent de détecter des évènements de sécurité OT (règles de surveillance de production). Les règles de sécurité d’un autre environnement ne sont pas applicables (Ex : règles liées à un serveur de données, à un serveur WEB, etc.). Si le système informatique est du type IT (Système d'Information d'Entreprise), il met en œuvre un protocole propre et met en œuvre des règles de sécurité qui permettent de détecter des évènements de sécurité IT (Ex : règles liées à un serveur de données, à un serveur WEB). De même, si le système informatique est du type IOT (Système d'Information Internet Of Things), il met en œuvre un protocole propre et met en œuvre des règles de sécurité qui permettent de détecter des évènements de sécurité IOT (règles de surveillance des Objects connectés). Les règles de sécurité d’un autre environnement ne sont pas applicables (Ex : règles liées à un serveur de données, à un serveur WEB, etc.). Les différentes étapes du procédé selon l’invention vont être dorénavant présentées en détails. En référence aux figures 2 et 3, le procédé comporte une étape d’application des règles de sécurité primaires R1 par chaque dispositif informatique U1-U3 appartenant au premier niveau sur les données reçues DATA1 de manière à émettre des rapport de surveillance primaires PU1-PU3 qui comportent toutes les anormalités détectées. Autrement dit, contrairement à l’art antérieur qui fournissait un fichier de surveillance complet avec toutes les données pertinentes afin que le serveur central SC réalise la détermination d’anormalités de manière déportée, la présente invention se propose de réaliser un traitement local des données afin de déterminer localement une anormalité. Dans cet exemple, le dispositif du premier niveau U1 est un deuxième serveur SB qui reçoit une communication d’un premier serveur SA ayant les droits administrateurs sur un réseau de gestion. Le rapport de surveillance primaire PU1 comporte l’évènement de sécurité (communication d’un serveur administrateur SA) ainsi que l’ensemble des éléments ayant permis de détecter cet évènement. De manière analogue, le dispositif du premier niveau U2 est un troisième serveur SC qui reçoit une communication du deuxième serveur SB ayant les droits administrateurs selon un protocole particulier sur un réseau de production. Le rapport de surveillance primaire PU2 comporte l’évènement de sécurité (communication d’un serveur administrateur SB) ainsi que l’ensemble des éléments ayant permis de détecter cet évènement. Chaque rapport de surveillance primaire PU1-PU3 comporte ainsi les anormalités détectées au premier niveau. Par la suite, ces anormalités seront désignées anormalités primaires. Selon l’invention, le procédé comporte une étape de transmission par chaque dispositif informatique du premier niveau U1-U3 de son rapport de surveillance primaire PU1-PU3 à au moins un dispositif informatique V1, V2 appartenant au deuxième niveau. Autrement dit, les anormalités primaires remontent par capillarité dans le système informatique en fonction de la hiérarchie du réseau. Dans cet exemple de mise en œuvre, les dispositifs informatiques du premier niveau U1-U2 sont reliés hiérarchiquement en réseau à un unique dispositif informatique du deuxième niveau V1 tandis que le dispositif informatique du premier niveau U3 est relié hiérarchiquement en réseau à un unique dispositif informatique du deuxième niveau V2. Le procédé de surveillance comporte une étape d’application de règles de sécurité secondaires R2 par chaque dispositif informatique appartenant au deuxième niveau V1, V2 de manière à déterminer un rapport de surveillance secondaire PV1, PV2 qui comportent toutes les anormalités détectées. Dans cet exemple, en référence à la figure 3, le dispositif informatique V1 du deuxième niveau traite les données de rang 2 qu’il reçoit (DATA2) ainsi que les deux rapports de surveillance primaires PU1, PU2 à l’aide des règles de sécurité secondaires R2 de manière à générer un rapport de surveillance secondaire PV1. De manière préférée, les règles de sécurité secondaires R2 mettent en œuvre une corrélation des rapports de de surveillance primaires PU1, PU2, de préférence, également une corrélation avec les données de rang 2. Ainsi, tout évènement de sécurité est collecté de manière globale par le dispositif informatique V1 du deuxième niveau, ce qui limite la quantité de données de sécurité dans le rapport de surveillance secondaire PV1. Les données de sécurité sont moins nombreuses mais plus pertinentes. Dans cet exemple, le dispositif informatique V1 du deuxième niveau apprend par les deux rapports de surveillance primaires PU1, PU2, en particulier, par leur mise en corrélation un ordre de commande par rebond du premier serveur SA vers le deuxième serveur SB et du deuxième serveur SB vers le troisième serveur SC. Une règle de corrélation entre les différents rapports surveillance primaires PU1, PU2 lève un incident de sécurité (attaque par rebond entre les serveurs SA, SB, SC) qui est inscrit dans le rapport de surveillance secondaire PV1. De manière analogue, le dispositif informatique V2 génère un rapport de surveillance secondaire PV2 comme illustré à la figure 3. Dans cet exemple, le rapport de surveillance secondaire PV2 détecte également une attaque par rebond émise par le premier serveur SA. Dans cet exemple, les dispositifs informatiques V1, V2 appartiennent au dernier niveau et les rapports de surveillance secondaire PV1, PV2 sont émis par le réseau internet INT dans la base de données DB. Autrement dit, les rapports de surveillance secondaires PV1, PV2 sont des rapports de surveillance finaux qui peuvent être transmis à la base de données DB afin d’être stockés. Les rapports de surveillance finaux comportent l’ensemble des évènements de sécurité et les données à l’origine desdits évènements de sécurité. Dans un système informatique comportant plus de deux niveaux, les rapports de surveillance finaux correspondent à ceux du niveau le plus élevé. De manière analogue à l’exemple présenté précédemment, les anormalités remontent hiérarchiquement et sont traitées par chaque niveau supérieur. Le serveur central SC traite les rapports de surveillance finaux par application de règles de sécurité globales RG de manière à générer un rapport de surveillance globale RSG, par exemple, des règles d’apprentissage par ordinateur. Dans cet exemple, le serveur central SC peut conclure que le premier serveur SA a été compromis. De manière avantageuse, les rapports de surveillance secondaires PV1, PV2 sont peu nombreux par comparaison à l’art antérieur et moins volumineux car les données brutes ont été traitées de manière hiérarchique afin de n’extraire que les données pertinentes, c’est-à-dire, les anormalités. Cet allègement des données présente de nombreux avantages. Tout d’abord, la bande passante nécessaire pour transmettre les rapports de surveillance secondaires PV1, PV2 est faible par comparaison à l’art antérieur. Cela permet en outre de limiter la dimension de la base de données DBA et sa croissance au fil du temps. Enfin, le traitement des rapports de surveillance secondaires PV1, PV2 est plus performant et réactif par comparaison à l’art antérieur étant donné qu’il bénéficie de données affinées à chaque niveau hiérarchique. Il en résulte la génération d’un rapport de surveillance global qui est très pertinent obtenu dans un temps faible étant donné que le nombre et la taille des rapports sont réduits par comparaison à l’art antérieur. Procédé de protection d’un système informatique, le système informatique comportant des dispositifs informatiques (U1-U2, V1) reliés en réseau, les dispositifs informatiques (U1-U2, V1) appartenant à des niveaux organisés selon une hiérarchie déterminée par le réseau, le procédé comportant au moins : une étape d’application de règles de sécurité primaires (R1) sur des données reçues (DATA1) par au moins un dispositif informatique (U1-U2) appartenant à un premier niveau de manière à générer un rapport de surveillance primaire (PU1-PU2), une étape de transmission du rapport de surveillance primaire (PU1-PU2) à au moins un dispositif informatique (V1) appartenant à un deuxième niveau, hiérarchiquement supérieur au premier niveau, une étape d’application de règles de sécurité secondaires (R2) sur les données reçues (DATA2) et le rapport de surveillance primaire (PU1-PU2) reçus par le dispositif informatique (V1) appartenant au deuxième niveau de manière à générer un rapport de surveillance secondaire (PV1), une étape de réception par une base de données (DB), par le réseau internet (INT), de rapports de surveillance finaux (PV1, PV2), correspondant aux rapports de surveillance secondaires (PV1) ou issus de ceux-ci, une étape de détermination d’un rapport de surveillance globale (RSG) par un serveur central (SC) par traitement des rapports de surveillance finaux par application de règles de sécurité globales (RG). Procédé selon la revendication 1, dans lequel chaque dispositif informatique (U1-U2) de premier niveau génère un rapport de surveillance primaire (PU1-PU2). Procédé selon l’une des revendications 1 et 2, dans lequel chaque dispositif informatique (U1-U3) de deuxième niveau génère un rapport de surveillance secondaire (PV1-PV2). Procédé selon l’une des revendications 1 à 3, dans lequel le rapport de surveillance secondaire (PV1-PV2) est obtenu par mise en corrélation d’au moins deux rapports de surveillance primaires (PU1-PU2). Procédé selon l’une des revendications 1 à 4, dans lequel le rapport de surveillance secondaire (PV1-PV2) est obtenu par mise en corrélation d’au moins deux rapports de surveillance primaires (PU1-PU2) et des données reçues (DATA2) par le dispositif informatique (V1, V2) appartenant au deuxième niveau et ayant généré le rapport de surveillance secondaire (PV1-PV2). Procédé selon l’une des revendications 1 à 5, dans lequel les règles de sécurité globales (RG) sont des règles d’apprentissage par ordinateur. Procédé selon l’une des revendications 1 à 6, dans lequel l’étape d’application de règles de sécurité primaires (R1) sur des données reçues (DATA1) est mise en œuvre sur au moins deux dispositifs informatiques (U1-U2) appartenant à des réseaux de natures ou de fonctions différentes. Système informatique comportant des dispositifs informatiques (U1-U2, V1) reliés en réseau, les dispositifs informatiques (U1-U2, V1) appartenant à des niveaux organisés selon une hiérarchie déterminée par le réseau, le procédé comportant au moins : au moins un dispositif informatique (U1-U2) appartenant à un premier niveau étant configuré pour appliquer des règles de sécurité primaires (R1) sur les données reçues (DATA1) de manière à générer un rapport de surveillance primaire (PU1-PU2), le dispositif informatique (U1-U2) étant configuré pour transmettre le rapport de surveillance primaire (PU1-PU2) à au moins un dispositif informatique (V1) appartenant à un deuxième niveau, hiérarchiquement supérieur au premier niveau, au moins un dispositif informatique (V1), appartenant à un deuxième niveau, configuré pour appliquer des règles sécurité secondaires (R2) sur les données reçues (DATA2) et le rapport de surveillance primaire (PU1-PU2) reçu de manière à générer un rapport de surveillance secondaire (PV1), au moins une base de données (DB) configurée pour recevoir, par le réseau internet (INT), des rapports de surveillance finaux (PV1, PV2), correspondant aux rapports de surveillance secondaires (PV1) ou issus de ceux-ci, et au moins un serveur central (SC) configuré pour déterminer un rapport de surveillance globale (RSG) par traitement des rapports de surveillance finaux par application de règles de sécurité globales (RG).