Brevet FR3127595A1 — publié le 20230331

L’invention porte sur un procédé d’analyse de la vulnérabilité d’un système d’information à une attaque informatique, l’attaque se propageant depuis un bien informatique d’entrée sur un chemin de compromission constitué d’une succession de biens informatiques, le procédé comprenant : - la réalisation de simulations de propagation de l’attaque, où chaque simulation comprend pour chacun des biens du chemin de compromission les étapes consistant à : - déterminer pseudo-aléatoirement une capacité d’une procédure de cybersécurité assurant une défense passive, respectivement active, du bien à bloquer l’attaque informatique et une capacité de l’attaque à compromettre la procédure de cybersécurité assurant la défense passive, respectivement active ; - déterminer une mise en échec du bien en comparant la capacité de la procédure de cybersécurité assurant la défense passive à bloquer l’attaque avec la capacité de l’attaque à compromettre la procédure de cybersécurité assurant la défense passive, et en comparant la capacité de la procédure de cybersécurité assurant la défense active à bloquer l’attaque avec la capacité de l’attaque à compromettre la procédure de cybersécurité assurant la défense active ; - déterminer une compromission du bien en cas de mise en échec déterminée dudit bien et de chacun du ou des biens informatiques en amont dudit bien dans le chemin de compromission lorsque ledit bien n’est pas le bien informatique d’entrée ; - la détermination d’un indicateur de vulnérabilité d’un bien informatique du chemin de compromission sur la base du nombre de simulations pour lesquelles une compromission dudit bien a été déterminée. ProcÉdÉ d’analyse de la vulnÉrabilitÉ d’un systÈme d’information À une attaque informatique Le domaine de l’invention est celui de la cybersécurité et plus particulièrement celui de l’analyse de la vulnérabilité d’un système d’information à une attaque informatique. Dans le cadre de l’analyse des risques liés aux menaces cyber, on cherche à évaluer la probabilité qu’un acteur malveillant réussisse une attaque informatique contre une organisation donnée. Pour ce faire, l’approche classique consiste à effectuer un test d’intrusion (« pentest ») sur le système d’information (SI) de l’organisation, et plus particulièrement un test dit de Red Team, à savoir un test d’intrusion en conditions réelles simulant un mode opératoire d’attaque (dit « MOA » dans ce qui suit). Si cette approche permet d’obtenir des résultats précis et confrontés à la réalité de la défense mise en place par l’organisation, elle présente toutefois des caractéristiques la rendant insuffisante. Tout d’abord, cette approche ne passe pas à l’échelle. En effet, si un exercice de Red Team peut s’effectuer sur une partie du SI en simulant un mode opératoire spécifique, il est inenvisageable de tester l’ensemble des modes opératoires existants contre l’intégralité du SI d’un grand groupe. Ensuite, elle est fixe dans le temps. En effet, si un exercice de Red Team procure une photographie à un instant donné de l’état de la défense d’un SI face à un mode opératoire particulier, toute évolution du mode opératoire ou de la structure du SI requiert une mise à jour et donc la réalisation d’un nouveau test d’intrusion. Par ailleurs, cette approche dépend de l’auditeur qui réalise le test d’intrusion et non de l’attaquant. Or chaque auditeur dispose d’outils, de ressources, d’une expérience et de connaissances en cybersécurité qui lui sont propres, ce qui introduit un biais dans le test d’intrusion et rend complexe une harmonisation des résultats au niveau d’une organisation. Enfin, si un test d’intrusion permet de générer des recommandations de sécurité, il ne permet pas d’évaluer l’efficacité projetée de celles-ci. Ainsi, si l’on souhaite connaître le retour sur investissement potentiel d’une action de sécurisation, il est nécessaire de la déployer puis d’effectuer un nouveau test d’intrusion en guise de comparaison avec l’ancien. L’invention a pour objectif de proposer un outil d’analyse des risques liés aux menaces cyber qui passe outre ces inconvénients. A cet effet, l’invention propose une méthode permettant d’estimer la probabilité de réussite d’une attaque informatique sans avoir à réaliser le test d’intrusion, méthode qui exploite le niveau de sophistication des MOA ciblant une organisation et le niveau de sophistication des procédures de sécurité déployées par l’organisation tant en termes de procédures de défense passive qu’en termes de procédures de défense active. L’invention propose plus particulièrement un procédé mis en œuvre par ordinateur d’analyse de la vulnérabilité d’un système d’information à une attaque informatique menée par un attaquant, l’attaque informatique se propageant sur un ou plusieurs chemins de compromission chacun constitué d’une succession d’au moins un bien informatique incluant un bien informatique d’entrée. Ce procédé comprend pour chacun du ou des chemins de compromission : - la réalisation d’une pluralité de simulations de propagation de l’attaque informatique sur le chemin de compromission, où chaque simulation comprend pour chacun des biens informatiques du chemin de compromission les étapes consistant à : - déterminer pseudo-aléatoirement une capacité d’une procédure de cybersécurité assurant une défense passive du bien informatique à bloquer l’attaque informatique, et une capacité de l’attaque informatique à compromettre la procédure de cybersécurité assurant la défense passive du bien informatique ; - déterminer pseudo-aléatoirement une capacité d’une procédure de cybersécurité assurant une défense active du bien informatique à bloquer l’attaque informatique, et une capacité de l’attaque informatique à compromettre la procédure de cybersécurité assurant la défense active du bien informatique ; - déterminer une mise en échec du bien informatique en comparant la capacité de la procédure de cybersécurité assurant la défense passive à bloquer l’attaque avec la capacité de l’attaque informatique à compromettre la procédure de cybersécurité assurant la défense passive, et en comparant la capacité de la procédure de cybersécurité assurant la défense active à bloquer l’attaque avec la capacité de l’attaque informatique à compromettre la procédure de cybersécurité assurant la défense active ; - déterminer une compromission du bien informatique en cas de mise en échec déterminée dudit bien et de chacun du ou des biens informatiques en amont dudit bien dans le chemin de compromission lorsque ledit bien n’est pas le bien informatique d’entrée ; - la détermination d’un indicateur de vulnérabilité d’un bien informatique du chemin de compromission sur la base du nombre de simulations pour lesquelles une compromission dudit bien a été déterminée. Ce procédé permet d’une part de passer à l’échelle le principe du test d’intrusion, puisque les simulations peuvent être menées à bien en temps raisonnable et avec des résultats harmonisés sur l’ensemble des SI d’une organisation et pour l’ensemble des MOA connus. D’autre part, ce procédé assure un caractère évolutif puisque les résultats peuvent être maintenus à jour au cours du temps, en fonction de l’évolution de l’intérêt des MOA envers l’organisation, de leur sophistication et de leurs répertoires de procédures d’attaque ainsi qu’en fonction de l’évolution des procédures de sécurité déployées par l’organisation. Certains aspects préférés mais non limitatifs de ce procédé sont les suivants : - l’étape consistant à déterminer pseudo-aléatoirement la capacité de la procédure de cybersécurité assurant la défense passive, respectivement la défense active, à bloquer l’attaque informatique et la capacité de l’attaque informatique à compromettre la procédure de cybersécurité assurant la défense passive, respectivement la défense active, comprend la détermination de valeurs pseudo-aléatoires formant : - un premier, et respectivement deuxième, score offensif, représentatif de la capacité de l’attaque informatique à compromettre la procédure de cybersécurité assurant la défense passive, respectivement la défense active; - un premier, respectivement deuxième, score défensif représentatif de la capacité de la procédure de cybersécurité assurant la défense passive, respectivement la défense active, à bloquer l’attaque informatique ; et l’étape consistant à déterminer la mise en échec du bien informatique comprend la comparaison du premier score offensif avec le premier score défensif et la comparaison du deuxième score offensif avec le deuxième score défensif. - l’attaque informatique menée par l’attaquant sur un bien informatique comprend une ou plusieurs procédures d’attaque visant à compromettre la procédure de cybersécurité assurant la défense passive ou la procédure de cybersécurité assurant la défense active ; - chaque simulation comprend, pour chacun des biens informatiques du chemin de compromission et pour chacune des procédures d’attaque visant à compromettre la procédure de cybersécurité assurant la défense passive, respectivement la défense active, le tirage aléatoire d’un premier, respectivement deuxième, indicateur d’offensivité avec une probabilité de sélection qui dépend d’une sophistication de la procédure d’attaque et d’une incertitude sur ladite sophistication ; et la valeur pseudo-aléatoire formant le premier, respectivement deuxième, score offensif est déterminée à partir des premiers, respectivement deuxièmes, indicateurs d’offensivité tirés pour chacune des procédures d’attaque visant à compromettre la procédure de cybersécurité assurant la défense active, respectivement la défense passive ; - la procédure de cybersécurité assurant la défense passive, respectivement la défense active, activée au niveau d’un bien informatique comprend une ou plusieurs mesures de sécurité qui assurent une fonction de cybersécurité du type défense passive, respectivement du type une défense active, contre les procédures d’attaque visant à compromettre la procédure de cybersécurité assurant la défense passive, respectivement la défense active; - chaque simulation comprend, pour chacun des biens informatiques du chemin de compromission et pour chacune des mesures de sécurité qui assurent une fonction de cybersécurité du type défense passive, respectivement du type défense active, le tirage aléatoire d’un premier, respectivement deuxième, indicateur de défense avec une probabilité de sélection qui dépend d’une sophistication de la mesure de sécurité et d’une incertitude sur ladite sophistication ; et la valeur pseudo-aléatoire formant le premier, respectivement deuxième, score défensif est déterminée à partir des premiers, respectivement deuxièmes, indicateurs de défense, tirés pour chacune desdites mesures de sécurité qui assurent une fonction de cybersécurité du type défense passive, respectivement du type défense active ; - déterminer pseudo-aléatoirement une capacité d’une procédure de cybersécurité assurant une défense active du bien informatique à bloquer l’attaque informatique, et une capacité de l’attaque informatique à compromettre la procédure de cybersécurité assurant la défense active du bien informatique comprend la détermination pseudo-aléatoire d’une capacité d’une procédure de cybersécurité du type détection activée au niveau du bien informatique à détecter l’attaque informatique, d’une capacité d’une procédure de cybersécurité du type réponse activée au niveau du bien informatique à bloquer l’attaque informatique, d’une capacité de l’attaque informatique à compromettre la procédure de cybersécurité du type détection, et d’une capacité de l’attaque informatique à compromettre la procédure de cybersécurité du type réponse ; - une absence de mise en échec d’un bien informatique est déterminée : . lorsque la capacité de la procédure de cybersécurité assurant la défense passive à bloquer l’attaque informatique est supérieure à la capacité de l’attaque informatique à compromettre la procédure de cybersécurité assurant la défense passive, ou . dans le cas contraire, à la fois lorsque la capacité de la procédure de cybersécurité du type détection à détecter l’attaque informatique est supérieure à la capacité de l’attaque informatique à compromettre la procédure de cybersécurité du type détection et lorsque la capacité de la procédure de cybersécurité du type réponse à bloquer l’attaque informatique est supérieure à la capacité de l’attaque informatique à compromettre la procédure de cybersécurité du type réponse ; - chacune des capacités de la procédure de cybersécurité assurant la défense passive, respectivement la défense active, du bien informatique, est augmentée d’un bonus basé sur une capacité d’une procédure de cybersécurité du type identification activée au niveau du bien informatique ; - il comprend en outre, dans une simulation de propagation de l’attaque informatique sur un chemin de compromission, la constatation que l’attaque est bloquée en cas de non-détermination d’une mise en échec pour au moins un des biens informatiques du chemin de compromission ; - il comprend en outre la détermination que l’attaque est bloquée par la procédure de cybersécurité assurant la défense passive ou par la procédure de cybersécurité assurant la défense active d’un bien informatique déterminé comme n’étant pas mis en échec ; - il comprend en outre la détermination d’un niveau de profondeur de l’attaque informatique bloquée sur un chemin de compromission comme étant le bien informatique précédant le premier bien informatique du chemin de compromission pour lequel un échec n’est pas déterminé ; - chaque simulation comprend en outre une étape consistant, pour chacun des biens du chemin de compromission, à déterminer pseudo-aléatoirement une capacité d’une procédure de cybersécurité du type remédiation activée au niveau du bien informatique à remédier à l’attaque informatique et une étape consistant à calculer un impact de l’attaque au cours de laquelle un impact associé à un bien pour lequel une compromission est déterminée est réduit au moyen de la capacité de la procédure de cybersécurité du type remédiation activée au niveau dudit bien ; - il comprend en outre la réitération des étapes de réalisation d’une pluralité de simulations et de détermination d’un indicateur de compromission après modification d’une procédure de cybersécurité au niveau d’un des biens informatiques du chemin de compromission et l’évaluation de l’impact de ladite modification par comparaison des indicateurs de compromission déterminés par la première itération desdites étapes et par ladite réitération desdites étapes ; - il comprend en outre la réitération des étapes de réalisation d’une pluralité de simulations et de détermination d’un indicateur de compromission pour un autre chemin de compromission incluant le bien cible. DESCRIPTION DES FIGURES D'autres aspects, buts, avantages et caractéristiques de l’invention apparaîtront mieux à la lecture de la description détaillée suivante de formes de réalisation préférées de celle-ci, donnée à titre d'exemple non limitatif, et faite en référence aux dessins annexés sur lesquels : la est un schéma illustrant différentes étapes mises en œuvre au cours d’une simulation pour déterminer si un bien informatique est compromis par l’attaque informatique ; la est un schéma illustrant un exemple de propagation d’une attaque informatique le long d’un chemin de compromission telle que déterminée au cours d’une simulation ; la est un schéma illustrant une réalisation possible d’une comparaison de scores offensifs et de scores défensifs pour déterminer une compromission d’un bien informatique au cours d’une simulation. EXPOSÉ DÉTAILLÉ DE MODES DE RÉALISATION PARTICULIERS L’invention porte sur un procédé mis en œuvre par ordinateur d’analyse de la vulnérabilité d’un système d’information à une attaque informatique menée par un attaquant. Le système d’information est constitué d’une pluralité de biens informatiques, i.e. d’actifs informatiques également désignés comme des « biens supports » selon la terminologie utilisée par l’ANSSI dans la méthode EBIOS RM. Une cartographie du système d’information peut être réalisée sous la forme d’un graphe dont les nœuds représentent les biens informatiques (réseaux, terminaux utilisateurs, applications, etc.) constituant le système d’information et dont les arêtes représentent les liens de propagation possibles d’une attaque informatique entre les biens informatiques (par exemple, un attaquant peut se propager d’une application web au serveur hébergeant celle-ci). L’attaque informatique a pour objectif de se propager depuis un ou plusieurs biens informatiques d’entrée sur un ou plusieurs chemins de compromission chacun constitué d’une succession d’au moins un bien informatique incluant un bien informatique d’entrée. Dans un mode de réalisation possible, l’attaque vise à atteindre un ou plusieurs biens informatiques cible depuis le ou les biens informatiques d’entrée en se propageant de proche en proche sur un ou plusieurs chemins de compromission chacun constitué d’une succession de biens informatiques (i.e. des biens successivement reliés par des arêtes du graphe) incluant un bien informatique d’entrée et un bien informatique cible. Dans un autre mode de réalisation possible, un bien informatique cible constitue également un bien informatique d’entrée, le chemin de compromission correspondant se limitant à ce bien. L’attaque informatique est menée selon un Mode Opératoire d’Attaque (MOA) donné, i.e. sa carte d’identité technique et contextuelle regroupant des informations contextuelles et l’ensemble des tactiques, techniques, procédures utilisées par l’attaquant. Le MOA pour lequel l’analyse de vulnérabilité est réalisée est typiquement représentatif d’un scénario de risque correspondant à la combinaison d’un type d’attaque (rançongiciel ou espionnage par exemple), d’un type d’acteur malveillant (étatique ou criminel par exemple) et d’un contexte de l’organisation visée (secteur d’activité, taille, pays par exemple). En particulier, le MOA considéré peut être un MOA « représentatif » et agrégé des modes opératoires déployés dans la réalité par les groupes d’attaquants pertinents pour le scénario considéré (par exemple les différentes menaces persistantes avancées dites « Advanced Persistent Threats » comme APT28, APT29, ou encore les groupes exploitant des rançongiciels comme Sodinokibi). Pour chaque bien informatique d’un chemin de compromission, et pour chaque phase de la chaîne de frappe (“kill chain ») d’intrusion, l’attaque informatique menée par l’attaquant peut comprendre une ou plusieurs procédures d’attaque visant à mettre en échec le bien informatique. La chaîne de frappe d’intrusion décrit les phases d’une cyberattaque, parmi lesquelles la phase de livraison (l'attaquant transmet l'arme à la cible via par exemple des pièces jointes de courrier électronique, des sites Web ou des clés USB), la phase d’exploitation (le code du logiciel malveillant se déclenche et agit sur le réseau cible pour exploiter la vulnérabilité identifiée), la phase d’installation (le logiciel malveillant installe un point d'accès, i.e. une porte dérobée, utilisable par un attaquant externe), la phase de commandement et contrôle (le logiciel malveillant offre à l'attaquant un accès permanent au réseau cible) et la phase d’actions sur l'objectif (l'attaquant prend des mesures pour atteindre ses objectifs, tels que l'exfiltration de données, la destruction de données ou le chiffrement contre rançon). Les procédures d’attaque peuvent dépendre non seulement de l’attaquant, mais également de la nature du bien informatique visé (par exemple un serveur Web, un ordinateur bureautique ou un système de contrôle industriel) et de l’objectif recherché par l’attaquant sur ce dernier (par exemple simple point de rebond dans le réseau, espionnage des données, sabotage, déni de service, etc.). La liste des procédures d’attaque exécutées par le MOA peut par exemple être celle fournie par le référentiel MITRE ATT&CK (« Adversarial Tactics, Techniques, and Common Knowledge » pour Tactiques, techniques et connaissances de base des adversaires). Une ou plusieurs mesures de sécurité peuvent être activées au niveau de chaque bien informatique pour assurer une défense contre les procédures d’attaque visant à mettre en échec le bien informatique. Une mesure de sécurité peut assurer une ou plusieurs fonctions de cybersécurité et être ainsi implémentée au sein d’une ou plusieurs procédures de cybersécurité chacune spécifiquement associée à une fonction de sécurité. Typiquement, et conformément au référentiel de sécurité NIST, chaque bien informatique peut mettre en œuvre : - une procédure de cybersécurité qui assure une défense passive, par exemple : - une procédure de cybersécurité du type identification, qui regroupe l’ensemble des mesures de sécurité qui assurent la fonction de cybersécurité du type identification, i.e. les mesures servant à mieux connaître son environnement, son système d’information, etc. (par exemple répertorier ses actifs matériels et logiciels ou réaliser des scans de vulnérabilité); et/ou - une procédure de cybersécurité du type protection, qui regroupe l’ensemble des mesures de sécurité qui assurent la fonction de cybersécurité du type protection, i.e. les contremesures protégeant le système d’information en continu contre des attaques (par exemple assurer le contrôle des accès, sensibiliser les employés, chiffrer les données, déployer des logiciels de protection des terminaux du type antivirus ou du type détection et réponse des points d'accès ; - une procédure de cybersécurité qui assure une défense active, par exemple : - une procédure de cybersécurité du type détection, qui regroupe l’ensemble des mesures de sécurité qui assurent la fonction de cybersécurité du type détection, i.e. les mesures servant à détecter une cyber-attaque (par exemple assurer la collecte des journaux d’événements, surveiller en continu les anomalies, bénéficier de flux d’indicateurs de compromission à mettre en détection) ; et/ou - une procédure de cybersécurité du type réponse, qui regroupe l’ensemble des mesures de sécurité qui assurent la fonction de cybersécurité du type réponse, i.e. les mesures servant à réagir pro-activement à une cyber-attaque (par exemple isoler certaines parties du SI, mettre en liste noire certains indicateurs de compromission, bloquer les comptes d’administration) ; et/ou - une procédure de cybersécurité du type remédiation, qui regroupe l’ensemble des mesures de sécurité qui assurent la fonction de cybersécurité du type remédiation, i.e. les mesures servant à rétablir plus rapidement le système d’information après une attaque (par exemple disposer de sauvegardes de ses données face à un rançongiciel, mettre en place des solutions de continuité d’activité sur des environnements déconnectés du SI). De manière correspondante, les procédures d’attaque exécutées par le MOA qui visent à mettre en échec un bien informatique peuvent être associées aux mesures de défense correspondantes et notamment être regroupées en procédures visant à compromettre une procédure de cybersécurité assurant une défense passive et en mesures visant à compromettre une procédure de cybersécurité assurant une défense active. Plus spécifiquement les procédures d’attaque peuvent être regroupées en procédures visant à compromettre la procédure de cybersécurité du type protection, procédures visant à compromettre la procédure de cybersécurité du type détection et procédures visant à compromettre la procédure de cybersécurité du type réponse. En venant considérer les procédures d’attaque non seulement en fonction de l’attaquant, mais également en fonction de la nature du bien informatique visé et de l’objectif recherché par l’attaquant, l’invention réalise une modélisation granulaire et précise des actions effectuées par l’attaquant au cours de la tentative de compromission (par exemple un premier bien n’est qu’un rebond au sein du réseau et seule son intégrité est alors ciblée avec des procédures d’attaque spécifiques, alors qu’un deuxième bien doit être compromis en confidentialité et que d’autres procédures d’attaque pour collecter et exfiltrer les données sensibles sont alors déployées par l’attaquant). Une telle modélisation granulaire et précise s’étend aux mesures de défense qui se révèlent être pertinentes pour chaque bien informatique et pour chaque type d’attaque. L’invention permet ainsi de considérer des techniques d’attaque et de défense propres à chaque bien informatique (par exemple pour tenir compte du fait que les catalogues offensifs et défensifs sont différents entre un ordinateur de bureau, un smartphone, un outil de production, etc.). Par ailleurs, dans le cadre de l’invention, les procédures d’attaque et de cybersécurité considérées ne sont pas limitées aux seules vulnérabilités CVE (« Common Vulnerabilities and Exposures »). L’exploitation d’une vulnérabilité CVE par un attaquant correspond en effet à un sous-ensemble limitatif des procédures d’attaque, de même que la correction de vulnérabilités est une mesure de défense parmi beaucoup d’autres (par exemple déployer des systèmes de protection des terminaux, gérer les comptes d’administration, sensibiliser les employés, etc.) que l’invention permet de prendre en compte. L’invention permet ainsi de prendre en considération des procédures d’attaque qui sont exploitées dans la plupart des cyberattaques et qui ne relèvent de l’exploitation de CVE, comme : - l’exploitation de failles « humaines », dont l’hameçonnage ciblé qui peut permettre de récupérer des identifiants ou des données sensibles ; - les dénis de service ; - les attaques par force brute ; - la mise en place d’un système de communication de Commande & Contrôle entre l’attaquant et son programme malveillant ; - de nombreuses techniques de scan, latéralisation et écoute passive au sein d’un réseau ; - toutes les actions réalisées par l’attaquant après avoir obtenu des privilèges suffisants, et donc ne nécessitant plus d’exploiter des failles (ex : chiffrer les données, exfiltrer les données, saboter du matériel, etc.). L’invention permet pareillement de prendre en considération des mesures de sécurité cruciales au sein des organisations et qui ne sont pas liées à la correction de vulnérabilité CVE, comme celles citées plus haut. Simulations de Monte Carlo Le procédé selon l’invention vient estimer la probabilité de succès de l’attaque informatique menée par l’attaquant sur le SI pour une phase donnée de la chaîne d’attaque d’intrusion. Ce procédé est ainsi de préférence répété pour chacune des phases (livraison, exploitation, installation, etc.,) de la chaîne d’attaque d’intrusion. Pour chaque phase de la chaîne d’attaque d’intrusion, le procédé selon l’invention réalise des simulations de Monte Carlo afin d’estimer la probabilité de succès de l’attaque informatique menée par l’attaquant à compromettre un bien informatique donné. Le procédé comprend alors plus particulièrement, pour chacun des chemins de compromission considéré (par exemple tous les chemins possibles dans le graphe cartographiant le SI), la réalisation d’une pluralité de simulations de propagation de l’attaque informatique sur le chemin de compromission, où dans chaque simulation il est déterminé si et comment l’attaque a réussi ou non à se propager dans le système d’information. En référence à la , chaque simulation comprend la mise en œuvre des étapes suivantes pour chacun des biens informatiques du chemin de compromission. Chaque simulation comprend, pour chaque bien informatique, une étape TPA consistant à déterminer pseudo-aléatoirement : - une capacité d’une procédure de cybersécurité assurant une défense passive (par exemple la procédure du type protection) qui est activée au niveau du bien informatique à bloquer l’attaque informatique, - une capacité d’une procédure de cybersécurité assurant une défense active (par exemple la procédure du type réponse) qui est activée au niveau du bien informatique à bloquer l’attaque informatique, - une capacité de l’attaque informatique à compromettre la procédure de cybersécurité assurant la défense passive, et - une capacité de l’attaque informatique à compromettre la procédure de cybersécurité assurant la défense active. Chaque simulation comprend par ailleurs, pour chaque bien informatique, une étape ECH consistant à déterminer une mise en échec du bien informatique en comparant, d’une part, la capacité de la procédure de cybersécurité assurant la défense passive à bloquer l’attaque informatique avec la capacité de l’attaque informatique à compromettre la procédure de cybersécurité assurant la défense passive et, d’autre part, la capacité de la procédure de cybersécurité assurant la défense active à bloquer l’attaque informatique avec la capacité de l’attaque informatique à compromettre la procédure de cybersécurité assurant la défense active. Et chaque simulation comprend également, pour chaque bien informatique, une étape COMP consistant à déterminer une compromission du bien informatique en cas de mise en échec déterminée dudit bien et de chacun du ou des biens informatiques en amont dudit bien dans le chemin de compromission lorsque ledit bien n’est pas le bien informatique d’entrée. A l’issue de ces simulations, le procédé comprend une étape consistant à déterminer un indicateur de vulnérabilité d’un bien informatique du chemin de compromission sur la base du nombre de simulations pour lesquelles une compromission dudit bien a été déterminée. Cette étape est par exemple menée pour le bien informatique cible. Elle peut être réalisée pour tout ou partie des biens informatiques du chemin de compromission. On a représenté sur la un exemple de chemin de compromission dont le bien d’entrée est le site Internet d’une organisation et le bien cible correspond aux terminaux utilisateurs des salariés de l’organisation. L’attaque est susceptible de se propager du bien d’entrée au bien cible par l’intermédiaire successivement d’un serveur et d’un réseau bureautique. Lors d’une simulation, il est déterminé une mise en échec du site Internet, une mise en échec du serveur et une mise en échec des terminaux utilisateurs. En revanche, le réseau bureautique n’est pas mis en échec. On en déduit une compromission du site Internet et du serveur et une absence de compromission du réseau bureautique et des terminaux utilisateurs lors de cette simulation de l’attaque. A l’issue de l’ensemble des simulations, on vient déterminer un indicateur de vulnérabilité d’un bien du chemin de compromission sur la base du nombre de simulations pour lesquelles une compromission dudit bien a été déterminée. Par exemple, si le bien est compromis dans 75% des simulations, son indicateur de vulnérabilité est de 0,75 ce qui exprime que la probabilité de succès de l’attaque à atteindre et compromettre ce bien pour le MOA considéré est de 75%. Il est par ailleurs possible à l’issue d’une simulation de déterminer que l’attaque est bloquée en cas de mise en échec non déterminée pour au moins un des biens informatiques du chemin de compromission. Le procédé peut alors comprendre la détermination d’un niveau de profondeur de l’attaque informatique bloquée sur le chemin de compromission comme étant le bien informatique précédant le premier bien informatique du chemin de compromission pour lequel une mise en échec n’est pas déterminée. Reprenant l’exemple de la , l’attaque a compromis jusqu’au serveur. Ce qui précède est valide pour un chemin de compromission et non pour l’attaque dans son intégralité qui peut emprunter différents chemins en parallèle (l’attaquant peut par exemple tester plusieurs chemins et mettre les biens les constituant en échec, avant de trouver ou pas un chemin qui lui permettra d’atteindre sa cible). La profondeur de l’attaque complète peut alors être par exemple définie comme la longueur du plus long chemin contenant exclusivement des biens supports successivement compromis sur un chemin de compromission. L’invention présente ainsi l’avantage de permettre d’étudier la profondeur que l’attaquant a réussi à atteindre dans le SI. Même s’il n’a pas réussi à atteindre son objectif final (la compromission du bien informatique cible, par exemple les terminaux utilisateurs dans l’exemple de la ), il a pu réussir à compromettre des biens sur son chemin. Des impacts seront donc malgré tout subis par l’organisation et cet état de fait peut être modélisé par l’invention en venant par exemple associer un profil d’impact (financier mais aussi pertes matérielles, de données, des communications, etc.) à la compromission de chaque bien et fournir ainsi un indicateur d’impact de l’attaque même si celle-ci est bloquée et ne compromet pas le bien cible. Le procédé peut en outre comprendre la détermination que l’attaque est bloquée par la procédure de cybersécurité assurant la défense passive ou par la procédure de cybersécurité assurant la défense active d’un bien informatique déterminé comme n’étant pas mis en échec. Notamment, le procédé peut déterminer si l’attaque est bloquée par une procédure de type protection ou par la combinaison d’une procédure de type détection ou d’une procédure de type réponse. A contrario, le procédé peut comprendre la détermination que l’attaque n’est pas bloquée par l’une de la procédure de cybersécurité assurant la défense passive et de la procédure de cybersécurité assurant la défense active d’un bien informatique. Il est ainsi possible de déterminer si l’attaque est ou non bloquée au niveau d’un bien informatique par l’une ou l’autre des procédures de cybersécurité de type protection ou de type réponse ou encore de déterminer si l’attaque est ou non détectée par la procédure de cybersécurité de type détection. Des recommandations peuvent alors être émises pour l’amélioration de l’une et/ou l’autre des différentes procédures de cybersécurité activées au niveau de chaque bien informatique. Le procédé selon l’invention peut ainsi comprendre une étape de calcul d’impact de l’attaque informatique qui délivre un indicateur d’impact, i.e. une donnée quantitative qui peut être un impact financier mais aussi un simple score, une durée d’incapacité de production, un impact humain pour des hôpitaux ou des systèmes de défense, etc. Ce calcul d’impact prend en compte, d’une part, le niveau de profondeur atteint par l’attaque et la nature des actions réussies sur chaque bien compromis et, d’autre part, les procédures de cybersécurité du type remédiation activées au niveau des biens compromis. Les actions réussies viennent typiquement augmenter l’indicateur d’impact en fonction de leur nature (par exemple si un premier bien est compromis en Intégrité et qu’un deuxième bien est compromis en Confidentialité, alors la probabilité qu’un indicateur d’impact métier soit plus élevé est de N%,), tandis que les procédures de cybersécurité du type remédiation permettent de réduire cet indicateur. Ce calcul d’impact peut notamment exploiter un score de remédiation calculé de manière similaire aux scores défensifs décrits ci-après, en exploitant des tirages aléatoires contrôlés par la sophistication de chacune des mesures de sécurité qui assurent la fonction de cybersécurité du type remédiation et l’incertitude sur cette sophistication. Ce score permet de venir diminuer l’impact potentiel d’une action offensive réussie sur un bien. Ainsi, le procédé selon l’invention peut comprendre pour chaque simulation une étape consistant, pour chacun des biens du chemin de compromission, à déterminer pseudo-aléatoirement une capacité d’une procédure de cybersécurité du type remédiation activée au niveau du bien informatique à remédier à l’attaque informatique et une étape consistant à calculer un impact de l’attaque au cours de laquelle un impact associé à un bien pour lequel une compromission est déterminée est réduit au moyen de la capacité de la procédure de cybersécurité du type remédiation activée au niveau dudit bien. Un impact SI peut alors être calculé pour chaque simulation en venant par exemple sommer les impacts associés à chaque bien compromis. Puis à l’issue de l’ensemble des simulations, une distribution de probabilité d’impact peut être calculée à partir des impacts SI calculés pour chacune des simulations (par exemple 30% des simulations résultent en une durée d’incapacité de production de 2 heures, 20% en une en une durée d’incapacité de production de 5 heures, 10% en une durée d’incapacité de production de 10 heures, etc.). L’invention présente l’avantage de fournir un calcul d’impact précis en permettant de ne pas considérer que l’impact est seulement déclenché de façon binaire (attaque réussie ou non), et surtout de pouvoir décomposer l’impact total d’une attaque sur chaque action et sur chaque bien. Ce calcul d’impact constitue une donnée précieuse pour l’aide à la décision au sein des organisations, et pour orienter la vigilance sur certains biens plus que sur d’autres. Dans un mode de réalisation possible, l’invention comprend en outre la réitération des étapes de réalisation d’une pluralité de simulations et de détermination d’un indicateur de compromission pour un autre chemin de compromission. L’invention permet ainsi de considérer tous les chemins possibles que l’attaque est susceptible de suivre afin de compromettre le SI. Dans un autre mode de réalisation possible, l’invention comprend la réitération des étapes de réalisation d’une pluralité de simulations et de détermination d’un indicateur de compromission après modification d’une procédure de cybersécurité activée au niveau d’un des biens informatiques du chemin de compromission et l’évaluation de l’impact de ladite modification par comparaison des indicateurs de compromission déterminés par la première itération desdites étapes et par ladite réitération desdites étapes. Par modification d’une procédure de cybersécurité, on entend notamment ici l’activation d’une nouvelle mesure de sécurité ou la désactivation d’une mesure existante, ou encore l’amélioration ou la dégradation de la sophistication d’une mesure de sécurité déjà déployée. L’invention constitue ainsi un outil d’aide à la décision pour l’établissement de stratégies de défense. Elle permet notamment d’évaluer, avant même leur déploiement, l’efficacité (comparaison des indicateurs de compromission, des niveaux de profondeur atteints, des chemins empruntés) de nouvelles solutions de sécurité. Enfin le procédé selon l’invention peut bien entendu être réitéré pour étudier l’impact d’un autre MOA sur le SI de l’organisation. Un avantage de l’invention est qu’elle permet de simuler l’ensemble des réactions possibles d’une organisation lors d’une attaque, et pas seulement la phase de Protection passive correspondant entre autres à la correction des vulnérabilités CVE connues. L’invention permet ainsi d’identifier des manquements dans la maturité défensive d’une organisation sur toutes les fonctions du NIST et sur toutes les mesures de défenses, générer des recommandations pertinentes qu’il est impossible de calculer avec les CVE (par exemple disposer d’un SOC interne, sensibiliser ses employés, etc.) et simuler le potentiel impact positif de ces recommandations sur le risque en réitérant le procédé avec des capacités différentes des procédures de cybersécurité. Tirage pseudo-aléatoire On détaille ci-après un mode de réalisation possible de l’étape TPA consistant, pour chaque simulation et chaque bien du chemin de compromission, à déterminer pseudo-aléatoirement les différentes capacités. Dans ce mode de réalisation, l’étape TPA peut notamment comprendre le tirage de valeurs pseudo-aléatoires formant : - un premier score offensif SOP représentatif de la capacité de l’attaque informatique à compromettre la procédure de cybersécurité assurant une défense passive du bien (celle du type protection dans l’exemple qui suit) : - un deuxième score offensif SOR représentatif de la capacité de l’attaque informatique à compromettre la procédure de cybersécurité assurant une défense active du bien (celle du type réponse dans l’exemple qui suit) ; - un premier score défensif SDP représentatif de la capacité de la procédure de cybersécurité assurant la défense passive du bien à bloquer l’attaque informatique ; - un deuxième score défensif SDR représentatif de la capacité de la procédure de cybersécurité assurant la défense active du bien à bloquer l’attaque informatique. L’étape ECH consistant à déterminer une mise en échec du bien informatique peut alors comprendre la comparaison du premier score offensif SOP avec le premier score défensif SDP et la comparaison du deuxième score offensif SOR avec le deuxième score défensif SDR. On a vu précédemment que l’attaque informatique menée par l’attaquant sur un bien informatique peut comprendre une ou plusieurs procédures d’attaque visant à compromettre la procédure de cybersécurité du type protection du bien informatique ou la procédure de cybersécurité du type réponse du bien informatique. Chaque simulation peut alors comprendre, pour chacun des biens informatiques du chemin de compromission et pour chacune des procédures d’attaque visant à compromettre la procédure de cybersécurité du type protection, respectivement du type réponse, le tirage aléatoire d’un premier, respectivement deuxième, indicateur d’offensivité avec une probabilité de sélection qui dépend d’une sophistication de la procédure d’attaque et d’une incertitude sur ladite sophistication. Ces indicateurs d’offensivité prennent typiquement une valeur comprise entre 0 et 1. Le tirage aléatoire peut par exemple être réalisé en suivant une loi normale dont l’espérance est fixée par la sophistication de la procédure d’attaque et dont l’écart-type est fixé par incertitude sur ladite sophistication. Plus particulièrement, la sophistication de la procédure d’attaque dépend du type d’acteur malveillant (par exemple criminel, étatique, activiste, etc.) et de la sophistication associée, de la maîtrise de cette procédure d’attaque par le MOA concerné, de ses ressources connues, de sa motivation potentielle pour mener à bien ce scénario d’attaque sur cette victime, etc. L’incertitude sur cette sophistication dépend de l’incertitude sur les données servant à calibrer l’espérance, par exemple si le MOA est très documenté ou pas, si beaucoup d’attaques précédentes peuvent lui être attribuées, etc. La valeur pseudo-aléatoire formant le premier, respectivement le deuxième, score offensif est alors déterminée à partir des premiers, respectivement deuxièmes, indicateurs d’offensivité tirés pour chacune des procédures d’attaque visant à compromettre la procédure de cybersécurité du type protection, respectivement du type réponse, par exemple en venant moyenner ces premiers, respectivement deuxièmes, indicateurs d’offensivité. La moyenne peut être une moyenne pondérée pour mettre en avant celles des procédures d’attaque qui sont le plus souvent exécutées par le MOA. Notamment, lorsque le MOA considéré est un MOA « représentatif » issu de l’agrégation de plusieurs MOA pertinents, chaque procédure d’attaque peut être pondérée en fonction de la proportion de MOA pertinents qui l’utilisent. On a vu précédemment que la procédure de cybersécurité du type protection, respectivement du type réponse, activée au niveau d’un bien informatique peut comprendre une ou plusieurs mesures de sécurité qui assurent une fonction de cybersécurité du type protection, respectivement du type réponse, contre les procédures d’attaque visant à compromettre la procédure de cybersécurité du type protection, respectivement du type réponse. Chaque simulation peut alors comprendre, pour chacun des biens informatiques du chemin de compromission et pour chacune des mesures de sécurité qui assurent une fonction de cybersécurité du type protection, respectivement du type réponse, le tirage aléatoire d’un premier, respectivement deuxième, indicateur de défense avec une probabilité de sélection qui dépend d’une sophistication de la mesure de sécurité et d’une incertitude sur ladite sophistication. Ces indicateurs de défense prennent typiquement une valeur comprise entre 0 et 1. Le tirage aléatoire peut par exemple être réalisé en suivant une loi normale dont l’espérance est fixée par la sophistication de la mesure de sécurité et dont l’écart-type est fixé par incertitude sur ladite sophistication. Plus particulièrement, la sophistication de la mesure de sécurité dépend du niveau de maturité défensive de l’organisation pour cette mesure de sécurité, qui peut être évaluée sur plusieurs dimensions (par exemple existence d’une politique pour cette mesure ou pas, déploiement de cette politique, automatisation de cette politique, rapport associé, etc.). L’incertitude sur cette sophistication dépend de l’incertitude sur les données servant à calibrer l’espérance, par exemple si peu de données sont disponibles pour démontrer cette maturité ou s’il existe un doute quant à l’implémentation de la mesure défensive. La valeur pseudo-aléatoire formant le premier, respectivement deuxième, score défensif peut alors être déterminée à partir des premiers, respectivement deuxièmes, indicateurs de défense tirés pour chacune des mesures de sécurité qui assurent une fonction de cybersécurité du type protection, respectivement du type réponse, par exemple en venant moyenner ces premiers, respectivement deuxièmes, indicateurs de défense. La moyenne peut être une moyenne pondérée pour mettre en avant celles des mesures de sécurité qui sont le plus efficaces contre le MOA. On a vu précédemment que chaque procédure d’attaque peut être pondérée lorsque l’on considère un MOA « représentatif ». La pondération d’une procédure d’attaque peut similairement être appliquée aux mesures de sécurité qui permettent de s’en prémunir. Dans le cas où une mesure de défense peut être efficace contre plusieurs procédures d’attaque ayant des pondérations différentes, il est possible de réaliser la somme des pondérations pertinentes et de normaliser le tout in fine. De manière similaire à ce qui vient d’être présenté, l’invention peut également comprendre, pour chacun des biens et pour chacune des simulations, la détermination d’une valeur pseudo-aléatoire formant un troisième score défensif représentatif d’une capacité d’une procédure de cybersécurité du type détection à détecter l’attaque, d’une valeur pseudo-aléatoire formant un troisième score offensif représentatif d’une capacité de l’attaque informatique à compromettre la procédure de cybersécurité du type détection. L’invention peut également comprendre la détermination d’un quatrième score défensif représentatif d’une capacité d’une procédure de cybersécurité du type identification. Un exemple de détermination du score défensif représentatif d’une capacité de la procédure de cybersécurité du type protection à bloquer l’attaque est le suivant. Cet exemple peut également être suivi pour la détermination des autres scores défensifs. On considère tout d’abord les MOA pertinents au vu du scénario considéré (type d’attaque et type d’acteur malveillant), ces MOA pertinents étant destinés à être agrégés pour déterminer le MOA « représentatif ». On attribue une intensité (c’est-à-dire un poids) à ces MOA pertinents en fonction de leur intérêt pour le contexte (par exemple géographique et sectoriel) de la cible, notée Pour chaque MOA, on récupère la liste des procédures d’attaque et on attribue un poids à chacune de ces techniques : plus une procédure d’attaque est maîtrisée par le , plus le poids associé est proche de 1. On détermine ainsi une matrice de poids : Chaque procédure d’attaque est elle-même liée aux mesures de sécurité associées au bien informatique considéré qui permettent de s’en prémunir. Ce lien est pondéré par l’efficacité de la mesure de sécurité sur la procédure d’attaque . On détermine ainsi une matrice d’efficacité : En combinant ces deux matrices, on obtient une matrice de pondération de l’efficacité de chaque mesure de sécurité associée au bien informatique considéré pour chacun des MOA : , avec le poids de la mesure de sécurité contre le . La pondération finale de la mesure de sécurité pour le scénario et le contexte considérés est alors calculé comme suit en compte l’intensité du ciblage calculée ci-dessus pour chacun des MOA : . Le score défensif représentatif d’une capacité de la procédure de cybersécurité du type protection à bloquer l’attaque peut alors s’exprimer comme la moyenne pondérée suivante des valeurs aléatoires faisant l’objet du tirage avec des probabilités de sélection qui dépendent de la sophistication des mesures de sécurité du type protection ( et de l’incertitude sur ces sophistications : . Confrontation des scores Un exemple de réalisation préférentielle de la confrontation des scores offensifs et défensifs au cours de l’étape ECH pour déterminer une éventuelle mise en échec d’un bien informatique lors d’une simulation est illustrée sur la . Dans cet exemple, la détermination d’une mise en échec d’un bien informatique comprend également la comparaison de la capacité de l’attaque informatique à compromettre la procédure de cybersécurité du type détection activée au niveau du bien informatique avec la capacité de cette procédure de cybersécurité du type détection à détecter l’attaque. Plus particulièrement, une absence de mise en échec d’un bien informatique est déterminée : - lorsque la capacité de la procédure de cybersécurité du type protection à bloquer l’attaque informatique est supérieure à la capacité de l’attaque informatique à compromettre cette procédure de cybersécurité du type protection, ou - dans le cas contraire, à la fois lorsque la capacité de la procédure de cybersécurité du type détection à détecter l’attaque informatique est supérieure à la capacité de l’attaque informatique à compromettre cette procédure de cybersécurité du type détection et lorsque la capacité de la procédure de cybersécurité du type réponse à bloquer l’attaque informatique est supérieure à la capacité de l’attaque informatique à compromettre cette procédure de cybersécurité du type réponse. Comme représenté sur la , il peut tout d’abord être vérifié si le premier score défensif SDP est supérieur au premier score offensif SOP (ses scores étant liés à la fonction cyber de protection). Dans l’affirmative (« O »), le bien n’est pas mis en échec (bloc NECH). Dans la négative, (« N »), il est vérifié si le troisième score défensif SDD est supérieur au troisième score offensif SOD (ses scores étant liés à la fonction cyber de détection). Dans la négative (« N »), le bien est mis en échec (bloc ECH). Dans l’affirmative (« O »), il est vérifié si le deuxième score défensif SDR est supérieur au deuxième score offensif SOR (ses scores étant liés à la fonction cyber de réponse). Dans la négative, (« N »), le bien est mis en échec (bloc ECH). Dans l’affirmative (« O »), le bien n’est pas mis en échec (bloc NECH). Dans une réalisation possible, chacune des capacités de la procédure de cybersécurité du type protection, respectivement du type réponse, peut bénéficier d’un bonus basé sur une capacité d’une procédure de cybersécurité du type identification activée au niveau du bien informatique. La capacité de la procédure de cybersécurité du type détection peut également bénéficier d’un tel bonus. Ces bonus viennent concrétiser le fait que bien connaître son réseau et ses actifs implique une meilleure maturité défensive globale. Ainsi, par exemple, une mise en échec n’est pas déterminée lorsque la fonction logique suivante est respectée: (BP*SDI + (1-BP)*SDP>SOP) OU ((BD*SDI + (1-BD)*SDD>SOD) ET (BR*SDI + (1-BR)*SDR>SOR)) =1 , avec SDI le quatrième score défensif lié à la fonction cyber d’identification, BP une valeur comprise entre 0 et 1 fournissant un bonus au score défensif lié à la fonction cyber d’identification, BD une valeur comprise entre 0 et 1 fournissant un bonus au score défensif lié à la fonction cyber de détection et BR une valeur comprise entre 0 et 1 fournissant un bonus au score défensif lié à la fonction cyber de réponse. Dans une réalisation possible BP=BD=BR. L’invention n’est pas limitée au procédé décrit précédemment mais s’étend également à une unité de traitement de données configurée pour mettre en œuvre ce procédé ainsi qu’à un produit programme d’ordinateur comprenant des instructions qui, lorsque le programme est exécuté par un ordinateur, conduisent celui-ci à mettre en œuvre ce procédé. Procédé mis en œuvre par ordinateur d’analyse de la vulnérabilité d’un système d’information à une attaque informatique menée par un attaquant, l’attaque informatique se propageant sur un ou plusieurs chemins de compromission chacun constitué d’une succession d’au moins un bien informatique incluant un bien informatique d’entrée, le procédé comprenant pour chacun du ou des chemins de compromission : - la réalisation d’une pluralité de simulations de propagation de l’attaque informatique sur le chemin de compromission, où chaque simulation comprend pour chacun des biens informatiques du chemin de compromission les étapes consistant à : déterminer pseudo-aléatoirement (TPA) une capacité d’une procédure de cybersécurité assurant une défense passive du bien informatique à bloquer l’attaque informatique, et une capacité de l’attaque informatique à compromettre la procédure de cybersécurité assurant la défense passive du bien informatique ; déterminer pseudo-aléatoirement (TPA) une capacité d’une procédure de cybersécurité assurant une défense active du bien informatique à bloquer l’attaque informatique, et une capacité de l’attaque informatique à compromettre la procédure de cybersécurité assurant la défense active du bien informatique ; déterminer une mise en échec (ECH) du bien informatique en comparant la capacité de la procédure de cybersécurité assurant la défense passive à bloquer l’attaque avec la capacité de l’attaque informatique à compromettre la procédure de cybersécurité assurant la défense passive, et en comparant la capacité de la procédure de cybersécurité assurant la défense active à bloquer l’attaque avec la capacité de l’attaque informatique à compromettre la procédure de cybersécurité assurant la défense active ; déterminer une compromission (COMP) du bien informatique en cas de mise en échec déterminée dudit bien et de chacun du ou des biens informatiques en amont dudit bien dans le chemin de compromission lorsque ledit bien n’est pas le bien informatique d’entrée ; la détermination d’un indicateur de vulnérabilité d’un bien informatique du chemin de compromission sur la base du nombre de simulations pour lesquelles une compromission dudit bien a été déterminée. Procédé selon la revendication 1, dans lequel l’étape (TPA) consistant à déterminer pseudo-aléatoirement la capacité de la procédure de cybersécurité assurant la défense passive, respectivement la défense active, à bloquer l’attaque informatique et la capacité de l’attaque informatique à compromettre la procédure de cybersécurité assurant la défense passive, respectivement la défense active, comprend la détermination de valeurs pseudo-aléatoires formant : - un premier (SOP), et respectivement deuxième (SOR), score offensif, représentatif de la capacité de l’attaque informatique à compromettre la procédure de cybersécurité assurant la défense passive, respectivement la défense active; - un premier (SDP), respectivement deuxième (SDR), score défensif représentatif de la capacité de la procédure de cybersécurité assurant la défense passive, respectivement la défense active, à bloquer l’attaque informatique ; et dans lequel l’étape (ECH) consistant à déterminer la mise en échec du bien informatique comprend la comparaison du premier score offensif avec le premier score défensif et la comparaison du deuxième score offensif avec le deuxième score défensif. Procédé selon la revendication 2, dans lequel : l’attaque informatique menée par l’attaquant sur un bien informatique comprend une ou plusieurs procédures d’attaque visant à compromettre la procédure de cybersécurité assurant la défense passive ou la procédure de cybersécurité assurant la défense active; chaque simulation comprend, pour chacun des biens informatiques du chemin de compromission et pour chacune des procédures d’attaque visant à compromettre la procédure de cybersécurité assurant la défense passive, respectivement la défense active, le tirage aléatoire d’un premier, respectivement deuxième, indicateur d’offensivité avec une probabilité de sélection qui dépend d’une sophistication de la procédure d’attaque et d’une incertitude sur ladite sophistication ; et la valeur pseudo-aléatoire formant le premier, respectivement deuxième, score offensif est déterminée à partir des premiers, respectivement deuxièmes, indicateurs d’offensivité tirés pour chacune des procédures d’attaque visant à compromettre la procédure de cybersécurité assurant la défense active, respectivement la défense passive. Procédé selon la revendication 3, dans lequel : la procédure de cybersécurité assurant la défense passive, respectivement la défense active, activée au niveau d’un bien informatique comprend une ou plusieurs mesures de sécurité qui assurent une fonction de cybersécurité du type défense passive, respectivement du type une défense active, contre les procédures d’attaque visant à compromettre la procédure de cybersécurité assurant la défense passive, respectivement la défense active; chaque simulation comprend, pour chacun des biens informatiques du chemin de compromission et pour chacune des mesures de sécurité qui assurent une fonction de cybersécurité du type défense passive, respectivement du type défense active, le tirage aléatoire d’un premier, respectivement deuxième, indicateur de défense avec une probabilité de sélection qui dépend d’une sophistication de la mesure de sécurité et d’une incertitude sur ladite sophistication ; la valeur pseudo-aléatoire formant le premier, respectivement deuxième, score défensif est déterminée à partir des premiers, respectivement deuxièmes, indicateurs de défense, tirés pour chacune desdites mesures de sécurité qui assurent une fonction de cybersécurité du type défense passive, respectivement du type défense active. Procédé selon l’une des revendications 1 à 4, dans lequel déterminer pseudo-aléatoirement (TPA) une capacité d’une procédure de cybersécurité assurant une défense active du bien informatique à bloquer l’attaque informatique, et une capacité de l’attaque informatique à compromettre la procédure de cybersécurité assurant la défense active du bien informatique comprend la détermination pseudo-aléatoire d’une capacité d’une procédure de cybersécurité du type détection activée au niveau du bien informatique à détecter l’attaque informatique, d’une capacité d’une procédure de cybersécurité du type réponse activée au niveau du bien informatique à bloquer l’attaque informatique, d’une capacité de l’attaque informatique à compromettre la procédure de cybersécurité du type détection, et d’une capacité de l’attaque informatique à compromettre la procédure de cybersécurité du type réponse. Procédé selon la revendication 5, dans lequel une absence de mise en échec d’un bien informatique est déterminée : lorsque la capacité de la procédure de cybersécurité assurant la défense passive à bloquer l’attaque informatique est supérieure à la capacité de l’attaque informatique à compromettre la procédure de cybersécurité assurant la défense passive, ou dans le cas contraire, à la fois lorsque la capacité de la procédure de cybersécurité du type détection à détecter l’attaque informatique est supérieure à la capacité de l’attaque informatique à compromettre la procédure de cybersécurité du type détection et lorsque la capacité de la procédure de cybersécurité du type réponse à bloquer l’attaque informatique est supérieure à la capacité de l’attaque informatique à compromettre la procédure de cybersécurité du type réponse. Procédé selon l’une des revendications 1 à 6, dans lequel chacune des capacités de la procédure de cybersécurité assurant la défense passive, respectivement la défense active, du bien informatique, est augmentée d’un bonus basé sur une capacité d’une procédure de cybersécurité du type identification activée au niveau du bien informatique. Procédé selon l’une des revendications 1 à 7, comprenant en outre, dans une simulation de propagation de l’attaque informatique sur un chemin de compromission, la constatation que l’attaque est bloquée en cas de non-détermination d’une mise en échec pour au moins un des biens informatiques du chemin de compromission. Procédé selon la revendication 8, comprenant en outre la détermination que l’attaque est bloquée par la procédure de cybersécurité assurant la défense passive ou par la procédure de cybersécurité assurant la défense active d’un bien informatique déterminé comme n’étant pas mis en échec. Procédé selon la revendication 8, comprenant en outre la détermination d’un niveau de profondeur de l’attaque informatique bloquée sur un chemin de compromission comme étant le bien informatique précédant le premier bien informatique du chemin de compromission pour lequel un échec n’est pas déterminé. Procédé selon l’une des revendications 1 à 10, dans lequel chaque simulation comprend en outre une étape consistant, pour chacun des biens du chemin de compromission, à déterminer pseudo-aléatoirement une capacité d’une procédure de cybersécurité du type remédiation activée au niveau du bien informatique à remédier à l’attaque informatique et une étape consistant à calculer un impact de l’attaque au cours de laquelle un impact associé à un bien pour lequel une compromission est déterminée est réduit au moyen de la capacité de la procédure de cybersécurité du type remédiation activée au niveau dudit bien. Procédé selon l’une des revendications 1 à 11, comprenant en outre la réitération des étapes de réalisation d’une pluralité de simulations et de détermination d’un indicateur de compromission après modification d’une procédure de cybersécurité au niveau d’un des biens informatiques du chemin de compromission et l’évaluation de l’impact de ladite modification par comparaison des indicateurs de compromission déterminés par la première itération desdites étapes et par ladite réitération desdites étapes. Procédé selon l’une des revendications 1 à 11, comprenant en outre la réitération des étapes de réalisation d’une pluralité de simulations et de détermination d’un indicateur de compromission pour un autre chemin de compromission incluant le bien cible. Unité de traitement de données configurée pour mettre en œuvre le procédé selon l’une des revendications 1 à 13. Produit programme d’ordinateur comprenant des instructions qui, lorsque le programme est exécuté par un ordinateur, conduisent celui-ci à mettre en œuvre le procédé selon l’une des revendications 1 à 13.