Brevet FR3131406A1 — publié le 20230630

Procédé d’évaluation automatique de formation en cybersécurité et système associé Un aspect de l’invention concerne un procédé d’évaluation automatique de formation d’un utilisateur d’un système de formation en cyberdéfense, la formation étant réalisée sur le système de formation en cyberdéfense, le système de formation en cyberdéfense comprenant un simulateur d’infrastructure informatique, un module de scénario, un module de test, et une interface homme-machine, mis en œuvre par un orchestrateur de formation et comprenant les étapes de : Démarrage d’un scénario, comprenant l’envoi d’une requête, par l’orchestrateur de formation, au module de scénario, le scénario comprenant au moins une action à mettre en œuvre par le simulateur d’infrastructure informatique, Réception d’une information relative à l’état de l’infrastructure informatique simulée étant le résultat d’au moins un test après que l’utilisateur a initié une mitigation, Génération d’au moins un rapport d’évaluation de la formation de l’utilisateur comprenant au moins la vérification que l’information vérifie une première règle prédéfinie, le rapport d’évaluation comprenant au moins une première métrique représentative d’un résultat de la vérification. Figure à publier avec l’abrégé : Figure 2 Procédé d’évaluation automatique de formation en cybersécurité et système associé DOMAINE TECHNIQUE DE L’INVENTION Le domaine technique de l’invention est celui de la cybersécurité et en particulier celui de la formation en cybersécurité. La présente invention concerne un système d’évaluation automatique de la formation en cybersécurité d’un utilisateur et en particulier un système comprenant un orchestrateur d’entraînement capable de gérer des scénarios d’attaque sur une infrastructure informatique simulée et d’évaluer automatiquement les réponses apportées par l’utilisateur du système aux attaques. ARRIERE-PLAN TECHNOLOGIQUE DE L’INVENTION Les infrastructures informatiques sont susceptibles d’être victimes d’attaques informatiques de plus en plus sophistiquées et évoluant rapidement, de nouveaux moyens de pénétration et d’extraction d’information étant identifiés quotidiennement. Pour les contrer, les systèmes informatiques comprennent des centres des opérations de sécurité, abrégés SOC (pour « Security Operations Center » en anglais). Ces SOC sont utilisés par des équipes dont le travail est d’assurer la sécurité du système d’information, d’identifier et d’analyser des incidents de cybersécurité et de remédier à ces incidents. Ce travail d’identification des menaces et de mise au point de solutions face à ces menaces est continu. Il existe donc un besoin, pour les équipes SOC, de maintenir un niveau de connaissances et de compétences en cybersécurité élevé. Pour cela, des systèmes de simulation d’infrastructures informatiques sont développés. Ces systèmes de simulation sont couramment appelés des « Cyber Ranges ». Par exemple, le produit « CyberRange » de Airbus CyberSecurity permet de concevoir des réseaux virtualisés ou hybrides, émuler des activités unitaires comme des communications entre deux machines ou encore pour lancer des scenarios complexes reproduisant une activité réaliste (échange de fichier, email, trafic web et potentiellement de véritable cyber-attaques). Une Cyber Range peut être disponible dans un caisson mobile, dans une baie ou accessible depuis un cloud. Un exemple de Cyber Range est représenté schématiquement à la . Une cyber range de l’état de l’art représentée à la comprend une infrastructure informatique simulée 11, un module automatisé 12 et un module d’interaction 13. Le module automatisé 12 comprend des actions prédéfinies, qu’il met en œuvre dans l’infrastructure simulée 11. Ces actions prédéfinies sont stockées et lancées par le sous-module d’action 121. Elles peuvent être stockées et lancées regroupées, par exemple sous forme de scénario. Ces actions comprennent des attaques de l’infrastructure informatique simulée, par exemple des attaques par déni de service, ou des attaques par force brute. Le module automatisé 12 comprend aussi un sous-module de tests 122, le sous-module de tests permettant au module automatisé de connaître l’état de l’infrastructure simulée 11 et de tester l’infrastructure simulée 11 afin de savoir si les attaques ont été contrées. L’utilisateur de la cyber range utilise le module d’interaction 13 pour mettre en place des réponses aux actions lancés par le module automatisé 12. Pour cela, le module d’interaction 13 comprend une interface homme-machine 131, généralement sous la forme d’une application ou d’une interface web accédée depuis un ordinateur ou tout autre type de dispositif électronique. Cette interface homme-machine 131 permet à l’utilisateur d’avoir une vision sur l’infrastructure informatique simulée et de mettre en œuvre des réponses aux actions du sous-module d’action 121. Les réponses aux actions peuvent être des outils spécifiques configurés ou créés par l’utilisateur, et/ou des mitigations choisies par l’utilisateur. Le sous-module de mitigation 132 du module d’interaction 13 lance les mitigations choisies par l’utilisateur. Des exemples de mitigations peuvent être un blocage d’adresse IP (pour « Internet Protocol » en anglais) ou une augmentation de la capacité d’un serveur. Le sous-module de collecte 133 du module d’interaction 13 collecte les informations de l’infrastructure simulée 11 pour la représentation de son état à l’utilisateur. L’utilisation de telles Cyber Ranges est classiquement réalisée pour simuler des attaques et la réponse du système existant reproduit par l’infrastructure simulée 11 et/ou pour de la formation d’équipes de cybersécurité. D’autres types de cyber ranges existent, comme par exemple celle décrite par le document US 2020/0184847 A1 intitulé « A system and method for on-premise cyber training ». Dans ce document, la formation en cybersécurité est réalisée à partir de rejeu de logs envoyés au SOC, certains de ces logs comprenant une ou plusieurs entrées identifiables comme preuve d'une attaque. Les participants sont ensuite évalués en fonction des actions qu’ils mènent dans le SOC, le SOC doit donc être rendu compatible avec la solution d’évaluation proposée. Ainsi, cette solution n’est pas satisfaisante en ce qu’elle n’est pas assez flexible, en ce qu’elle ne permet pas d’évaluer tout type d’attaque et en ce qu’elle ne permet pas d’évaluer de manière objective l’ensemble de la formation. De manière générale, les différents types d’exercices de cybersécurité ne sont pas suffisants dans le contexte actuel, les moyens mis en œuvre permettent difficilement de rendre accessible ces entrainements et il est important de développer de nouvelles méthodologies pour combler le manque généralisé de formation en Cybersécurité. Il existe donc un besoin de pouvoir proposer une évaluation objective, flexible et complète de la formation en cybersécurité, avec une formation plus accessible que des exercices à grande échelle qui peuvent se dérouler actuellement. L’invention offre une solution aux problèmes évoqués précédemment, en permettant une évaluation automatisée et objective de l’ensemble d’une formation en cybersécurité réalisée sur une cyber range comprenant une simulation d’infrastructure informatique. Un aspect de l’invention concerne un procédé d’évaluation automatique de la formation d’un utilisateur d’un système de formation en cyberdéfense, la formation étant réalisée sur le système de formation en cyberdéfense, le système de formation en cyberdéfense comprenant au moins un simulateur d’infrastructure informatique, au moins un module de scénario, au moins un module de test, et au moins une interface homme-machine, le procédé étant mis en œuvre par un orchestrateur de formation compris dans le système de formation en cyberdéfense, le procédé étant caractérisé en ce qu’il comprend les étapes de : Démarrage d’au moins un scénario, l’étape de démarrage d’un scénario comprenant l’envoi d’une requête, par l’orchestrateur de formation, de démarrage du scénario au module de scénario du système de formation en cybersécurité, le scénario comprenant au moins une action à mettre en œuvre par le simulateur d’infrastructure informatique, Réception d’une information relative à l’état de l’infrastructure informatique simulée envoyée par le module de test, l’information relative à l’état de l’infrastructure informatique simulée étant le résultat d’au moins un test mis en œuvre par le module de test après que l’utilisateur a initié une mitigation via l’interface homme-machine, Génération d’au moins un rapport d’évaluation de la formation de l’utilisateur, la génération comprenant au moins la vérification que l’information relative à l’état de l’infrastructure informatique simulée vérifie une première règle prédéfinie, le rapport d’évaluation comprenant au moins une première métrique représentative d’un résultat de la vérification que l’information relative à l’état de l’infrastructure informatique simulée vérifie la première règle prédéfinie. Grâce à l’invention, il est possible d’évaluer automatiquement et objectivement un utilisateur en formation de cyberdéfense. L’orchestrateur de formation est interfacé avec une cyber range comprenant un simulateur d’infrastructure informatique, permettant d’évaluer une formation en conditions réelles. L’utilisateur apprend alors à réaliser des interactions sur le système attaqué en temps réel ce qui rend la session de formation plus interactive, tout en ayant une évaluation de la formation fiable et complète sans nécessiter la présence d’un superviseur. Le procédé est en outre adaptable à toute cyber range comprenant un simulateur d’infrastructure informatique, ne nécessitant pas une modification du SOC de l’entreprise et ne limitant pas les actions possibles. En effet, l’invention peut mettre en œuvre des actions stockées par l’orchestrateur de formation comme par le module de scénario de la cyber range. En outre, l’invention est suffisamment flexible pour pouvoir évaluer des mitigations mises en œuvre par l’utilisateur, et des réponses de tous types, par exemple avec des outils qu’il crée ou des solutions non prévues à l’origine, car c’est notamment l’état du système simulé qui sert de base à l’évaluation. L’invention permet aussi de proposer des formations dans lesquelles l’utilisateur peut créer lui-même son système défensif et être évalué automatiquement dessus. Outre les caractéristiques qui viennent d’être évoquées dans le paragraphe précédent, le procédé d’évaluation automatique selon un aspect de l’invention peut présenter une ou plusieurs caractéristiques complémentaires parmi les suivantes, considérées individuellement ou selon toutes les combinaisons techniquement possibles : la mise en œuvre de l’action par le simulateur d’infrastructure informatique résulte en au moins une première modification de l’infrastructure informatique simulée, l’information relative à l’état de l’infrastructure informatique simulée comprend au moins une information sur une deuxième modification de l’infrastructure informatique simulée résultant de la mitigation et la première règle prédéfinie est vérifiée lorsque la deuxième modification de l’infrastructure informatique simulée corrige au moins en partie la première modification de l’infrastructure informatique simulée, le procédé comprend en outre une étape de réception d’au moins un rapport d’incident envoyé par l’utilisateur via l’interface homme-machine, le rapport d’incident comprenant au moins une information sur une troisième modification de l’infrastructure informatique simulée ajoutée au rapport d’incident par l’utilisateur via l’interface homme-machine, la génération du rapport d’évaluation comprenant en outre au moins la vérification que l’information sur une troisième modification de l’infrastructure informatique simulée issue du rapport d’incident vérifie une deuxième règle prédéfinie, et le rapport d’évaluation comprend en outre une deuxième métrique représentative d’un résultat de la vérification que l’information sur une troisième modification de l’infrastructure informatique simulée issue du rapport d’incident vérifie la deuxième règle prédéfinie, la deuxième règle prédéfinie est vérifiée lorsque la troisième modification de l’infrastructure informatique simulée correspond à la première modification de l’infrastructure informatique simulée, la deuxième règle prédéfinie est vérifiée en outre lorsque le rapport d’incident reçu correspond à un modèle de rapport d’incident prédéfini, le procédé, après la réception de l’information relative à l’état de l’infrastructure informatique simulée et avant la génération du rapport d’évaluation, une étape d’arrêt du scénario, par l’orchestrateur de formation, l’étape d’arrêt du scénario comprenant l’envoi d’une requête, par l’orchestrateur de formation, d’arrêt du scénario au module de scénario du système de formation en cybersécurité, l’étape d’arrêt du scénario étant mise en œuvre lorsque l’un au moins des évènements suivants survient : un temps prédéterminé du scénario est atteint, l’orchestrateur de formation reçoit, du module de test, l’information relative à l’état de l’infrastructure informatique simulée, et l’information relative à l’état de l’infrastructure informatique simulée comprend une indication que la deuxième modification de l’infrastructure informatique simulée corrige au moins en partie la première modification de l’infrastructure informatique simulée. Le procédé comprend le démarrage et l’arrêt de plusieurs scénarios successivement et le rapport d’évaluation généré comprend au moins la première métrique pour chaque scénario, le scénario comprend une pluralité d’actions à mettre en œuvre par le simulateur d’infrastructure informatique, la pluralité d’actions comprenant au moins une action légitime et au moins une attaque. On entendra par « première modification » une modification de l’infrastructure informatique simulée résultant d’une action du scénario sur l’infrastructure informatique simulée, par « deuxième modification » une modification résultant d’une mitigation par l’utilisateur du scénario sur l’infrastructure informatique simulée et par « troisième modification » une modification de l’infrastructure informatique simulée identifiée par l’utilisateur du système, qui correspond à la première modification du système si l’utilisateur a bien identifié l’action du scénario ou qui ne correspond pas à la première modification si l’utilisateur a mal identifié l’action du scénario. Les « deuxième » modification et « troisième » modification sont appelées « deuxième » et « troisième » par ordre d’introduction et non par ordre d’exécution, ainsi, l’invention n’est pas limitée à la survenance de la troisième modification avant la deuxième modification ni inversement. Un autre aspect de l’invention concerne un système de formation en cyberdéfense d’un utilisateur comprenant au moins un simulateur d’infrastructure informatique, au moins un module de scénario, au moins un module de test, et au moins une interface homme-machine, le système de formation étant caractérisé en ce qu’il comprend un module orchestrateur de formation, l’orchestrateur de formation étant configuré pour mettre en œuvre le procédé d’évaluation automatique selon l’invention. Outre les caractéristiques qui viennent d’être évoquées dans le paragraphe précédent, le système de formation en cyberdéfense selon un aspect de l’invention peut présenter une ou plusieurs caractéristiques complémentaires parmi les suivantes, considérées individuellement ou selon toutes les combinaisons techniquement possibles : L’orchestrateur de formation comprend une base de données stockant au moins le scénario, le scénario étant envoyé au module de scénario avec la requête de démarrage du scénario, La base de données stocke au moins le test, le test étant envoyé au module de test avec une requête d’exécution du test, La base de données stocke au moins le modèle de rapport d’incident prédéfini, La base de données stocke au moins chaque métrique, L’orchestrateur de formation comprend un module d’évaluation des mitigations configuré pour mettre en œuvre la vérification que l’information relative à l’état de l’infrastructure informatique simulée vérifie la première règle prédéfinie, L’orchestrateur de formation comprend un module d’évaluation des incidents configuré pour mettre en œuvre la vérification que l’information sur une troisième modification de l’infrastructure informatique simulée issue du rapport d’incident vérifie une deuxième règle prédéfinie. L’invention et ses différentes applications seront mieux comprises à la lecture de la description qui suit et à l’examen des figures qui l’accompagnent. BREVE DESCRIPTION DES FIGURES Les figures sont présentées à titre indicatif et nullement limitatif de l’invention. La montre une représentation schématique d’une cyber range de l’état de l’art, La montre une représentation schématique d’un système de formation en cyberdéfense selon l’invention, La montre une représentation schématique d’un procédé d’évaluation automatique d’une formation en cyberdéfense selon l’invention, La montre une représentation schématique d’un exemple de mise en œuvre du procédé d’évaluation automatique d’une formation en cyberdéfense selon l’invention, La montre une représentation schématique d’un exemple de mise en œuvre du procédé selon l’invention avec plusieurs scénarios. Procédé (3) d’évaluation automatique de la formation d’un utilisateur (U) d’un système de formation en cyberdéfense, le système de formation en cyberdéfense comprenant au moins un simulateur d’infrastructure informatique (11), au moins un module de scénario (121), au moins un module de test (122), et au moins une interface homme-machine (131), le procédé (3) étant mis en œuvre par un module orchestrateur de formation (2) compris dans le système de formation en cyberdéfense, le procédé (3) étant caractérisé en ce qu’il comprend les étapes de : Démarrage (31) d’au moins un scénario (S1,S2,S3), l’étape de démarrage d’un scénario (S1,S2,S3) comprenant l’envoi d’une requête (Rq_S), par l’orchestrateur de formation (2), de démarrage du scénario (S1,S2,S3) au module de scénario (121) du système de formation en cybersécurité, le scénario (S1,S2,S3) comprenant au moins une action (A) à mettre en œuvre par le simulateur d’infrastructure informatique (11), Réception (34) d’une information relative à l’état de l’infrastructure informatique simulée (11) envoyée par le module de test (122), l’information relative à l’état de l’infrastructure informatique simulée (11) étant le résultat d’au moins un test (T) mis en œuvre par le module de test (122) après que l’utilisateur (U) a initié une mitigation (M) via l’interface homme-machine (131), Génération (36) d’au moins un rapport d’évaluation de la formation de l’utilisateur (U), la génération (36) comprenant au moins la vérification que l’information relative à l’état de l’infrastructure informatique simulée (11) vérifie une première règle prédéfinie, le rapport d’évaluation comprenant au moins une première métrique (Met) représentative d’un résultat de la vérification que l’information relative à l’état de l’infrastructure informatique simulée (11) vérifie la première règle prédéfinie. Procédé (3) selon la revendication 1 selon lequel la mise en œuvre de l’action (A) par le simulateur d’infrastructure informatique (11) résulte en au moins une première modification de l’infrastructure informatique simulée (11), l’information relative à l’état de l’infrastructure informatique simulée (11) comprend au moins une information sur une deuxième modification de l’infrastructure informatique simulée (11) résultant de la mitigation (M) et la première règle prédéfinie est vérifiée lorsque la deuxième modification de l’infrastructure informatique simulée (11) corrige au moins en partie la première modification de l’infrastructure informatique simulée (11). Procédé (3) selon l’une quelconque des revendications précédentes comprenant en outre une étape de réception (32) d’au moins un rapport d’incident (R_i) envoyé par l’utilisateur (U) via l’interface homme-machine (131), le rapport d’incident (R_i) comprenant au moins une information sur une troisième modification de l’infrastructure informatique simulée (11) ajoutée au rapport d’incident (R_i) par l’utilisateur (U) via l’interface homme-machine (131), la génération (36) du rapport d’évaluation comprenant en outre au moins la vérification que l’information sur une troisième modification de l’infrastructure informatique simulée (11) issue du rapport d’incident (R_i) vérifie une deuxième règle prédéfinie, et le rapport d’évaluation comprend en outre une deuxième métrique (Met) représentative d’un résultat de la vérification que l’information sur une troisième modification de l’infrastructure informatique simulée (11) issue du rapport d’incident (R_i) vérifie la deuxième règle prédéfinie. Procédé (3) selon la revendication 3 selon lequel la deuxième règle prédéfinie est vérifiée lorsque la troisième modification de l’infrastructure informatique simulée (11) correspond à la première modification de l’infrastructure informatique simulée (11). Procédé (3) selon l’une quelconque des revendications 3 à 4 selon lequel la deuxième règle prédéfinie est vérifiée en outre lorsque le rapport d’incident (R_i) reçu correspond à un modèle de rapport d’incident (R_i) prédéfini. Procédé (3) selon l’une quelconque des revendications précédentes comprenant, après la réception (34) de l’information relative à l’état de l’infrastructure informatique simulée (11) et avant la génération du rapport d’évaluation, une étape d’arrêt (35) du scénario (S1,S2,S3), par l’orchestrateur de formation (2), l’étape d’arrêt du scénario (S1,S2,S3) comprenant l’envoi d’une requête, par l’orchestrateur de formation (2), d’arrêt du scénario (S1,S2,S3) au module de scénario (121) du système de formation en cybersécurité, l’étape d’arrêt du scénario (S1,S2,S3) étant mise en œuvre lorsque l’un au moins des évènements suivants survient : un temps prédéterminé (t)du scénario (S1,S2,S3) est atteint, l’orchestrateur de formation (2) reçoit, du module de test (122), l’information relative à l’état de l’infrastructure informatique simulée (11), et l’information relative à l’état de l’infrastructure informatique simulée (11) comprend une indication que la deuxième modification de l’infrastructure informatique simulée (11) corrige au moins en partie la première modification de l’infrastructure informatique simulée (11). Procédé (3) selon la revendication 6 comprenant le démarrage (31) et l’arrêt (35) de plusieurs scénarios (S1,S2,S3) successivement et le rapport d’évaluation généré (36) comprend au moins la première métrique (Met) pour chaque scénario (S1,S2,S3). Procédé (3) selon l’une quelconque des revendications précédentes selon lequel le scénario (S1,S2,S3) comprend une pluralité d’actions (A) à mettre en œuvre par le simulateur d’infrastructure informatique (11), la pluralité d’actions (A) comprenant au moins une action (A) légitime et au moins une attaque. Système de formation en cyberdéfense d’un utilisateur (U) comprenant au moins un simulateur d’infrastructure informatique (11), au moins un module de scénario (121), au moins un module de test (122), et au moins une interface homme-machine (131), le système de formation étant caractérisé en ce qu’il comprend un module orchestrateur de formation (2), le module orchestrateur de formation (2) étant configuré pour mettre en œuvre le procédé (3) d’évaluation automatique selon l’une quelconque des revendications précédentes. Système de formation en cyberdéfense d’un utilisateur (U) selon la revendication 9 selon lequel le module orchestrateur de formation (2) comprend une base de données (25) stockant au moins le scénario (S1,S2,S3), le scénario (S1,S2,S3) étant envoyé au module de scénario (121) avec la requête (Rq_S) de démarrage du scénario (S1,S2,S3). Système de formation en cyberdéfense d’un utilisateur (U) selon la revendication 10 selon lequel la base de données (25) stocke au moins le test (T), le test (T) étant envoyé au module de test (122) avec une requête (Rq_T) d’exécution du test (T). Système de formation en cyberdéfense d’un utilisateur (U) selon l’une quelconque des revendication 10 à 11 selon lequel la base de données (25) stocke au moins le modèle de rapport d’incident (R_i) prédéfini. Système de formation en cyberdéfense d’un utilisateur (U) selon l’une quelconque des revendication 10 à 12 selon lequel la base de données (25) stocke au moins chaque métrique (Met). Système de formation en cyberdéfense d’un utilisateur (U) selon l’une quelconque des revendication 9 à 13 selon lequel le module orchestrateur de formation (2) comprend un module d’évaluation des mitigations (22) configuré pour mettre en œuvre la vérification que l’information relative à l’état de l’infrastructure informatique simulée (11) vérifie la première règle prédéfinie. Système de formation en cyberdéfense d’un utilisateur (U) selon l’une quelconque des revendication 9 à 14 selon lequel le module orchestrateur de formation (2) comprend un module d’évaluation des incidents (24) configuré pour mettre en œuvre la vérification que l’information sur une troisième modification de l’infrastructure informatique simulée (11) issue du rapport d’incident (R_i) vérifie une deuxième règle prédéfinie.