Brevet FR3126830A1 — publié le 20230310

L’invention porte sur un procédé d’analyse d’un flux de paquets de données reçus via un réseau de communication, une analyse de protocoles (DAP) selon les étapes suivantes : -analyser le premier paquet (P0) d’un lot pour vérifier si le premier paquet (P0) annonce le protocole du paquet de données suivant (P1); -en cas d’annonce, le protocole du paquet suivant (P1) annoncé est identifié tandis qu’en cas de non annonce, analyser le paquet suivant (P1) pour vérifier s’il est attaché à une chaine de protocoles connue et stockée dans une base de données dynamique (BDDS) comprenant des chaines de protocoles identifiées, -analyser le paquet suivant pour identifier le protocole de communication du paquet suivant selon un arbre de décision dynamique corrélé à une base de données de connaissances comprenant des paramètres d’analyse de protocoles ; et -associer une étiquette aux paquets de données; et son système de mise en œuvre Figure 7. PROCEDE ET SYSTÈME D’ANALYSE DE FLUX DE DONNÉES ARRIÈRE-PLAN Les développements technologiques en matière de mise en réseau ont entraîné une augmentation des vitesses de mise en réseau au-delà des capacités de supervision du réseau et de l’équipement de gestion du trafic utilisé. L’équipement connu de supervision du réseau et de gestion du trafic comprend les sondes réseau, qui sont des dispositifs matériels spécialisés conçus pour surveiller un flux de données reçues via un réseau de communication. La description détaillée est décrite en référence aux figures ci-jointes. Dans les figures, le ou les chiffres les plus à gauche d’un numéro de référence identifient la figure dans laquelle le numéro de référence apparaît pour la première fois. Les mêmes chiffres sont utilisés tout au long des chiffres pour référencer des caractéristiques et des composants similaires. Certains modes de réalisation de systèmes et/ou de méthodes conformes aux modes de réalisation du présent objet sont maintenant décrits, à titre d’exemple seulement, et en référence aux figures d’accompagnement, dans lesquelles : La illustre un système informatique d’analyse d’un flux de données de paquets de données reçus via un réseau de communication, conformément à un exemple de mise en œuvre de la présente invention, La illustre les schémas du système informatique, conformément à un exemple de mise en œuvre de la présente invention, La illustre le système informatique d’analyse d’un flux de données de paquets de données reçus via un réseau de communication, conformément à un exemple de mise en œuvre de la présente invention, La illustre le flux d’événements à l’intérieur d’un noyau de traitement du système informatique, conformément à un exemple de mise en œuvre de la présente invention, La illustre l’étape de réception et de distribution des paquets par une carte d’interface réseau conformément à l’invention, Les figures 6 et 7 illustrent les étapes d’analyse d’un flux de données de paquets de données reçus via un réseau de communication, conformément à un exemple de mise en œuvre de la présente invention, et Les figures 8 et 9 illustrent un exemple d’analyse linéaire conformément à l’invention, et Les figures 10 et 11 illustrent un exemple d’analyse appliquée à une détection de protocoles de tunneling à détection retardée conformément à l’invention. Procédé d’analyse d’un flux de données de paquets de données reçus via un réseau de communication, le flux de données comprenant des lots de paquets définis chacun par une chaine de protocoles de communication, caractérisé en ce que le procédé comprend une analyse de protocoles (DAP) selon les étapes suivantes : -analyser le premier paquet (P0) d’un lot pour vérifier si le premier paquet (P0) annonce le protocole de communication du paquet de données suivant (P1); -en cas d’annonce, le protocole du paquet suivant (P1) ainsi annoncé est identifié tandis qu’en cas de non annonce, analyser le paquet suivant (P1) pour vérifier s’il est attaché à une chaine de protocoles connue et stockée dans une base de données dynamique (BDDS) comprenant des chaines de protocoles déjà identifiées, -en cas d’attache, les protocoles de la chaine de protocoles connue sont identifiés tandis qu’en cas de non attache, analyser le paquet suivant pour identifier le protocole de communication du paquet suivant selon un arbre de décision dynamique corrélé à une base de données de connaissances (BDC) comprenant des paramètres d’analyse de protocoles ; et -associer une étiquette aux paquets de données en fonction des protocoles ainsi identifiés. Procédé selon la revendication 1, dans lequel la base de données de connaissances (BDC) comprend une base de données de connaissances statiques, dans laquelle la base de données de connaissances statiques comprend une connaissance empirique des caractéristiques des protocoles, et dans laquelle la connaissance empirique comprend des normes basées sur la localisation, des liens logiques entre les protocoles de communication, les requêtes pour commentaires (RFC) et le modèle de fréquence des protocoles de communication. Procédé selon la revendication 1 caractérisé en ce qu’en cas de chaine de protocoles inconnue, il est prévu de créer une empreinte numérique de type Hash comprenant une pluralité d’informations appartenant au groupe formé par information de source, information de destinataire, des informations de ports et un identifiant de protocole associé à ladite de chaine inconnue pour analyse de protocoles (DAP) ultérieure à partir de la base de données dynamique de sessions (BDDS). Procédé selon la revendication 1, comprenant en outre l’exécution d’une analyse de données suivie d’une extraction de données (DAC) pour les paquets de données sur la base de l’étiquette associée. Procédé selon la revendication 4, dans lequel l’exécution de l’analyse de protocoles (DAP) et l’exécution de l’analyse et de l’extraction des données (DAC) pour le paquet de données sont effectuées sur un seul cœur de traitement d’un processeur multicœur. Procédé selon la revendication 4, dans lequel l’exécution de l’analyse et l’extraction des données (DAC) pour le paquet de données sont effectuées sur plusieurs cœurs de traitement d’un processeur multicœur. Procédé selon la revendication 1, comprenant en outre la séparation du flux de données en une pluralité de files d’attente de traitement dans laquelle l’analyse de protocoles (DPA) suivie de l’analyse et de l’extraction des données (DAC) sont effectués sur des paquets de données dans chacune des files d’attente de traitement. Procédé selon la revendication 6 ou la revendication 7, dans lequel la séparation du flux de données dans la pluralité des files d’attente de traitement est basée sur un algorithme RSS de mise à l’échelle côté réception. Procédé selon l’une des revendications 1 à 8, dans lequel l’analyse de protocole (DAP) est exécutée depuis la couche 2 jusqu’à la couche 7 du modèle de couches (OSI). Système informatique d’analyse d’un flux de données de paquets de données reçus via un réseau de communication, le flux de données comprenant des lots de paquets définis chacun par une chaine de protocoles de communication, caractérisé en ce que le système comprend un processeur comprenant au moins un cœur de traitement pour traiter un nombre prédéterminé de paquets de données par minute et un moteur d’analyse de protocole (DAP) sur au moins un cœur de traitement, dans lequel le moteur d’analyse de protocole : -analyse le premier paquet (P0) d’un lot pour vérifier si le premier paquet (P0) annonce le protocole de communication du paquet de données suivant (P1) ; -en cas d’annonce, le protocole du paquet suivant (P1) ainsi annoncé est identifié tandis qu’en cas de non annonce, analyser le paquet suivant (P1) pour vérifier s’il est attaché à une chaine de protocoles connue, -en cas d’attache, les protocoles de la chaine de protocole connue sont identifiés tandis qu’en cas de non attache, le moteur d’analyse est apte à analyser le paquet suivant pour identifier le protocole de communication du paquet suivant sur la base d’un arbre de décision dynamique corrélé à une base de données de connaissances comprenant des paramètres d’analyse de protocoles ; et -un moteur d’étiquetage apte à associer une étiquette aux paquets de données en fonction des protocoles ainsi identifies. Système informatique selon la revendication 10, dans lequel la base de données de connaissances comprend en outre une base de données de connaissances statique comprenant une connaissance empirique des caractéristiques des protocoles, et dans laquelle la connaissance empirique (BDC) comprend des normes basées sur la localisation, des liens logiques entre les protocoles de communication, les requêtes pour commentaires (RFC) et le modèle de fréquence des protocoles de communication. Système informatique selon la revendication 10, comprenant en outre un moteur d’analyse de contenu (DAC) exécutable sur au moins un cœur de traitement pour analyser et extraire le paquet de données sur la base de l’étiquette associée. Système informatique selon la revendication 12, dans lequel le moteur d’analyse de protocole et le moteur d’analyse de contenu effectuent consécutivement l’analyse de protocoles (DAP) suivie de l’analyse et de l’extraction de données (DAC) pour le flux de données de paquets de données, et dans lequel le moteur d’analyse de contenu effectue séparément l’analyse et l’extraction de données (DAC) pour des paquets de données étiquetés différemment. Système informatique selon la revendication 13, comprenant en outre une carte d’interface réseau (NIC) couplée au processeur, dans laquelle la carte réseau sépare le flux de données des paquets de données en une pluralité de files d’attente de traitement, et dans laquelle le moteur d’analyse de protocole (DAP) et le moteur d’analyse de contenu (DAC) effectuent l’analyse des paquets (DAP) et l’extraction de données (DAC) des paquets sur chacune des pluralités de files d’attente de traitement. Système informatique selon la revendication 14, dans lequel la carte réseau (NIC) sépare le flux de données des paquets de données en fonction de l’algorithme RSS de mise à l’échelle côté réception.