Brevet FR3135336A1 — publié le 20231110

L’invention concerne une méthode d’analyse du risque informatique d’un réseau d’intérêt (20) échangeant directement ou indirectement des flux réseau avec au moins un réseau tiers (30, 40, 50), comportant les étapes suivantes : - récupération de flux réseaux captés par au moins un pare-feu (32, 42, 52) appartenant à au moins un réseau tiers ; - comparaison des adresses internet de destination et de provenance de chaque flux réseau récupéré avec au moins une base de données d’adresses internet toxiques (64) ; chaque flux réseau intégrant au moins une adresse internet de destination ou de provenance stockée dans ladite une base de données d’adresses internet toxiques correspondant à un flux toxique ; et - identification, pour chaque flux toxique, de la nature du risque afin de déterminer si chaque flux toxique présente un risque pour le réseau d’intérêt ou un desdits au moins un réseau tiers. Figure pour abrégé : Fig 2. METHODE D’ANALYSE DU RISQUE INFORMATIQUE D’UN RESEAU D’INTERET LIE AUX ECHANGES AVEC AU MOINS UN RESEAU TIERS Domaine de l’invention L’invention concerne une méthode permettant de détecter les risques informatiques qui pourraient être engendrés sur un réseau d’intérêt en raison des flux réseau échangés entre ce réseau d’intérêt et au moins un réseau tiers, dont on ne connait pas nécessairement le niveau de sécurité informatique. Par exemple, le réseau d’intérêt peut correspondre à un réseau d’une société, d’une administration ou d’une université, et le réseau tiers peut correspondre au réseau d’un sous-traitant direct ou indirect, ou un organisme collaborant avec la société, l’administration ou l’université. Le réseau d’intérêt peut également correspondre au réseau d’un opérateur ou au réseau d’un fournisseur de solution de sécurité. Dans ce cas, la méthode peut être utilisée pour détecter la propagation de flux toxiques. Etat de la technique De nos jours, un grand nombre d’organismes ont désormais une politique efficace de sécurité informatique. Cependant, d’autre organismes n’ont pas toujours les moyens financiers, l'intérêt ou même la motivation d'assurer une sécurité informatique minimum. Or, la collaboration croissante des organismes impose un grand nombre d’échanges entre les sociétés, les administrations ou encore les universités. Lors de ces échanges, les organismes utilisant une politique de sécurité informatique stricte sont inquiets de la résilience des systèmes d’information de leurs sous-traitants ou collaborateurs face aux attaques informatiques. De plus, avec le déploiement d’outils de sécurité informatique avancés, les pirates informatiques utilisent de plus en plus souvent des voies détournées pour attaquer un système d’information en propageant des attaques à travers plusieurs réseaux. Dans le cadre de l’invention, il est possible de distinguer deux types de réseaux, le réseau d’intérêt et les réseaux tiers. Le réseau d’intérêt correspond typiquement au réseau d’un organisme utilisant une politique de sécurité informatique stricte et pour lequel un administrateur réseau souhaite estimer le risque informatique lié aux échanges avec des réseaux externes, appelés réseaux tiers. Ces réseaux tiers correspondent classiquement à des réseaux informatiques de sous-traitants, directs ou indirects ou de collaborateurs. En variante, dans le cadre de la détection de la propagation de flux toxiques, le réseau d’intérêt correspond typiquement à un réseau d’opérateur ou un réseau de fournisseur de solution de sécurité. Les réseaux tiers correspondent alors à des réseaux de clients de l’opérateur ou du fournisseur de solution de sécurité. Pour analyser un risque informatique d’un réseau, la société demanderesse propose des dispositifs appelés « Detoxio », « Probio » et « Cymealog » intégrants un organe de supervision des flux réseau entrants et sortants de chaque périphérique depuis et vers Internet. Tel que décrit dans le brevet FR2006068, en comparant les adresses IP des flux réseau avec une base de données comportant une liste d’adresses IP toxiques, il est possible de détecter des flux réseau toxiques. Cette base de données comportant une liste d’adresses IP toxiques peut être obtenue par une solution de captation d’adresses IP par des serveurs leurres, tel que décrit dans le brevet FR1852752. Ensuite, un score de vulnérabilité de chaque périphérique est calculé en appliquant un facteur de dix aux flux toxiques sortants par rapport aux flux toxiques entrants. Ce score de vulnérabilité permet d’identifier et de classer le risque informatique lié à chaque périphérique d’un réseau. Cette innovation pourrait être déployée directement sur tous les réseaux tiers connectés à un réseau d’intérêt afin qu’un administrateur du réseau d’intérêt puisse vérifier que les réseaux tiers présentent un risque informatique limité. Cependant, avec cette solution, l’administrateur du réseau d’intérêt recevrait un grand nombre d’alertes, notamment lorsque le réseau d’intérêt est connecté à plusieurs réseaux tiers. En variante, cette innovation pourrait être déployée sur tous les réseaux tiers connectés au même opérateur ou au même fournisseur de solution de sécurité afin d’alerter et/ou d’informer visuellement les réseaux concernés par une attaque informatique. Le problème technique de l’invention consiste donc à fournir une alerte à un administrateur d’un réseau d’intérêt concernant le risque informatique lié à au moins un réseau tiers connecté au réseau d’intérêt, tout en limitant le nombre d’alertes et sans dégrader la pertinence des alertes. Le problème technique de l’invention peut donc également consister à fournir une alerte à plusieurs réseau tiers appartenant au même opérateur ou au même fournisseur de solution de sécurité. Cette alerte peut contenir plusieurs informations, telles que le type d’attaque, l’étendue de la propagation et les vecteurs de cette propagation. Ces informations peuvent être transmises à chaque réseau tiers concerné par cette attaque et à l’opérateur ou au fournisseur de solution de sécurité. Pour résoudre ce problème technique, l’invention propose de détecter les flux toxiques générés sur chaque réseau tiers connecté au réseau d’intérêt et d’analyser la nature des flux toxiques détectés afin de transmettre uniquement une alerte à un administrateur du réseau d’intérêt lorsque des flux toxiques détectés sont potentiellement préjudiciables pour le réseau d’intérêt. Par exemple, si un réseau tiers subit une attaque par déni de service de son site Internet, ce type d'attaque informatique est préjudiciable pour les activités commerciales du réseau tier, mais ne remet pas en cause la sécurité informatique du réseau d’intérêt. Au contraire, si le réseau tiers subit une attaque par prise de contrôle à distance d'un poste et que ce poste est couramment utilisé pour échanger des informations avec le réseau d’intérêt, ce type d'attaque peut présenter un risque informatique préjudiciable pour le réseau d’intérêt. Pour limiter un tel risque informatique, un administrateur du réseau d’intérêt peut imposer aux administrateurs des réseaux tiers de lui transmettre, ou de transmettre à un tiers de confiance comme la société demanderesse, les flux réseau captés par leurs pare-feu. Ces pare-feu sont classiquement appelés « firewall » dans la littérature anglo-saxonne. Dans un autre exemple, si un réseau tiers subit une attaque par prise de contrôle à distance d'un poste et que ce poste est utilisé pour des échanges entre réseaux tiers appartenant au même opérateur ou au même fournisseur de solution de sécurité, alors ce type d’attaque peut se propager dans plusieurs autres réseaux tiers et ainsi créer une propagation du flux toxique. L’invention propose d’analyser les flux réseau captés par les pare-feu des réseaux tiers, de détecter les flux toxiques parmi l’ensemble de ces flux réseau et la nature des échanges associés à ces flux toxiques afin de détecter les flux toxiques potentiellement préjudiciables pour le réseau d’intérêt. Ainsi, l’invention permet d’alerter un administrateur du réseau d’intérêt dans le cas où une attaque informatique détectée sur un réseau tiers peut atteindre à la sécurité du réseau d’intérêt. Au sens de l’invention, un flux toxique correspond à un flux provenant ou à destination d'une adresse IP toxique, c'est-à-dire d'une adresse IP référencée dans une base de données et associée à un pirate informatique ou présentant un risque de vulnérabilité fort. Cette base de données est classiquement constituée et mise à jour régulièrement par des acteurs de la sécurité informatique. Elle peut être téléchargée périodiquement et stockée en interne ou consultée sur une plateforme externe. Cette base de données est préférentiellement obtenue par des serveurs leurres permettant de capter des adresses IP toxiques, tel que décrit dans le brevet FR 1852752. La présente invention propose une méthode d’analyse du risque informatique d’un réseau d’intérêt échangeant directement ou indirectement des flux réseau avec au moins un réseau tiers, comportant les étapes suivantes : - récupération d’au moins un flux réseau capté par au moins un pare-feu appartenant à au moins un réseau tiers; chaque flux réseau contenant des adresses internet de destination et de provenance ; - comparaison des adresses internet de destination et de provenance de chaque flux réseau récupéré avec au moins une base de données d’adresses internet toxiques ; chaque flux réseau intégrant au moins une adresse internet de destination ou de provenance stockée dans ladite une base de données d’adresses internet toxiques correspondant à un flux toxique ; et - identification, pour chaque flux toxique, de la nature du risque afin de déterminer si chaque flux toxique présente un risque pour le réseau d’intérêt ou un desdits au moins un réseau tiers. Grâce à ces dispositions, les risques peuvent être identifiés d’une façon simple et efficace sur les réseaux tiers, ce qui permet aux administrateurs du réseau d’intérêt de prendre les mesures nécessaires pour éviter que ces risques ne s’y propagent. L’étape de récupération d’au moins un flux réseau peut comprendre l’envoi par ledit pare-feu d’au moins un fichier de contrôle vers un organe d’analyse du réseau d’intérêt ou du réseau d’un tiers de confiance, ledit fichier de contrôle comportant lesdites adresses internet de destination et de provenance ; ce qui est un moyen simple et efficace de mettre en œuvre l’invention. Ledit au moins un fichier de contrôle peut comporter en outre au moins : - un sens de trafic du flux ; - un protocole de communication ; - un numéro de port TCP/IP utilisé pour la connexion ; et - un horodatage du flux réseau, par exemple la date et l’heure de début et de fin du flux réseau. Ces informations peuvent ensuite être utilisées pour identifier de la façon la plus précise possible la nature du risque correspondant. De préférence, ladite base de données d’adresses internet toxiques est obtenue au moins en partie par l’utilisation d’au moins un serveur leurre. Ceci permet de rassembler d’une façon rapide un grand nombre d’adresses internet toxiques. L’étape d’identification de la nature du risque peut permettre d’identifier un risque lié à : - une attaque de type « force brute », si un certain nombre de flux toxiques sont détectés dans des intervalles de temps inférieur à un seuil, et/ou - une attaque de type « compromission », si ledit flux toxique met en communication un système en dehors de ses heures de fonctionnement habituelles. Ces attaques étant particulièrement courantes sur le réseau internet, l’invention permet de rapidement les identifier avec des informations facilement accessibles. L’étape d’identification de la nature du risque peut comprendre l’utilisation d’informations connues sur au moins une adresse internet liée audit flux toxique et stockées dans ladite base de données d’adresses internet toxiques, ces informations se rapportant par exemple à un certain type d’attaque ; ce qui permet d’améliorer la précision de l’identification de la nature du risque. L’étape d’identification de la nature du risque peut comporter les sous-étapes suivantes : - détermination du risque de propagation en fonction d’un type d’attaque identifié, - si une attaque à risque fort de propagation est identifiée, analyse du niveau de propagation en considérant le nombre d’adresses internet ayant subies une attaque de même nature à partir d’une adresse internet unique. L’analyse du niveau de propagation permet aux administrateurs réseau de prêter une attention plus importante aux attaques à haut niveau de propagation, et par exemple de prendre des actions défensives plus rapidement. Ladite méthode d’analyse du risque informatique peut comporter en outre les étapes suivantes : - stockage de chaque flux réseau toxique dans un fichier de flux toxique ; - pour chaque flux toxique ne présentant aucun risque pour la sécurité informatique du réseau d’intérêt ou d’un desdits au moins un réseau tiers, suppression dudit flux toxique du fichier de flux toxiques. Ceci permet de garder des traces des flux toxiques pour des analyses complémentaires ou pour se constituer des preuves de l’attaque, le fichier pouvant être nettoyé pour ne pas contenir les flux pour lesquels le risque identifié est considéré comme négligeable ou inexistant. La conservation des traces peut également être utilisée pour faire une analyse à posteriori, afin de comprendre le flux qui a transporté la charge virale et mettre en place les contre-mesures pour que l’incident ne se reproduise plus. Ladite méthode d’analyse du risque informatique peut comporter en outre l’étape suivante : - pour chaque flux toxique présentant un risque pour la sécurité informatique du réseau d’intérêt ou d’un desdits au moins un réseau tiers, transmission d’une alerte à un administrateur du réseau d’intérêt ou à un tiers de confiance. Ceci permet à l’administrateur de rapidement prendre les mesures qu’impose le risque. Ladite méthode d’analyse du risque informatique peut comporter en outre l’étape suivante : - configuration d’une interface par l’administrateur du réseau d’intérêt ou par le tiers de confiance, permettant de sélectionner au moins un type de risque pertinent pour la sécurité informatique du réseau d’intérêt ou d’un desdits au moins un réseau tiers ; - pour chaque flux toxique identifié comme correspondant à un type de risque sélectionné à l’étape précédente, transmission d’une alerte à l’administrateur du réseau d’intérêt ou au tiers de confiance. Ceci permet à l’administrateur de ne pas être alerté lorsque le risque identifié est considéré par lui comme n’étant pas important, et de se concentrer ainsi sur les risques importants. Description sommaire des figures La manière de réaliser l’invention ainsi que les avantages qui en découlent, ressortiront bien des modes de réalisation qui suivent, donnés à titre indicatif mais non limitatif, à l’appui des figures dans lesquelles : La est une vue schématique d’un premier exemple d’architecture réseau dans lequel l’invention peut être implémentée ; La est une vue schématique de l’architecture de la , avec en complément un tiers de confiance auquel sont envoyés les flux toxiques ; La est une vue schématique d’un premier mode de réalisation de la méthode d’analyse du risque informatique selon l’invention ; La est une vue schématique d’un deuxième exemple d’architecture réseau dans lequel l’invention peut être implémentée ; La est une vue schématique de l’architecture de la , avec en complément un tiers de confiance auquel sont envoyés les flux toxiques ; et La est une vue schématique d’un deuxième mode de réalisation de la méthode d’analyse du risque informatique selon l’invention. Méthode d’analyse du risque informatique d’un réseau d’intérêt (20) échangeant directement ou indirectement des flux réseau (11a, 11b) avec au moins un réseau tiers (30, 40, 50, 70), comportant les étapes suivantes : - récupération (100, 110) d’au moins un flux réseau (11a, 11b) capté par au moins un pare-feu (32, 42, 52, 72) appartenant à au moins un réseau tiers (30, 40, 50, 70) ; chaque flux réseau (11a, 11b) contenant des adresses internet de destination et de provenance ; - comparaison (101, 111) des adresses internet de destination et de provenance de chaque flux réseau (11a, 11b) récupéré avec au moins une base de données d’adresses internet toxiques (64) ; chaque flux réseau (11a, 11b) intégrant au moins une adresse internet de destination ou de provenance stockée dans ladite une base de données d’adresses internet toxiques (64) correspondant à un flux toxique ; et - identification (102, 112), pour chaque flux toxique, de la nature du risque afin de déterminer si chaque flux toxique présente un risque pour le réseau d’intérêt (20) ou un desdits au moins un réseau tiers (30, 40, 50, 70). Méthode d’analyse du risque informatique selon la revendication précédente, dans laquelle l’étape de récupération (100, 110) d’au moins un flux réseau (11a, 11b) comprend l’envoi par ledit pare-feu (32, 42, 52, 72) d’au moins un fichier de contrôle (33, 43, 53, 73) vers un organe d’analyse (61) du réseau d’intérêt (20) ou du réseau d’un tiers de confiance (60), ledit fichier de contrôle (33, 43, 53, 73) comportant lesdites adresses internet de destination et de provenance. Méthode d’analyse du risque informatique selon la revendication précédente, dans laquelle ledit au moins un fichier de contrôle (33, 43, 53, 73) comporte en outre au moins : - un sens de trafic du flux ; - un protocole de communication ; - un numéro de port TCP/IP utilisé pour la connexion ; et - un horodatage du flux réseau, par exemple la date et l’heure de début et de fin du flux réseau. Méthode d’analyse du risque informatique selon l’une des revendications précédentes, dans laquelle ladite base de données d’adresses internet toxiques (64) est obtenue au moins en partie par l’utilisation d’au moins un serveur leurre. Méthode d’analyse du risque informatique selon l’une des revendications précédentes, dans laquelle l’étape d’identification de la nature du risque permet d’identifier un risque lié à : - une attaque de type « force brute », si un certain nombre de flux toxiques sont détectés dans des intervalles de temps inférieur à un seuil, et/ou - une attaque de type « compromission », si ledit flux toxique met en communication un système en dehors de ses heures de fonctionnement habituelles. Méthode d’analyse du risque informatique selon l’une des revendications précédentes, dans laquelle l’étape d’identification de la nature du risque comprend l’utilisation d’informations connues sur au moins une adresse internet liée audit flux toxique et stockées dans ladite base de données d’adresses internet toxiques (64), ces informations se rapportant par exemple à un certain type d’attaque. Méthode d’analyse du risque informatique selon l’une des revendications précédentes, dans laquelle l’étape d’identification de la nature du risque comporte les sous-étapes suivantes : - détermination (112) du risque de propagation en fonction d’un type d’attaque identifié ; - si une attaque à risque fort de propagation est identifiée, analyse (113) du niveau de propagation en considérant le nombre d’adresses internet ayant subies une attaque de même nature à partir d’une adresse internet unique. Méthode d’analyse du risque informatique selon l’une des revendications précédentes, dans laquelle la méthode comporte en outre les étapes suivantes : - stockage de chaque flux réseau toxique dans un fichier de flux toxique (63) ; - pour chaque flux toxique ne présentant aucun risque pour la sécurité informatique du réseau d’intérêt ou d’un desdits au moins un réseau tiers, suppression dudit flux toxique du fichier de flux toxiques (63). Méthode d’analyse du risque informatique selon l’une des revendications précédentes, dans laquelle la méthode comporte en outre l’étape suivante : - pour chaque flux toxique présentant un risque pour la sécurité informatique du réseau d’intérêt ou d’un desdits au moins un réseau tiers, transmission d’une alerte à un administrateur du réseau d’intérêt ou à un tiers de confiance. Méthode d’analyse du risque informatique selon l’une des revendications 1 à 8, dans laquelle la méthode comporte en outre les étapes suivantes : - configuration d’une interface par l’administrateur du réseau d’intérêt ou par le tiers de confiance, permettant de sélectionner au moins un type de risque pertinent pour la sécurité informatique du réseau d’intérêt ou d’un desdits au moins un réseau tiers ; et - pour chaque flux toxique identifié comme correspondant à un type de risque sélectionné à l’étape précédente, transmission d’une alerte à l’administrateur du réseau d’intérêt ou au tiers de confiance.