Brevet FR3133685A1 — publié le 20230922

SYSTEME D’ANALYSE AUTOMATISEE DES ACTIONS D’UN UTILISATEUR CONNECTE A DISTANCE SUR UN SERVEUR SYSTEME D’ANALYSE AUTOMATISEE DES ACTIONS D’UN UTILISATEUR CONNECTE A DISTANCE SUR UN SERVEUR L'invention concerne un système d'analyse automatisée des actions d’un utilisateur connecté à distance sur un serveur. L’invention permet, par exemple, de caractériser les agissements d’un pirate informatique connecté sur un serveur. Le Demandeur développe des solutions particulièrement pertinentes pour capter les actions d’un pirate informatique à son insu. Pour ce faire, le brevet FR3079642 décrit l'utilisation d’un serveur leurre avec une adresse IP référencée sur un système de noms de domaine pour attirer les pirates informatiques à se connecter sur ce serveur tout en pensant qu'ils peuvent impunément perpétuer des activités illégales. En complément de cette première innovation, le Demandeur a également déposé le brevet EP 3 644 146 qui décrit l'enregistrement des actions d'un utilisateur sur un serveur permettant de capter une vidéo des agissements d’un pirate informatique et éventuellement d’enregistrer les frappes de touches du clavier de l’utilisateur. Ces innovations du Demandeur sont tellement efficaces qu'en quelques années seulement, et avec moins de dix serveurs leurres, le Demandeur a pu capter des millions d'heures d'enregistrement des actions de pirates informatiques. Cependant, les pirates informatiques commettent des méfaits très hétérogènes et il est important de distinguer la nature de ces méfaits pour agir rapidement, notamment lorsque la sécurité de personnes risque d'être engagée. En effet, lorsqu'un pirate informatique est connecté sur un serveur leurre, il peut réaliser un grand nombre d'actions malveillantes et le Demandeur est face à un problème d'analyse et de caractérisation des actions réalisées par ces pirates informatiques pour informer les bons interlocuteurs en fonction des méfaits commis. Typiquement, lorsque qu'un pirate informatique tente de déployer un crypto virus sur un serveur d’une entreprise, il convient de contacter l'administrateur informatique de l’entreprise. Pour un autre exemple, lorsqu'un pirate informatique tente des attaques par hameçonnage sur les boites de réception des étudiants d’une université, il convient de contacter l’administrateur informatique de l’université. Pour caractériser les actions des pirates informatiques et contacter rapidement les bons interlocuteurs, il est aujourd'hui nécessaire de demander à des opérateurs de visionner les enregistrements représentant les périodes dans lesquels un pirate informatique s'est connecté sur un serveur leurre. Ce travail manuel est particulièrement long et fastidieux si bien qu’il peut être nécessaire d’attendre plusieurs heures ou plusieurs jours avant qu’un enregistrement ne puisse être analysé et traité par un opérateur, notamment lorsque de nombreux enregistrements sont captés simultanément. Or, certaines tensions politiques engendrent des accroissements ponctuels du nombre d’intrusions informatiques sur les serveurs leurres, par exemple en temps de guerre numérique. Pour résoudre ce problème de caractérisation des actions d’un pirate informatique, ou même de tout utilisateur connecté sur un serveur, il serait envisageable de faire une transcription de tout le texte présent sur chaque image des enregistrements au moyen d'outils d’océrisation. Cependant, les données générées par ce type de méthode seraient trop volumineuses et cette solution présenterait un problème d’interprétation et de stockage des informations générées. Il serait également envisageable d’échantillonner le flux vidéo capté afin de réaliser une transcription de l'image en texte toutes les minutes ou toutes les 10 minutes par exemple. Cette solution permettrait de limiter le volume des données générées mais risquerait de fournir une analyse pour laquelle certains méfaits des pirates informatiques échappent à l'analyse, lorsqu'ils sont commis entre deux instants de transcription des images. Le problème technique de l'invention est donc de déterminer comment automatiser l'analyse des actions réalisées par un utilisateur sur un serveur, par exemple pour analyser automatiquement les actions d'un pirate informatique sur un serveur leurre. Pour répondre à ce problème technique, l'invention propose de détecter des commandes spécifiques réalisées par l'utilisateur et de réaliser une transcription des images en texte uniquement lorsqu’une commande spécifique prédéfinie a été détectée. Par exemple, il est possible de définir ces commandes prédéfinies comme étant l’appui de l'utilisateur sur les touches « entrée » ou « tabulation » du clavier ou d’un clic de souris. Ainsi, à chaque fois que l'utilisateur appuie sur l'une de ces touches ou d’un clic de souris, une image de la session de l'utilisateur est captée et retranscrite au format texte au moyen d’un outil d’océrisation. L’océrisation permet de retranscrire au format texte toutes les chaînes de caractères présentes sur une image et il est donc possible de capter les URL inscrites dans un navigateur, les lignes utilisées dans une invite de commande ou encore tout le contenu d'un courriel écrit par un utilisateur. Par exemple, si un pirate informatique utilise les cartes bancaires volées pour faire des commandes frauduleuses sur un site marchand, il doit écrire ou copier/coller toutes les informations de la carte bancaires et, lorsqu'il appuie sur les touches « entrée » ou « tabulation » pour changer de champ, les informations écrites ou copiées par le pirate informatique sont captées et retranscrites en texte. Suite à cette retranscription générée de manière asynchrone, c'est-à-dire suite à la détection de l'utilisation d'une commande spécifique par l'utilisateur, l'ensemble du texte retranscrit peut être analysé pour détecter des chaînes de caractères prédéterminées. Cette détection des chaînes de caractères prédéterminées peut être réalisée en utilisant l'outil « preg_match ». Par exemple, il peut être recherché des chaînes de caractères analogues à une URL, à des numéros de carte bancaire, à des codes postaux, à des adresses internet, à des adresses de messagerie ou encore à des numéros de comptes bancaires. La détection d’une URL peut être réalisée par la recherche d’une chaîne de caractère contenant les suites de caractères « url », « // » ou « www ». La découverte d’un numéro de carte bancaire peut être conditionnée à la détection d’une chaîne de caractère de 16 chiffres alors que la découverte d’un code postal peut résulter de la détection d’une chaîne de caractère d’exactement 5 chiffres. Pour détecter une adresse internet, ou adresse IP, 4 chaînes de caractères de 3 chiffres reliées par des « . » peut être recherchée pour une adresse IPv4 et un ensemble de 8 chaînes de caractères reliées par des « : » peut être associée pour une adresse IPv6. Une adresse de messagerie peut être détectée par une chaîne de caractère comportant un « . » et un « @ ». De la même manière, pour détecter un numéro de comptes bancaires français sous le format IBAN, une chaîne de caractère contenant 2 lettres suivies de 23 chiffres est recherchée. Lorsque ces chaînes de caractères prédéterminées sont détectées, il est possible de créer des scénarii d'analyse des actions de l’utilisateur sur la base des chaînes de caractères identifiés. Par exemple, lorsqu'il est identifié que l'utilisateur a téléchargé un logiciel au format « .exe » et qu’il lance l'exécution de ce logiciel dans une invite de commande, il peut être créé un scénario dans lequel le nom du programme informatique exécuté est recherché dans une base de données. Si ce nom du programme informatique correspond à un rançongiciel ou à un logiciel de minage de crypto monnaie, l'action de l’utilisateur peut être caractérisée dans une catégorie correspondant à une catégorie de « piratage direct ». Par ailleurs, si le nom du logiciel utilisé est associé à des attaques de type force brute ou DDOS, les actions de l'utilisateur peuvent être caractérisées comme étant des actions de « piratage indirect ». Pour un autre exemple, si des numéros de carte bancaires ou les numéros de comptes bancaires sont détectés, il peut être analysé des « actions de fraude » et le nom du site Internet marchand peut être recherché pour contacter automatiquement l'administrateur informatique connu pour ce site marchand. Dans un autre exemple, si un grand nombre de courriels sont détectés, des « actions de fraude » de type hameçonnage peuvent être caractérisées et un courriel d’information peut être transmis automatiquement à toutes les cibles de l’attaque. En outre, les textes issus de l’océrisation des différentes images de la session de l'utilisateur peuvent être utilisés comme moyen de preuve des méfaits réalisés par un pirate informatique et peuvent alimenter un moteur de recherche. Par ailleurs, les textes issus de l’océrisation peuvent être traduit automatique, par exemple en identifiant la langue du clavier utilisée par l’utilisateur tel que décrit dans le brevet EP 3 644 146. Par ailleurs, dans l'ensemble du flux vidéo capté, une partie du flux vidéo peut correspondre à une « actions de fraude » alors qu'une autre partie du flux vidéo peut correspondre à des tentatives de « piratage direct » ou de « piratage indirect ». Ainsi, pour une même vidéo, plusieurs caractérisations peuvent être détectées pour des instants distincts de la vidéo et celle-ci peut être découpée pour associer chaque partie à la caractérisation associée. Pour conclure, l'invention propose d'utiliser plusieurs outils : - un outil de captation d'une image d’une session d'un utilisateur commandé de manière asynchrone par la détection de l'appui sur une commande spécifique, par exemple la commande entrée ou la commande tabulation du clavier ou d’un clic de souris ; - un outil de transcription en texte de l'image captée par l'outil de captation ; - un outil d'analyse de chaînes de caractères prédéterminées à l'intérieur du texte capté par l'outil d'interprétation ; et - un outil de caractérisation des actions réalisées par l'utilisateur en fonction des chaînes de caractères détectées. Pour conclure, l'invention permet d'automatiser la détection des actions d’un utilisateur connecté sur un serveur, notamment les actions de pirates informatiques, de sorte à pouvoir informer plus rapidement et plus efficacement les victimes de fraude ou de tentative de piratage et les autorités compétentes. .