Brevet FR3135850A1 — publié le 20231124

Procédé de détection d’une anomalie dans des chemins pour le routage de données à destination d’un préfixe d’adresses (P) dans un réseau composé de systèmes autonomes (AS1, AS2, AS3, AS4, AS5), les chemins étant annoncés à un système autonome local (AS4) par des systèmes autonomes voisins (AS2, AS3, AS5), comprenant : /a/ recevoir pendant un laps de temps des informations représentatives d’au moins une partie des chemins ; /b/ générer une matrice comprenant des éléments représentatifs de tronçons de chemin (l 42 , l 21 , l 43 , l 31 , l 25 , l 5 1 ) reliant respectivement des paires de systèmes autonomes se trouvant sur les chemins ; /c/ réitérer les étapes /a/ et /b/ afin d’obtenir une séquence de matrices selon l’étape /b/ ; /d/ analyser une similarité entre les matrices, et /e/ dans un cas où au moins une des matrices diffère des autres matrices, détecter une anomalie de routage. Figure de l’abrégé : Figure 3b Procédé pour détecter des anomalies de routage entre systèmes autonomes La présente divulgation relève du domaine du routage de données entre systèmes autonomes d’un réseau étendu tel qu’Internet par exemple. Plus particulièrement, la présente divulgation porte sur un procédé pour détecter une anomalie dans des chemins pour le routage de données à destination d’un préfixe d’adresses (d’adresses IP par exemple). Un réseau étendu tel que le réseau Internet par exemple est composé de systèmes autonomes, ensembles de réseaux et routeurs sous contrôle d’un opérateur tel qu’un fournisseur de service Internet, un centre de recherche, ou une université. Pour maintenir l'accessibilité et la connectivité globale de l'Internet, les systèmes autonomes doivent s’interconnecter et échanger de l’information relative à des réseaux dont différents opérateurs sont responsables, permettant aux systèmes autonomes de s’envoyer du trafic sous forme de paquets de données. Les systèmes autonomes sont interconnectés et échangent des informations de routage sur la base d’un protocole d’échange de route nommé BGP (pour « Border Gateway Protocol »). L’interconnexion entre différents systèmes autonomes n’est pas le fruit du hasard et repose souvent sur des accords bilatéraux entre les opérateurs. En cas de pluralité de chemins possibles pour le routage de données vers une même destination, i.e. vers un même préfixe d’adresses (adresses IP par exemple pour « Internet Protocol »), la sélection du chemin que le trafic prend résulte de l’examen séquentiel des préférences des systèmes autonomes par lesquels le trafic passe, ainsi que des préférences des systèmes autonomes voisins. Les chemins pour le routage de données sont construits comme une somme de décisions locales, et chaque système autonome choisit localement et indépendamment des autres systèmes autonomes un « meilleur » chemin vers une destination donnée. Le choix d’un chemin entre systèmes autonomes est complexe, et l’information de routage n’est pas diffusée dans le réseau mais annoncée de voisin à voisin. La conséquence en est que chaque système autonome n'a qu'une vision partielle des chemins de routage existants. Un système autonome donné sait de quelle manière il peut joindre une destination. Par contre, ce système autonome ignore comment les autres systèmes autonomes le joignent effectivement et encore moins comment les autres systèmes autonomes se joignent entre eux. Un système autonome peut implémenter différentes actions afin d’influer sur le trafic, notamment des actions modifiant des attributs BGP auxquels il a accès, ou des actions modifiant l’annonce des préfixes d’adresses dont il est responsable afin d’influencer en sa faveur les chemins construits par d’autres systèmes autonomes. Il peut donc être difficile d’anticiper les chemins que le trafic prend. Les annonces de chemins sont basées sur la confiance, et il y a peu de moyens de vérifier la véracité d’une annonce. La fragilité du protocole BGP, son opacité et sa verbosité ont comme conséquence que l’Internet fait face à de nombreux enjeux de sécurité dont le détournement de chemins pour le routage de données. Volontaires ou non, ces détournements peuvent perturber le fonctionnement de services ou permettre de détourner du trafic. Les chemins de routage peuvent être détournés par « hijack », i.e. par une annonce illégitime de préfixes résultant en un détournement du trafic et l’impact des services associés. En outre, les chemins de routage peuvent être détournés par des attaques de type « man-in-the-middle », i.e. par l’interception du trafic résultant en un détournement local de trafic sans toutefois perturber l’accessibilité de la destination. Ces attaques permettent à l’attaquant d’écouter, d’enregistrer et de manipuler le trafic dans l’Internet. Différents procédés ont été développés afin de détecter des anomalies de routage. Dans ces procédés, des modèles d’apprentissage sont alimentés de message BGP agrégés sur des fenêtres de temps successives afin d’en extraire des caractéristiques statistiques, liées par exemple au volume des données ou à la longueur des attributs AS PATH contenus dans des messages BGP. L'attribut AS PATH indique le cheminement parcouru par un message BGP. Toutefois, dans ces approches, l’information topologique contenue dans l’attribut AS PATH est perdue. De plus, de telles approches ne permettent pas de détecter de manière efficace des attaques sophistiquées telles que des attaques « man-in-the-middle ». Ces procédés font généralement usage d’approches supervisées, ce qui nécessite des données correctement étiquetées, ce qui est peu réaliste du fait de la complexité et de l’opacité des messages BGP. Il existe donc un besoin d’un procédé permettant de faire une analyse non supervisée de données BGP, afin de pouvoir détecter de manière efficace des anomalies dans les chemins pour le routage de données à destination d’un préfixe d’adresses. Résumé A cet effet, il est divulgué un procédé de détection d’une anomalie dans un ensemble de chemins pour le routage de données à destination d’un préfixe d’adresses dans un réseau composé de systèmes autonomes, les chemins étant annoncés à un système autonome local par des systèmes autonomes voisins du système autonome local, le procédé comprenant : /a/ recevoir pendant un laps de temps des informations représentatives d’au moins une partie de l’ensemble de chemins ; /b/ générer, à partir des informations reçues, une matrice comprenant des éléments représentatifs de tronçons de chemin de l’ensemble de chemins, les tronçons de chemin reliant respectivement des paires de systèmes autonomes se trouvant sur l’ensemble de chemins ; /c/ réitérer les étapes /a/ et /b/ afin d’obtenir une séquence temporelle de matrices selon l’étape /b/ ; /d/ analyser une similarité entre les matrices de la séquence, et /e/ dans un cas où au moins une des matrices de la séquence diffère des autres matrices de la séquence, détecter une anomalie de routage. Un système autonome est un ensemble de réseaux et de routeurs sous une même autorité administrative. Différents systèmes autonomes peuvent être interconnectés par des chemins pour transporter du trafic, et des routeurs BGP (pour « Border Gateway Protocol ») mettant en œuvre un protocole BGP, ayant comme objectif d’échanger des informations de routage et d’accessibilité de réseaux informatiques dont les systèmes autonomes sont responsables. Un système autonome local peut être un système autonome auquel les chemins sont annoncés. Un système autonome voisin est un système autonome auquel un système autonome local est connecté directement, c’est-à-dire sans devoir passer par un autre système autonome. Une paire de systèmes autonomes correspond à deux systèmes autonomes voisins qui se trouvent sur un chemin. Chaque système autonome peut annoncer dans l’Internet un ou plusieurs préfixes d’adresses relatifs à des préfixes dont il est responsable. Un préfixe d’adresses indique une plage d’adresses de réseaux. Un chemin pour le routage de données correspond à un chemin entre systèmes autonomes sur lequel du trafic est acheminé. Un chemin peut avoir comme provenance un système autonome et comme destination un préfixe d’adresses. Le chemin qui relie un système autonome à un préfixe peut passer par d’autres systèmes autonomes. A chaque système autonome peut être attribué un identifiant unique, appelé « Autonmous System Number » (ASN). Par exemple, un chemin qui passe dans l’ordre par trois systèmes autonomes nommés AS11, AS1 et AS56 peut être représenté comme [AS11 AS1 AS56]. Un tronçon de chemin correspond à une partie de chemin qui relie respectivement deux systèmes autonomes voisins. Par exemple, un chemin qui passe dans l’ordre par trois systèmes autonomes AS11, AS1 et AS56 comprend deux tronçons de chemin [AS11 AS1] et [AS1 AS56]. BGP est un protocole qui utilise des messages de mise à jour de chemins afin d’annoncer des changements de chemin. Chaque mise à jour agrège une liste des systèmes autonomes requis pour rejoindre un préfixe donné et par lesquels le ou les chemins passent. Les informations relatives à tous les chemins pour rejoindre un préfixe à partir du système autonome local peuvent être « accumulées » pendant un laps de temps par le système autonome local et être agrégées dans une matrice, permettant une représentation des chemins annoncés au système autonome local. La matrice comprend des tronçons de chemin qui relient les systèmes autonomes sur un chemin deux par deux. Ainsi, chaque élément de la matrice correspond à un tronçon de chemin. Une réitération selon l’étape /c/ permet d’obtenir une séquence temporelle de matrices, représentatives d’une évolution temporelle des tronçons de chemin qui font partie des chemins annoncés. L’analyse d’une similarité peut correspondre à une détermination d’un écart entre une matrice donnée et une ou plusieurs parmi les matrices de la séquence de matrices. Un chemin peut présenter une anomalie lorsque le préfixe correspondant est illégitime ou invalide, ou lorsque les attributs BGP annoncés sont illégitimes ou invalides. Une anomalie peut être un détournement de chemins de routage par « hijack », i.e. par une annonce illégitime de préfixes résultant en un détournement du trafic et l’impact de services associés. En outre, une anomalie peut correspondre à une attaque de type « man-in-the-middle », i.e. à l’interception du trafic résultant en un détournement local de trafic sans perturber l’accessibilité de la destination, i.e. du préfixe d’adresse. Des détournements de chemin peuvent être volontaires ou non, et même être causées par des erreurs humaines ou de machine telles que des pannes de machine ou des comportements anormaux. La séquence de matrices peut présenter une anomalie lorsqu’il y a un changement soudain pendant un laps de temps dans des éléments d’une ou plusieurs matrices. La détection d’une anomalie peut correspondre à une classification comme « normal » ou « anomalie » de l’ensemble de chemins ou d’une partie dudit ensemble de chemins. Le procédé peut être mis en œuvre pendant une durée limitée ou en continu. En outre, la séquence des matrices peut comprendre un nombre de matrices déterminé ou variable. Par exemple, lors de la mise en œuvre du procédé, la séquence de matrices est mise à jour en y ajoutant des nouvelles matrices de manière réitérée (étape /c/). En même temps, des matrices de la séquence avec la date d’ajout la plus ancienne peuvent être supprimées de la séquence. Le procédé proposé vise à répondre aux inconvénients cités précédemment et à proposer une mise en œuvre d’un procédé de détection d’une anomalie dans un ensemble de chemins pour le routage de données à destination d’un préfixe d’adresses dans un réseau composé de systèmes autonomes. Le procédé permet d’effectuer une analyse spatio-temporelle des informations reçues, en tenant compte de la présence ou de l’absence d’un tronçon de chemin dans l’ensemble de chemins (« analyse spatiale ») ainsi que de l’évolution temporelle des tronçons de chemin (« analyse temporelle »). Le procédé permet de détecter des anomalies dans les chemins annoncés au système autonome local en identifiant une ou plusieurs matrices qui comportent un ou des éléments (représentatifs de tronçons de chemins) jugés « anormaux ». Le procédé proposé est innovant sur la mise en œuvre de l’analyse spatio-temporelle des informations reçues. Le procédé proposé est, de plus, original en ce qu’il utilise des données non étiquetées et en ce que le procédé n’est pas supervisé, permettant une meilleure généralisation des analyses effectuées. Dans la mise en œuvre du procédé, aucune connaissance préalable sur les propriétés du système, ex. sur les systèmes autonomes impliqués ou sur la nature des chemins annoncés, n’est requise. Lors de la mise en œuvre, un dispositif informatique mettant en œuvre le procédé peut alors apprendre par apprentissage (en mettant en œuvre par exemple une intelligence artificielle) quels types de matrices représentent respectivement un état « normal » ou une « anomalie ». Un exemple est donné plus loin d’une matrice normale ( ) comparativement à une matrice à anomalie ( ), cette dernière présentant dans l’exemple illustré des coefficients non nuls en-dessous d’une diagonale nulle, alors que la ne présente pas ce type de caractéristique de matrice. Une intelligence artificielle peut alors apprendre que le type de matrice illustrée schématiquement sur la ne relève pas d’une anomalie a priori alors qu’une matrice qui sort de ce profil peut révéler au contraire une anomalie. Après la phase d’apprentissage, une telle intelligence artificielle peut détecter une anomalie dans une matrice qui ne respecte pas un profil standard. Le procédé considère un seul préfixe à la fois et non pas tous les préfixes d'un système autonome ou un ensemble de préfixes confondus, permettant une analyse ciblée et une détection localisée d’une anomalie. Lorsqu’une anomalie est détectée, une alerte peut être émise. Le procédé proposé permet d’améliorer la sécurité dans les réseaux et de mitiger le détournement du trafic dans l’Internet. Les caractéristiques exposées dans les paragraphes suivants peuvent, optionnellement, être mises en œuvre. Elles peuvent être mises en œuvre indépendamment les unes des autres ou en combinaison les unes avec les autres. Dans un mode de réalisation, l’étape /d/ comprend : - une estimation d’une tendance moyenne sur des matrices de la séquence temporelle de matrices, - une estimation d’écart d’une matrice courante de la séquence par rapport à ladite tendance moyenne, et, à l’étape /e/ : - si l’écart estimé est au-delà d’un seuil, détecter une anomalie de routage révélée par ladite matrice courante. Une tendance moyenne peut correspondre à des propriétés ou des comportements présents dans une majorité ou du moins dans une partie des matrices de la séquence de matrices, ou au calcul d’une somme ou d’une somme pondérée des éléments de toutes les matrices ou d’une partie des matrices de la séquence. En outre, l’estimation d’une tendance moyenne peut prendre en compte des matrices qui ne font pas partie de la présente séquence, mais par exemple d’une séquence déterminée antérieurement. Une estimation d’écart peut être une détermination quantitative ou qualitative de différences entre les éléments ou une partie des éléments d’une matrice courante et ladite tendance moyenne. Un seuil peut être prédéterminé ou être déterminé lors de la mise en œuvre du procédé. Une valeur d’écart au-delà du seuil peut indiquer une différence significative entre la matrice courante et la tendance moyenne représentative de tronçons de chemin jugés « normaux », et peut donc être interprétée comme une présence d’anomalie. Dans un mode de réalisation, la matrice déterminée dans l’étape /b/ est à au moins deux dimensions et comprend des éléments, chacun propre à : - un index de système autonome de départ de tronçon de chemin annoncé, selon une première dimension, et - à un index de système autonome d’arrivée dudit tronçon de chemin annoncé, selon une deuxième dimension. Les expressions « système autonome de départ » et « système autonome d’arrivée » peuvent être définis par rapport au système autonome local et par rapport au système autonome qui est responsable du préfixe d’adresses. Un chemin annoncé peut avoir comme point de départ le système autonome responsable du préfixe, et comme destination le système autonome local. En partant du système autonome responsable du préfixe, le premier système autonome de tronçons de chemin respectifs peut être considéré comme « système autonome de départ », et le second système autonome de tronçons de chemin respectifs peut être considéré comme système autonome d’arrivée. Par exemple, une matrice peut avoir sur un premier axe comme éléments les systèmes autonomes de départ, et sur un deuxième axe les systèmes autonomes d’arrivé, ou inversement. Les éléments de la matrice peuvent représenter des tronçons de chemin entre un système autonome de départ donné et un système autonome d’arrivée donné. Par exemple, les éléments de la matrice peuvent avoir comme valeur « 1 », indiquant qu’un tronçon de chemin fait partie des chemins annoncés, ou « 0 », indiquant qu’un tronçon de chemin ne fait pas partie des chemins annoncés. Dans un mode de réalisation, il est affecté un nouvel index à chaque système autonome nouvellement découvert dans les annonces desdits tronçons, un index initial étant incrémenté à chaque découverte d’un nouveau système autonome intervenant dans un desdits tronçons. Les systèmes autonomes peuvent être numérotées de manière consécutive, selon l’ordre dans lequel ils sont « découverts », i.e. dans l’ordre selon lequel ils apparaissent sur les chemins. Par exemple, un index de « 0 » peut être attribué au premier système autonome découvert (indépendamment de son ASN), un index de « 1 » au deuxième système autonome découvert, etc. Cette numérotation peut mener à des canevas de matrices récurrents dans différents environnements de systèmes autonomes et de préfixes. Dans un mode de réalisation, la matrice est à au moins trois dimensions, chaque élément de la matrice étant propre en outre à un type de système autonome d’arrivée, selon une troisième dimension. La troisième dimension permet d’encoder, outre la présence ou l’absence d’une paire de systèmes autonomes sur un chemin, d’autres caractéristiques dans les matrices, telles que le pays d’origine des systèmes autonomes. Par exemple, lorsqu’un système autonome d’arrivé d’un tronçon de chemin est situé aux Etats-Unis, l’élément correspondant dans la matrice peut avoir « 2 » comme valeur. Lorsqu’un système autonome d’arrivé d’un tronçon de chemin est situé en Chine, l’élément correspondant dans la matrice peut avoir « 3 » comme valeur, etc. De plus, la troisième dimension permet d’encoder dans les matrices un ou plusieurs attributs qui caractérisent un tronçon de chemin, indiquant par exemple la nature des systèmes autonomes (client, fournisseur, peer) connectés par un tronçon de chemin donné. Dans un mode de réalisation, chaque matrice de la séquence est représentée sous forme d’une image à au moins deux dimensions, chaque image comportant des pixels, chaque pixel correspondant à un élément de la matrice. La représentation de chaque matrice sous forme d’image permet une visualisation du contenu des matrices, ce qui peut faciliter ainsi l’analyse et la détection d’une anomalie. Une réitération de l’étape /c/ permet de créer une succession d’images, i.e. une vidéo, représentant de manière visuelle les chemins annoncés (aspect spatial) et l’évolution temporelle des chemins annoncés au cours du temps (aspect temporel). Dans un mode de réalisation, chaque pixel a pour coordonnées dans l’image : - un index de système autonome de départ de tronçon de chemin annoncé, selon un premier axe de coordonnées d’image, et - un index de système autonome d’arrivée dudit tronçon de chemin annoncé, selon un deuxième axe de coordonnées d’image. Par exemple, une image peut avoir sur un premier axe comme éléments les systèmes autonomes de départ, et sur un deuxième axe les systèmes autonomes d’arrivé, ou inversement. Les pixels de l’image peuvent donc représenter des tronçons de chemin entre un système autonome de départ donné et un système autonome d’arrivé donné. Dans un mode de réalisation, chaque pixel a une couleur fonction dudit type système autonome d’arrivée dudit pixel. La couleur dudit pixel peut indiquer respectivement la présence ou l’absence d’un tronçon de chemin dans l’ensemble de chemins annoncés. Par exemple, certains pixels de la matrice peuvent être blancs, indiquant qu’un tronçon de chemin ne fait pas partie des chemins annoncés, ou noirs, indiquant qu’un tronçon de chemin fait partie des chemins annoncés. Dans un mode de réalisation, les étapes /d/ et /e/ sont réalisées par une intelligence artificielle. L’intelligence artificielle peut être configurée pour analyser une similarité entre les matrices et à détecter une anomalie. Lorsque les étapes /d/ et /e/ sont implémentées par une intelligence artificielle, aucune connaissance préalable sur le système n’est requise. L’intelligence artificielle peut s’entraîner et apprendre à identifier une « dynamique BGP normale » et quelles images correspondant à des chemins « normaux » ou « anormaux » respectivement. Dans un mode de réalisation, l’intelligence artificielle est mise en œuvre par un auto-encodeur spatio-temporel mettant en œuvre un apprentissage non supervisé configuré pour détecter une anomalie dans la séquence d’images. Un auto-encodeur est un réseau de neurones artificiels utilisé pour l’apprentissage non supervisé de caractéristiques discriminantes. Un auto-encodeur est spécialement adapté pour détecter des anomalies dans des séquences de matrices. Un auto-encodeur peut prendre comme entrée une matrice d’éléments, et « compresser » la matrice dans une étape intermédiaire, i.e. réduire le nombre d’éléments de la matrice tout en gardant le mieux possible l’information contenu dans la matrice. L’auto-encodeur peut produire en sortie, à partir de la matrice compressée, une matrice avec les mêmes dimensions que la matrice d’entrée, et déterminer un écart entre l’image d’entrée et l’image de sortie. L’auto-encodeur peut s’entraîner et apprendre à identifier une matrice représentative d’un ensemble de chemins « normaux ». Lorsque la matrice d’entrée contient une anomalie, il est probable que cette anomalie ne soit pas reproduite dans la matrice de sortie, ce qui produit un écart entre la matrice de sortie et la matrice d’entrée. L’analyse de l’écart, et notamment la comparaison de l’écart à un seuil, peut permettre de détecter la présence ou l’absence d’une anomalie dans la matrice d’entrée. Dans un mode de réalisation, l’auto-encodeur spatio-temporel implémente un apprentissage préalablement effectué sur au moins un autre préfixe d'adresses, dit apprentissage par transfert. Lorsqu’un auto-encodeur a « appris » à reconnaître des anomalies dans des matrices dans un environnement de systèmes autonomes donnés et pour un préfixe donné, les connaissances acquises peuvent être transposées dans un autre auto-encodeur pour l’application du procédé dans un autre environnement de systèmes autonomes et à un autre préfixe. Ainsi, il n’est pas nécessaire pour chaque nouvel auto-encodeur de s’entraîner. Un nouvel encodeur peut appliquer directement les connaissances acquises antérieurement par un autre auto-encodeur dans un nouvel environnement de systèmes autonomes et de préfixes. L’affectation d’un nouvel index à chaque système autonome nouvellement découvert dans les annonces des tronçons de chemin, et l’incrémentation d’un index initial à chaque découverte d’un nouveau système autonome intervenant dans un desdits tronçons, tel que décrit précédemment, est particulièrement avantageux dans la mise en œuvre d’un apprentissage par transfert. En effet, les mêmes canevas généraux d’éléments apparaissent dans différents environnements de systèmes autonomes et de préfixes, lorsque l’affectation d’un nouvel index et l’incrémentation d’un index initial tel que décrit est respecté. L’apprentissage par transfert peut donc être facilité, et la durée d’adaptation d’un auto-encodeur à un nouvel environnement de systèmes autonomes et de préfixes peut être réduite. Dans un mode de réalisation, aucune dimension de matrice n'est supérieure à 1/500 d’un nombre total de systèmes autonomes existants. L’Internet est composé de dizaines de millier de systèmes autonomes, approximativement 65.000 systèmes autonomes. Cependant, il n’est pas nécessaire que les première et deuxième dimensions de chaque matrice comprennent des dizaines de millier d’éléments, représentatifs de tous les systèmes autonomes dans l’Internet. Pour un préfixe d’adresses donné, le nombre de systèmes autonomes présents sur un chemin annoncé à destination d’un système autonome local est limité, et n’est habituellement pas supérieur à 1/500 du nombre total de systèmes autonomes existants, correspondant actuellement à 130 systèmes autonomes. Pour un préfixe donné, le volume de données générées relatives aux chemins annoncés est donc limité, permettant d’obtenir une vision claire et rapide des chemins annoncés. Dans un mode de réalisation, les informations reçues selon l'étape /a/ sont comprises dans des messages de type BGP pour « Border Gateway Protocol ». Les messages de type BGP, i.e. des mises à jour BGP, fournissent des informations relatives aux chemins annoncés, relatives à des changements dans des chemins annoncés, etc., permettant d’obtenir les informations requises pour générer les matrices selon l’étape /b/. Dans un mode de réalisation, les informations reçues selon l’étape /a/ comprennent au moins un attribut « AS Path » représentatif respectivement de systèmes autonomes se trouvant sur un chemin annoncé. L’attribut AS PATH représente la séquence des systèmes autonomes par lesquels l’information de routage a transité. Par exemple, un chemin qui passe dans l’ordre par trois systèmes autonomes AS11, AS1 et AS56 peut être représenté par l’attribut AS PATH comme AS PATH = [AS56 AS1 AS11]. L’attribut AS PATH permet d’encoder les informations requises pour la génération des matrices selon l’étape /d/. Un autre aspect de la divulgation concerne un dispositif informatique pour détecter une anomalie dans un ensemble de chemins pour le routage de données à destination d’un préfixe d’adresses dans un réseau composé de systèmes autonomes, les chemins étant annoncés à un système autonome local par des systèmes autonomes voisins du système autonome local, le dispositif comprenant : * une interface pour recevoir pendant un laps de temps des informations représentatives d’au moins une partie de l’ensemble de chemins ; * un circuit pour générer, à partir des informations reçues, une matrice comprenant des éléments représentatifs de tronçons de chemin de l’ensemble de chemins, les tronçons de chemin reliant respectivement des paires de systèmes autonomes se trouvant sur l’ensemble de chemins ; * un circuit pour réitérer la réception et la génération afin d’obtenir une séquence temporelle de matrices comprenant des éléments représentatifs de tronçons de chemin de l’ensemble de chemins ; * un circuit pour analyser une similarité entre les matrices de la séquence, et * un circuit pour détecter une anomalie de routage dans un cas où au moins une des matrices de la séquence diffère des autres matrices de la séquence. Le dispositif informatique peut comprendre ou être incorporé à un routeur BGP du système autonome local et collecter les informations représentatives d’au moins une partie de l’ensemble de chemins. Le dispositif informatique peut également être ou comprendre tout autre dispositif auquel les données collectées sont transmises. Le dispositif informatique peut être configuré pour mettre en œuvre le procédé précité. Le dispositif informatique vise à répondre aux inconvénients cités précédemment et être configuré pour détecter une anomalie dans un ensemble de chemins pour le routage de données à destination d’un préfixe d’adresses dans un réseau composé de systèmes autonomes. Le dispositif informatique peut effectuer une analyse spatio-temporelle des informations reçues, dans le sens où il est pris en compte la présence ou l’absence d’un tronçon de chemin parmi l’ensemble de chemins (« analyse spatiale ») ainsi que l’évolution temporelle des chemins annoncés des tronçons de chemin (« analyse temporelle »). Le dispositif informatique est innovant sur la mise en œuvre d’une analyse spatio-temporelle des informations reçues. Le dispositif informatique est, de plus, original en ce qu’il utilise des données non étiquetées et en ce que les actions effectuées ne sont pas supervisées, permettant une meilleure généralisation des analyses effectuées. Le dispositif informatique ne requiert aucune connaissance préalable sur les propriétés du système, ex. sur les systèmes autonomes impliqués ou sur la nature des chemins annoncés. Le dispositif informatique peut apprendre quels types de matrices représentent respectivement un état « normal » ou une « anomalie ». Le dispositif informatique considère un seul préfixe et non pas un système autonome ou plusieurs préfixes confondus, permettant une analyse ciblée et une détection localisée d’une anomalie. Lorsqu’une anomalie est détectée, le dispositif informatique peut émettre une alerte. Le dispositif informatique peut améliorer la sécurité dans les réseaux et mitiger le détournement du trafic dans l’Internet. En outre, il peut être pris des mesures au regard des chemins qui constituent une anomalie d’une matrice à anomalie. Par exemple dans le cas où certains des systèmes autonomes peuvent être contrôlés par un administrateur, la table de routage d’au moins un des systèmes autonomes locaux, contrôlés, peut être modifiée si un deuxième système, non contrôlé et suspect, partage un chemin à anomalie avec le système contrôlé. En effet, un routeur BGP du système autonome local comprenant une table d’entrée où sont insérées les chemins reçus des voisins, une table centrale utilisée pour acheminer les paquets, et une table de sortie pour les annonces faites aux voisins, si un chemin est jugé anormal par le dispositif, le routeur BGP peut ne pas le propager de la table d’entrée à la table centrale. Un autre aspect de la divulgation concerne un produit programme informatique comportant des instructions qui, lorsque ces instructions sont exécutées par un processeur, conduisent celui-ci à mettre en œuvre les étapes du procédé précité. Ce programme peut utiliser n’importe quel langage de programmation (par exemple, un langage-objet ou autre), et être sous la forme d’un code source interprétable, d’un code partiellement compilé ou d’un code totalement compilé. La décrite en détail ci-après peut former l’organigramme de l’algorithme général d’un tel programme informatique. D’autres caractéristiques, détails et avantages apparaîtront à la lecture de la description détaillée ci-après, et à l’analyse des dessins annexés, sur lesquels : Fig. 1 montre une pluralité de systèmes autonomes interconnectés par des chemins permettant d’envoyer du trafic à destination d’un préfixe d’adresses. Fig. 2 montre un ordinogramme d’un procédé de détection d’une anomalie dans un ensemble de chemins pour le routage de données à destination d’un préfixe d’adresses dans un réseau composé de systèmes autonomes selon la . Fig. 3a et Fig. 3b et représentent deux images générées par le procédé selon la et représentatives respectivement d’un état normal de chemins annoncés à destination d’un préfixe et d’une anomalie. Fig. 4 montre un mode de réalisation d’un auto-encodeur configuré pour détecter une anomalie dans des séquences d’images selon les figures 3a et 3b. Fig. 5 montre un dispositif informatique adapté pour détecter une anomalie dans un ensemble de chemins pour le routage de données à destination d’un préfixe d’adresses dans un réseau composé de systèmes autonomes. Procédé de détection d’une anomalie dans un ensemble de chemins pour le routage de données à destination d’un préfixe d’adresses (P) dans un réseau composé de systèmes autonomes (AS1, AS2, AS3, AS4, AS5), les chemins étant annoncés à un système autonome local (AS4) par des systèmes autonomes voisins (AS2, AS3, AS5) du système autonome local (AS4), le procédé comprenant : /a/ recevoir (101) pendant un laps de temps des informations représentatives d’au moins une partie de l’ensemble de chemins ; /b/ générer (102), à partir des informations reçues, une matrice comprenant des éléments représentatifs de tronçons de chemin (l 42 , l 21 , l 43 , l 31 , l 25 , l 5 1 ) de l’ensemble de chemins, les tronçons de chemin (l 42 , l 21 , l 43 , l 31 , l 25 , l 5 1 ) reliant respectivement des paires de systèmes autonomes (AS1, AS2, AS3, AS4, AS5) se trouvant sur l’ensemble de chemins ; /c/ réitérer (103) les étapes /a/ et /b/ afin d’obtenir une séquence temporelle de matrices selon l’étape /b/ ; /d/ analyser (104) une similarité entre les matrices de la séquence, et /e/ dans un cas où au moins une des matrices de la séquence diffère des autres matrices de la séquence, détecter (105) une anomalie de routage. Procédé selon la revendication 1, dans lequel l’étape /d/ comprend : - une estimation d’une tendance moyenne sur des matrices de la séquence temporelle de matrices, - une estimation d’écart d’une matrice courante de la séquence par rapport à ladite tendance moyenne, et, à l’étape /e/ : - si l’écart estimé est au-delà d’un seuil, détecter une anomalie de routage révélée par ladite matrice courante. Procédé selon l’une quelconque des revendications précédentes, dans lequel la matrice déterminée dans l’étape /b/ est à au moins deux dimensions et comprend des éléments, chacun propre à : - un index de système autonome de départ (AS2, AS3, AS4, AS5) de tronçon de chemin (l 42 , l 21 , l 43 , l 31 , l 25 , l 5 1 ) annoncé, selon une première dimension, et - à un index de système autonome d’arrivée (AS1, AS2, AS3, AS5) dudit tronçon de chemin (l 42 , l 21 , l 43 , l 31 , l 25 , l 5 1 ) annoncé, selon une deuxième dimension. Procédé selon la revendication 3, dans lequel il est affecté un nouvel index à chaque système autonome (AS1, AS2, AS3, AS4, AS5) nouvellement découvert dans les annonces desdits tronçons (l 42 , l 21 , l 43 , l 31 , l 25 , l 5 1 ), un index initial étant incrémenté à chaque découverte d’un nouveau système autonome (AS1, AS2, AS3, AS4, AS5) intervenant dans un desdits tronçons (l 42 , l 21 , l 43 , l 31 , l 25 , l 5 1 ). Procédé selon l’une quelconque des revendications 3 et 4, dans lequel la matrice est à au moins trois dimensions, chaque élément de la matrice étant propre en outre à un type de système autonome d’arrivée (AS1, AS2, AS3, AS5), selon une troisième dimension. Procédé selon l’une quelconque des revendications précédentes, dans lequel chaque matrice de la séquence est représentée sous forme d’une image à au moins deux dimensions, chaque image comportant des pixels, chaque pixel correspondant à un élément de la matrice. Procédé selon la revendication 6, dans lequel chaque pixel a pour coordonnées dans l’image : - un index de système autonome de départ (AS2, AS3, AS4, AS5) de tronçon de chemin (l 42 , l 21 , l 43 , l 31 , l 25 , l 5 1 ) annoncé, selon un premier axe de coordonnées d’image, et - un index de système autonome d’arrivée (AS1, AS2, AS3, AS5) dudit tronçon de chemin (l 42 , l 21 , l 43 , l 31 , l 25 , l 5 1 ) annoncé, selon un deuxième axe de coordonnées d’image. Procédé selon l’une quelconque des revendications 6 et 7, prise en combinaison avec l’une quelconque des revendications 3 à 5, dans lequel chaque pixel a une couleur fonction dudit type système autonome d’arrivée (AS1, AS2, AS3, AS5) dudit pixel. Procédé selon l'une des revendications précédentes, dans lequel les étapes /d/ et /e/ sont réalisées par une intelligence artificielle. Procédé selon la revendication 9, dans lequel l’intelligence artificielle est mise en œuvre par un auto-encodeur (200) spatio-temporel mettant en œuvre un apprentissage non supervisé configuré pour détecter une anomalie dans la séquence d’images. Procédé selon la revendication 10, dans lequel l’auto-encodeur (200) spatio-temporel implémente un apprentissage préalablement effectué sur au moins un autre préfixe d'adresses, dit apprentissage par transfert. Procédé selon l’une quelconque des revendications précédentes, dans lequel aucune dimension de matrice n'est supérieure à 1/500 d’un nombre total de systèmes autonomes existants. Procédé selon l’une quelconque des revendications précédentes, dans lequel les informations reçues selon l'étape /a/ sont comprises dans des messages de type BGP pour « Border Gateway Protocol ». Procédé selon l’une quelconque des revendications précédentes, dans lequel les informations reçues selon l’étape /a/ comprennent au moins un attribut « AS Path » représentatif respectivement de systèmes autonomes (AS1, AS2, AS3, AS4, AS5) se trouvant sur un chemin annoncé. Dispositif informatique (301) pour détecter une anomalie dans un ensemble de chemins pour le routage de données à destination d’un préfixe d’adresses (P) dans un réseau composé de systèmes autonomes (AS1, AS2, AS3, AS4, AS5), les chemins étant annoncés à un système autonome local (AS4) par des systèmes autonomes voisins (AS2, AS3, AS5) du système autonome local (AS4), le dispositif comprenant : * une interface (302) pour recevoir pendant un laps de temps des informations représentatives d’au moins une partie de l’ensemble de chemins ; * un circuit (305) pour générer, à partir des informations reçues, une matrice comprenant des éléments représentatifs de tronçons de chemin (l 42 , l 21 , l 43 , l 31 , l 25 , l 5 1 ) de l’ensemble de chemins, les tronçons de chemin (l 42 , l 21 , l 43 , l 31 , l 25 , l 5 1 ) reliant respectivement des paires de systèmes autonomes (AS1, AS2, AS3, AS4, AS5) se trouvant sur l’ensemble de chemins ; * un circuit (305) pour réitérer la réception et la génération afin d’obtenir une séquence temporelle de matrices comprenant des éléments représentatifs de tronçons de chemin (l 42 , l 21 , l 43 , l 31 , l 25 , l 5 1 ) de l’ensemble de chemins ; * un circuit (305) pour analyser une similarité entre les matrices de la séquence, et * un circuit (305) pour détecter une anomalie de routage dans un cas où au moins une des matrices de la séquence diffère des autres matrices de la séquence. Produit programme informatique comportant des instructions qui, lorsque ces instructions sont exécutées par un processeur, conduisent celui-ci à mettre en œuvre les étapes du procédé selon l’une quelconque des revendications 1 à 14.