Brevet FR3131044A1 — publié le 20230623

Procédé de détection d’une attaque par une menace dans un système en exploitation L’invention concerne un procédé de détection d’une attaque par une menace dans un système (10) en exploitation. Le procédé comprend les étapes suivantes, en amont de l’exploitation du système (10) : simulation d’un ensemble de séquences d’attaque possibles de la menace; traitement de l’ensemble de séquences d’attaque afin d’obtenir un ensemble de graphes sémantiques représentatifs de l’ensemble de séquences d’attaque ; Le procédé comprend les étapes suivantes, lors de l’exploitation du système (10) : mesure de la présence d’un élément suspect présent dans le système (10) en exploitation par un capteur de présence (30) ; comparaison des mesures avec l’ensemble de graphes sémantiques et détermination d’un niveau de corrélation des mesures avec chacun des graphes sémantiques ; émission d’une alerte lorsque au moins l’un des niveaux de corrélation déterminé est supérieur à un seuil d’alerte prédéterminé. Figure pour l'abrégé : Figure 2 Procédé de détection d’une attaque par une menace dans un système en exploitation La présente invention concerne un procédé de détection d’une attaque par une menace dans un système en exploitation. L’invention concerne également un produit programme d’ordinateur configuré pour la mise en œuvre d’un tel procédé de détection. La menace est par exemple une intrusion dans une zone géographique protégée, un comportement anormal d’un bateau, notamment de piraterie, ou d’un aéronef dans une zone sensible ou encore une attaque informatique contre un serveur. Les systèmes de surveillance conventionnels sont typiquement composés d'un ensemble de capteurs répartis sur une zone à surveiller et d'une description de la couverture de ces capteurs. La surveillance est basée sur des règles prédéterminées ou sur un apprentissage. En particulier, on connait une approche statistique, dans laquelle une alerte est levée si la situation actuelle diffère suffisamment de la situation habituelle. Toutefois, la caractérisation de la situation habituelle suppose de disposer d'un d'enregistrement préalable de cette situation, ce qui n'est pas nécessairement le cas. Ceci est particulièrement le cas dans les situations où peu d’observations et d’historique sont disponibles, comme par exemple dans le cas de la piraterie maritime. De plus, dans une situation où l'attaquant vise spécifiquement à tromper les systèmes de surveillance, il essaiera autant que possible d'éviter d'avoir un comportement inhabituel, et ainsi cette approche statistique ne fonctionnera que pour les menaces présentant un niveau de stratégie limité. On connait également une approche explicitement définie, comme un système dit expert, dans laquelle l'alerte est déclenchée à partir d'un modèle prédéfini, décrit par des experts du domaine. Là encore, la disponibilité d'un tel expert n'est pas garantie dans tous les cas. En outre, la flexibilité d'une telle approche est problématique. Il est souvent nécessaire d'utiliser de nombreuses heuristiques, qui peuvent être difficiles à concevoir correctement et qui conduisent généralement à des faux positifs et des faux négatifs. Une telle approche soulève également la question de la reconfiguration du système dans des situations dynamiques, où le contexte ou les comportements de la menace évoluent dans le temps. Ainsi, la présente invention vise notamment à proposer un procédé de détection d’une attaque permettant de déclencher automatiquement des alertes pertinentes, en l'absence d'historique de menaces rencontrées et d'expert pour concevoir explicitement le système d'alerte. A cet effet, l’invention a pour objet un procédé de détection d’une attaque par une menace dans un système en exploitation, le procédé de détection comprenant au moins les étapes suivantes, en amont de l’exploitation du système : simulation d’un ensemble de séquences d’attaque possibles de la menace dans le système ; traitement de l’ensemble de séquences d’attaque afin d’obtenir un ensemble de graphes sémantiques représentatifs de l’ensemble de séquences d’attaque ; le procédé de détection comprenant au moins les étapes suivantes, lors de l’exploitation du système : mesure de la présence d’un élément suspect présent dans le système en exploitation par au moins un capteur de présence ; comparaison de la ou des mesures avec l’ensemble de graphes sémantiques et détermination d’un niveau de corrélation de la ou des mesures avec chacun des graphes sémantiques ; émission d’une alerte lorsque au moins l’un des niveaux de corrélation déterminé est supérieur à un seuil d’alerte prédéterminé. L’invention permet donc, après une configuration préalable pour définir le contexte du système et des attaques éventuelles (zones sensibles, topologie du réseau, zones de détection, probabilités de détection, etc), une exécution entièrement automatisée pendant l’exploitation du système. Aucune implication d’un expert n’est nécessaire, ce qui réduit les biais potentiels et fournit à l'opérateur une vue objective. Enfin, il n'est pas nécessaire de disposer d’historiques et d’enregistrements préalables des menaces, ce qui rend l’invention particulièrement efficace contre les menaces non encore observées ou les événements rares. Suivant d’autres aspects avantageux de l’invention, le procédé de détection comprend une ou plusieurs des caractéristiques suivantes, prises isolément ou suivant toutes les combinaisons techniquement possibles :le système est une zone géographique, chaque graphe sémantique étant représentatif d’un évènement choisi dans le groupe consistant en: entrée de la menace dans une zone géographique d’intérêt ; suivi par la menace d’une trajectoire d’intérêt ; passage répété de la menace par un point ou une zone géographique d’intérêt ; passage de la menace par différents points ou zones géographiques d’intérêt consécutifs ; vitesse de la menace comprise dans un intervalle d’intérêt, et divergence entre des caractéristiques de la zone géographique d’intérêt, telles que le type de zone géographique d’intérêt ou la vitesse maximale autorisée dans la zone géographique d’intérêt, et des caractéristiques de la menace, telles que la taille de la menace, la typologie de la menace, la vitesse de la menace ou l’accélération de la menace ; au moins un capteur de présence est un capteur fixe et au moins un capteur de présence est un capteur mobile ; le système est un réseau informatique, chaque graphe sémantique étant représentatif d’un évènement choisi dans le groupe consistant en: accès à une machine informatique d’intérêt ; accès à une sous-partie d’intérêt du réseau ; utilisation d’un protocole de communication d’intérêt ; utilisation d’un port informatique d’intérêt ; transmission de paquets d’une taille informatique d’intérêt, et utilisation d’une plage d’adresses réseau d’intérêt ; la simulation est réalisée au moyen d’un algorithme d’optimisation de trajectoire dans le système ; l’ensemble de séquences et l’ensemble des graphes sémantiques occupent une taille respective sur une mémoire, l’étape de traitement comprenant l’application d’une opération permettant que la taille de l’ensemble de graphes sémantiques soit inférieure à la taille de l’ensemble de séquences ; l’alerte émise comprend au moins une information relative au graphe sémantique associé ; le procédé comprend en outre une étape de découpage du système en une pluralité de sous-systèmes avant l’étape de traitement, l’étape de traitement comprenant en outre un découpage de chaque trajectoire d’attaque simulée en fonction des différents sous-systèmes traversés ; le procédé comprend, pendant l’exploitation du système, une nouvelle itération des étapes de simulation et de traitement afin d’obtenir un nouvel ensemble de graphes sémantiques actualisé. L’invention a également pour objet un programme d’ordinateur comportant un support lisible d’informations, sur lequel est mémorisé un programme d’ordinateur comprenant des instructions de programme, le programme d’ordinateur étant chargeable sur une unité de traitement de données et adapté pour entraîner la mise en œuvre d’un procédé de détection tel que défini ci-dessus lorsque le programme d’ordinateur est mis en œuvre sur l’unité de traitement des données. Ces caractéristiques et avantages de l’invention apparaîtront plus clairement à la lecture de la description qui va suivre, donnée uniquement à titre d’exemple non limitatif, et faite en référence aux dessins annexés, sur lesquels : - la est une représentation schématique d’un dispositif de détection surveillant un système ; - la est une représentation du système constitué d’une zone géographique ; et - la est un organigramme d’un procédé, selon l’invention, de détection d’une attaque par une menace dans le système en exploitation. Un système 10 à surveiller est représenté sur la . Le système 10 est notamment une zone géographique, comme illustré sur la . La zone géographique est par exemple une zone géographique terrestre protégée telle qu’un bâtiment industriel, une zone géographique aérienne protégée telle qu’un espace aérien au-dessus d’une grande ville ou encore une zone géographique maritime protégée tel qu’un port industriel. Dans ces cas-là, l’accès à cette zone n’est autorisé qu’à certains individus ou véhicules et il est important de détecter toute intrusion non autorisée. En variante, la zone géographique est une zone libre d’accès dans laquelle il est nécessaire de détecter des comportements suspects tels qu’un bateau de piraterie dans l’océan ou un risque d’attaque terroriste dans l’espace public. En variante encore, non représentée, le système 10 est un réseau informatique comportant une pluralité d’équipements informatiques reliés entre eux et pouvant faire l’objet d’une attaque informatique qu’il est nécessaire de détecter. Le système 10 est surveillé par un dispositif de détection 12 qui est décrit par la suite. Le dispositif de détection 12 est ainsi configuré pour détecter une attaque par une menace lorsque le système 10 est en exploitation. On entend par exploitation du système 10, le fait que le système 10 soit en fonctionnement et/ou traversé par des éléments. Le système 10 est notamment en fonctionnement comme une usine ou réseau informatique, ou est susceptible d’être traversé par des véhicules tout en présentant un intérêt stratégique tel qu’un espace aérien à protéger. La menace est un élément tel qu’un individu, un véhicule ou un virus informatique visant à s’introduire dans le système 10 afin de récupérer des informations critiques ou attenter à la sécurité de ce système 10. Le dispositif de détection 12 est disposé dans le système 10 à surveiller comme par exemple dans le centre de commande d’une centrale nucléaire ou dans le réseau informatique. En variante, comme représenté sur la , le dispositif de détection 12 est déporté par rapport au système 10 à surveiller, par exemple dans un poste terrestre de surveillance d’une zone maritime. Comme visible sur la , le dispositif de détection 12 comprend un module de simulation 14, un module de traitement 16, un module de réception 18, un module de comparaison 20 et un module d’émission 22. Le module de simulation 14 est configuré pour simuler, en amont de l’exploitation du système 10, un ensemble de séquences d’attaque possibles de la menace dans le système 10. On entend par « en amont », que les simulations sont réalisées avant que le dispositif de détection 12 ne surveille le système 10 en fonctionnement. La simulation est réalisée au moyen d’un algorithme d’optimisation de trajectoire dans le système 10. Les attaques menaçantes éventuelles sont simulées afin d’obtenir une pluralité de plans d'attaque composés chacun d’une séquence d’attaque possible dans le système 10. En particulier, les menaces sont simulées par un optimiseur de planification qui calcule des plans d'attaque sur le système 10. Un grand ensemble de simulations, impliquant différentes hypothèses de menaces, fournit un ensemble conséquent de plans d'attaque. Le système 10 est représenté par un modèle définissant les différentes contraintes, zones sensibles, capteurs présents, etc. Le module de simulation 14 est configuré pour explorer les séquences possibles dans ce modèle point par point en fonction des différentes contraintes et en simulant que la menace se déplace dans le système 10 avec un objectif donné tout en essayant d'éviter la détection et en étant efficace dans sa traversée du système 10. L’ensemble des séquences d’attaque simulées permet d’obtenir un jeu de données de base pour décrire les menaces possibles pouvant attaquer le système 10. Le module de simulation 14 est en outre configuré pour relancer l’ensemble des simulations lorsque le système 10 évolue et donc que le modèle associé est modifié. Le module de traitement 16 est avantageusement configuré pour découper le système 10 et notamment le modèle associé au système 10 en une pluralité de sous-systèmes. En particulier, chaque sous-système est une sous zone géographique du système 10 ou un sous ensemble d’équipements informatiques. Le système 10 est en particulier découpé en sous-systèmes présentant chacun une particularité propre. A titre d’exemple, une zone maritime est découpée en une zone de pêche, une zone portuaire, une zone interdite d’accès, etc. En variante, le système 10 est découpé de manière uniforme, par exemple via un quadrillage de la zone géographique. Le module de traitement 16 est en outre configuré pour traiter, en amont de l’exploitation du système 10, l’ensemble de séquences d’attaque afin d’obtenir un ensemble de graphes sémantiques représentatifs de l’ensemble de séquences d’attaque. Le traitement comprend avantageusement un découpage de chaque trajectoire d’attaque simulée en fonction des différents sous-systèmes traversés. En particulier, l’ensemble des séquences est traité et sémantisé afin d’obtenir une description représentative des plans d’attaques, en utilisant une ontologie donnée. L’ontologie est une description des différents éléments qui apparaissent dans le système 10. Les graphes sémantiques sont une représentation plus simple des menaces, présentant l’avantage d'être discrètes et compréhensibles en termes de concepts, zones, vitesses, etc pour un opérateur en charge de la surveillance du système 10. Le module de traitement 16 permet donc de passer d’un ensemble de séquences à un ensemble de graphes sémantiques, qui est une somme d’évènements et de concepts compréhensibles pour l’opérateur. Le module de traitement 16 est avantageusement configuré pour fusionner les graphes sémantiques, de manière à obtenir une description des éléments les plus courants qui caractérisent les menaces, c'est-à-dire les éléments que le dispositif de détection 12 doit essayer d'identifier afin de détecter une menace. La fusion permet d’obtenir les parties communes et/ou les plus menaçantes dans les graphes sémantiques. Chaque graphe fusionné forme un modèle d'attaque. On comprendra donc que le traitement des séquences permet d’obtenir un ensemble de graphes sémantiques formant un résumé plus simple pour l’opérateur. Ainsi, l’ensemble de séquences et l’ensemble des graphes sémantiques occupent une taille respective sur une mémoire. Le traitement comprend ainsi l’application d’une opération permettant que la taille de l’ensemble de graphes sémantiques soit inférieure à la taille de l’ensemble de séquences. Les graphes sémantiques ainsi obtenus forment la référence qui permet de lever des alertes par la suite, pendant l’opération du système 10. En particulier, lorsque le système 10 est une zone géographique, une séquence d’attaque est une trajectoire d’attaque d’une menace. Chaque graphe sémantique est alors représentatif d’un évènement choisi dans le groupe consistant en: entrée de la menace dans une zone géographique d’intérêt ; suivi par la menace d’une trajectoire d’intérêt ; passage répété de la menace par un point ou une zone géographique d’intérêt ; passage de la menace par différents points ou zones géographiques d’intérêt consécutifs ; vitesse de la menace comprise dans un intervalle d’intérêt, et divergence entre des caractéristiques de la zone géographique d’intérêt, telles que le type de zone géographique d’intérêt ou la vitesse maximale autorisée dans la zone géographique d’intérêt, et des caractéristiques de la menace, telles que la taille de la menace, la typologie de la menace, la vitesse de la menace ou l’accélération de la menace. On entend par un élément « d’intérêt », que cet élément est un élément sensible du point de vue de la sécurité ou présente un intérêt stratégique. La illustre notamment deux types de graphes sémantiques dans une zone géographique. En particulier, la montre des cercles 24 associés au passage de la menace par ces points d’intérêt et des lignes rayées 26 associés à une séquence de points suivie par la menace et suivant ainsi une séquence d’intérêt. Lorsque le système est un réseau informatique, chaque graphe sémantique étant représentatif d’un évènement choisi dans le groupe consistant en: accès à une machine informatique d’intérêt ; accès à une sous-partie d’intérêt du réseau ; utilisation d’un protocole de communication d’intérêt ; utilisation d’un port informatique d’intérêt ; transmission de paquets d’une taille informatique d’intérêt, et utilisation d’une plage d’adresses réseau d’intérêt. Le module de réception 18 est configuré, lors de l’exploitation du système 10, pour recevoir les mesures d’au moins un capteur de présence 30 disposé dans le système 10. Chaque capteur 30 est configuré pour détecter la présence d’un élement suspect. En particulier, le capteur 30 est configuré pour mesurer la position d’un élément suspect présent dans le système 10 en exploitation et/ou pour mesurer des caractéristiques d’un élément suspect, par exemple sa taille ou sa typologie. Lorsque le système 10 est une zone géographique, chaque capteur 30 est par exemple un détecteur de mouvement, un capteur radar, un système de vidéosurveillance etc. Avantageusement, le système 10 comprend au moins un capteur 30 fixe et au moins un capteur 30 mobile. Chaque capteur 30 fixe est propre à détecter un élément suspect dans une zone fixe. Les capteurs fixes sont susceptibles d’être connus des menaces et seront évités par ces dernières. A l’inverse, le capteur 30 mobile est propre à se déplacer dans le système 10 et est donc propre à détecter un élément suspect dans différentes zones du système 10. Le capteur 30 mobile est par exemple embarqué dans un drone. Les déplacements des capteurs mobiles sont moins susceptibles d’être connus des menaces et permettent donc une détection de certains comportements évitant les capteurs fixes. Lorsque le système 10 est un réseau informatique, chaque capteur 30 est par exemple un bloc matériel de comptage configuré pour mesurer le nombre d’accès à un équipement informatique, le nombre d’interactions sur le réseau d’un équipement, la quantité de données transitant vers un équipement etc. Le module de comparaison 20 est configuré pour comparer les mesures des capteurs 30 avec l’ensemble de graphes sémantiques. Par exemple, lorsque l’un des graphes sémantiques correspond à une zone de présence d’intérêt, le module de comparaison 20 compare les positions mesurées de l’élément suspect par rapport à cette zone. Lorsque l’un des graphes sémantiques correspond à une trajectoire, le module de comparaison 20 compare la succession de positions mesurées de l’élément suspect par rapport à cette trajectoire. Avantageusement, le module de traitement 16 est configuré pour appliquer aux mesures le même traitement qu’aux simulations réalisés. Ainsi, les mesures sont d'abord traitées par le même processus de sémantisation avant d’être comparées aux graphes sémantiques. Ainsi, la détection des menaces est alors exprimée dans le même formalisme que les modèles d'attaque. Le module de comparaison 20 est en outre configuré pour déterminer un niveau de corrélation de la ou des mesures avec chacun des graphes sémantiques. Le niveau de corrélation est représentatif de la proximité entre les mesures et les graphes sémantiques. Plus le niveau de corrélation est élevé, plus les mesures correspondent exactement aux graphes sémantiques. Avantageusement, le module de comparaison 20 est configuré pour réaliser la comparaison en temps réel pour permettre une surveillance efficace et réactive. Ceci est en particulier possible du fait de la sémantisation des séquences qui fournissent des graphes sémantiques de taille réduite. Le module d’émission 22 est configuré pour émettre une alerte lorsque au moins l’un des niveaux de corrélation déterminé est supérieur à un seuil d’alerte prédéterminé. Ainsi, les mesures sont mises en correspondance avec les graphes sémantiques représentatifs des modèles d'attaque, afin d'émettre des alertes si les mesures correspondent à une sous-partie d'un modèle d'attaque. Le seuil d’alerte est déterminé en amont de l’exploitation du système 10 lors de la réalisation des simulations, notamment par un expert du domaine. Le seuil d’alerte est par exemple fonction de la criticité du sous-systèmes associés au graphe sémantique. Ainsi, il est possible d’exploiter les connaissances opérationnelles des experts qui permettent de compléter les plans d’attaque simulés automatiquement sans l’intervention d’un expert. L’alerte émise comprend au moins une information relative au graphe sémantique associé. Ainsi, l’alerte fournit à l’opérateur en charge de la surveillance du système 10 une information relative à la menace détectée lui permettant d’appréhender facilement la situation et de réagir en fonction. Dans l’exemple de la , le dispositif de détection 12 comprend une unité de traitement d’informations formée par exemple d’une mémoire et d’un processeur associé à la mémoire. Les différents modules sont réalisés chacun sous forme d’un logiciel, ou d’une brique logicielle, exécutables par le processeur et stockés dans la mémoire. Le processeur est alors apte à exécuter chacun de ces logiciels. En variante non représentée, les différents modules sont réalisés chacun sous forme d’un composant logique programmable, tel qu’un FPGA (de l’anglais Field Programmable Gate Array), ou encore sous forme d’un circuit intégré dédié, tel qu’un ASIC (de l’anglais Application Specific Integrated Circuit). Lorsque le dispositif de détection 12 est réalisé sous forme d’un ou plusieurs logiciels, c’est-à-dire sous forme d’un programme d’ordinateur, il est en outre apte à être enregistré sur un support, non représenté, lisible par ordinateur. Le support lisible par ordinateur est par exemple, un médium apte à mémoriser les instructions électroniques et à être couplé à un bus d’un système informatique. A titre d’exemple, le support lisible est un disque optique, un disque magnéto-optique, une mémoire ROM, une mémoire RAM, tout type de mémoire non-volatile (par exemple EPROM, EEPROM, FLASH, NVRAM), une carte magnétique ou une carte optique. Sur le support lisible est alors mémorisé un programme d’ordinateur comportant des instructions logicielles. Le fonctionnement du dispositif de détection 12 selon l’invention va désormais être expliqué à l’aide de la représentant un organigramme du procédé, selon l’invention, de détection d’une attaque par une menace dans le système 10 en exploitation. Par la suite, un exemple de mise en œuvre du procédé va être décrite dans un système 10 formé d’une zone géographique mais l’homme du métier comprendra que ce procédé s’applique plus généralement à tout système 10, notamment à un système informatique. La représente un système 10 ici constitué d’une zone géographique sensible, comme par exemple un aéroport, une centrale nucléaire, etc. Une pluralité de capteurs 30 sont disposés dans le système 10. Une partie de ces capteurs 30 est fixe et une partie de ces capteurs 30 est mobile. La montre des capteurs de présence 30 fixes représentés par des triangles et qui sont susceptibles d’être connus de la menace. La montre également des capteurs de présence 30 mobiles, représentés par des carrés, ainsi que leur déplacement en pointillés. Ces déplacements ne sont pas connus par la menace. Dans l’exemple illustré, les menaces se déplacent depuis une frontière d'entrée vers une frontière de sortie et peuvent affronter des terrains infranchissables et traverser des terrains où elles ne sont pas détectées. Le dispositif de surveillance 12 vise ainsi à détecter ces intrusions pouvant être réalisées via plusieurs véhicules, par exemple terrestres ou aériens, et qui tentent d'atteindre, par exemple ici, la limite nord-ouest du système 10 qui représente un sous-système sensible. Initialement, avant l’exploitation du système 10, le procédé de détection comprend la simulation 100 d’un ensemble de séquences d’attaque possibles de la menace dans le système 10. Cette simulation est éventuellement réalisée à l’écart du système 10. Ces séquences simulées sont représentées par les lignes fléchées 32 sur la . Puis, le procédé comprend une étape de traitement 110 de l’ensemble des séquences d’attaque afin d’obtenir un ensemble de graphes sémantiques représentatifs de l’ensemble de séquences d’attaque. En particulier, les séquences sont sémantisées et fusionnées afin d’obtenir des graphes sémantiques facilement compréhensibles par un opérateur. Ici, les graphes sémantiques sont représentés par les cercles 24 associés à une présence dans ces zones et liées par une relation de séquence représentés par les lignes rayées 26. Puis, le système 10 est surveillé durant son exploitation. Par exemple, l’aéroport est surveillé pendant que des vols d’avions s’opèrent ou la centrale nucléaire est surveillée pendant son fonctionnement. Le procédé de détection comprenant alors la mesure 120 de la présence d’un élément suspect présent dans le système 10 en exploitation par les différents capteurs 30. Puis lors d’une étape 130, ces mesures sont comparées avec l’ensemble de graphes sémantiques afin de déterminer un niveau de corrélation des mesures avec chacun des graphes sémantiques. Lorsqu'une correspondance est trouvée, c’est-à-dire lorsque au moins l’un des niveaux de corrélation déterminé est supérieur à un seuil d’alerte prédéterminé, une alerte est émise lors d’une étape 140. Cette surveillance est réalisée en temps réel. Par temps réel, on entend que le décalage entre la mesure de la position et la levée des alertes est réalisée dans un temps très faible, typiquement inférieur à la minute. Pendant l’exploitation du système 10, lorsque le système 10 évolue et/ou est modifié, une nouvelle itération des étapes de simulation et de traitement est réalisée afin d’obtenir un nouvel ensemble de graphes sémantiques actualisé. Par exemple, dans l’exemple de la , si des capteurs 30 sont ajoutés ou qu’un passage est condamné, les séquences d’attaques possibles sont recalculées afin de garder une surveillance efficace et pertinente. Une telle reconfiguration permet donc une adaptabilité du système de surveillance qui n’est pas possible dans un système conventionnel dimensionné par des experts qui ne sont pas forcément disponibles à chaque modification du système 10. L’homme du métier comprendra que l’invention est avantageusement couplée avec des systèmes d’alerte conventionnels basés sur l'apprentissage historique ou les systèmes experts de manière complémentaire. En fonction des contraintes et de la disponibilité des données et du personnel, une ou plusieurs des approches peuvent être utilisées et/ou combinées, renforçant encore la confiance de l'opérateur envers le dispositif de surveillance. On conçoit donc que la présente invention présente un certain nombre d’avantages. L'art antérieur ne considère qu'une approche d'apprentissage sur les données brutes des capteurs, des règles explicites, etc. A l’inverse, la présente invention permet de compenser le manque de données réelles en utilisant une simulation optimisée et la fusion de graphes sémantiques pour déclencher des alertes. L'invention repose sur la synergie des trois étapes de simulation, de sémantisation et de comparaison. L’invention permet une exécution entièrement automatisée pendant l'exploitation du système 10 après la configuration préalable. Aucun expert n’est nécessaire dans la conception du système de surveillance, ce qui réduit les biais potentiels ou le renforcement de leurs croyances antérieures. Toutefois, les connaissances opérationnelles des experts peuvent être utilisées pour optimiser le dispositif de surveillance, notamment dans la définition des seuils d’alerte et la catégorisation des graphes sémantiques. En outre, il n'est pas nécessaire de disposer d’enregistrements préalables des menaces, ce qui rend l’invention particulièrement efficace pour les menaces non encore observées ou les événements de faible signal. Procédé de détection d’une attaque par une menace dans un système (10) en exploitation, le procédé de détection comprenant au moins les étapes suivantes, en amont de l’exploitation du système (10) : simulation (100) d’un ensemble de séquences d’attaque possibles de la menace dans le système (10) ; traitement (110) de l’ensemble de séquences d’attaque afin d’obtenir un ensemble de graphes sémantiques représentatifs de l’ensemble de séquences d’attaque ; le procédé de détection comprenant au moins les étapes suivantes, lors de l’exploitation du système (10) : mesure (120) de la présence d’un élément suspect présent dans le système (10) en exploitation par au moins un capteur de présence (30) ; comparaison (130) de la ou des mesures avec l’ensemble de graphes sémantiques et détermination d’un niveau de corrélation de la ou des mesures avec chacun des graphes sémantiques ; émission (140) d’une alerte lorsque au moins l’un des niveaux de corrélation déterminé est supérieur à un seuil d’alerte prédéterminé. Procédé de détection selon la revendication 1, dans lequel le système (10) est une zone géographique, chaque graphe sémantique étant représentatif d’un évènement choisi dans le groupe consistant en: entrée de la menace dans une zone géographique d’intérêt ; suivi par la menace d’une trajectoire d’intérêt ; passage répété de la menace par un point ou une zone géographique d’intérêt ; passage de la menace par différents points ou zones géographiques d’intérêt consécutifs ; vitesse de la menace comprise dans un intervalle d’intérêt, et divergence entre des caractéristiques de la zone géographique d’intérêt, telles que le type de zone géographique d’intérêt ou la vitesse maximale autorisée dans la zone géographique d’intérêt, et des caractéristiques de la menace, telles que la taille de la menace, la typologie de la menace, la vitesse de la menace ou l’accélération de la menace. Procédé de détection selon la revendication 2, dans lequel au moins un capteur de présence (30) est un capteur fixe et au moins un capteur de présence (30) est un capteur mobile. Procédé de détection selon la revendication 1, dans lequel le système (10) est un réseau informatique, chaque graphe sémantique étant représentatif d’un évènement choisi dans le groupe consistant en: accès à une machine informatique d’intérêt ; accès à une sous-partie d’intérêt du réseau ; utilisation d’un protocole de communication d’intérêt ; utilisation d’un port informatique d’intérêt ; transmission de paquets d’une taille informatique d’intérêt, et utilisation d’une plage d’adresses réseau d’intérêt. Procédé de détection selon l’une quelconque des revendications précédentes, dans lequel la simulation (100) est réalisée au moyen d’un algorithme d’optimisation de trajectoire dans le système (10). Procédé de détection selon l’une quelconque des revendications précédentes, dans lequel l’ensemble de séquences et l’ensemble des graphes sémantiques occupent une taille respective sur une mémoire, l’étape de traitement (110) comprenant l’application d’une opération permettant que la taille de l’ensemble de graphes sémantiques soit inférieure à la taille de l’ensemble de séquences. Procédé de détection selon l’une quelconque des revendications précédentes, dans lequel l’alerte émise comprend au moins une information relative au graphe sémantique associé. Procédé de détection selon l’une quelconque des revendications précédentes, comprenant en outre une étape de découpage du système (10) en une pluralité de sous-systèmes avant l’étape de traitement (110), l’étape de traitement (110) comprenant en outre un découpage de chaque trajectoire d’attaque simulée en fonction des différents sous-systèmes traversés. Procédé de détection selon l’une quelconque des revendications précédentes, dans lequel le procédé comprend, pendant l’exploitation du système (10), une nouvelle itération des étapes de simulation (100) et de traitement (110) afin d’obtenir un nouvel ensemble de graphes sémantiques actualisé. Produit programme d’ordinateur comportant un support lisible d’informations, sur lequel est mémorisé un programme d’ordinateur comprenant des instructions de programme, le programme d’ordinateur étant chargeable sur une unité de traitement de données et adapté pour entraîner la mise en œuvre d’un procédé de détection selon l’une quelconque des revendications 1 à 9 lorsque le programme d’ordinateur est mis en œuvre sur l’unité de traitement des données.