FR 3020486 A1 20151030 FR 1453806 A 20140428 SYSTEME APPLICATIF MODULAIRE D'AUDIT DE SECURITE POUR MESURER LE NIVEAU DE VULNERABILITE A L'EXFILTRATION DE DONNEES SENSIBLES DOMAINE TECHNIQUE DE L'INVENTION [0001 ] L'invention se rapporte au domaine de la sécurité informatique. Plus particulièrement, l'invention concerne un système applicatif modulaire d'audit pour mesurer le niveau de vulnérabilité à l'exfiltration de données sensibles d'un système d'information d'une entreprise. L'invention concerne encore l'architecture applicative pour la mise en place dudit système. [0002]Aujourd'hui, la priorité en matière de sécurité informatique est axée sur la prévention et/ou la détection des attaques initiales afin d'éviter toute compromission de son réseau. L'actualité récente a pourtant démontré qu'il est parfois impossible de se prémunir contre certaines menaces surtout lorsque celles- ci sont coordonnées et ciblées. [0003] On assiste chaque jour à la perturbation des réseaux et des infrastructures numériques. Le phénomène s'amplifie, à la mesure de l'importance de la révolution numérique. Des délinquants pénètrent sur les réseaux pour récupérer les informations qui y circulent ou qui sont stockées sur le système d'informations. Piratage de données personnelles, cybercriminalité, espionnage, intrusions, vol d'informations stratégiques, APT, manifestations et revendications d'activistes... l'inquiétude grandit au sein des directions informatiques. Les délits commis sur les systèmes d'information et les réseaux informatiques menacent les entreprises et affectent le fonctionnement de l'économie et des institutions. [0004]Aujourd'hui, les entreprises sont aussi le théâtre d'opérations de la guerre du Net. Les entreprises, appartenant au secteur de la défense et de l'industrie chimique, avaient déjà été victimes d'une série d'intrusions informatiques. Ces intrusions sont coordonnées : les ordinateurs desdites sociétés auraient été infectés par un programme malveillant, utilisé pour dérober des informations. Les informations volées sont protégées par la propriété intellectuelle. L'espionnage industriel semble bien être le mobile de ces attaques. [0005]11 apparaît donc que, malgré tous les mécanismes de protection mis en place, des intrusions informatiques majeures ayant pour conséquence une exfiltration des données sensibles de l'entreprise/la collectivité peuvent se produire. De plus, vis-à-vis de ces menaces, il est aujourd'hui impossible d'évaluer son degré de protection ou le niveau de réaction des équipes techniques surveillant son réseau informatique. ETAT DE LA TECHNIQUE ANTERIEURE [0006]La demande internationale WO 2000034847 A9, concerne la détection d'intrusions nuisibles ou illégales dans un réseau informatique ou dans des parties réservées dudit réseau, qui consiste à utiliser des analyses statistiques pour comparer des commandes d'utilisateurs et des noms de programmes à une séquence modèle. Dans ce document, la détection d'intrusion est basée sur la comparaison d'un modèle de séquence avec les séquences de commandes d'utilisateurs. Ce document montre qu'il peut y avoir une intrusion possible dans le réseau ou certaine partie du réseau. [0007]La demande internationale W02003090046 A3 concerne un système de détection d'intrusion ou d'une tentative d'intrusion par un tiers ou une entité non autorisée dans un système ou un réseau informatique. Le système de détection d'intrusion comprend des moyens pour contrôler l'activité par rapport au système ou au réseau informatique, des moyens destinés à recevoir et à stocker une ou plusieurs règles générales, chacune des règles générales étant représentative de caractéristiques associées à une pluralité d'instances spécifiques d'intrusion ou de tentative d'intrusion, et des moyens de mise en correspondance, destinés à recevoir des données relatives à l'activité rapportée audit système ou réseau informatique depuis les moyens de contrôle, pour comparer, de manière sémantique, des ensembles d'actions, formant l'activité, à la règle générale, ou aux règles générales, afin d'identifier une intrusion ou une tentative d'intrusion. [0008]Le Document WO 2009114436 concerne plus généralement des systèmes et des méthodes de communications sécurisées et, plus particulièrement, il 30 concerne un système et une méthode pour l'exfiltration de données sécurisées, à partir d'un réseau ou d'un système de communication fermé, vers un système ou un ordinateur ouvert. Ce document, concerne une méthode d'exfiltration de données sécurisées, mais il ne s'agit pas d'un système permettant de mesurer la vulnérabilité à l'exfiltration de données sensibles. [0009] L'objectif est donc de mesurer le niveau de vulnérabilité à l'exfiltration de 5 données en ligne d'une entreprise, et d'évaluer la capacité d'un service (SOC: Security Operation Center ou CSIRT : Computer Security Incident Response Team) à identifier : si une exfiltration de données est en cours ? quelles sont les données dérobées ? et depuis quand une exfiltration est-elle en cours ? L'objectif permet également d'organiser des mises en situation pour valider des contre-10 mesures ou un plan de lutte. EXPOSE DE L'INVENTION [0010] L'invention vise à remédier aux inconvénients de l'état de la technique et notamment à proposer un système applicatif modulaire d'audit de sécurité pour mesurer le niveau de vulnérabilité à l'exfiltration de données sensibles d'un 15 système informatique d'une entreprise, et pour évaluer la capacité de ladite entreprise à identifier une exfiltration de données comprenant : - un module d'initiation comprenant un fichier de configuration contenant des paramètres dudit système applicatif, ledit fichier de configuration permettant d'initier un module de recherche; 20 - ledit module de recherche comprend des moyens de création de documents témoins aptes à être insérés dans un système de fichier de l'entreprise, ledit module de recherche comprend en outre un logiciel robot , dit de crawling, apte à lister le contenu des ressources accessibles via le contexte technique d'un utilisateur et de rechercher de 25 potentiels fichiers considérés comme sensibles selon la définition de l'entreprise; - un module d'analyse comprenant des moyens pour analyser l'activité dudit utilisateur afin d'identifier son contexte socioprofessionnel et de cibler des documents collaboratifs présentant un intérêt pour une 30 exfiltration; le système applicatif est caractérisé en ce que le logiciel robot est apte à indexer pour chaque objet, l'étendue des droits et des comptes informatiques ayant accès auxdits objets ainsi que des informations relatives aux dates de création, de modification ou de dernier accès auxdits objets; ledit logiciel robot est en outre apte à appeler des fonctions algorithmiques incluses dans le module d'analyse afin d'identifier parmi les documents collaboratifs ciblés ceux qui sont à récupérer ou ceux qui devraient potentiellement l'être; en ce que ledit logiciel robot est en outre apte à lister lesdits documents collaboratifs dans un journal d'évènements ; et en ce que le système d'applicatif comprend, en outre, un module d'exfiltration comprenant des moyens pour détecter des méthodes d'exfiltration disponibles sur un réseau de l'entreprise à l'aide d'une base de données recensant les différents moyens utilisables pour opérer une commande et un contrôle, ledit module d'exfiltration comprenant des moyens aptes à exfiltrer et à obfusquer les documents collaboratifs précédemment récupérés à l'aide d'au moins une méthode spécifique. (0011 ]Par contexte technique d'utilisateur, on entend son profil et ses droits sur des documents du système d'information. Objets dans le sens de la présente 20 invention concerne les fichiers, les répertoires, boites aux lettres, les e-mails... [0012] De préférence, le module d'initiation est accessible par l'intermédiaire d'une interface graphique d'administration permettant la configuration dudit système applicatif et la mise en relation du fichier de configuration avec le paramétrage de l'entreprise. 25 [0013]Selon l'invention, le module d'initiation est accessible via une interface graphique utilisateur permettant de définir le niveau d'exposition de l'exfiltration cible, d'intégrer la configuration client et de définir les paramètres du rapport d'analyse. [0014]Conformément à l'invention, ladite au moins une méthode utilisée par le 30 module d'exfiltration pour dissimuler les documents collaboratifs obfusqués est choisie parmi la mise en place de canaux chiffrés et/ou la stéganographie et/ou le chiffrement des fichiers. [0015] Avantageusement, les moyens d'exfiltration sont aptes à effectuer l'exfiltration des documents de façon automatique, en fonction de scénarii 5 prédéfinis et/ou de différents paramètres concernant un attaquant, à l'aide de fonctions algorithmiques basées sur des algorithmes d'aléas. [0016]En outre, le module d'initiation comprend un logiciel de licence apte à définir l'autorisation de l'entreprise à utiliser le système applicatif, via la gestion de DRM ; ledit logiciel de licence étant également apte à vérifier l'accessibilité de l'utilisateur 10 à des modules et fonctionnalités dudit système applicatif. [0017] Les DRM (digital rights management) ont pour objectif de contrôler l'utilisation qui est faite des oeuvres numériques. Ces dispositifs peuvent s'appliquer à tous types de supports numériques physiques (disques, DVD, logiciels, etc.) ou de transmission (télédiffusion, services Internet, etc.) grâce à un 15 système d'accès conditionnel. [0018]De plus, les moyens d'analyse sont aptes à analyser des objets, leur contenu et leur emplacement par recherche de mot clés en simulant différents utilisateurs et leurs contextes techniques associés, lesdits moyens d'analyse sont capables de récupérer des fichiers sensibles accessibles sur un réseau de 20 l'entreprise via le logiciel robot du module de recherche. [0019]En outre, le système applicatif d'audit comprend un module de communication comprenant des moyens de contrôle à distance, lesdits moyens étant aptes à vérifier la fonctionnalité des méthodes d'exfiltrations détectées par le module d'exfiltration. 25 [0020]De plus, le module de communication comprend en outre des moyens d'hébergement aptes à héberger des fichiers «filtrés et à mettre en place des méthodes de dissimulation desdits fichiers exfiltrés. [0021]Conformément à l'invention, le système applicatif d'audit comprend en outre un module de génération de rapports muni de moyens pour générer des rapports aptes à centraliser des journaux d'événements sur un fichier trace système , ledit fichier trace système étant mis à la disposition de l'entreprise. (00223 En outre, les moyens pour générer des rapports sont capables de générer un rapport d'activité en utilisant les résultats d'exfiltration et les journaux 5 d'événements. [0023] De plus, les moyens pour générer des rapports sont capables de générer un rapport d'audit en utilisant d'une part les rapports d'activités et d'autre part les données exfiltrées. [0024]Avantageusement, les modules constitutifs dudit système applicatif sont 10 exécutables séparément de telle sorte qu'il comporte plusieurs fichiers exécutables. [0025]Selon un autre mode de réalisation de l'invention le système applicatif 15 modulaire comporte un seul fichier exécutable. [0026] L'invention concerne encore une architecture applicative modulaire pour la mise en place du système applicatif modulaire ci-dessus caractérisé en ce qu'elle est basée sur des communications réseaux en mode clients /serveur ou via des APIs développées spécifiquement ou via des connecteurs réseau. 20 BREVE DESCRIPTION DES FIGURES [0027]D'autres caractéristiques, détails et avantages de l'invention ressortiront à la lecture de la description qui suit, en référence aux figures annexées, qui illustrent : la figure 1, montre l'architecture globale du système selon l'invention; la figure 2, illustre le module d'initiation ; 25 la figure 3, montre le module de recherche comprenant le logiciel de robot ; la figure 4, montre le module d'analyse; la figure 5, montre le module d'exfiltration; la figure 6, illustre le module de communication ; la figure 7, montre le module de génération de rapports ; (0028]Pour plus de clarté, les éléments identiques ou similaires sont repérés par des signes de références identiques sur l'ensemble des figures. DESCRIPTION DETAILLEE D'UN MODE DE REALISATION [0029]Pour une entreprise, Un SOC permet d'administrer la sécurité de son parc informatique à distance en collectant et corrélant les fichiers traces de ses différents équipements et applicatifs de sécurité (pare-feu, IDS/IPS, VPN, antivirus, etc.), ou réseau. La corrélation d'événements provenant de sources différentes et l'analyse en temps réel peuvent ainsi permettre une identification rapide des risques, notamment d'intrusion, il permet également de gérer les incidents de sécurité. [0030]La figure 1 représente une vue d'ensemble de l'architecture globale du système applicatif modulaire d'audit de sécurité selon la présente invention. On remarque que l'algorithme d'exécution du scénario d'exfiltration est au coeur du système applicatif d'audit. Le système comprend un module d'initiation 1 pour analyser un fichier de configuration comprenant les paramètres du système applicatif selon l'invention. Ledit fichier de configuration permet d'initier un module de recherche 2. Le module d'initiation est accessible par l'intermédiaire d'une interface graphique d'administration 8 permettant la configuration dudit système applicatif. De plus, ladite interface 8 permet de mettre en relation le fichier de configuration avec le paramétrage de l'entreprise (client). Le module d'initiation est accessible à un utilisateur via une interface graphique utilisateur 7. Cette interface permet de définir le niveau d'exposition de l'exfiltration cible, d'intégrer la configuration client et de définir les paramètres du rapport d'analyse. Le module de recherche 2 comprend des moyens 21 permettant de créer des documents témoins (tests). Lesdits documents témoins doivent être insérer dans un système de fichier de l'entreprise, client. Ledit module de recherche comprend en plus un logiciel robot 22, appelé crawling, apte à lister le contenu des ressources accessibles via le contexte technique d'un utilisateur. De plus le robot 22 peut chercher de potentiels fichiers considérés comme sensibles selon la définition de l'entreprise (client). Un module d'analyse 3 comprenant des moyens 31 pour analyser l'activité dudit utilisateur pour pouvoir d'identifier son contexte socioprofessionnel et ainsi de cibler des documents collaboratifs présentant de l'intérêt pour une exfiltration. Le robot 22 est en plus capable d'indexer pour chaque objet, tels que fichiers, répertoires, boites aux lettres, l'étendue des droits et des comptes informatiques des utilisateurs ayant accès auxdits objets ainsi que des informations relatives aux dates de création, de modification ou de dernier accès auxdits objets. Ledit logiciel robot 22 appelle des fonctions algorithmiques inclues dans le module d'analyse 3 pour identifier parmi les documents collaboratifs ciblés ci-dessus ceux qui sont à récupérer ou ceux qui devraient potentiellement l'être. de plus le robot 22 peut lister les documents collaborâtifs dans un journal d'évènements. Un module d'exfiltration 4 comprenant des moyens 43 pour détecter des méthodes d'exfiltration 46 disponibles sur un réseau de l'entreprise à l'aide d'une base de données (non visible sur la figure 1) recensant ainsi les différents moyens utilisables pour opérer une commande et un contrôle. Ledit module 4 comprend en plus des moyens 41 et 42 aptes à exfiltrer et à obfusquer les documents collaboratifs précédemment récupérés à l'aide des différentes méthodes disponibles 44. [0031]La figure 1 représente en plus un module de communication 6 en dehors du périmètre du client. Ce module comprend des moyens 61 de contrôle à distance ainsi que des moyens d'hébergement 62 et 63. Le système comprend un module de génération de rapports 5. Ce module 5 comprend des moyens 51 pour générer des rapports d'activités. Les spécifications de chacun des modules ci-dessus sont détaillées dans la description en référence aux figures suivantes. [0032] La figure 2 présente le module d'initiation. Ce module comprend un fichier de configuration fourni initialement et contenant les paramètres du système applicatif d'audit. Le but de ce module est d'analyser ledit fichier de configuration et de le mettre en relation avec les paramètres fournis par l'entreprise ou le client et initier un module de recherche. Par client on entend l'entreprise dans laquelle le système va être déployé. [0033] En outre, le module d'initiation comprend un logiciel de licence apte à définir si l'entreprise peut utiliser la solution proposée, via la gestion des DRM. Ledit 30 logiciel de licence étant également apte à vérifier les modules et fonctionnalités accessibles à l'utilisateur. De plus ce logiciel de licence est aussi un moyen sécurisé par rapport au système applicatif permettant d'éviter l'utilisation de celui-ci par un utilisateur malveillant dans le but d'exfiltrer des documents sensibles du système informatique du client. [0034] La figure 3 représente le module de recherche 2 du système d'audit selon l'invention. Ce module permet de créer de façon automatique des fichiers qui intègrent les mots clés génériques et/ou les mots clés définis avec le client. Lesdits documents sont appelés les documents "témoins". Lesdits fichiers sont ensuite insérer dans le système de fichier du client. Le système informatique du client est constitué d'un système de fichier. (0035] Les formats de fichiers créés sont du type .doc, .docx, .xls, .xlsx, .ppt, .pptx, .pdf et des journaux d'évènements comme .txt et autres formats de fichiers traces, etc... Le but est d'exfiltrer les documents créés par le module de recherche 2 afin d'éviter d'exfiltrer des documents clients réellement sensibles. [0036] Le module de recherche 2 comprend en plus un logiciel robot 22 dit de Crawling. Cette brique de logicielle crawler, va permettre de lister le contenu des ressources accessibles via le contexte technique informatique (IT) de l'utilisateur et de rechercher de potentiels fichiers identifiés comme sensibles par le client. Pour cela, elle va tout d'abord lister tous les partages de fichiers présents sur le réseau, le contenu des boîtes mails, des applications intranet, ..., et auxquels l'utilisateur peut accéder. Ce niveau d'accès sera directement lié aux droits donnés au système applicatif d'audit selon la présente invention. En effet, il n'y aura aucune tentative frauduleuse d'élévation de privilège. Le logiciel robot 22 indexera également pour chaque objet comme des fichiers, des répertoires, des boîtes mails, etc...., l'étendue des droits et des comptes ayant accès à ceux-ci et les informations relatives aux dates de création, de modification ou de dernier accès. [0037] Ledit logiciel robot (crawler) fera ensuite appel aux différentes fonctions du module d'analyse 3 afin d'identifier parmi la masse d'informations ciblées celles qui - seront à récupérer ou qui devraient potentiellement l'être, mais qui seront explicitement exclues. Il listera ensuite ces informations dans un journal 30 d'évènement. 10 3020486 [0038]La figure 4 représente le module d'analyse 3. Ledit module dispose de différentes fonctions intervenant à différentes étapes du processus d'exfiltration. Ce module 3 sert à analyser l'activité de l'utilisateur et permet d'identifier le contexte socio-professionnel de celui-ci et de cibler ainsi les documents collaboratifs et par 5 recoupement avec la fréquence d'accès à ceux-ci et les droits d'accès des objets d'identifier, ceux qui présentent le plus d'intérêt pour l'exfiltration. [0039] De plus, ce module 3 sert à analyser des objets, de leur contenu et de leur emplacement par recherche de mots clés, en simulant différents utilisateurs et leurs contextes techniques associés, et de leur positionnement dans un contexte 10 en se basant sur la découverte du réseau effectuée par la brique logiciel robot 22 (Crawler) du module de recherche 2. Ledit module Analyse récupère également les fichiers sensibles accessibles sur le réseau. L'analyse peut se faire soit sur base des résultats fournis par le robot (crawler), soit à posteriori une fois la récupération faite. Cette analyse étant consommatrice de ressources, II est prévu d'exécuter 15 celle-ci lors des plages de temps de non-utilisation du poste de travail d'un utilisateur. [0040]La figure 5 représente le module exfiltration 4, ledit module permet la détection des méthodes d'exfiltration 46 disponible sur le réseau de l'entreprise (client) à l'aide d'une base de données. Cette brique de logicielle «filtration 20 recense les différents moyens utilisés pour opérer une commande et un Control ». Le module exfiltration aura également pour but d'obfusquer les documents précédemment récupérés afin de les dissimuler lors de l'extraction. Pour ce faire, le système selon la présente invention prévoit plusieurs méthodes 44 à savoir: la mise en place de canaux chiffrés, la stéganographie, le chiffrement du fichier avant 25 envoi, etc... La méthode sera sélectionnée automatiquement grâce à l'algorithme d'exécution du scénario d'exfiltration 45. L'exfiltration est effectuée ensuite vers un serveur appartenant à la société LINEON, Créateur (Editeur) du système applicatif modulaire, objet de la présente invention, selon une méthode déterminée par l'algorithme d'exécution du scénario en fonction des paramétrages du système informatique du client dans lequel le système applicatif est mis en place. En effet, le module d'exfiltration est apte à effectuer l'exfiltration des documents de façon automatique, en fonction de scénarii prédéfinis 45 et de différents paramètres 11 3020486 concernant l'attaquant, à l'aide de fonctions algorithmiques sur base d'algorithmes d'aléas. [0041 ]Par stéganographie on entend l'art- de la dissimulation. L'objet de la stéganographie est de faire passer inaperçu un message dans un autre message 5 et non de rendre un message inintelligible à autre. [0042]Le système applicatif comprend en outre un module communication 6 tel que représenté à la figure 6. Ce module est en dehors du périmètre du client, et, est placé sous le contrôle exclusif de la société L1NEON. Ce module comprend une brique de logicielle 61 appelée contrôle à distance permettant de vérifier que les 10 méthodes d'exfiltrations 46 possibles détectées par le module exfiltration sont fonctionnelles. Ce module de communication comprend des moyens d'hébergement 62 et 63. Les moyens 62 servent à héberger des fichiers exfiltrés tandis que les moyens 63 peuvent mettre en place des méthodes de dissimulation desdits fichiers. 15 [0043] Le système applicatif l'objet de l'invention comprend en outre un module génération de rapports 5 tel que représenté à la figure 7. Ledit module 5 comprend des moyens pour générer des rapports 51 permettant de centraliser des journaux d'évènement 9 sur un fichier trace système.. Ces fichiers traces systèmes sont mis à la disposition du client. Les moyens pour générer des rapports 51 sont en plus 20 capables de générer un rapport d'activités en utilisant les résultats d'exfiltration et les journaux d'événements. En corrélant les informations souhaitées dans le rapport par le client avec les résultats de détection des protections mises en place sur le réseau du client, les résultats des différentes exfiltrations réussies et échouées ainsi que les différents journaux d'évènements applicatifs, un rapport 25 d'activité pourra être généré à la demande du client. [0044] Les moyens pour générer des rapports 51 sont en plus capable de générer un rapport d'audit en utilisant d'une part les rapports d'activités et d'autre part les données exfiltrées. Cette partie sera effectuée par la société L1NEON citée ci-dessus, à postériori de l'analyse. 12 3020486 Fonctions algorithmiques Réseau Bavésien [0045]Un réseau bayésien (RB) est en informatique et en statistique un modèle graphique probabiliste représentant des variables aléatoires sous la forme d'un 5 graphe orienté acyclique. Intuitivement, il permet à la fois : - de modéliser une représentation des connaissances ; - de calculer des probabilités conditionnelles. [0046]Pour un domaine donné (par exemple médical), on décrit les relations causales entre variables d'intérêt par un graphe. Dans ce graphe, les relations de 10 cause à effet entre les variables ne sont pas déterministes, mais probabilisées. Ainsi, l'observation d'une cause ou de plusieurs causes n'entraîne pas systématiquement l'effet ou les effets qui en dépendent, mais modifie seulement la probabilité de les observer. [00473 L'intérêt particulier des RB est de tenir compte simultanément de 15 connaissances à priori d'experts (dans le graphe) et de l'expérience contenue dans les données. Les RB permettent de construire ces probabilités jointes, et comment, à partir de ces probabilités jointes, on peut retrouver toutes les probabilités conditionnelles souhaitées. « les réseaux bayésiens constituent la technologie la plus puissante de ces 10 dernières années en IA et en apprentissage 20 automatique ». Les RB constituent un langage graphique et une méthodologie, simples et corrects, pour exprimer pratiquement ce de quoi on est certain ou incertain. Ils reposent sur la formule de Bayes reliant des probabilités conditionnelles avec des probabilités jointes. Formule de Bayes 25 [0048] Il y a des faits, désignés par A ou B, qui ont des probabilités d'arriver P(A) et P(B). P(--A) est la probabilité que non A arrive. La formule de Bayes dit que : P(AIB) = P(A, B)/ P(B) ou encore: P(AIB) = P(BIA).P(A)/ P(B) 30 Etant donné que : P(B) = P(BIA).P(A) + P(BI-A).P(-A) 13 3020486 On écrit alors: P(AIB) = P(BIA)P(A)/(P(BIA).P(A) + P(BI-A).P(-A)) La formule de Bayes peut être conditionnée par un fait X: P(AIB,X) = P(BIA,X).P(A,X)/ P(B,X) 5 Il est également nécessaire de préciser que: P(AIB) + P(--AIB) = 1 Une table de probabilités jointes [0049]Soient trois variables A, B, C pouvant valoir vrai ou faux. On peut écrire une 10 table listant toutes les combinaisons de ces 3 variables. Il y a 23 combinaisons. Pour chacune de ces combinaisons, on peut donner la probabilité jointe de la combinaison. La table constitue donc la distribution de probabilités jointes des variables A, B, C. La somme des probabilités dans la table vaut un. [0050]Si on cherche la probabilité pour que A soit vrai, il suffit de sommer les 15 probabilités des combinaisons de la table pour lesquelles A est vrai. Si on cherche la probabilité pour que A soit vrai et B soit vrai, il suffit de sommer les probabilités des combinaisons de la table pour lesquelles A est vrai et B vrai. Si on cherche la probabilité pour que A soit vrai sachant que B est vrai, il suffit de sommer toutes les probabilités des combinaisons de la table pour lesquelles A est vrai et B est vrai et 20 de diviser par la somme des probabilités des combinaisons de la table pour lesquelles B est vrai. Algorithmes d'Aléa [00513 Un générateur de nombres pseudo-aléatoires est un algorithme qui génère une séquence de nombres présentant certaines propriétés du hasard. Par 25 exemple, les nombres sont supposés être suffisamment indépendants les uns des autres, et il est potentiellement difficile de repérer des groupes de nombres qui suivent une certaine règle (comportements de groupe). [0052]Cependant, les sorties d'un tel générateur ne sont pas entièrement aléatoires; elles s'approchent seulement des propriétés idéales des sources 30 complètement aléatoires. Comme un générateur de nombres aléatoires est exécuté sur un ordinateur déterministe, il devient de facto un algorithme 14 3020486 déterministe. Ses sorties sont inévitablement entachées d'une caractéristique absente d'une vraie suite aléatoire : la périodicité. Avec des ressources limitées (mémoire, nombre de registres, etc.), le générateur retrouvera le même état interne au moins deux fois. Après coup, il entrera obligatoirement dans un cycle. Un 5 générateur non périodique n'est pas impossible, mais nécessite une mémoire croissante pour ne pas se retrouver dans le même état. [0053111 est toutefois possible de construire des générateurs pseudo-aléatoires avec une période plus longue que ce que n'importe quel ordinateur pourrait calculer. Mersenne Twister, un excellent générateur de nombres aléatoires pour les 10 applications non cryptographiques, a une période prouvée mathématiquement de 219937-1, un nombre astronomique. [00543 De plus, cet algorithme a été optimisé pour être utilisé dans le cadre de simulations de Monte-Carlo dans un grand nombre de domaines, migration de photons, coalescence du génome, biologie cellulaire et finance informatique. Le 15 Mersenne Twister est le générateur de nombre aléatoires par défaut en Python, Ruby, R, PHP et MATLAB. Il est également disponible en C++ depuis la version 2011 du standard. [0055]Un autre générateur d'aléa éprouvé s'appuie sur la suite de Fibonacci modulo la valeur maximale désirée : 20 Xn (in-1 + mn-2) 111°d Ai avec x(0) et x(1) en entrée. On peut employer une variante : x'n = (27n-1. xn-k) rficed Al avec x(1)....x(k-1) en entrée. la qualité du générateur dépend de k et des nombres utilisés pour initialiser la suite. Ce générateur est par contre très simple à implémenter et ne consomme 25 que peu de ressources. Les algorithmes appliqués dans la présente invention (ARGO) Exécution du scenario d'exfiltration [0056]Pour cet algorithme, nous allons donc combiner le calcul de probabilité des réseaux bayésiens avec une fonction d'aléa afin de faire la simulation. L'objectif de 15 3020486 cette combinaison est d'arriver à un système non prédictif et ainsi éviter le re-jeu systématique du même scénario et donc sa détection immédiate. Evaluation de la détection de l'exfiltration [0057]Ce modèle se doit d'être probabiliste. On utilisera donc les réseaux 5 bayésiens comme base algorithmique. Evaluation de la protection contre l'exfiltration [0058]Ce modèle se doit d'être probabiliste. On utilisera donc les réseaux bayésiens comme base algorithmique. Evaluation des résultats 10 [0059]Ce modèle se doit d'être probabiliste. On utilisera donc les réseaux bayésiens comme base algorithmique. Exemples des scénarii fonctionnels types [0060]A titre d'exemple, plusieurs scenarii pris en compte par ARGO sont présentés ici. Ils permettent de détailler les possibilités du système applicatif 15 (logiciel). Exfiltration faite par un employé de la société [0061]Environ 80% des piratages informatiques viennent aujourd'hui des membres de l'entreprise. Il est donc important de prévoir ce type de scénario. Dans le cadre d'un licenciement 20 [0062]Lors de son départ de l'entreprise, un employé décide de partir avec la base clients qu'il utilisera ensuite chez un concurrent. Pour ce faire, Il choisit de s'envoyer ces fichiers par mail à son adresse personnelle. Dans ce scenario, le module recherche D'ARGO pourra par exemple créer un fichier Excel volumineux nommé clients.xlsx avec un ensemble de nom/numéro de téléphone/adresse mail 25 de contact fictif. Le module analyse détectera ce fichier dans un partage dont l'utilisateur a accès et analysera son contenu afin de valider que le fichier est sensible (grâce aux noms des clients). Le module exfiltration utilisera ensuite l'adresse email du poste sur lequel il a été installé pour envoyer ce fichier en pièce jointe à une adresse @ hotmail.fr, @gmail.com ou @yahoo.fr. 30 Dans le cadre d'un piratage interne [0063]Un employé jaloux des primes de fin d'année de ses responsables décide d'usurper les droits d'accès de la comptabilité afin d'accéder aux bulletins de salaire de tous les employés de la société. En tombant sur la prime des dirigeants, 16 3020486 il prend cela comme une injustice avérée et décide d'exfiltrer ces informations pour les communiquer à la presse. Ici, ARGO pourra créer un grand nombre de fichier PDF nommé PayeDecembre[NOM_FICTIF].pdf qu'il enregistrera dans le répertoire réseau réservé à la comptabilité. Le module analyse détectera ensuite ces fichiers 5 grâce au nom du PDG qui aura été décidé « sensible » puis exfiltrera l'ensemble du répertoire en créant une archive chiffrée qu'il déposera sur un FTP externe à la société. Exfiltration suite à piratage externe [0064]Suite à une intrusion effective, l'attaquant a réussi à mettre en place une 10 porte dérobée. Il a également gagné suffisamment de privilèges d'administration pour lancer une recherche par mot clés sur tout le réseau. Il récupère ainsi tous les fichiers sensibles qu'il exfiltre par canaux cachés en vue d'espionnage industriel et/ou de chantage. Dans ce scenario, ARGO possède les privilèges maximum. Il va tout d'abord créer tous types de document avec en titre ou dans le contenu la 15 présence des mots clé « sensibles » définis par le client. Sur plusieurs jours, il scannera ensuite tout le réseau client et exfiltrera les données pertinentes via un canal caché (half-bit channel par exemple). Exfiltration faite par un automate de collecte [0065]Suite à une intrusion réussie, l'attaquant a mis en place un malware qu'il 20 pourra contrôler à distance et qui lui envoie les informations voulues de façon automatique. Dans ce cas de figure, ARGO possède les privilèges maximum. Il va tout d'abord créer tous types de document avec en titre ou dans le contenu la présence des mots clé « sensibles » définis par le client. Il enverra ensuite un résumé de son exploration réseau (nom et taille des fichiers par exemple) à date et 25 heure fixe par tunnel SSL. Un opérateur LINEON (société créateur du système applicatif d'audit) commandera le logiciel via la brique logicielle Command etControl afin qu'il exfiltre les documents choisis. [0066]De nombreuses combinaisons peuvent être envisagées sans sortir du cadre de l'invention ; l'homme de métier choisira l'une ou l'autre en fonction des 30 contraintes économiques, ergonomiques, dimensionnelles ou autres qu'il devra respecter. 17 REVENDICATIONS1. Système applicatif modulaire d'audit de sécurité pour mesurer le niveau de vulnérabilité à l'exfiltration de données sensibles d'un système informatique d'une entreprise, et pour évaluer la capacité de ladite entreprise à identifier une 5 exfiltration de données comprenant - un module d'initiation (1) comprenant un fichiér de configuration contenant des paramètres dudit système applicatif, ledit fichier de configuration permettant d'initier un module de recherche; - ledit module de recherche (2) comprend des moyens (21) de- création de 10 documents témoins aptes à être insérés dans un système de fichier de l'entreprise, ledit module de recherche (2) comprend en outre un logiciel robot (22), dit de crawling, apte à lister le contenu des ressources accessibles via le contexte technique d'un utilisateur et de rechercher de potentiels fichiers considérés comme sensibles selon la définition de 15 l'entreprise; - un module d'analyse (3) comprenant des moyens (31) pour analyser l'activité dudit utilisateur afin d'identifier son contexte socioprofessionnel et de cibler des documents collaboratifs présentant un intérêt pour une exfiltration; 20 le système applicatif est caractérisé en ce que le logiciel robot (22) est apte à indexer pour chaque objet, l'étendue des droits et des comptes informatiques ayant accès auxdits objets ainsi que des informations relatives aux dates de création, de modification ou de 25 dernier accès auxdits objets; ledit logiciel robot est en outre apte à appeler des fonctions algorithmiques incluses dans le module d'analyse (3) afin d'identifier parmi les documents collaboratifs ciblés ceux qui sont à récupérer ou ceux qui devraient potentiellement l'être; en ce que ledit logiciel robot (22) est en outre apte à lister lesdits 30 documents collaboratifs dans un journal d'évènements (9) ; et en ce que le système d'applicatif comprend, en outre, un module d'exfiltration (4) comprenant des moyens (43) pour détecter des méthodes d'exfiltration (46) disponibles sur un réseau de l'entreprise à 18 3020486 l'aide d'une base de données recensant les différents moyens utilisables pour opérer une commande et un contrôle, ledit module d'exfiltration (4) comprenant des moyens (41,42) aptes à exfiltrer et à obfusquer les documents collaboratifs précédemment récupérés à l'aide d'au moins une méthode spécifique (44). 2. Système applicatif modulaire selon la revendication 1 dans lequel le module d'initiation (1) est accessible par l'intermédiaire d'une interface graphique d'administration (8) permettant la configuration dudit système applicatif et la mise en relation du fichier de configuration avec le paramétrage de l'entreprise. 3. Système applicatif modulaire selon la revendication 1 dans lequel le module d'initiation est accessible via une interface graphique utilisateur (7) permettant de définir le niveau d'exposition de l'exfiltration cible, d'intégrer la configuration du client et de définir les paramètres du rapport d'analyse. 4. Système applicatif modulaire selon la revendication 1 dans lequel ladite une méthode (44) utilisée par le module d'exfiltration (4) pour dissimuler les documents collaboratifs obfusqués est choisie parmi la mise en place de canaux chiffrés, et/ou la stéganographie et/ou le chiffrement des fichiers. 5. Système applicatif modulaire selon l'une quelconque des revendications précédentes dans lequel les moyens d'exfiltration (41) sont aptes à effectuer l'exfiltration des documents de façon automatique, en fonction de scénarii prédéfinis (45) et/ou de différents paramètres concernant un attaquant, à l'aide de fonctions algorithmiques basées sur des algorithmes d'aléas. 6. Système applicatif modulaire selon la revendication 1 dans lequel le module d'initiation (1) comprend en outre un logiciel de licence (12) apte à définir l'autorisation de l'entreprise à utiliser le système applicatif , via la gestion de DAM ; ledit logiciel de licence (12) étant également apte à vérifier l'accessibilité de l'utilisateur à des modules et fonctionnalités dudit système applicatif. 7. Système applicatif selon la revendication 1 dans lequel les moyens d'analyse (31) sont aptes à analyser des objets, leur contenu et leur emplacement par recherche de mot clés en simulant différents utilisateurs et leurs contextes techniques associés, lesdits moyens d'analyse (31) sont capables de récupérer des fichiers sensibles accessibles sur le réseau de l'entreprise via le logiciel robot (22) du module de recherche. 19 3020486 8. Système applicatif d'audit selon l'une des revendications précédentes comprenant en outre un module de communication (6) comprenant des moyens de contrôle à distance (61) , lesdits moyens étant aptes à vérifier la fonctionnalité des méthodes d'exfiltrations (46) détectées par le module d'exfiltration (4). 5 9. Système applicatif d'audit selon la revendication 8 où le module de communication (6) comprend en outre des moyens d'hébergement (61, 62) aptes à héberger des fichiers exfiltrés et à mettre en place des méthodes de dissimulation desdits fichiers exfiltrés. 10. Système applicatif d'audit selon la revendication 1 comprenant en outre un 10 module de génération de rapports (5) muni de moyens pour générer des rapports (51) aptes à centraliser des journaux d'événements (9) sur un fichier trace-système, ledit fichier trace système étant mis à la disposition de l'entreprise. 11. Système applicatif d'audit selon la revendication 10 dans lequel les moyens pour générer des rapports (51) sont capables de générer un rapport d'activité en 15 utilisant les résultats d'exfiltration et les journaux d'événements (9). 12. Système applicatif d'audit selon revendications 10 et 11 dans lesquelles les moyens pour générer des rapports (51) sont capables de générer un rapport d'audit en utilisant d'une part les rapports d'activités et d'autre part les données exfiltrées. 20 13. Système applicatif d'audit selon l'une des revendications précédentes caractérisé en ce qu'il comprend au moins un fichier exécutable. 14. Système applicatif d'audit selon la revendication précédente caractérisé en ce qu'il comporte plusieurs fichiers exécutables et en ce que les modules (1, 2, 3, 4, 25 5, 6) constitutifs sont exécutables séparément par chacun desdits fichiers exécutables. 15. Architecture applicative modulaire pour la mise en place du système applicatif modulaire selon l'une des revendications 1 à 14 caractérisé en ce qu'elle est 30 basée sur des communications réseaux en mode clients /serveur ou via des APIs développées spécifiquement ou via des connecteurs réseau.