FR 3043809 A1 20170519 FR 1561009 A 20151116 1 Procédé sécurisé d'analyse externe de données d'exploitation d'une infrastructure de traitement de données Domaine de l'invention L'invention a pour objet un procédé sécurisé d'analyse externe de données d'exploitation d'une infrastructure de traitement de données. Le domaine de l'invention est celui de la surveillance des infrastructures de traitement de données. Une infrastructure de traitement de données peut être composée d'un seul serveur exécutant un seul programme, ou d'une pluralité de serveurs exécutant une pluralité de programmes coopérant pour la mise en oeuvre d'une application. Dans ce document, un serveur est un dispositif de traitement de données. Un serveur est physique ou virtuel. Un serveur peut avoir plusieurs rôles et peut être désigné par chacun de ses rôles. Par exemple une infrastructure peut comporter un serveur de données et un serveur de calcul. Dans la pratique il peut s'agir du même serveur de traitement exécutant un service de gestion de données et un service de calcul. Une donnée d'exploitation est une donnée produite par un service mis en oeuvre par l'infrastructure de traitements de données. Une donnée d'exploitation est aussi appelé un « log » ou un « évènement ». Ces données sont journalisées dans des fichiers journaux par les services qui les produisent. Ils existent plusieurs formats de log dont les plus connus sont : « Syslog » et « Common Log Format ». Chaque donnée d'exploitation est assimilable à une structure comportant plusieurs champs ou colonne, les données d'exploitation étant souvent présentées en tableau. Ici on entend fichier dans un sens large qui inclut les fichiers à plat, les fichiers structurés (XML et autres...) mais aussi les fichiers binaires exploités par des moteurs de base de données. Une donnée d'exploitation est, par exemple : un taux d'utilisation d'une unité de calcul, un taux d'utilisation de mémoire, un taux d'utilisation d'une interface de 30 communication, un nombre moyen d'erreur de page, le temps de réponse d'une 3043809 2 application, la température d'une salle, le taux de remplissage d'une base de données... la liste n'est pas exhaustive. Etat de la technique Dans l'état de la technique il existe plusieurs niveaux dans la surveillance des 5 infrastructures de traitement de données : - L'infrastructure elle-même : composée d'une pluralité de services, ou programmes, mis en oeuvre par un ou plusieurs serveurs interconnecté(s) par un réseau de communication ; - Des moyens de supervision, on parle alors d'un ou plusieurs superviseurs qui 10 sont eux-mêmes des serveurs. Les moyens les plus connus sont des dispositifs de traitement mettant en oeuvre Nagios (le plus répandu), Shinken ou OpenNMS, Zabbix pour ne citer que les plus connus. - Des moyens d'hypervision capable d'agréger des données produites par les moyens de supervision comme par exemple le produit Netcool/Omnibus 15 distribué par IBM, BMC ProactiveNet Performance Management, HP Operations Manager i, ou encore Technologies Spectrum Infrastructure Manager de Computer Associate. Les moyens d'hypervision, aussi appelé un hyperviseur, produisent des alertes ou des rapports fruits de la corrélation de données issues de superviseurs. 20 Un hyperviseur effectue des traitements connus sous le nom de « Traitement des données complexes », abrégé en ce CDP (Complex Data Processing). Ces traitements sont réalisés par un moteur de règles (Rule-based system) associé à un jeu de règles travaillant sur des évènements collectés. Les évènements sont issus des superviseurs. 25 Dans l'état de la technique, la mise en place d'une supervision est donc la configuration : - D'un collecteur de données entre un ou plusieurs superviseurs et un hyperviseur ; - D'une base de règles de traitements sur ledit hyperviseur. 3043809 3 Le résultat de l'évaluation de la base de règles produit un rapport permettant une gestion fine de l'infrastructure pour laquelle les superviseurs produisent des évènements. La plupart des utilisateurs d'infrastructure de traitement de données n'ont pas les 5 moyens d'avoir recours à un hyperviseur. Cette impossibilité est liée à la difficulté de déploiement d'un tel hyperviseur. Il faut avoir recours à : - Des ressources de traitements spécifiques : logiciel, base de données ; - Des ressources de gestion spécifiques incluant des compétences liées à la maîtrise des ressources de traitement. 10 Ces ressources spécifiques ne sont pas maintenables de manière viable en dessous d'une certaine taille d'infrastructure de traitement. Dans une telle situation les solutions classiques sont l'externalisation et/ou la mutualisation. Cependant, pour pouvoir procéder à l'analyse, l'hyperviseur doit connaître les évènements et les règles de traitement. En d'autres termes le 15 fournisseur de mutualisation est en connaissance des données d'exploitations des infrastructures des traitements pour lesquelles l'hyperviseur mutualisé est utilisé. Il faut donc envisager une anonymisation des données. Les techniques classiques d'anonymisation sont : - La généralisation; 20 - La suppression des données dans le cas où, par exemple, sa généralisation ne suffit pas à la rendre anonyme. L'utilisation de la généralisation et de la suppression produit des données anonymisées mais moins précises et moins complètes. Cependant le but d'un hyperviseur et de maintenir autant d'information que possible pour pouvoir la 25 corréler. Les techniques connues d'anonymisation fausse donc l'analyse. Il n'y a donc pas d'autre solution que de faire confiance à la solution externalisée d'hypervision ce qui est dissuasif pour la plupart des personnes. 3043809 4 Un autre obstacle à la mutualisation est le recouvrement des données. Il est en effet possible que deux infrastructures privées distinctes aient des données similaires. C'est le cas si deux infrastructures utilisent un même plan d'adressage. Exposé de l'invention 5 L'invention résout ces problèmes en mettant en oeuvre un chiffrement de données identifiantes dans les données d'exploitation et dans les règles de traitements. Une donnée identifiante est une donnée dont la connaissance est susceptible d'identifier le propriétaire de l'infrastructure, la localisation de l'infrastructure, l'organisation précise de l'infrastructure. Par exemple, une donnée identifiante est : 10 - Une adresse IP - Une adresse MAC - Un nom de machine, serveur ou client - Un nom de société 15 Une fois les données identifiantes identifiées elles sont chiffrées dans les données d'exploitation et dans les règles de traitement. L'hyperviseur externe et mutualisé traite donc des données d'exploitation anonymisées par le chiffrement. Cela évite de permettre à l'hyperviseur d'avoirune connaissance approfondie de l'infrastructure à laquelle correspondent ces données identifiantes chiffrées. Les données chiffrées 20 sont donc anonymisées pour toutes personne ne connaissant pas la clé de chiffrement. Le résultat du traitement est renvoyé à l'infrastructure de traitement. Il est alors possible de déchiffrer le résultat du traitement pour obtenir un rapport en clair. Dans ce dessein, un aspect de l'invention se rapporte à un procédé d'analyse 25 externe de données d'exploitation d'une infrastructure de traitement de données comportant au moins un dispositif de traitement, le procédé comportant les étapes suivantes : - Collecte de données d'exploitations de l'infrastructure par un dispositif superviseur, - Transmission de règles d'analyse à un dispositif externe d'analyse ; 3043809 5 - Le procédé étant caractérisé en ce qu'il comporte les étapes suivantes : - Acquisition d'une configuration d'anonymisation ; o Acquisition d'une désignation des données identifiantes ; o Acquisition d'une clé de chiffrement ; 5 o Acquisition de règles d'analyse ; o Acquisition d'un identifiant du dispositif externe ; - Anonymisation des règles d'analyse avant leur transmission au dispositif de traitement externe par chiffrement des valeurs correspondant à des données identifiantes ; 10 - Anonymisation des données d'exploitations par chiffrement des données identifiantes ; - Transmission des données anonymisées au dispositif externe d'analyse de données d'exploitation ; - Réception de données d'analyse anonymisées produite selon les règles 15 d'analyse ; - Levée de l'anonymat des données d'analyse par déchiffrement des données identifiantes. Outre les caractéristiques principales qui viennent d'être mentionnées dans le paragraphe précédent, le procédé selon l'invention peut présenter une ou plusieurs 20 caractéristiques complémentaires parmi les suivantes, considérées individuellement ou selon les combinaisons techniquement possibles : - La clé de chiffrement est propre à l'infrastructure de traitement de données et unique ; - que le chiffrement est un chiffrement réversible ; 25 - le procédé comporte les étapes suivantes : - comporte les étapes suivantes : o Sélection d'une donnée de regroupement parmi les données identifiantes pour permettre une sélection des données, en particulier des données analysées, correspondant à cette donnée de 30 regroupement. Par ailleurs l'invention a aussi pour objet un dispositif de stockage numérique comportant un ou des fichiers correspondant à des codes instructions mettant en 3043 809 6 oeuvre le procédé selon une combinaison possible des caractéristiques précédemment énoncées. Par ailleurs l'invention a aussi pour objet un dispositif mettant en oeuvre un procédé selon une combinaison possible des caractéristiques précédemment énoncées. 5 Brève description des figures D'autres caractéristiques et avantages de l'invention ressortiront à la lecture de la description qui suit, en référence aux figures annexées, qui illustrent : - la figure 1, une illustration d'une architecture permettant la mise en oeuvre de l'invention ; 10 - la figure 2, une illustration d'étapes du procédé selon l'invention ; - la figue 3, une illustration d'une architecture permettant la mise en oeuvre de l'invention mais avec deux infrastructures clientes. Pour plus de clarté, les éléments identiques ou similaires sont repérés par des signes de référence identiques sur l'ensemble des figures. 15 L'invention sera mieux comprise à la lecture de la description qui suit et à l'examen des figures qui l'accompagnent. Celles-ci sont présentées à titre indicatif et nullement limitatif de l'invention. Description détaillée La figure 1 montre un dispositif serveur 100 de données. Le serveur de données 20 comporte : - un microprocesseur 110 ; - des moyens de stockage 120, par exemple un disque dur qu'il soit local ou distant, qu'il soit simple ou en grille (par exemple RAID). Les moyens de stockage comportent : 25 o une zone 120.1 moteur de base de données comportant des codes instructions d'un moteur de base de données ; o une zone 120.2 de données comportant des données relatives à un métier de l'exploitant de l'infrastructure de traitement contenant le serveur de données ; 3043809 7 o une zone 120.3 logs comportant des données d'exploitations produites par le serveur de données ; - une interface 130 de communication, par exemple une carte de communication selon le protocole Ethernet. D'autres protocoles sont 5 envisageables comme IP, « Fibre Channel » ou InfiniBand. Le microprocesseur 110 du serveur de données, les moyens 120 de stockage du serveur de données et l'interface 130 de communication du serveur de données sont interconnectés par un bus 150. Lorsque l'on prête une action à un dispositif celle-ci est en fait effectuée par un 10 microprocesseur du dispositif commandé par des codes instructions enregistrés dans une mémoire du dispositif. Si l'on prête une action à une application, celle-ci est en fait effectuée par un microprocesseur du dispositif dans une mémoire duquel les codes instructions correspondant à l'application sont enregistrés. Lorsqu'un dispositif, ou une application émet un message, ce message est émis via une 15 interface de communication dudit dispositif ou de ladite application. Un message comporte au moins un champ adresse de destination, un champ d'adresse d'émetteur et une charge utile. Ces principes sont applicables que le dispositif soit réel ou virtuel. La figure 1 montre aussi un dispositif serveur 200 de traitement métier. Le serveur de zo traitement métier comporte des éléments identiques à ceux du serveur de données : - un microprocesseur 210 ; - des moyens de stockage 220 comportant : o une zone 220.1 application comportant des codes instruction d'une application exploitant les données des données métiers du serveur de 25 données; o une zone 120.3 logs comportant des données d'exploitations produites par le serveur de traitement métier ; - une interface 230 de communication. Le microprocesseur 210 du serveur de traitement métier, les moyens 220 de 30 stockage du serveur de traitement métier et l'interface 230 de communication du serveur de traitement métier sont interconnectés par un bus 250. 3043809 8 La figure 1 montre aussi un dispositif 300 superviseur ou serveur de supervision. Le serveur de supervision comporte des éléments identiques à ceux du serveur de données : - un microprocesseur 310 ; 5 - des moyens de stockage 320 comportant : o une zone 320.1 moteur de supervision comportant des codes instruction pour la collecte des données d'exploitation des données d'exploitation de l'infrastructure; o une zone 320.3 logs comportant des données d'exploitation collectées 10 ce qui peut inclure des données d'exploitation produites par le superviseur lui-même ; o une zone 320.4 externalisation comportant des codes instructions de mise en oeuvre de l'invention ; o une zone 320.5 configuration de l'externalisation comportant des 15 paramètres pour la mise en oeuvre de l'externalisation. Ces paramètres sont au moins : ^ une clé de chiffrement ; ^ une désignation des données identifiantes ; ^ des règles d'analyse ; 20 ^ un identifiant d'hyperviseur ; - une interface 330 de communication. Le microprocesseur 310 du superviseur, les moyens 320 de stockage du superviseur et l'interface 330 de communication du superviseur sont interconnectés par un bus 350. 25 La figure 1 montre que le serveur de données, le serveur de traitement métier, le superviseur sont interconnectés par un commutateur 400. Avec ledit commutateur ils forment une première infrastructure de traitement 1000. Via ledit commutateur l'infrastructure de traitement est connectée à un réseau 1100 étendu, par exemple Internet. 30 Dans cette mise en oeuvre les éléments correspondant à l'invention, c'est-à-dire des codes instructions et des données de configuration pour la mise en oeuvre de 3043809 9 l'invention, sont installés sur le superviseur 300. Il est parfaitement envisageable de les installer sur une autre machine de l'infrastructure. La figure 1 montre un dispositif hyperviseur 1200, ou serveur d'hypervision. Le dispositifhyperviseur comporte des éléments identiques à ceux du serveur de 5 données: - un microprocesseur 1210 ; - des moyens de stockage 1220 comportant : o une zone 1220.1 moteur d'analyse comportant des codes instruction d'un hyperviseur; 10 o une zone 1220.2 base de règles comportant des règles d'analyse ; o une zone 1220.3 base d'évènements comportant des données d'exploitations ; o une zone 1220.4 bus d'échange pour la gestion des échanges de données entre une infrastructure de traitement de données et 15 l'hyperviseur ; - une interface 1230 de communication. Le microprocesseur 1210 du serveur de surveillance, les moyens 1220 de stockage du serveur de surveillance et l'interface 1230 de communication du serveur de surveillance sont interconnectés par un bus 1250. zo L'hyperviseur 1200 est connecté au réseau 1100 étendu. Paramétrage de l'externalisation Le paramétrage se fait par l'intermédiaire de la zone 320.5 de configuration de l'externalisation qui est une zone identifiée et structuré. La structuration est réalisée, par exemple, sous la forme d'enregistrements de type [clé, valeur]. Chaque valeur de 25 clé est associée à un paramètre. La connaissance d'une valeur de clé permet d'accéder à la valeur associée à cette clé. Une valeur associée à une clé peut elle-même être structurée. Dans le cas de l'invention il y a donc au moins quatre clés : clé de chiffrement, données identifiantes, règles d'analyse, identification de l'hyperviseur externe. 3043809 10 Dans l'invention la clé de chiffrement est unique pour l'infrastructure de traitement de données. C'est-à-dire, chaque infrastructure utilisant un hyperviseur externe est associé à une clé de chiffrement qui lui est propre. Cela permet d'obtenir deux résultats : 5 - Les données chiffrées ne sont accessibles qu'à un détenteur de la clé ; - Des données ayant, en clair, des valeurs identiques seront différentes une fois chiffrées. En particulier pour des données identifiantes de type adresse réseau, si deux infrastructures utilisent le même plan d'adressage, cela ne sera plus visible une fois les données identifiantes chiffrées sans pour autant 10 qu'il y ait de mélange des données. En effet si l'on considère une opération de chiffrement comme une fonction « Cyph » du mot à chiffrer et d'une clé alors : Cyph(clé infrastructure 1, mot 1) est différent de Cyph(clé infrastructure 2, mot 1) 15 Pour des raisons de performance on préfère utiliser des chiffrements symétriques par bloc, mais l'enseignement de l'invention reste valable avec d'autres type de chiffrement réversibles, en particulier les chiffrements asymétriques utilisant une clé privée et une clé publique. A contrario les algorithmes de hachage, en effet on a besoin d'un chiffrement réversible pour le traitement des données produites par 20 l'hyperviseur. La désignation des données identifiantes se fait en fonction de la structure des données produites par le superviseur et par l'hyperviseur. En générale ces données produites sont structurés en tables, ou au moins en pseudo table. C'est-à-dire que les données sont produites sous une forme structurée, que la structure soit par 25 longueur fixe, par délimiteur ou par balisage. Une donnée produite par un superviseur est aussi appelée un évènement ou une ligne de log. Il est donc possible d'associer un rang ou un nom à un champ d'une donnée produite. Une donnée produite par un hyperviseur s'appelle un rapport ou une alerte et suit les mêmes principes de structuration que pour les données produites par un superviseur. 30 Désigner des données identifiantes se fait donc en listant des rangs ou des noms dans la zone 320.5 configuration de l'externalisation. 3043 809 11 Par exemple dans le cas de données de supervision produite au format syslog, selon la RFC 5424, on désigne au moins le champ « origin.ip » ou « hostname» Les règles d'analyse sont écrites en claire comme si l'on disposait effectivement de l'hyperviseur. Les règles sont enregistrées associées à une clé prédéterminée dans 5 la zone 320.5 de configuration de l'externalisation. La configuration comporte aussi un paramètre d'identification d'un hyperviseur externe : il s'agit : - Soit d'un nom dit « résolvable », c'est-à-dire d'un nom qui peut être traduit en une adresse en ayant recours à un service d'annuaire ; 10 - Soit d'une adresse réseau. Etapes du procédé selon l'invention La figure 2 montre une étape 2010 d'acquisition d'une configuration de l'externalisation dans laquelle le serveur de supervision lit les données de 15 configuration de l'externalisation. En particulier le serveur de supervision : - Acquiert, dans une étape 2012, une liste de désignation identifiantes ; de données - Acquiert, dans une étape 2014, une clé de chiffrement ; - Acquiert, dans une étape 2016, des règles d'analyse ; 20 - Acquiert, dans une étape 2018, un identifiant de l'hyperviseur. De l'étape 2010 d'acquisition le serveur de supervision passe à une étape 2020 d'anonymisation des règles d'analyse acquise. Cette anonymisation se fait par réécriture de requête. Une règle d'analyse est, ou est assimilable à, une requête SQL (pour Structured 25 Query Language ou langage de requête structuré). Une telle règle peut donc être transformée par le recours à un outil tel que TXL. Utilisation de TXL pour la transformation des règles. TXL est un langage de programmation spécialisé conçu pour fournir une transformation d'une source à partir 3043809 12 de règles de transformation basé sur la grammaire du langage utilisé pour la source. Une configuration TXL est donc composée de deux parties : - Une grammaire hors-contexte qui décrit la structure des entrées devant être transformées. Dans la mise en oeuvre décrite de l'invention il s'agit du langage 5 SQL; - Un ensemble de règles de transformations organisé en programme fonctionnel. - Une grammaire hors-contexte qui décrit la structure des sorties A partir de là TXL opère en trois phase : 10 - Analyse de la grammaire pour produire l'arbre correspondant ; - Transformation de l'arbre issu de l'analyse de la grammaire en fonction des règles de transformation; - Rendu de la transformation à un format humainement appréhendable, correspondant à la grammaire de départ, c'est-à-dire le format original (dans 15 nos exemples SQL) avec les données identifiantes anonymisées. Dans l'invention on utilise la grammaire SQL pour obtenir des attributs, et donc les valeurs associées, correspondant à des données identifiantes. Puis on utilise, dans les règles de transformation, une fonction de chiffrement qui utilise la clé de chiffrement acquise. zo Ainsi on obtient, au moment du rendu, une requête SQL dans laquelle les valeurs associées à des attributs identifiant sont chiffrées. Les attributs identifiant sont désignées, par exemple, dans la zone 320.5 de configuration de l'externalisation. Un attribut identifiant est un attribut susceptible de contenir une valeur correspondant 25 à une donnée identifiante. Une fois l'étape d'anonymisation des règles effectuées, les règles anonymisées sont transmises, dans une étape 2030, à l'hyperviseur. Les communications entre le superviseur et l'hyperviseur se font en utilisant un bus de communication. Un tel bus de communisation est, par exemple, basé sur ZeroMQ. On peut également utiliser 30 d'autres fournisseurs de communications. Pour l'hyperviseur les règles transmises 3043809 13 par le superviseur sont des règles standards. Le fait qu'elles aient été anonymisées est totalement transparent pour l'hyperviseur. La figure 2 montre une étape 2040 de collecte de données d'exploitation qui est effectuée de manière continue, et en particulier après que la configuration 5 d'externalisation ait été acquise. Dans l'étape de collecte le superviseur effectue la tâche pour laquelle il existe initialement : collecter des données d'exploitations et les stocker à un format prédéterminé. Ces données d'exploitation ainsi formatées sont des événements, chaque événement correspondant à une donnée d'exploitation. 10 Dans l'invention l'étape de collecte est complétée par une étape 2050 d'anonymisation des données d'exploitation. Dans l'étape d'anonymisation des données le superviseur chiffre, dans l'évènement, les données identifiantes (ou attributs identifiants) désignées dans la zone de configuration de l'externalisation. Le chiffrement est réalisé en utilisant la clé de 15 chiffrement acquise depuis la zone de configuration de l'externalisation. Une fois que toutes les données désignées par configuration sont chiffrées, le superviseur a produit un événement 2052 anonymisé. Le superviseur passe alors à une étape 2060 de transmission de l'événement anonymisé. Cette transmission se fait par la production d'un message 2062 de transmission d'événement. La charge 20 utile du message de transmission d'événement comporte au moins l'événement anonymisé 2052. Le message de transmission est envoyé en utilisant comme destinataire 2064 celui identifié par la zone de configuration de l'externalisation, à savoir l'identifiant de l'hyperviseur. Dans cette variante les données d'exploitations sont transmises au fil de l'eau, c'est- 25 à-dire au fur et à mesure que le superviseur les produits. Dans une autre variante les données d'exploitation peuvent être transmises par lot à une fréquence prédéterminée. La figure 2 montre une étape 2070 dans laquelle le superviseur reçoit un message 2072 de données analysées. Ce message comporte, dans sa charge utile, un rapport 30 2074 d'analyse. Un rapport d'analyse est un message structuré en champ. 3043809 14 A la réception d'un tel rapport le superviseur, dans une étape 2080 de levé d'anonymat, utilise le contenu de la zone de 320.5 de configuration de l'externalisation pour savoir quels champs du rapport d'analyse doivent être déchiffrés. Une fois c'est champs connus, le superviseur les déchiffre dans le rapport 5 2074 d'analyse. Le déchiffrement est réalisé avec la clé présente dans la zone 320.5 de configuration de l'externalisation. A la fin de l'étape 2080 de levé de l'anonymat le superviseur a donc produit un message d'analyse déchiffré 2084. Le message d'analyse déchiffré peut alors être traité de la manière souhaitée par 113 l'administrateur de l'infrastructure de traitement de données. Dans la variante décrite les étapes de réception du rapport et/ou de levé d'anonymat sont réalisées par le serveur de supervision. Dans la pratique ces étapes peuvent être réalisées par un autre dispositif, serveur ou poste de travail, à condition que ledit autre dispositif ait connaissance des moyens de déchiffrement et soit connecté à 15 l'hyperviseur. Avec l'invention il n'y a aucune modification à apporter à l'hyperviseur. Tous les traitements et les paramétrages de l'hyperviseur restent valables. Au niveau de l'hyperviseur aussi bien les données que les résultats des analyses sont inexploitable car on est incapable d'identifier les éléments d'infrastructures : les données zo identifiantes sont chiffrées. Dans une variante de l'invention, la zone de configuration de l'exportation comporte une désignation d'une donnée identifiante spécifique : il s'agit d'une donnée identifiante de regroupement qui permet à l'hyperviseur de sélectionner, parmi les données que l'hyperviseur produits, celles qu'il doit envoyer comme rapport. Ici on 25 entend par regroupement le fait de regrouper, au niveau de l'hyperviseur, les données correspondant à une infrastructure. L'hyperviseur peut aussi effectuer ce regroupement en traçant la source des données qu'il reçoit : tous les rapports produit à partir de données d'exploitation issue d'une même source doivent être envoyé vers cette source. 3043809 15 Une fois le paramétrage selon l'invention en place on obtient donc un procédé automatique de traitement externalisé de données d'exploitation préservant l'anonymat desdites données d'exploitation. La figure 3 montre l'infrastructure de la première figure complétée par une deuxième 5 infrastructure 3000 de traitement connectée au réseau 1100 étendu. La deuxième infrastructure de traitement comporte sa propre structure interne comprenant un serveur de supervision qui émet des événements vers le serveur 1200 d'hypervision. Dans ce cas, le serveur d'hypervision enregistre dans la zone 1220.3 des évènements anonymisés produits par les deux infrastructures de traitements. 10 Cependant, grâce à l'invention, même si les deux infrastructures de traitements avaient des valeurs de données identifiantes communes, par exemple un plan d'adressage, le serveur d'hypervision ne le saurait pas. En effet ces données identifiantes sont chiffrées avec des clés différentes selon l'infrastructure de traitement qui les produit. 15 Il en va de même pour les règles d'analyses enregistrées dans la zone 1220.2 base de règles. Les valeurs manipulées par ces règles sont elle aussi chiffrées avec des clés différentes selon l'infrastructure de traitement qui les a produite. Par ce mécanisme on obtient dans un espace de stockage identique, une séparation équivalente à celle que fournirait un recours à des espaces de nommage. Le 20 mécanisme garantit aussi l'anonymat des données. VEN/08/AVR/2016 11:26 CAMUS LEBKIRI N° FAX:015071011 1. . 0 REVENDICATIONS1. Procédé d'analyse externe de données d'exploitation d'une infrastructure de traitement de données comportant au moins un dispositif de traitement, le procédé comportant les étapes suivantes : s - Collecte (2040) de données d'exploitations de l'infrastructure par un dispositif superviseur, Transmission (2030) de règles d'analyse à un dispositif externe d'analyse ; Le procédé étant caractérisé en ce qu'il comporte les étapes suivantes : Acquisition (2010) d'une configuration d'anonymisation ; 10 o Acquisition (2012) d'une désignation des données identifiantes ; o Acquisition (2014) d'une clé de chiffrement ; - Acquisition (2016) de règles d'analyse ; o Acquisition (2018) d'un identifiant du dispositif externe ; Anonymisation (2020) des règles d'analyse avant leur transmission au as dispositif de traitement externe par chiffrement des valeurs correspondant â des données identifiantes ; Anonymisation (2050) des données d'exploitations par chiffrement des données identifiantes ; - Transmission (2060) des données anonymisées au dispositif externe 20 d'analyse de données d'exploitation ; Réception (2070) de données d'analyse anonymisées produite selon les règles d'analyse ; Levé (2080) de l'anonymat des données d'analyse par déchiffrement des données identifiantes. 25 2. Procédé d'analyse externe de données d'exploitation d'une infrastructure de traitement de données selon la revendication 1, caractérisé en ce que la clé de chiffrement est propre à l'infrastructure de traitement de données et unique. 3. Procédé d'analyse externe de données d'exploitation d'une infrastructure de traitement de données selon l'une des revendications précédentes, caractérisé 30 en ce que le chiffrement est un chiffrement réversible. VEN/08/AVR/2016 11:26 CAMUS LEBKIRI bi° FAX:0155071011 F. 24043809 2 4. Procédé d'analyse externe de données d'exploitation d'une infrastructure de traitement de données selon l'une des revendications précédentes, caractérisé en ce qu'il comporte les étapes suivantes : - Sélection d'une donnée de regroupement parmi les données identifiantes pour permettre une sélection des données, en particulier des données analysées, correspondant à cette donnée de regroupement 5. Procédé d'analyse externe de données d'exploitation d'une infrastructure de traitement de données selon l'une des revendications précédentes, caractérisé en ce que la transmission des données d'exploitation se fait au fil de l'eau. 6. Dispositif de stockage numérique comportant un ou des fichiers correspondant à des codes instructions mettant en oeuvre le procédé selon l'une des revendications précédentes. 7. Dispositif comportant au moins un microprocesseur mettant en oeuvre le procédé selon l'une des revendications 1 à 5.15