Brevet FR3042624A1 (20170421)
REVENDICATIONS1. Procédé d'aide à la détection d'infection d'un terminal par un logiciel malveillant, comprenant : - réception (EO) en provenance du terminal d'une requête courante de demande d'accès à une ressource d'un réseau, - détection (El) que la ressource requise est malveillante, - lorsque la requête courante comprend (E5) une référence à une ressource initiale, vérification (E7) qu'un accès à la ressource initiale a été demandé depuis le terminal dans au moins une requête antérieure, ladite ressource initiale ayant été détectée légitime lors du traitement de la requête antérieure, ladite requête courante étant alors considérée comme une tentative d'infection du terminal.\n<CLM>\1\tProcédé selon la revendication 1, comprenant, lorsque la ressource initiale dont la référence est comprise dans la requête courante n'a pas été demandée par le terminal dans une requête antérieure pendant un intervalle de temps de supervision, un envoi (E8) d'une alerte représentative d'une infection du terminal\n<CLM>\1\tProcédé selon l'une des revendications précédentes, comprenant, lorsque la ressource requise est une ressource légitime, un enregistrement (E3) de ladite ressource en association avec une valeur d'horodatage courante, représentative d'une dernière date d'accès à la ressource.\n<CLM>\1\tProcédé selon la revendication 3, dans lequel la ressource est enregistrée dans un historique de requêtes, l'enregistrement de la ressource comprenant : - application (E32) d'au moins une fonction de hachage à une valeur binaire courante associée à la ressource, - détermination (E33) d'au moins une position courante dans un filtre de Bloom à date d'expiration à partir de ladite valeur binaire courante, ledit filtre étant associé au terminal et assimilé à l'historique des requêtes, et - enregistrement (E34) de la valeur d'horodatage courante à ladite position courante du filtre.\n<CLM>\1\tProcédé selon la revendication 4, dans lequel une recherche d'une ressource initiale dans le filtre comprend : 3042624 21 - application (E72) de la fonction de hachage à une valeur binaire initiale associée à la ressource initiale, - détermination (E73) d'au moins une position dans le filtre de Bloom à partir de ladite valeur binaire initiale, 5 - sélection (E75), parmi la au moins une position, de la position dans le filtre qui comprend la valeur d'horodatage la plus faible, - lorsque la durée comprise entre la valeur d'horodatage la plus faible et une date courante est inférieure à une durée d'expiration associée au filtre, indication (E76) que la ressource initiale figure dans l'historique. 10\n<CLM>\1\tProcédé selon la revendication 4 ou la revendication 5, dans lequel le filtre de Bloom est associé au terminal et à au moins un champ compris dans un entête de la requête courante.\n<CLM>\1\tDispositif d'aide à la surveillance d'un trafic réseau, agencé pour aider à la détection 15 d'infection d'un terminal par un logiciel malveillant, ledit dispositif comprenant : - des moyens de réception (404), agencés pour recevoir en provenance du terminal une requête courante de demande d'accès à une ressource d'un réseau, - des moyens de détection (405), agencés pour détecter que la ressource requise est malveillante, 20 - des moyens de vérification (406), agencés pour vérifier, lorsque la requête courante comprend une référence à une ressource initiale, que l'accès à la ressource initiale a été demandé depuis le terminal dans au moins une requête antérieure, ladite ressource initiale ayant été détectée légitime lors du traitement de la requête antérieure, ladite requête courante étant alors considérée comme une tentative d'infection du terminal. 25\n<CLM>\1\tTerminal utilisateur comprenant un dispositif d'aide à la surveillance selon la revendication\n<CLM>\1\t9. Programme d'ordinateur sur un support de données et chargeable dans la mémoire 30 d'un ordinateur, le programme comprenant des portions de code pour l'exécution des étapes du procédé d'aide à la détection d'infection d'un terminal par un logiciel malveillant selon l'une quelconque des revendications 1 à 6, lorsque le programme est exécuté sur ledit ordinateur.\n<CLM>\1\tSupport de données dans lequel est enregistré le programme selon la revendication 35 9.