Brevet FR3074935A1 (20190614)

REVENDICATIONS1.- Procédé de détection d'une attaque informatique contre une base de données (12) au moyen de requêtes envoyées à cette base de données (12) par une application d'accès (14) adaptée ; au moins certaines des données de la base de données (12), dites données marquées, étant associées à des marquages, chaque marquage comprenant des métadonnées décrivant la donnée à laquelle il est associé ; au moins certaines des données marquées étant des leurres ; le procédé comprenant une phase active (PA) mise en oeuvre à l'envoi de chaque requête par l'application d'accès (14) à la base de donnée (12) afin de récupérer une donnée stockée dans cette base de données (12), chaque requête étant formulée par l'application d'accès (14) à la suite d'une demande correspondante d'un utilisateur (16) ; la phase active (PA) comprenant les étapes suivantes : - interception (140) de la donnée envoyée par la base de données (12) en réponse à la requête correspondante ; - analyse (160) de la donnée interceptée et en cas de détection d'un marquage associé à celle-ci, traitement (162) de la données interceptée conformément à une politique de réponses prédéterminée et lorsqu'une alerte ou une contremesure est nécessaire, exécution (161) d'une action conformément à une politique d'alertes et de contremesures prédéterminée, la nécessité de l'alerte ou de la contremesure étant déterminée en fonction de l'identité de l'utilisateur (16) et des métadonnées du marquage détecté ; - renvoi (170) à l'utilisateur (16) de la donnée interceptée ou de la donnée interceptée traitée. 2.- Procédé selon la revendication 1, dans lequel chaque marquage associé à une donnée est intégré dans cette donnée. 3.- Procédé selon la revendication 2, chaque marquage est constitué de caractères non-imprimables. 4.- Procédé selon l'une quelconque des revendications précédentes, dans lequel la politique de réponses comprend une action choisie dans le groupe comprenant : - non-modification de la donnée interceptée correspondante ; 14 - altération de la donnée interceptée correspondante ; - remplacement de la donnée interceptée correspondante par une autre donnée ; - suppression du marquage associé à la donnée interceptée ; et - modification du marquage associé à la donnée interceptée. 5 5.- Procédé selon l'une quelconque des revendications précédentes, dans lequel toutes les données marquées sont des leurres. 6.- Procédé selon l'une quelconque des revendications précédentes, dans lequel 10 les métadonnées d'un leurre comprennent un score attribué en fonction de la nature de ce leurre et/ou de la complexité de ce leurre. 7.- Procédé selon la revendication 6, comprenant en outre une étape d'attribution d'un score à l'utilisateur (16) en fonction des scores de l'ensemble des leurres déclenchés 15 par cet utilisateur (16). 8.- Procédé selon la revendication 6 et/ou la revendication 7, dans lequel, en cas de détection du marquage d'un leurre, la nécessité de l'alerte ou de la contremesure est déterminée en fonction en outre du score attribué à ce leurre et/ou du score attribué à 20 l'utilisateur (16). 9.- Procédé selon l'une quelconque des revendications précédentes, dans lequel la politique d'alertes et de contremesures comprend une action choisie dans le groupe comprenant : 25 - génération d'une alerte destinée à un exploitant de la base de données (12) et/ou de l'application d'accès (14) ; - avertissement destiné à l'utilisateur (16) ; - bannissement de l'utilisateur (16) ; et - génération d'une alerte destinée à au moins certains autres utilisateurs de la 30 base de données (12) et/ou de l'application d'accès (14); - observation des actions suivantes de l'utilisateur (16) ; et - combinaison d'au moins deux actions précitées. 15 10.- Procédé selon l'une quelconque des revendications précédentes, comprenant en outre une phase préliminaire (PP) exécutée au moins une fois avant une première mise en oeuvre de la phase active (PA) ; la phase préliminaire (PP) comprenant les étapes suivantes : 5 - identification (110) d'un ensemble de données à marquer et association à chacune de ces données d'un marquage la décrivant pour obtenir une donnée marquée ; - définition (120) de la politique de réponses ; - définition (130) de la politique d'alertes et de contremesures. 10 11.- Produit programme d'ordinateur comportant des instructions logicielles qui, lorsque mises en oeuvre par un équipement informatique, mettent en oeuvre le procédé selon l'une quelconque des revendications précédentes. 12.- Système de détection (10) d'une attaque informatique contre une base de 15 données au moyen de requêtes envoyées à cette base de données par une application d'accès adaptée ; le système (10) comportant des moyens techniques configurés pour mettre en oeuvre le procédé selon l'une quelconque des revendications 1 à 10.