Brevet FR3076010A1 (20190628)

REVENDICATIONS1.- Procédé de construction automatique de scénarios d'attaques informatiques spécifiques à un environnement cible à protéger, le procédé comprenant : - une étape préliminaire (101) d'acquisition d'un premier ensemble de données, d'un deuxième ensemble de données et d'un troisième ensemble de données ; le premier ensemble de données comprenant une pluralité de scénarios génériques, chaque scénario générique comprenant une pluralité d'actions (A,), chaque action (Ai) correspondant à une attaque élémentaire et étant caractérisée par une ou plusieurs variables observables (0k) ; le deuxième ensemble de données comprenant une pluralité d'évènements survenus dans l'environnement cible ; le troisième ensemble de données comprenant une pluralité d'alertes, chaque alerte étant émise par un système de détection d'intrusions dans l'environnement cible suite à une détection d'une attaque élémentaire et étant associée à une ou plusieurs valeurs observables ; - une première étape (110) de détermination d'un scénario générique, dit scénario générique partiel, et d'une ou de plusieurs alertes telles que l'attaque élémentaire ou les attaques élémentaires causant cette ou ces alertes correspondent à l'une ou plusieurs actions (Ai), dites actions déclenchées, du scénario générique partiel ; la première étape comprenant en outre l'association à la variable observable (Ok) ou à l'une des variables observables (Ok) de chaque action (Ai) déclenchée de la valeur observable ou de l'une des valeurs observables de l'alerte déterminée correspondante ; - une deuxième étape (120) d'analyse du deuxième ensemble de données et de détermination d'une pluralité d'anomalies (Al), chaque anomalie (Al) correspondant à un évènement anormal survenu dans l'environnement cible et étant associée à une ou plusieurs valeurs observables ; - une troisième étape (130) d'association à au moins l'une des variables observables (Ok) du scénario générique partiel de la valeur observable ou de l'une des valeurs observables de l'une des anomalies déterminées (A1). 2.- Procédé selon la revendication 1, dans lequel les variables observables (Ok) du scénario générique partiel sont ordonnancées selon un ordre prédéterminé et la troisième étape (130) comprend pour chaque anomalie déterminée (Al) lors de la deuxième étape (120), les sous-étapes suivantes : 16 - détermination (131) parmi les variables observables (Ok) du scénario générique partiel, des variables observables, dits variables déclenchés, associées à des valeurs observables ; - pour chaque variable déclenchée, détermination (132) d'une distance entre la 5 valeur observable associée à cette variable déclenchée et la valeur observable ou l'une des valeurs observables associée à ladite anomalie (Al) ; - détermination (133) d'une distance minimale parmi l'ensemble des distances déterminées, la variable déclenchée correspondant à cette distance minimale étant dite variable minimale ; 10 - lorsque la distance minimale est inférieure à un seuil d'hybridation prédéterminée et est strictement supérieure à zéro : + détermination (134) d'une première distance correspondant à la distance entre la valeur observable ou l'une des valeurs observables de ladite anomalie (Al) et la valeur observable de la première variable déclenchée qui succède la variable 15 minimale ; + détermination (134) d'une deuxième distance correspondant à la distance entre la valeur observable ou l'une des valeurs observables associée à ladite anomalie (Al) et la valeur observable de la première variable déclenchée qui précède la variable minimale ; 20 + si la première distance est inférieure à la deuxième distance, association (134) de la valeur observable ou de l'une des valeurs observables de ladite anomalie (Al) à la première variable observable (0k.0) qui succède la variable minimale, dans le cas contraire, association (134) de la valeur observable de ladite anomalie (Al) à la première variable observable (0k_1) qui précède la variable 25 minimale. 3.- Procédé selon la revendication 1 ou 2, dans laquelle la première étape (110) est réitérée jusqu'à ce qu'il ne soit plus possible de déterminer un nouveau scénario générique partiel parmi les scénarios génériques du premier ensemble de données, la 30 troisième étape (130) étant alors réitérée pour chaque scénario générique partiel déterminé. 4.- Procédé selon l'une quelconque des revendications précédentes, dans lequel : - chaque variable observable (Ok) de chaque scénario générique est associée à 35 un type ; - la ou chaque valeur observable de chaque alerte est associée à un type ; et 17 - lors de la deuxième étape (120), le type de la ou de chaque variable observable (Ok) du scénario générique partiel correspondant est identique au type de la valeur observable associée à cette variable observable (Ok) lors de cette étape (120). 5 5.- Procédé selon l'une quelconque des revendications précédentes, dans lequel : - chaque évènement est décrit par une pluralité de caractéristiques ; et - la deuxième étape (120) comprend une analyse statistique des caractéristiques de chaque évènement du deuxième ensemble de données. 10 6.- Procédé selon l'une quelconque des revendications précédentes, dans lequel chaque alerte du troisième ensemble de données est émise par le système de détection d'intrusion dans l'environnement cible suite à une détection d'une attaque élémentaire par une signature connue issue d'une base de signatures. 15 7.- Procédé selon la revendication 6, dans lequel le ou chaque scénario générique partiel dont au moins l'une des variables observables (Ok) a été associée à une valeur observable lors de la troisième étape (130), est dit scénario générique spécifié ; le procédé comprenant en outre une quatrième étape (140) d'enrichissement de la base de signatures par une ou plusieurs signatures construites en fonction du ou de 20 chaque scénario générique spécifié. 8.- Procédé selon la revendication 7, dans lequel la construction de la ou de chaque signature s'effectue de manière automatique ou par un opérateur. 25 9.- Procédé selon la revendication 7 ou 8 prise en combinaison avec la revendication 5, dans lequel la quatrième étape (140) comprend pour chaque scénario générique spécifié les sous-étapes suivantes : - extraction (141) de l'ensemble des caractéristiques de la ou de chaque anomalie (Al) dont la valeur observable ou l'une des valeurs observables est associée à l'une des 30 variables observables (Ok) dudit scénario générique spécifié lors de la troisième étape (130) ; - détermination (142) des caractéristiques utiles parmi l'ensemble des caractéristiques extraites, chaque caractéristique utile étant une caractéristique correspondant à la valeur observable ou à l'une des valeurs observables de l'anomalie 35 (Al) correspondante associée à l'une des variables observables (Ok) du scénario générique spécifié ; 18 - construction (143) d'une nouvelle signature en fonction des caractéristiques utiles. 10.- Produit programme d'ordinateur comportant des instructions logicielles qui, 5 lorsque mises en oeuvre par un équipement informatique, mettent en oeuvre le procédé selon l'une quelconque des revendications précédentes. 11.- Système de construction automatique de scénarios d'attaques informatiques, comportant des moyens techniques configurés pour mettre en oeuvre le procédé selon 10 l'une quelconque des revendications 1 à 9.