FR 3133686 A1 20230922 FR 2302290 A 20230313 L’invention concerne un dispositif d’analyse automatisée ( 60 ) des actions d’un utilisateur connecté à distance sur un serveur ( 14 ) comportant un outil de captation ( 61 ) d'au moins une image d’une session dudit utilisateur, ledit outil de captation ( 61 ) étant commandé de manière asynchrone par la détection de l’utilisation d’au moins une commande prédéfinie; ledit dispositif d’analyse ( 60 ) comportant : - un outil de transcription (62) en texte de l'au moins une image captée par l'outil de captation (61) , - un outil d'analyse (63) permettant de détecter au moins une chaîne de caractères prédéterminée à l'intérieur du texte capté par l'outil de transcription (62) ; et - un outil de caractérisation ( 64 ) d’au moins une action réalisée par l'utilisateur en fonction de ladite au moins une chaîne de caractères détectée. Figure pour abrégé : Fig 1. SYSTEME D’ANALYSE AUTOMATISEE DES ACTIONS D’UN UTILISATEUR CONNECTE A DISTANCE SUR UN SERVEUR Domaine de l’invention L'invention concerne un système d'analyse automatisée des actions d’un utilisateur connecté à distance sur un serveur. L’invention permet, par exemple, de caractériser les agissements d’un pirate informatique connecté sur un serveur. L’invention trouve une application particulièrement avantageuse pour améliorer la vitesse d’analyse d’actions perpétrées par des pirates informatiques et par exemple enregistrées par un dispositif d'enregistrement d'intrusion informatique. Ainsi, l’invention peut être utilisée principalement dans le domaine technique de la sécurité informatique et plus particulièrement dans l’analyse d’attaques informatiques en vue d’activer des contre-mesures efficaces à ces attaques et éventuellement d’en poursuivre les responsables. Etat de la technique Le Demandeur développe des solutions particulièrement pertinentes pour capter les actions d’un pirate informatique à son insu. Pour ce faire, le brevet FR3079642 décrit l'utilisation d’un serveur leurre avec une adresse IP référencée sur un système de noms de domaine pour attirer les pirates informatiques à se connecter sur ce serveur tout en pensant qu'ils peuvent impunément perpétuer des activités illégales. En complément de cette première innovation, le Demandeur a également déposé le brevet EP 3 644 146 qui décrit l'enregistrement des actions d'un utilisateur sur un serveur permettant de capter une vidéo des agissements d’un pirate informatique et éventuellement d’enregistrer les frappes de touches du clavier de l’utilisateur. Ces innovations du Demandeur sont tellement efficaces qu'en quelques années seulement, et avec moins de dix serveurs leurres, le Demandeur a pu capter des millions d'heures d'enregistrement des actions de pirates informatiques. Cependant, les pirates informatiques commettent des méfaits très hétérogènes et il est important de distinguer la nature de ces méfaits pour agir rapidement, notamment lorsque la sécurité de personnes risque d'être engagée. En effet, lorsqu'un pirate informatique est connecté sur un serveur leurre, il peut réaliser un grand nombre d'actions malveillantes et le Demandeur est face à un problème d'analyse et de caractérisation des actions réalisées par ces pirates informatiques pour informer les bons interlocuteurs en fonction des méfaits commis. Typiquement, lorsque qu'un pirate informatique tente de déployer un crypto virus sur un serveur d’une entreprise, il convient de contacter l'administrateur informatique de l’entreprise. Pour un autre exemple, lorsqu'un pirate informatique tente des attaques par hameçonnage sur les boites de réception des étudiants d’une université, il convient de contacter l’administrateur informatique de l’université. Pour caractériser les actions des pirates informatiques et contacter rapidement les bons interlocuteurs, il est aujourd'hui nécessaire de demander à des opérateurs de visionner les enregistrements représentant les périodes dans lesquels un pirate informatique s'est connecté sur un serveur leurre. Ce travail manuel est particulièrement long et fastidieux si bien qu’il peut être nécessaire d’attendre plusieurs heures ou plusieurs jours avant qu’un enregistrement ne puisse être analysé et traité par un opérateur, notamment lorsque de nombreux enregistrements sont captés simultanément. Or, certaines tensions politiques engendrent des accroissements ponctuels du nombre d’intrusions informatiques sur les serveurs leurres, par exemple en temps de guerre numérique. Pour résoudre ce problème de caractérisation des actions d’un pirate informatique, ou même de tout utilisateur connecté sur un serveur, il serait envisageable de faire une transcription de tout le texte présent sur chaque image des enregistrements au moyen d'outils d’océrisation. Cependant, les données générées par ce type de méthode seraient trop volumineuses et cette solution présenterait un problème d’interprétation et de stockage des informations générées. Il serait également envisageable d’échantillonner le flux vidéo capté afin de réaliser une transcription de l'image en texte toutes les minutes ou toutes les 10 minutes par exemple. Cette solution permettrait de limiter le volume des données générées mais risquerait de fournir une analyse pour laquelle certains méfaits des pirates informatiques échappent à l'analyse, lorsqu'ils sont commis entre deux instants de transcription des images. Le problème technique de l'invention est donc de déterminer comment automatiser l'analyse des actions réalisées par un utilisateur sur un serveur, par exemple pour analyser automatiquement les actions d'un pirate informatique sur un serveur leurre. Pour répondre à ce problème technique, l'invention propose de détecter des commandes spécifiques réalisées par l'utilisateur et de réaliser une transcription des images en texte uniquement lorsqu’une commande spécifique prédéfinie a été détectée. Par exemple, il est possible de définir ces commandes prédéfinies comme étant l’appui de l'utilisateur sur les touches « entrée » ou « tabulation » du clavier ou d’un clic de souris. Ainsi, à chaque fois que l'utilisateur appuie sur l'une de ces touches ou d’un clic de souris, une image de la session de l'utilisateur est captée et retranscrite au format texte au moyen d’un outil de transcription, par exemple d’océrisation. L’océrisation permet de retranscrire au format texte toutes les chaînes de caractères présentes sur une image et il est donc possible de capter les URL inscrites dans un navigateur, les lignes utilisées dans une invite de commande ou encore tout le contenu d'un courriel écrit par un utilisateur. Par exemple, si un pirate informatique utilise les cartes bancaires volées pour faire des commandes frauduleuses sur un site marchand, il doit écrire ou copier/coller toutes les informations de la carte bancaires et, lorsqu'il appuie sur les touches « entrée » ou « tabulation » pour changer de champ, les informations écrites ou copiées par le pirate informatique sont captées et retranscrites en texte. Suite à cette retranscription générée de manière asynchrone, c'est-à-dire suite à la détection de l'utilisation d'une commande prédéfinie par l'utilisateur, l'ensemble du texte retranscrit peut être analysé pour détecter des chaînes de caractères prédéterminées. Cette détection des chaînes de caractères prédéterminées peut être réalisée en utilisant une expression de type « preg_match ». Par exemple, il peut être recherché des chaînes de caractères analogues à une URL, à des numéros de carte bancaire, à des codes postaux, à des adresses internet, à des adresses de messagerie ou encore à des numéros de comptes bancaires. La détection d’une URL peut être réalisée par la recherche d’une chaîne de caractère contenant les suites de caractères « url », « // » ou « www ». La découverte d’un numéro de carte bancaire peut être conditionnée à la détection d’une chaîne de caractère de 16 chiffres alors que la découverte d’un code postal peut résulter de la détection d’une chaîne de caractère d’exactement 5 chiffres. Pour détecter une adresse internet, ou adresse IP, 4 chaînes de caractères de 3 chiffres reliées par des « . » peut être recherchée pour une adresse IPv4 et un ensemble de 8 chaînes de caractères reliées par des « : » peut être associée pour une adresse IPv6. Une adresse de messagerie peut être détectée par une chaîne de caractère comportant un « . » et un « @ ». De la même manière, pour détecter un numéro de comptes bancaires français sous le format IBAN, une chaîne de caractère contenant 2 lettres suivies de 23 chiffres est recherchée. Lorsque ces chaînes de caractères prédéterminées sont détectées, il est possible de créer des scénarii d'analyse des actions de l’utilisateur sur la base des chaînes de caractères identifiées. Par exemple, lorsqu'il est identifié que l'utilisateur a téléchargé un logiciel au format « .exe » et qu’il lance l'exécution de ce logiciel dans une invite de commande, il peut être créé un scénario dans lequel le nom du programme informatique exécuté est recherché dans une base de données. Si ce nom du programme informatique correspond à un rançongiciel ou à un logiciel de minage de crypto monnaie, l'action de l’utilisateur peut être caractérisée dans une catégorie correspondant à une catégorie de « piratage direct ». Par ailleurs, si le nom du logiciel utilisé est associé à des attaques de type force brute ou DDOS, les actions de l'utilisateur peuvent être caractérisées comme étant des actions de « piratage indirect ». Pour un autre exemple, si des numéros de carte bancaires ou les numéros de comptes bancaires sont détectés, il peut être analysé des « actions de fraude » et le nom du site Internet marchand peut être recherché pour contacter automatiquement l'administrateur informatique connu pour ce site marchand. Dans un autre exemple, si un grand nombre de courriels sont détectés, des « actions de fraude » de type hameçonnage peuvent être caractérisées et un courriel d’information peut être transmis automatiquement à toutes les cibles de l’attaque. En outre, les textes issus de l’océrisation des différentes images de la session de l'utilisateur peuvent être utilisés comme moyen de preuve des méfaits réalisés par un pirate informatique et peuvent alimenter un moteur de recherche. Par ailleurs, les textes issus de l’océrisation peuvent être traduit automatique, par exemple en identifiant la langue du clavier utilisée par l’utilisateur. Par ailleurs, dans l'ensemble du flux vidéo capté, une partie du flux vidéo peut correspondre à une « actions de fraude » alors qu'une autre partie du flux vidéo peut correspondre à des tentatives de « piratage direct » ou de « piratage indirect ». Ainsi, pour une même vidéo, plusieurs caractérisations peuvent être détectées pour des instants distincts de la vidéo et celle-ci peut être découpée pour associer chaque partie à la caractérisation associée. Pour conclure, l'invention propose d'utiliser plusieurs outils : - un outil de captation d'une image d’une session d'un utilisateur commandé de manière asynchrone par la détection de l'appui sur une commande prédéfinie, par exemple la commande entrée ou la commande tabulation du clavier ou d’un clic de souris ; - un outil de transcription en texte de l'image captée par l'outil de captation ; - un outil d'analyse de chaînes de caractères prédéterminées à l'intérieur du texte capté par l'outil de transcription ; et - un outil de caractérisation des actions réalisées par l'utilisateur en fonction des chaînes de caractères détectées. Pour conclure, l'invention permet d'automatiser la détection des actions d’un utilisateur connecté sur un serveur, notamment les actions de pirates informatiques, de sorte à pouvoir informer plus rapidement et plus efficacement les victimes de fraude ou de tentative de piratage et les autorités compétentes. Description sommaire des figures La manière de réaliser l’invention ainsi que les avantages qui en découlent, ressortiront bien des modes de réalisation qui suivent, donnés à titre indicatif mais non limitatif, à l’appui des figures dans lesquelles : La est une représentation schématique d’un système d’information muni d’un dispositif d’analyse automatisée des actions d’un utilisateur connecté à distance sur un serveur selon un mode de réalisation de l’invention ; La est un ordinogramme des étapes de création du dispositif d’enregistrement d’intrusion informatique de la ; et La est une représentation schématique d’un système d’information muni d’un dispositif d’analyse automatisée des actions d’un utilisateur connecté à distance sur un serveur selon un autre mode de réalisation de l’invention . Dispositif d’analyse automatisée ( 6 0 ) des actions d’un utilisateur connecté à distance sur un serveur ( 14 ) comportant un outil de captation ( 6 1 ) d'au moins une image d’une session dudit utilisateur, caractérisé en ce que ledit outil de captation ( 6 1 ) est commandé de manière asynchrone par la détection de l’utilisation d’au moins une commande prédéfinie; et en ce que ledit dispositif d’analyse ( 6 0 ) comporte : - un outil de transcription ( 6 2 ) en texte de l'au moins une image captée par l'outil de captation (61) , - un outil d'analyse ( 6 3 ) permettant de détecter au moins une chaîne de caractères prédéterminée à l'intérieur du texte capté par l'outil de transcription ( 62 ) ; et - un outil de caractérisation ( 64 ) d’au moins une action réalisée par l'utilisateur en fonction de ladite au moins une chaîne de caractères détectée. Dispositif d’analyse selon la revendication 1, dans lequel ladite commande prédéfinie correspond à la commande entrée et/ou la commande tabulation du clavier et/ou un clic de souris. Dispositif d’analyse selon l’une des revendications 1 à 2, dans lequel ledit outil d’analyse ( 6 3 ) utilise une expression de type « preg_match ». Dispositif d’analyse selon l’une des revendications 1 à 3, dans lequel les textes issus de l’outil de transcription ( 6 2 ) sont traduits de manière automatique, par exemple en identifiant la langue du clavier utilisée par l’utilisateur. Dispositif d’analyse selon l’une des revendications 1 à 4, dans lequel l’outil d’analyse ( 6 3 ) permet de détecter : - une URL, par exemple par la recherche d’une chaîne de caractère contenant les suites de caractères « url », « // » ou « www », et/ou - un numéro de carte bancaire, par exemple par la recherche d’une chaîne de caractère de 16 chiffres, et/ou - un code postal, par exemple par la recherche d’une chaîne de caractère d’exactement cinq chiffres, et/ou - une adresse internet IPv4, par exemple par un ensemble de quatre chaînes de caractères de trois chiffres reliées par des « . », et/ou - une adresse internet IPv6, par exemple par un ensemble de huit chaînes de caractères reliées par des « . », et/ou - une adresse de messagerie, par exemple par une chaîne de caractère comportant un « . » et un « @ », et/ou - un numéro de compte bancaire, par exemple un numéro de compte français sous le format IBAN, par une chaîne de caractère contenant 2 lettres suivies de 23 chiffres. Dispositif d’analyse selon l’une des revendications 1 à 5, dans lequel l’outil de caractérisation ( 6 4 ) est configuré pour que, lorsqu'il est identifié que l'utilisateur a téléchargé un logiciel au format « .exe » et qu’il lance l'exécution de ce logiciel dans une invite de commande, l’outil de caractérisation ( 6 4 ) recherche le nom du programme informatique exécuté dans une base de données. Dispositif d’analyse selon la revendication 6, dans lequel l’outil de caractérisation ( 64 ) est configuré pour que : - si le nom du programme informatique exécuté correspond à un rançongiciel ou à un logiciel de minage de crypto monnaie, l'action de l’utilisateur peut être caractérisée dans une catégorie correspondant à une catégorie de « piratage direct », et - si le nom du logiciel utilisé est associé à des attaques de type force brute ou DDOS, l’action de l'utilisateur peut être caractérisée comme étant une action de « piratage indirect ». Dispositif d’analyse selon l’une des revendications 1 à 7, dans lequel l’outil de caractérisation ( 6 4 ) est configuré pour que, lorsqu'il est détecté un numéro de carte bancaires ou un numéro de compte bancaire et un site Internet marchand, l’action de l'utilisateur peut être caractérisée comme étant une action de « fraude » et le nom du site Internet marchand peut être recherché pour contacter automatiquement l'administrateur informatique connu pour ce site marchand. Dispositif d’analyse selon l’une des revendications 1 à 8, dans lequel l’outil de caractérisation ( 6 4 ) est configuré pour que, lorsque le nombre de courriels détectés est supérieur à un seuil, l’action de l'utilisateur peut être caractérisée comme étant une action de « fraude » de type hameçonnage et un courriel d’information peut être transmis automatiquement à toutes les cibles de l’attaque. Dispositif d’analyse selon l’une des revendications 1 à 9, configuré pour que les textes issus de l’outil de transcription ( 6 2 ) puissent alimenter un moteur de recherche.