Procédé de détection d’une attaque par une menace dans un système (10) en exploitation, le procédé de détection comprenant au moins les étapes suivantes, en amont de l’exploitation du système (10) : simulation (100) d’un ensemble de séquences d’attaque possibles de la menace dans le système (10) ; traitement (110) de l’ensemble de séquences d’attaque afin d’obtenir un ensemble de graphes sémantiques représentatifs de l’ensemble de séquences d’attaque ; le procédé de détection comprenant au moins les étapes suivantes, lors de l’exploitation du système (10) : mesure (120) de la présence d’un élément suspect présent dans le système (10) en exploitation par au moins un capteur de présence (30) ; comparaison (130) de la ou des mesures avec l’ensemble de graphes sémantiques et détermination d’un niveau de corrélation de la ou des mesures avec chacun des graphes sémantiques ; émission (140) d’une alerte lorsque au moins l’un des niveaux de corrélation déterminé est supérieur à un seuil d’alerte prédéterminé. Procédé de détection selon la revendication 1, dans lequel le système (10) est une zone géographique, chaque graphe sémantique étant représentatif d’un évènement choisi dans le groupe consistant en: entrée de la menace dans une zone géographique d’intérêt ; suivi par la menace d’une trajectoire d’intérêt ; passage répété de la menace par un point ou une zone géographique d’intérêt ; passage de la menace par différents points ou zones géographiques d’intérêt consécutifs ; vitesse de la menace comprise dans un intervalle d’intérêt, et divergence entre des caractéristiques de la zone géographique d’intérêt, telles que le type de zone géographique d’intérêt ou la vitesse maximale autorisée dans la zone géographique d’intérêt, et des caractéristiques de la menace, telles que la taille de la menace, la typologie de la menace, la vitesse de la menace ou l’accélération de la menace. Procédé de détection selon la revendication 2, dans lequel au moins un capteur de présence (30) est un capteur fixe et au moins un capteur de présence (30) est un capteur mobile. Procédé de détection selon la revendication 1, dans lequel le système (10) est un réseau informatique, chaque graphe sémantique étant représentatif d’un évènement choisi dans le groupe consistant en: accès à une machine informatique d’intérêt ; accès à une sous-partie d’intérêt du réseau ; utilisation d’un protocole de communication d’intérêt ; utilisation d’un port informatique d’intérêt ; transmission de paquets d’une taille informatique d’intérêt, et utilisation d’une plage d’adresses réseau d’intérêt. Procédé de détection selon l’une quelconque des revendications précédentes, dans lequel la simulation (100) est réalisée au moyen d’un algorithme d’optimisation de trajectoire dans le système (10). Procédé de détection selon l’une quelconque des revendications précédentes, dans lequel l’ensemble de séquences et l’ensemble des graphes sémantiques occupent une taille respective sur une mémoire, l’étape de traitement (110) comprenant l’application d’une opération permettant que la taille de l’ensemble de graphes sémantiques soit inférieure à la taille de l’ensemble de séquences. Procédé de détection selon l’une quelconque des revendications précédentes, dans lequel l’alerte émise comprend au moins une information relative au graphe sémantique associé. Procédé de détection selon l’une quelconque des revendications précédentes, comprenant en outre une étape de découpage du système (10) en une pluralité de sous-systèmes avant l’étape de traitement (110), l’étape de traitement (110) comprenant en outre un découpage de chaque trajectoire d’attaque simulée en fonction des différents sous-systèmes traversés. Procédé de détection selon l’une quelconque des revendications précédentes, dans lequel le procédé comprend, pendant l’exploitation du système (10), une nouvelle itération des étapes de simulation (100) et de traitement (110) afin d’obtenir un nouvel ensemble de graphes sémantiques actualisé. Produit programme d’ordinateur comportant un support lisible d’informations, sur lequel est mémorisé un programme d’ordinateur comprenant des instructions de programme, le programme d’ordinateur étant chargeable sur une unité de traitement de données et adapté pour entraîner la mise en œuvre d’un procédé de détection selon l’une quelconque des revendications 1 à 9 lorsque le programme d’ordinateur est mis en œuvre sur l’unité de traitement des données.