WO2022053751A1 - Procede et pare-feu configures pour controler des messages transitant entre deux elements de communication. - Google Patents

Procede et pare-feu configures pour controler des messages transitant entre deux elements de communication. Download PDF

Info

Publication number
WO2022053751A1
WO2022053751A1 PCT/FR2021/051473 FR2021051473W WO2022053751A1 WO 2022053751 A1 WO2022053751 A1 WO 2022053751A1 FR 2021051473 W FR2021051473 W FR 2021051473W WO 2022053751 A1 WO2022053751 A1 WO 2022053751A1
Authority
WO
WIPO (PCT)
Prior art keywords
messages
reference data
firewall
communication
communication elements
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/FR2021/051473
Other languages
English (en)
Inventor
Sylvain Poinsard
Cédrick Chevalier
Romain Richer De Forges
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
MBDA France SAS
Original Assignee
MBDA France SAS
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by MBDA France SAS filed Critical MBDA France SAS
Priority to IL301213A priority Critical patent/IL301213A/en
Priority to US18/044,170 priority patent/US20230328035A1/en
Publication of WO2022053751A1 publication Critical patent/WO2022053751A1/fr
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0245—Filtering by information in the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0254—Stateful filtering
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0263—Rule management
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0281—Proxies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/029—Firewall traversal, e.g. tunnelling or, creating pinholes
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H04L63/123—Applying verification of the received information received data contents, e.g. message integrity

Definitions

  • Method and firewall configured to control messages transiting between two communication elements.
  • the present invention relates to a method and a firewall configured to control messages transiting between two communication elements.
  • any computer element such as a computer, a computer network, etc., which is able to communicate with another computer element, by being able to transmit and/or receive messages;
  • firewalls of the WAF Web Application Firewall
  • application firewalls with pattern recognition such as firewalls of the WAF (Web Application Firewall) type or application firewalls with pattern recognition.
  • firewalls are known for an OSI model (for "Open System Interconnection” in English). These firewalls are generally very efficient on layers 2 to 6 of the OSI model.
  • applications namely layer 7 of the OSI model
  • the usual firewalls are limited to a so-called “pattern” or “signature” functionality. The processing is limited to looking at the content of the message only to know if a form of signature exists or not. They do not make it possible to cover in great depth the security needs of the most critical applications.
  • the present invention relates to a firewall configured to control messages passing in at least one direction between two communication elements, for example two computer networks or a computer and a computer network, which makes it possible to remedy the aforementioned drawbacks, said firewall comprising interfaces to said communication elements.
  • said firewall further comprises:
  • a verification unit configured to compare messages passing between the two communication elements with so-called reference data contained in at least one database and to detect, if necessary, a lack of conformity of a message in transit by relative to said reference data, said reference data comprising predetermined messages which are known and at least authorized values for fields of said predetermined messages.
  • the values authorized for the fields of the messages comprise at least some of the following elements: ranges of values, minimum values, maximum values, types, sizes, ...;
  • a central unit configured to generate an alert signal in the event of detection by the verification unit of a lack of conformity of a message in transit;
  • At least one transmission interface configured to transmit any alert signal that is generated, to at least one alert signal management device.
  • said firewall is configured to control messages from an application layer of a communication model used for communication between the two communication elements, in particular a so-called "7" layer of an OSI model (for " Open System Interconnection” in English).
  • said firewall makes it possible to check, in real time, the conformity of the content of the messages checked with respect to predetermined reference data (concerning known messages).
  • predetermined reference data are adapted to the characteristics of the communication system considered and to the data and information intended to be exchanged by this communication system, as specified below.
  • the firewall thus checks each message in transit for perfectly known and determined messages.
  • the firewall is thus particularly well applied to the industrial field, when the messages considered (received and/or transmitted) are known.
  • said firewall is configured to control the messages transiting in both directions between the two communication elements.
  • the verification unit is configured to recognize, among the messages transiting between the two communication elements, the same messages as those of the reference data, and the verification unit is configured to compare to the data reference, only messages that are recognized in this way.
  • the reference data contained in the database are transcribed into a computer format usable by the verification unit, preferably an XML format.
  • the reference data is representative of the information intended to be exchanged between the communication elements.
  • the reference data may be information relating to products manufactured or used by this industrial unit or information intended for the operation or management of this industrial unit.
  • the present invention also relates to a communication system comprising at least one communication element.
  • said communication system further comprises at least one firewall such as that described above.
  • the communication system further comprises at least one database containing the reference data, said reference data therefore comprising predetermined messages and at least authorized values for fields of said predetermined messages.
  • the communication system additionally comprises an alert signal management device configured to generate an action in the event of reception of an alert signal from the firewall.
  • the alert signal management device is configured not to let a detected non-compliant message pass.
  • other actions are possible, as specified below.
  • the alert signal management device is configured to be able to generate a plurality of different possible actions and to generate, if necessary, among said plurality of possible actions, an action depending on the message not compliant detected.
  • the communication system also comprises at least one usual auxiliary firewall.
  • the present invention further relates to a communication network which comprises at least said firewall and said two communication elements.
  • the present invention also relates to a method for processing and filtering messages transiting in at least one direction between two communication elements.
  • said method comprises at least:
  • a verification step implemented by a verification unit, consisting in comparing messages passing between the two communication elements with so-called reference data contained in a database, and in detecting, if necessary, an absence conformity of a message in transit with said reference data, said reference data comprising known predetermined messages and at least authorized values for fields of said predetermined messages;
  • an alert step implemented by a central unit, consisting in generating an alert signal in the event of detection of a lack of conformity by the processing unit.
  • said method further comprises a protection step, implemented by an alert signal management device, consisting in implementing an action, in particular a protective action, in the event of generation of an alert signal in the alert step.
  • the verification step includes:
  • an identification sub-step consisting in recognizing, among the messages transiting between the two communication elements, the messages corresponding to the reference data
  • a comparison sub-step consisting in comparing to the reference data of said database, only the messages which are thus recognized.
  • Figure 1 is the block diagram of a communication network provided with a firewall according to the invention.
  • Figure 2 schematically shows a particular embodiment of a firewall according to the invention.
  • FIG. 3 schematically illustrates the main steps of a process for processing and filtering messages, implemented using a firewall in accordance with the invention.
  • the firewall 1 represented schematically in FIG. 2 and making it possible to illustrate the invention, is a computer device intended to control (or monitor) messages transiting, according to at least one direction (of communication) 11, I2, between two communication elements 2 and 3 represented in FIG.
  • a communication element can correspond to any computer element (such as a computer, a computer network, for example a local computer network LAN (for "Local Area Network” in English) ...,) who is able to communicate with another computer element, that is to say which is capable of transmitting and/or receiving messages from the latter.
  • the firewall 1 comprises interfaces 5 and 6 (represented in figure 2) allowing it to be connected (in the usual way), respectively, to the communication elements 2 and 3.
  • said firewall 1 is configured to control the messages passing in a single direction I1 or I2 between the two communication elements 2 and 3.
  • these may be messages transmitted by the communication element 3, for example a computer network external to an organization or to a local entity such as a company, to the communication element 2, for example a computer or a network of the local entity , with the aim of protecting the communication element 2 against an unauthorized message which could be potentially malicious and correspond, in particular, to an intrusion attempt.
  • said firewall 1 is thus a security element intended, in the first place, to protect the communication element 2, against malicious intrusion attempts originating from the communication element 3. To do this, it is part of a communication system 4 comprising, in particular, said communication element 2 and said firewall 1 .
  • said firewall 1 is configured to control messages passing in both directions I1 and I2 between the two communication elements 2 and 3, as illustrated by double arrows F and G in FIG. 1, to protect the two communication elements 2 and 3 from each other.
  • the firewall 1 and the two communication elements 2 and 3 can be part of a communication network 15, for example a military (communication) network.
  • the firewall 1 comprises, as shown in Figure 2, on an electronic card 14, in addition to the interfaces 5 and 6:
  • a verification (or control) unit 7 for example a programmable integrated circuit of the FGPA (Field-Programmable Gate Array) type, which is configured (and programmed) to compare messages passing between the two communication elements 2 and 3 with so-called reference data from a database 8.
  • reference data (concerning known messages) are received by the parent -fire 1 of the database 8, via a link 9, as shown in Figure 1.
  • the unit of verification 7 is able to detect, if this is the case, any lack of conformity of a message in transit with respect to these reference data.
  • the values authorized for the fields of the messages can comprise at least some of the following elements: ranges of values, minimum values, maximum values, types, sizes, ...;
  • a central processing unit 10 for example a processor or central processing unit of the CPU type (for "Central Processing Unit” in English), which is configured to generate an alert signal in the event of detection by the verification unit 7 a lack of conformity of a message in transit; and
  • At least one transmission interface 11 configured to transmit any alert signal generated by the central unit 10, intended for at least one user device, and in particular a device 12 for managing alert signals, such as detailed below.
  • the verification unit 7 is configured to be able to recognize (or identify), among the messages transiting between the two communication elements 2 and 3, the messages of the same type (for example of the same protocol) as those which are recorded in the base data 8.
  • the verification unit 7 compares to the reference data of said database 8 only the content of the messages (in transit between the two communication elements 2 and 3) which are thus previously recognized.
  • the central unit 10 is also configured to allow the management of the verification unit 7 and the downloading of reference data from the database 8.
  • the verification unit 7 is connected via links L1, L2 and L3 respectively to the interface 5, to the interface 6 and to the central unit 10, and the unit central 10 is connected by via a link L4 to the transmission interface 11 .
  • These links L1 to L4 allow the communication of data between the elements connected together.
  • Interfaces 5 and 6 are responsible for transmitting and receiving messages that pass through firewall 1 , coming from or going to communication element 2 and communication element 3 respectively.
  • the communication system 4 also comprises a database 8, preferably external to the electronic card 14, which contains the aforementioned reference data.
  • Reference data includes at least:
  • the firewall 1 can also comprise several databases 8, each of which comprises for example data relating to messages each time of a particular type, which are for example intended for a particular project or a particular product.
  • database is meant any electronic means such as a memory for example, which is part of the communication system 4 and which makes it possible to store all the data necessary to allow the verification unit 7 to carry out the comparisons considered.
  • said firewall 1 makes it possible to verify, in real time, the conformity of the content of the messages checked with respect to predetermined reference data. These reference data are adapted to the data exchanged by the communication system 4. The firewall 1 thus checks each message in transit for perfectly known and determined messages.
  • the messages are perfectly known, and the possible content of each of these messages is precisely identified, for example, in interface documents used to define or update the data of reference contained in the database data 8. They may depend, in particular, on the data and information that it is envisaged that the communication system 4 will exchange.
  • the documents specifying the interfaces and therefore the messages to be used for the communication system 4 make it possible to precisely establish a list of messages likely to be used and all the possible values for each field of these messages.
  • the firewall 1 is therefore particularly well suited to the industrial field, and more precisely in companies or sectors of activity in which the messages exchanged are perfectly known.
  • the firewall 1 can therefore precisely read each message and check whether the values which compose it in the various fields are part of the possible values, and whether this message is therefore compliant or not.
  • the reference data from the database 8 are transcribed into a computer format usable by the verification unit 7 of the firewall 1, preferably an XML format.
  • XML (Extensible Markup Language) files are simple text documents that use custom markup to describe and structure data.
  • the XML message format used makes it possible to describe the messages which must be analyzed at the application level. It contains the description of the various fields of each message (by specifying in particular minimum values, maximum values, types, sizes) which are specified in the interface documents.
  • the present invention can be applied to different types of protocols, for example protocols of the TCP type (for “Transmission Control Protocol”) or of the UDP type (for “User Datagram Protocol”).
  • protocols of the TCP type for “Transmission Control Protocol”
  • UDP type for “User Datagram Protocol”.
  • the firewall 1 is of the application type. It is configured to control messages from an application layer of a communication model used for communication between the two communication elements 2 and 3.
  • the firewall 1 is configured to control messages of layer 7 of the OSI model.
  • the OSI model which represents a communication standard, in network, of computer systems, comprises seven layers.
  • Layer 7, which is an application layer, is the access point to network services.
  • the firewall 1 can also be applied to the application layer of a communication model other than the OSI model.
  • the communication system 4 further comprises a device 12 for managing alert signals, for example of the SIEM type (for "Security Information and Event Management" in English, namely management of information and security events ), which is configured to generate an action, in particular a protection action, in the event of reception of an alert signal.
  • the device 12 is linked via a link 13 (FIG. 1) to the transmission interface 11 which is linked to the central unit 10 (alert signal generator) via the link L4 (figure 2).
  • the device 12 for managing alert signals is configured to act, in the usual way, by not letting a non-compliant message pass.
  • actions can be envisaged in the event of detection of a non-compliant message.
  • this may involve deleting the message, archiving the message, transmitting the message to an analysis element (to analyze it), cutting off any subsequent transmission between communication elements 2 and 3, complex operations on alert signals (such as time correlations for example),
  • the device 12 for managing alert signals is configured to generate an action which depends on the non-compliant message detected.
  • a plurality of different possible actions are therefore provided, and when a message is considered to be non-compliant, at least one action is implemented (among said possible actions) which depends on said message.
  • These actions may, for example, depend on the type of communication system 4, to which the firewall 1 is applied, or on the nature of the data exchanged by the communication system 4.
  • the communication system 4 comprises, in addition to the firewall 1, one or preferably a plurality of standard auxiliary firewalls (not shown). It may in particular be one or more usual firewalls which are designed to analyze messages which are not recognized by the verification unit 7 and which are therefore not controlled by the firewall 1 .
  • firewalls which are designed to protect layers 2 to 6 of the OSI model, and which are thus complementary to firewall 1 when it is intended to protect the layer 7 of the OSI model.
  • the communication system 4 thus has effective protections against all of the layers 2 to 7 of the OSI model.
  • the firewall 1, as described above, forming part of the communication system 4, makes it possible to implement a process P for processing and filtering messages passing in at least one direction (of communication) between the two elements of communication 2 and 3 or in both directions.
  • this method P comprises, as shown in Figure 3:
  • a verification step E1 implemented by the verification unit 7, consisting in comparing messages passing between the two communication elements 2 and 3 with the reference data of the database 8, and in detecting the case where applicable, a lack of conformity of a message in transit with respect to said reference data.
  • the reference data comprises predetermined messages which are known and authorized values for fields of said predetermined messages; - an alert step E2, implemented by the central unit 10, consisting in generating an alert signal in the event of detection of a lack of conformity by the verification unit 7 at the verification step E1 ; and
  • a protection step E3 implemented by the device 12 for managing alert signals, consisting in generating an action in the event of generation of an alert signal by the central unit 10 in the step of E2 alert.
  • verification step E1 implemented by verification unit 7, includes:
  • an identification sub-step E1A consisting in recognizing and identifying, among the messages transiting between the two communication elements 2 and 3, the messages which form part of the reference data of the database 8;
  • comparison sub-step E1 B consisting in comparing to said reference data of the database 8, only the messages which are thus recognized and identified.
  • the verification unit 7 tries to recognize and identify all the messages in transit between the communication elements 2 and 3. A message which is not recognized by the verification unit 7 will not be checked by the latter. , and it will therefore be authorized to pass through the firewall 1. This message may be controlled by other usual firewalls of the communication system 4 which will be responsible for deciding whether or not it complies with the policy of current security. It will then either be blocked by this usual firewall, or let through.
  • a message which is recognized by the verification unit 7 will be checked by the latter which will emit a warning signal in the event of non-compliance of this checked message with the corresponding reference data.
  • the alert signal management device 12 will generate an appropriate action. In particular, it will prevent the message from being communicated to the communication element 2, 3 which is the recipient.
  • Firewall 1 and Method P can be used in many different applications. In particular, they are particularly well suited to the industrial field (aviation, military, etc.), in companies or sectors of activity where the messages exchanged are well known.
  • the firewall 1 can in particular be used in addition to the usual firewalls in order to have effective protection allowing monitoring of the communication flows, at the entrance and exit of military systems such as a center of command, a mission preparation station, a launcher, ....

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Business, Economics & Management (AREA)
  • General Business, Economics & Management (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

- Le pare-feu (1) comporte une unité de vérification (7) pour comparer des messages transitant entre les deux éléments de communication à des données dites de référence contenues dans une base de données et pour détecter, le cas échéant, une absence de conformité d'un message en transit par rapport à ces données de référence, lesdites données de référence comprenant des messages prédéterminés et au moins des valeurs autorisées pour des champs de ces messages prédéterminés, une unité centrale (10) pour générer un signal d'alerte en cas de détection par l'unité de vérification (7) d'une absence de conformité d'un message en transit, et une interface de transmission (11) configurée pour transmettre tout signal d'alerte à destination au moins d'un dispositif de gestion de signaux d'alerte, qui va générer une action de protection appropriée lors de la génération d'un signal d'alerte.

Description

Procédé et pare-feu configurés pour contrôler des messages transitant entre deux éléments de communication.
DOMAINE TECHNIQUE
La présente invention concerne un procédé et un pare-feu configurés pour contrôler des messages transitant entre deux éléments de communication.
ÉTAT DE LA TECHNIQUE
Dans le cadre de la présente invention, on entend :
- par élément de communication, tout élément informatique tel qu’un ordinateur, un réseau informatique, ..., qui est apte à communiquer avec un autre élément informatique, en étant apte à transmettre et/ou à recevoir des messages ; et
- par message, un ensemble de données transmis d’un élément de communication à un autre.
On connaît différentes solutions de pare-feux applicatifs, comme des pare-feux de type WAF (« Web Applicative Firewall ») ou des pare-feux applicatifs à reconnaissance de « pattern ».
On connaît, en particulier, des pare-feux pour un modèle OSI (pour « Open System Interconnexion >> en anglais). Ces pare-feux sont généralement, très performants sur les couches 2 à 6 du modèle OSI. Cependant pour les applications (à savoir la couche 7 du modèle OSI), les pare- feux usuels sont limités à une fonctionnalité dite de « pattern >> ou de « signature ». Le traitement se limite à regarder le contenu du message uniquement pour savoir si une forme de signature existe ou non. Ils ne permettent pas de couvrir dans la grande profondeur le besoin en sécurité des applications les plus critiques.
Ces solutions usuelles de pare-feu ne sont donc pas satisfaisantes, en particulier pour la couche applicative d’un modèle de communication.
EXPOSÉ DE L’INVENTION La présente invention concerne un pare-feu configuré pour contrôler des messages transitant dans au moins un sens entre deux éléments de communication, par exemple deux réseaux informatiques ou un ordinateur et un réseau informatique, qui permet de remédier aux inconvénients précités, ledit pare-feu comportant des interfaces vers lesdits éléments de communication.
A cet effet, selon l'invention, ledit pare-feu comporte de plus :
- une unité de vérification configurée pour comparer des messages transitant entre les deux éléments de communication à des données dites de référence contenues dans au moins une base de données et pour détecter, le cas échéant, une absence de conformité d’un message en transit par rapport auxdites données de référence, lesdites données de référence comprenant des messages prédéterminés qui sont connus et au moins des valeurs autorisées pour des champs desdits messages prédéterminés. Avantageusement, les valeurs autorisées pour les champs des messages comprennent au moins certains des éléments suivants : des plages de valeurs, des valeurs minimales, des valeurs maximales, des types, des tailles, ... ;
- une unité centrale configurée pour générer un signal d’alerte en cas de détection par l’unité de vérification d’une absence de conformité d’un message en transit ; et
- au moins une interface de transmission configurée pour transmettre tout signal d’alerte qui est généré, à destination au moins d’un dispositif de gestion de signaux d’alerte.
Avantageusement, ledit pare-feu est configuré pour contrôler des messages d’une couche applicative d’un modèle de communication utilisé pour la communication entre les deux éléments de communication, en particulier une couche dite « 7 » d’un modèle OSI (pour « Open System Interconnexion » en anglais).
Ainsi, grâce à l’invention, ledit pare-feu (de type applicatif) permet de vérifier, en temps réel, la conformité du contenu des messages contrôlés par rapport à des données de référence prédéterminées (concernant des messages connus). Ces données de référence sont adaptées aux caractéristiques du système de communication considéré et aux données et informations destinées à être échangées par ce système de communication, comme précisé ci-dessous.
Le pare-feu vérifie ainsi chaque message en transit pour des messages parfaitement connus et déterminés. Le pare-feu est ainsi particulièrement bien appliqué au domaine industriel, lorsque les messages considérés (reçus et/ou émis) sont connus.
Dans un mode de réalisation préféré, ledit pare-feu est configuré pour contrôler les messages transitant dans les deux sens entre les deux éléments de communication.
En outre, de façon avantageuse, l’unité de vérification est configurée pour reconnaître, parmi les messages transitant entre les deux éléments de communication, les mêmes messages que ceux des données de référence, et l’unité de vérification est configurée pour comparer aux données de référence, uniquement les messages qui sont ainsi reconnus.
Par ailleurs, avantageusement, les données de référence contenues dans la base de données sont transcrites dans un format informatique exploitable par l’unité de vérification, de préférence un format XML.
Dans un mode de réalisation préféré, les données de référence sont représentatives des informations destinées à être échangées entre les éléments de communication. Par exemple, pour des éléments de communication dans une unité industrielle, il peut s’agir d’informations relatives à des produits fabriqués ou utilisés par cette unité industrielle ou à des informations destinées au fonctionnement ou à la gestion de cette unité industrielle.
La présente invention concerne également un système de communication comportant au moins un élément de communication. Selon l’invention, ledit système de communication comporte, de plus, au moins un pare-feu tel que celui décrit ci-dessus.
Avantageusement, le système de communication comporte, de plus, au moins une base de données contenant les données de référence, lesdites données de référence comprenant donc des messages prédéterminés et au moins des valeurs autorisées pour des champs desdits messages prédéterminés. En outre, de façon avantageuse, le système de communication comporte, de plus, un dispositif de gestion de signaux d’alerte configuré pour générer une action en cas de réception d’un signal d’alerte du pare-feu.
Avantageusement, le dispositif de gestion de signaux d’alerte est configuré pour ne pas laisser passer un message non conforme détecté. Dans le cadre de la présente invention, d’autres actions sont envisageables, comme précisé ci-dessous.
Dans un mode de réalisation particulier, le dispositif de gestion de signaux d’alerte est configuré pour pouvoir générer une pluralité d’actions différentes possibles et pour générer, le cas échéant, parmi ladite pluralité d’actions possibles, une action dépendant du message non conforme détecté.
Par ailleurs, dans un mode de réalisation particulier, le système de communication comporte également au moins un pare-feu auxiliaire usuel.
La présente invention concerne, en outre, un réseau de communication qui comprend au moins ledit pare-feu et lesdits deux éléments de communication.
La présente invention concerne également un procédé de traitement et de filtrage de messages transitant dans au moins un sens entre deux éléments de communication.
Selon l’invention, ledit procédé comprend au moins :
- une étape de vérification, mise en œuvre par une unité de vérification, consistant à comparer des messages transitant entre les deux éléments de communication à des données dites de référence contenues dans une base de données, et à détecter, le cas échéant, une absence de conformité d’un message en transit par rapport auxdites données de référence, lesdites données de référence comprenant des messages prédéterminés connus et au moins des valeurs autorisées pour des champs desdits messages prédéterminés ; et
- une étape d’alerte, mise en œuvre par une unité centrale, consistant à générer un signal d’alerte en cas de détection d’une absence de conformité par l’unité de traitement.
Avantageusement, ledit procédé comprend, de plus, une étape de protection, mise en œuvre par un dispositif de gestion de signaux d’alerte, consistant à mettre en œuvre une action, notamment une action de protection, en cas de génération d’un signal d’alerte à l’étape d’alerte.
De plus, de façon avantageuse, l’étape de vérification comprend :
- une sous-étape d’identification consistant à reconnaître, parmi les messages transitant entre les deux éléments de communication, les messages correspondant aux données de référence ; et
- une sous-étape de comparaison consistant à comparer aux données de référence de ladite base de données, uniquement les messages qui sont ainsi reconnus.
BRÈVE DESCRIPTION DES FIGURES
Les figures du dessin annexé feront bien comprendre comment l'invention peut être réalisée. Sur ces figures, des références identiques désignent des éléments semblables.
La figure 1 est le schéma synoptique d’un réseau de communication pourvu d’un pare-feu conforme à l’invention.
La figure 2 montre schématiquement un mode de réalisation particulier d’un pare-feu conforme à l’invention.
La figure 3 illustre schématiquement les étapes principales d’un procédé de traitement et de filtrage de messages, mis en œuvre à l’aide d’un pare-feu conforme à l’invention.
DESCRIPTION DÉTAILLÉE
Le pare-feu 1 représenté schématiquement sur la figure 2 et permettant d’illustrer l’invention, est un dispositif informatique destiné à contrôler (ou surveiller) des messages transitant, selon au moins un sens (de communication) 11 , I2, entre deux éléments de communication 2 et 3 représentés sur la figure 1 . Dans le cadre de la présente invention, un élément de communication peut correspondre à tout élément informatique (tel qu’un ordinateur, un réseau informatique par exemple un réseau informatique local LAN (pour « Local Area Network » en anglais) ...,) qui est apte à communiquer avec un autre élément informatique, c’est-à-dire qui est apte à transmettre et/ou à recevoir des messages de ce dernier.
Le pare-feu 1 comporte des interfaces 5 et 6 (représentées sur la figure 2) permettant de le relier (de façon usuelle), respectivement, aux éléments de communication 2 et 3.
Dans un mode de réalisation particulier, ledit pare-feu 1 est configuré pour contrôler les messages transitant dans un seul sens 11 ou I2 entre les deux éléments de communication 2 et 3. A titre d’illustration, il peut s’agir des messages émis par l’élément de communication 3, par exemple un réseau informatique externe à un organisme ou à une entité locale telle qu’une entreprise, à destination de l’élément de communication 2, par exemple un ordinateur ou un réseau de l’entité locale, dans le but de protéger l’élément de communication 2 contre un message non autorisé qui pourrait être potentiellement malveillant et correspondre, notamment, à une tentative d'intrusion.
Dans un mode de réalisation préféré, représenté sur le figure 1 , ledit pare-feu 1 est ainsi un élément de sécurité destiné, en premier lieu, à protéger l’élément de communication 2, contre des tentatives d'intrusion malveillantes provenant de l’élément de communication 3. Pour ce faire, il fait partie d’un système de communication 4 comprenant, notamment, ledit l’élément de communication 2 et ledit pare-feu 1 .
Par ailleurs, dans une variante préférée de ce mode de réalisation préféré, ledit pare-feu 1 est configuré pour contrôler les messages transitant dans les deux sens 11 et I2 entre les deux éléments de communication 2 et 3, comme illustré par des doubles flèches F et G sur la figure 1 , pour protéger les deux éléments de communication 2 et 3, l’un de l’autre.
Dans un mode de réalisation particulier, le pare-feu 1 et les deux éléments de communication 2 et 3 peuvent faire partie d’un réseau de communication 15, par exemple un réseau (de communication) militaire.
Le pare-feu 1 comporte, comme représenté sur la figure 2, sur une carte électronique 14, en plus des interfaces 5 et 6 :
- une unité de vérification (ou de contrôle) 7, par exemple un circuit intégré programmable de type FGPA (« Field-Programmable Gate Array » en anglais), qui est configurée (et programmée) pour comparer des messages transitant entre les deux éléments de communication 2 et 3 à des données dites de référence d’une base de données 8. Ces données de référence (concernant des messages connus) sont reçues par le pare-feu 1 de la base de données 8, par l’intermédiaire d’une liaison 9, comme représenté sur la figure 1. Par la comparaison de chaque message (qui est pris en compte) avec lesdites données de référence, l’unité de vérification 7 est en mesure de détecter, si cela est le cas, toute absence de conformité d’un message en transit par rapport à ces données de référence. En particulier, les valeurs autorisées pour les champs des messages peuvent comprendre au moins certains des éléments suivants : des plages de valeurs, des valeurs minimales, des valeurs maximales, des types, des tailles, ... ;
- une unité centrale 10, par exemple un processeur ou unité centrale de traitement de type CPU (pour « Central Processing Unit » en anglais), qui est configurée pour générer un signal d’alerte en cas de détection par l’unité de vérification 7 d’une absence de conformité d’un message en transit ; et
- au moins une interface de transmission 11 configurée pour transmettre tout signal d’alerte généré par l’unité centrale 10, à destination d’au moins un dispositif utilisateur, et notamment d’un dispositif 12 de gestion de signaux d’alerte, comme précis ci-dessous.
L’unité de vérification 7 est configurée pour pouvoir reconnaître (ou identifier), parmi les messages transitant entre les deux éléments de communication 2 et 3, les messages de même type (par exemple de même protocole) que ceux qui sont enregistrés dans la base de données 8. L’unité de vérification 7 compare aux données de référence de ladite base de données 8, uniquement le contenu des messages (en transit entre les deux éléments de communication 2 et 3) qui sont ainsi préalablement reconnus.
En plus de générer les signaux d’alerte, l’unité centrale 10 est également configurée pour permettre la gestion de l’unité de vérification 7 et le téléchargement des données de référence de la base de données 8.
Comme représenté sur la figure 2, l’unité de vérification 7 est reliée par l’intermédiaire de liaisons L1 , L2 et L3 respectivement à l’interface 5, à l’interface 6 et à l’unité centrale 10, et l’unité centrale 10 est reliée par l’intermédiaire d’une liaison L4 à l’interface de transmission 11 . Ces liaisons L1 à L4 permettent la communication de données entre les éléments reliés ensemble.
Les interfaces 5 et 6 sont chargées de transmettre et recevoir les messages qui passent à travers le pare-feu 1 , en provenance ou à destination respectivement de l’élément de communication 2 et de l’élément de communication 3.
Le système de communication 4 comporte également une base de données 8, de préférence externe à la carte électronique 14, qui contient les données de référence précitées. Les données de référence comprennent au moins :
- une liste de l’ensemble des messages possibles (qui peuvent donc être traités par le pare-feu 1 ) ;
- l’ensemble des valeurs possibles, c’est-à-dire autorisées, pour chacun des champs qui composent chaque message.
Dans un mode de réalisation particulier, le pare-feu 1 peut également comporter plusieurs bases de données 8, dont chacune comporte par exemple des données relatives à des messages à chaque fois d’un type particulier, qui sont par exemple destinés à un projet particulier ou à un produit particulier. On entend par base de données, tout moyen électronique tel qu’une mémoire par exemple, qui fait partie du système de communication 4 et qui permet de stocker l’ensemble des données nécessaires pour permettre à l’unité de vérification 7 de réaliser les comparaisons envisagées.
Ainsi, ledit pare-feu 1 permet de vérifier, en temps réel, la conformité du contenu des messages contrôlés par rapport à des données de référence prédéterminées. Ces données de référence sont adaptées aux données échangées par le système de communication 4. Le pare-feu 1 vérifie ainsi chaque message en transit pour des messages parfaitement connus et déterminés.
En particulier, les messages (contrôlés par le pare-feu 1 ) sont parfaitement connus, et le contenu possible de chacun de ces messages est précisément identifié, par exemple, dans des documents d’interface utilisés pour définir ou mettre à jour les données de référence contenues dans la base de données 8. Ils peuvent dépendre, notamment, des données et informations que l’on envisage que le système de communication 4 va échanger. Les documents spécifiant les interfaces et donc les messages à utiliser pour le système de communication 4 permettent d’établir de manière précise une liste de messages susceptibles d’être utilisés et l’ensemble des valeurs possibles pour chaque champ de ces messages. Le pare-feu 1 est donc particulièrement bien adapté au domaine industriel, et plus précisément dans les entreprises ou les secteurs d’activité dans lesquels les messages échangés sont parfaitement connus.
Le pare-feu 1 peut donc lire précisément chaque message et vérifier si les valeurs qui le composent dans les différents champs font partie des valeurs possibles, et si ce message est donc conforme ou non.
Pour ce faire, les données de référence de la base de données 8 sont transcrites dans un format informatique exploitable par l’unité de vérification 7 du pare-feu 1 , de préférence un format XML.
Les fichiers XML (pour « Extensible Markup Language » en anglais, à savoir langage de balisage extensible) sont de simples documents texte qui utilisent des balises personnalisées pour décrire et structurer des données. Le format de message XML utilisé permet de décrire les messages qui doivent être analysés au niveau applicatif. Il contient la description des différents champs de chaque message (en précisant notamment des valeurs minimales, des valeurs maximales, des types, des tailles) qui sont spécifiés dans les documents d’interface.
La présente invention peut être appliquée à différents types de protocoles, par exemple des protocoles de type TCP (pour « Transmission Control Protocol » anglais) ou de type UDP (pour « User Datagram Protocol » en anglais).
Le pare-feu 1 est de type applicatif. Il est configuré pour contrôler des messages d’une couche applicative d’un modèle de communication utilisé pour la communication entre les deux éléments de communication 2 et 3.
De préférence, le pare-feu 1 est configuré pour contrôler des messages de la couche 7 du modèle OSI. Le modèle OSI qui représente une norme de communication, en réseau, des systèmes informatiques, comporte sept couches. La couche 7 qui est une couche d’application est le point d'accès aux services réseaux. Dans le cadre de la présente invention, le pare-feu 1 peut également s’appliquer à la couche applicative d’un modèle de communication autre que le modèle OSI.
Le système de communication 4 comporte, de plus, un dispositif 12 de gestion de signaux d’alerte, par exemple de type SIEM (pour « Security Information and Event Management » en anglais, à savoir gestion de l’information et des évènements de sécurité), qui est configuré pour générer une action, notamment une action de protection, en cas de réception d’un signal d’alerte. A cet effet, le dispositif 12 est lié par l’intermédiaire d’une liaison 13 (figure 1 ) à l’interface de transmission 11 qui est en lien avec l’unité centrale 10 (génératrice de signaux d’alerte) via la liaison L4 (figure 2).
Dans un mode de réalisation préféré, le dispositif 12 de gestion de signaux d’alerte est configuré pour agir, de façon usuelle, en ne laissant pas passer un message non conforme. Ainsi :
- un message reçu de l’élément de communication 3, qui est détecté comme non conforme par le pare-feu 1 n’est pas transmis à l’élément de communication 2 (et donc au système de communication 4) pour le protéger contre une éventuelle tentative d’intrusion ;
- et inversement (dans le mode de réalisation préféré d’une surveillance dans les deux sens de communication), un message émis par l’élément de communication 2 (et donc par le système de communication 4), qui est détecté comme non conforme par le pare-feu 1 , n’est pas transmis à l’élément de communication 3.
Dans le cadre de la présente invention, d’autres actions (commandées ou gérées par le dispositif 12) sont envisageables en cas de détection d’un message non conforme. A titre d’illustration, il peut s’agir de la suppression du message, de l’archivage du message, de la transmission du message à un élément d’analyse (pour l’analyser), de la coupure de toute transmission ultérieure entre les éléments de communication 2 et 3, d’opérations complexes sur les signaux d’alerte (telles que des corrélations dans le temps par exemple), Dans un mode de réalisation particulier, le dispositif 12 de gestion de signaux d’alerte est configuré pour générer une action qui dépend du message non conforme détecté. On prévoit donc une pluralité d’actions différentes possibles, et lorsqu’un message est considéré comme non conforme, on met en œuvre au moins une action (parmi lesdites actions possibles) qui dépend dudit message. Ces actions peuvent, par exemple, dépendre du type de système de communication 4, auquel est appliqué le pare-feu 1 , ou de la nature des données échangées par le système de communication 4.
Par ailleurs, dans un mode de réalisation particulier, le système de communication 4 comporte, en plus du pare-feu 1 , un ou de préférence une pluralité de pare-feux auxiliaires usuels (non représentés). Il peut notamment s’agir d’un ou de plusieurs pare-feux usuels qui sont conçus pour analyser des messages qui ne sont pas reconnus par l’unité de vérification 7 et qui ne sont donc pas contrôlés par le pare-feu 1 .
En particulier, il peut s’agir d’un ou de plusieurs pare-feux usuels qui sont conçus pour protéger les couches 2 à 6 du modèles OSI, et qui sont ainsi complémentaires du pare-feu 1 lorsqu’il est destiné à protéger la couche 7 du modèle OSI. Dans ce mode de réalisation particulier, le système de communication 4 dispose ainsi de protections efficaces contre l’ensemble des couches 2 à 7 du modèle OSI.
Le pare-feu 1 , tel que décrit ci-dessus, faisant partie du système de communication 4, permet de mettre en œuvre un procédé P de traitement et de filtrage de messages transitant dans au moins un sens (de communication) entre les deux éléments de communication 2 et 3 ou dans les deux sens.
Pour ce faire, ce procédé P comprend, comme représenté sur la figure 3 :
- une étape de vérification E1 , mise en œuvre par l’unité de vérification 7, consistant à comparer des messages transitant entre les deux éléments de communication 2 et 3 aux données de référence de la base de données 8, et à détecter, le cas échéant, une absence de conformité d’un message en transit par rapport auxdites données de référence. Les données de référence comprennent des messages prédéterminés qui sont connus et des valeurs autorisées pour des champs desdits messages prédéterminés ; - une étape d’alerte E2, mise en œuvre par l’unité centrale 10, consistant à générer un signal d’alerte en cas de détection d’une absence de conformité par l’unité de vérification 7 à l’étape de vérification E1 ; et
- une étape de protection E3, mise en œuvre par le dispositif 12 de gestion de signaux d’alerte, consistant à générer une action en cas de génération d’un signal d’alerte par l’unité centrale 10 à l’étape d’alerte E2.
De plus, l’étape de vérification E1 , mise en œuvre par l’unité de vérification 7, comprend :
- une sous-étape d’identification E1A consistant à reconnaître et identifier, parmi les messages transitant entre les deux éléments de communication 2 et 3, les messages qui font partie des données de référence de la base de données 8 ; et
- une sous-étape de comparaison E1 B consistant à comparer auxdites données de référence de la base de données 8, uniquement les messages qui sont ainsi reconnus et identifiés.
Par conséquent, l’unité de vérification 7 essaie de reconnaître et identifier tous les messages en transit entre les éléments de communication 2 et 3. Un message qui n’est pas reconnu par l’unité de vérification 7 ne sera pas contrôlé par cette dernière, et il sera donc autorisé à passer à travers le pare- feu 1. Ce message pourra être contrôlé par d’autres pare-feux usuels du système de communication 4 qui se chargeront de décider s’il est conforme ou non à la politique de sécurité en vigueur. Il sera alors soit bloqué par ce pare- feu usuel, soit laissé passer.
En revanche, un message qui est reconnu par l’unité de vérification 7 sera contrôlé par cette dernière qui émettra un signal d’alerte en cas d’absence de conformité de ce message contrôlé avec les données de référence correspondantes. Dans un tel cas, le dispositif 12 de gestion de signaux d’alerte générera une action appropriée. En particulier, il empêchera le message d’être communiqué à l’élément de communication 2, 3 qui est destinataire.
Le pare-feu 1 et le procédé P, tels que décrits ci-dessus, peuvent être utilisés dans beaucoup d’applications différentes. En particulier, ils sont particulièrement bien adaptés au domaine industriel (aviation, militaire, ...), dans des entreprises ou des secteurs d’activité où les messages échangés sont parfaitement connus.
Dans le domaine miliaire, le pare-feu 1 peut notamment être utilisé en complément des pare-feux usuels afin de disposer d’une protection efficace permettant des surveillances des flux de communication, en entrée et sortie de systèmes militaires tels qu’un centre de commandement, un poste de préparation de mission, un lanceur, ....

Claims

REVENDICATIONS
1 . Pare-feu configuré pour contrôler des messages transitant dans au moins un sens (11 , I2) entre deux éléments de communication (2, 3), ledit pare- feu (1 ) comportant :
- des interfaces (5, 6) vers lesdits éléments de communication (2, 3) ;
- une unité de vérification (7) configurée pour comparer des messages transitant entre les deux éléments de communication (2, 3) à des données et pour détecter, le cas échéant, une absence de conformité d’un message en transit par rapport auxdites données ; et
- une unité centrale (10) configurée pour générer un signal d’alerte en cas de détection par l’unité de vérification (7) d’une absence de conformité d’un message en transit, caractérisé en ce que :
- l’unité de vérification (7) est configurée pour comparer les messages transitant entre les deux éléments de communication (2, 3) à des données dites de référence qui sont contenues dans au moins une base de données (8) et pour détecter, le cas échéant, une absence de conformité d’un message en transit par rapport auxdites données de référence, lesdites données de référence comprennent des messages prédéterminés qui sont connus et au moins des valeurs autorisées pour des champs desdits messages prédéterminés ;
- l’unité de vérification (7) est configurée pour reconnaître, parmi les messages transitant entre les deux éléments de communication (2, 3), les mêmes messages que ceux des données de référence, et pour comparer aux données de référence, uniquement les messages qui sont ainsi reconnus ; et
- le pare-feu (1 ) comporte de plus au moins une interface de transmission (11 ) configurée pour transmettre tout signal d’alerte à destination au moins d’un dispositif (12) de gestion de signaux d’alerte.
2. Pare-feu selon la revendication 1 , caractérisé en ce qu’il est configuré pour contrôler des messages d’une couche applicative d’un modèle de communication utilisé pour la communication entre les deux éléments de communication (2, 3).
3. Pare-feu selon l’une des revendications 1 et 2, caractérisé en ce qu’il est configuré pour contrôler les messages transitant dans les deux sens (11 , I2) entre les deux éléments de communication (2, 3).
4. Pare-feu selon l’une quelconque des revendications précédentes, caractérisé en ce que les données de référence sont transcrites dans un format informatique exploitable par l’unité de vérification (7).
5. Pare-feu selon l’une quelconque des revendications précédentes, caractérisé en ce que les données de référence sont représentatives des informations destinées à être échangées entre les éléments de communication (2, 3).
6. Système de communication comportant au moins un élément de communication (2), caractérisé en ce qu’il comporte, de plus, au moins un pare-feu (1 ) selon l’une quelconque des revendications 1 à 5.
7. Système de communication selon la revendication 6, caractérisé en ce qu’il comporte au moins une base de données (8) contenant des données de référence, lesdites données de référence comprenant des messages prédéterminés et au moins des valeurs autorisées pour des champs desdits messages prédéterminés.
8. Système de communication selon l’une des revendications 6 et 7, caractérisé en ce qu’il comporte, de plus, un dispositif (12) de gestion de signaux d’alerte configuré pour générer une action en cas de réception d’un signal d’alerte du pare-feu (1 ).
9. Système de communication selon la revendication 8, caractérisé en ce que le dispositif (12) de gestion de signaux d’alerte est configuré pour ne pas laisser passer un message non conforme détecté.
10. Système de communication selon l’une des revendications 8 et 9, caractérisé en ce que le dispositif (12) de gestion de signaux d’alerte est configuré pour générer une action dépendant du message non conforme détecté.
11. Système de communication selon l’une quelconque des revendications 6 à 10, caractérisé en ce qu’il comporte au moins un pare-feu auxiliaire.
12. Procédé de contrôle et de filtrage de messages transitant dans au moins un sens entre deux éléments de communication (2, 3), ledit procédé comprenant au moins :
- une étape de vérification (E1 ), mise en œuvre par une unité de vérification (7), consistant à comparer des messages transitant entre les deux éléments de communication (2, 3) à des données dites de référence contenues dans une base de données (8), et à détecter, le cas échéant, une absence de conformité d’un message en transit par rapport auxdites données de référence, lesdites données de référence de la base de données (8) comprenant des messages prédéterminés qui sont connus et au moins des valeurs autorisées pour des champs desdits messages prédéterminés, l’étape de vérification (E1 ) comprenant une sous-étape d’identification (E1A) consistant à reconnaître, parmi l’ensemble des messages transitant entre les deux éléments de communication (2, 3), les messages correspondant aux données de référence, et une sous-étape de comparaison (E1 B) consistant à comparer aux données de référence de ladite base de données (8), uniquement les messages qui sont ainsi reconnus ; et
- une étape d’alerte (E2), mise en œuvre par une unité centrale (10), consistant à générer un signal d’alerte en cas de détection d’une absence de conformité par l’unité de vérification (7).
13. Procédé selon la revendication 12, caractérisé en ce qu’il comprend, de plus, une étape de protection (E3), mise en œuvre par un dispositif (12) de gestion de signaux d’alerte, consistant à mettre en œuvre une action en cas de génération d’un signal d’alerte à l’étape d’alerte (E2).
PCT/FR2021/051473 2020-09-14 2021-08-19 Procede et pare-feu configures pour controler des messages transitant entre deux elements de communication. Ceased WO2022053751A1 (fr)

Priority Applications (2)

Application Number Priority Date Filing Date Title
IL301213A IL301213A (en) 2020-09-14 2021-08-19 Method and firewall configured to monitor messages transiting between two communication elements
US18/044,170 US20230328035A1 (en) 2020-09-14 2021-08-19 Method and firewall configured to monitor messages transiting between two communication elements

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
FR2009292 2020-09-14
FR2009292A FR3114212B1 (fr) 2020-09-14 2020-09-14 Procédé et pare-feu configurés pour contrôler des messages transitant entre deux éléments de communication.

Publications (1)

Publication Number Publication Date
WO2022053751A1 true WO2022053751A1 (fr) 2022-03-17

Family

ID=74553892

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/FR2021/051473 Ceased WO2022053751A1 (fr) 2020-09-14 2021-08-19 Procede et pare-feu configures pour controler des messages transitant entre deux elements de communication.

Country Status (5)

Country Link
US (1) US20230328035A1 (fr)
EP (1) EP3968598A1 (fr)
FR (1) FR3114212B1 (fr)
IL (1) IL301213A (fr)
WO (1) WO2022053751A1 (fr)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US12160743B2 (en) * 2022-01-19 2024-12-03 Oracle International Corporation Methods, systems, and computer readable media for providing call intelligence to a signaling firewall in a communications network

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP1802023A1 (fr) * 2005-07-30 2007-06-27 Huawei Technologies Co., Ltd. Système et procédé de gestion des pare-feu des réseaux de la prochaine génération
US20090158428A1 (en) * 2007-12-13 2009-06-18 International Business Machines Corporation Method and Device for Integrating Multiple Threat Security Services

Family Cites Families (17)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6854063B1 (en) * 2000-03-03 2005-02-08 Cisco Technology, Inc. Method and apparatus for optimizing firewall processing
US7539857B2 (en) * 2004-10-15 2009-05-26 Protegrity Usa, Inc. Cooperative processing and escalation in a multi-node application-layer security system and method
US7475138B2 (en) * 2005-06-23 2009-01-06 International Business Machines Corporation Access control list checking
US9350705B2 (en) * 2010-06-25 2016-05-24 Salesforce.Com, Inc. Methods and systems for providing a token-based application firewall correlation
US9160710B2 (en) * 2010-06-25 2015-10-13 Salesforce.Com, Inc. Methods and systems for context-based application firewalls
US9043893B1 (en) * 2011-12-16 2015-05-26 Jpmorgan Chase Bank, N.A. System and method for web application firewall tunneling
CN105745886B (zh) * 2013-09-23 2019-06-04 迈克菲有限公司 在两个实体之间提供快速路径
US9813378B2 (en) * 2014-12-04 2017-11-07 Successfactors, Inc. Customizable web application firewall for software as a service platform
DE112017001052T5 (de) * 2016-02-29 2018-11-29 Panasonic Intellectual Property Management Co., Ltd. Erkennungssystem, Webanwendungsvorrichtung, Webanwendungs-Firewallvorrichtung, Erkennungsverfahren für Erkennungssystem, Erkennungsverfahren für Webanwendungsvorrichtung und Erkennungsverfahren für Webanwendungs-Firewallvorrichtung
CA3053683A1 (fr) * 2017-02-17 2018-08-23 Royal Bank Of Canada Pare-feu d'application web
US11063910B2 (en) * 2017-07-31 2021-07-13 Fastly, Inc. Web application firewall for an online service
US11012416B2 (en) * 2018-01-15 2021-05-18 Akamai Technologies, Inc. Symbolic execution for web application firewall performance
US11463407B2 (en) * 2018-07-13 2022-10-04 Raytheon Company Policy engine for cyber anomaly detection
US11729134B2 (en) * 2019-09-30 2023-08-15 Palo Alto Networks, Inc. In-line detection of algorithmically generated domains
US11831420B2 (en) * 2019-11-18 2023-11-28 F5, Inc. Network application firewall
US11461484B2 (en) * 2019-12-30 2022-10-04 Imperva, Inc. Capturing contextual information for data accesses to improve data security
US11483291B2 (en) * 2019-12-30 2022-10-25 Imperva, Inc. Predictive activation of security rules to protect web application servers against web application layer attacks

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP1802023A1 (fr) * 2005-07-30 2007-06-27 Huawei Technologies Co., Ltd. Système et procédé de gestion des pare-feu des réseaux de la prochaine génération
US20090158428A1 (en) * 2007-12-13 2009-06-18 International Business Machines Corporation Method and Device for Integrating Multiple Threat Security Services

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
SUSILO W ET AL: "Personal Firewall for Pocket PC 2003: Design & Implementation", ADVANCED INFORMATION NETWORKING AND APPLICATIONS, 2005. AINA 2005. 19T H INTERNATIONAL CONFERENCE ON TAIPEI, TAIWAN 25-30 MARCH 2005, PISCATAWAY, NJ, USA,IEEE, vol. 2, 25 March 2005 (2005-03-25), pages 661 - 666, XP010790093, ISBN: 978-0-7695-2249-4, DOI: 10.1109/AINA.2005.279 *

Also Published As

Publication number Publication date
IL301213A (en) 2023-05-01
EP3968598A1 (fr) 2022-03-16
FR3114212B1 (fr) 2023-02-10
US20230328035A1 (en) 2023-10-12
FR3114212A1 (fr) 2022-03-18

Similar Documents

Publication Publication Date Title
EP2215801B1 (fr) Procede de securisation d'un canal bidirectionnel de communication et dispositif de mise en oeuvre du procede.
US20240364686A1 (en) Systems and methods for securing devices in a computing environment
EP0721271A1 (fr) Système de contrÔle d'accès à des machines informatiques connectées en réseau privé
US11030319B2 (en) Method for automated testing of hardware and software systems
EP1733539B1 (fr) Dispositif et procédé de détection et de prévention d'intrusions dans un réseau informatique
EP3485418B1 (fr) Système et procédé de communication unidirectionnel
EP3854021A1 (fr) Méthode de traitement confidentiel de logs d'un système d'information
CN111274276A (zh) 操作审计方法、装置及电子设备和计算机可读存储介质
Fry et al. Security Monitoring: Proven Methods for Incident Detection on Enterprise Networks
WO2022053751A1 (fr) Procede et pare-feu configures pour controler des messages transitant entre deux elements de communication.
EP3205068B1 (fr) Procede d'ajustement dynamique d'un niveau de verbosite d'un composant d'un reseau de communications
EP3619634B1 (fr) Périphérique portable de communication, système de protection d'un terminal portable et procédé de communication
EP2351317B1 (fr) Outil de supervision et/ou d'hypervision centralisee d'un ensemble de systemes de niveaux de securite differents
EP2689569B1 (fr) Dispositif de connexion à un réseau de haute sécurité
EP2750354B1 (fr) Procédé de définition d'un module de filtrage, module de filtrage associé
EP3365829B1 (fr) Procédé d'aide a la détection d'infection d'un terminal par un logiciel malveillant
EP2380328A1 (fr) Serveur passerelle a micronoyau
EP4468656B1 (fr) Passerelle de communication avec filtrage amélioré, aéronef, procédé de filtrage et programme d'ordinateur associés
US11909826B1 (en) Systems and methods for four dimensional network session authorization
US20250138863A1 (en) Sensitivity scanning in distinct hosting environments
Cheoin-Gu Scenario-based Log Dataset for Combating the Insider Threat
CN121644095A (zh) 报文检测方法及装置
KVSN et al. A Service Oriented Modeling and Analysis for Building Intrusion Detection Systems
Chen et al. Integrated multilevel intrusion detection and report system
EP1510904A1 (fr) Procédé et système d'évaluation du niveau de sécurité de fonctionnement d'un équipement électronique et d'accès conditionnel à des ressources

Legal Events

Date Code Title Description
NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 21769771

Country of ref document: EP

Kind code of ref document: A1