‣ Les réponses à apporter à ces attaques

Authentification : vérifier la véracité des utilisateurs, du réseau et des documents.

Cryptographie : pour la confidentialité des informations et la signature électronique.

Contrôles d’accès aux ressources (physiquement aussi).

Firewalls : filtrage des trames entre le réseau externe et le réseau interne.

Audit : études des fichiers de log pour repérer des anomalies.

Logiciels anti-virus (2/3 des attaques sont des virus).

Programmes de tests de vulnérabilité et d’erreurs de configuration

Détection d’intrusion : détection des comportements anormaux d’un utilisateur ou des attaques connues

 Méthodes utilisées pour les attaques

- La négligence interne des utilisateurs vis à vis des droits et autorisations d’accès.
- Beaucoup de mot de passe sont vulnérables à une attaque systématique.
- Les clefs de cryptographie trop courtes peuvent être cassées.
- L’attaquant se met à l’écoute sur le réseau et obtient des informations
 Méthodes utilisées pour les attaques
- Programmes et scripts de tests de vulnérabilité et d’erreurs de configuration.
- Injection de code pour obtenir l’accès à la machine de la victime (cheval de Troie).
- Echange de techniques d’attaques par forums et publications.
- Utilisation massive de ressources pour détruire des clefs par exemple
 Objectifs de la sécurité informatique
- L'intégrité, c'est-à-dire garantir que les données sont bien celles que l'on croit être ;
- La confidentialité, consistant à assurer que seules les personnes autorisées aient accès aux ressources
échangées ;
- La disponibilité, permettant de maintenir le bon fonctionnement du système d'information ;
- La non-répudiation, permettant de garantir qu'une transaction ne peut être niée ;
- L'authentification, consistant à assurer que seules les personnes autorisées aient accès aux ressources.
 Nécessité d'une approche globale !!!
- La sensibilisation des utilisateurs aux problèmes de sécurité
- La sécurité logique, c'est-à-dire la sécurité au niveau des données, notamment les données de l'entreprise,
les applications ou encore les systèmes d'exploitation.
- La sécurité des télécommunications : technologies réseau, serveurs de l'entreprise, réseaux d'accès, etc.
- La sécurité physique, soit la sécurité au niveau des infrastructures matérielles
 Quels sont les risques ?
- L’intrusion : Utiliser une ressource sans en avoir la permission. Elle peut aussi être une utilisation abusive
d'une ressource ;
- Les virus informatiques : un logiciel destiné à nuire ou à abuser des ressources du système ;
- Une mauvaise manipulation entraînant une perte de matériel et/ou de données.
- Une malveillance entraînant une perte de matériel et/ou de données.
 Déni de service (DoS) : Un sinistre : (vol, incendie, dégât des eaux)

 Techniques d’attaque/d’intrusion
- Recherche d’informations. Réseau, serveurs, routeurs, . . .
- Recherche de vulnérabilités. Système d’exploitation, serveurs applicatifs, . . .
- Tentative d’exploitation des vulnérabilités. à distance puis localement
- Installation de sniffer.
- Suppression des traces.
- Attaque par déni de service

Services, mécanismes et attaques de sécurité

INTERRUPTION => DISPONIBILITE .,, interception => confidentialité ;; modification => l’intégrité ;;
fabrication => l’authentification

 Deux catégories d’attaques de sécurité :

Attaques passives
 Écoute sur le réseau
 Accès en lecture à des informations confidentielles

Attaques actives :
 Spoofing (masquerading)
 Rejeu
 Modification
 Déni de service

o La sécurité repose sur 3 principes fondamentaux, regroupé au sein de la triade : C.I.A

 Confidentiality (Confidentialité)
 Integrity (Intégrité)
 Availability (Disponibilité)

o La triade C.I.A regroupe les 3 principes fondamentaux (Confidentiality, Integrity and Availability),
cependant 3 autres principes viennent s’ajouter à ceux-là :
 Authenticité
 Anti-rejeu
 Non-répudiation
 Authentification
 Contrôle d’accès (Autorisation)

Defence in Depth (Défense en profondeur)

o Multiplication des lignes de défenses

o Répartition à tous les niveaux
o Redondances
CIA Triad (extensions Parkerian Hexad (Donn B. Parker in 2002) :

6 attributs caractérisant l'information de façon granulaire, indépendants et sans recouvrement:

o ✓ Confidentialité
o ✓ Possession ou Contrôle
o ✓ Intégrité
o ✓ Authenticité
o ✓ Disponibilité
o ✓ Utilité

Autres extensions :

 Responsabilité (Accountability)
 Non-Repudiation

Pourquoi un Firewall ???

 Contrôle : Gérer les connexions sortantes à partir du réseau local.

 Sécurité : Protéger le réseau interne des intrusions venant de l’extérieur.
 Vigilance : Surveiller/tracer le trafic entre le réseau local et Internet

 Définition

Programme, ou un matériel, chargé de vous protéger du monde extérieur en contrôlant tout ce qui passe, et
surtout tout ce qui ne doit pas passer entre Internet et le réseau local

DMZ - Définition (DMZ) : Une zone démilitarisée (DMZ) est un sous-réseau se trouvant entre le réseau local et
le réseau extérieur

‣ Propriétés

 Les connexions à la DMZ sont autorisées de n’importe où.

 Les connexions à partir de la DMZ ne sont autorisées que vers l’extérieur
 Intérêt
 Rendre des machines accessible à partir de l’extérieur (possibilité de mettre en place des
serveurs (DNS, SMTP, . . . )
 Confidentialité

peut-être :

 ✓ accédée, utilisée, copiée ou divulguée uniquement par:

 ✓ des personnes autorisées,
 ✓ des systèmes qui ont reçus les droits pour le faire
 Atteinte à la confidentialité
 ✓ Divulgation d'adresse mail, de numéro de téléphone
 ✓ Publication du salaire d'un employé
 ✓ Publication sur le Web des coordonnées personnelles
 des étudiants, des profs...
 ✓ Divulgation de secrets
 Médical, Industriels, Militaires...
 ✓ Espionnage du comportement d'un internaute
 Site visités,
Contenu des mails
✓ Keylogging
 Protection de la confidentialité
 Accès physiques restreints
 Sécurité des bâtiments
 Badge
 Utilisation de la biométrie
 Cryptographie
 Science du secret
 Portail Wikipedia
 Atteinte à l'intégrité
 Origine humaine
o Malversations :
✓ Virus
✓ Modification du portail d’un site web (defacing)
✓ Modification crapuleuse d'une transaction bancaire
✓ Modification des notes obtenues à un examen
o Mauvaises manipulations :
✓ Effacement non-voulu de donnés
✓ Incohérence entre bases de données

 Origine matérielle
o Pannes
 Disque dur
 Perturbations électromagnétiques
 Coupure de courant
 Pendant une mise à jour de données
o Sinistres
 Inondation
 Incendie
 Vol
 Gobelet de café renversé

 Protection de l'intégrité
o Signature
 md5 (Message Digest 5)
 CRC (Cycle Redundancy Check – Contrôle de redondance cyclique)
 ECC (Error-Correcting Code – Code correcteur)
 FCS (Frame Check Sequence – Contrôle de Trame)
o Duplication, sauvegarde
o Protections physiques
 Locaux protégés
 Coffre-fort

 Disponibilité : Accès garanti à :

o Un service,
o Des ressources
 o Des informations
 Atteinte à la disponibilité
 DoS : Denial of Service
 Par saturation
 flooding (inondation d’un réseau afin d'empêcher son fonctionnement
 mail bombing
 nombre de requêtes hors norme
 L'attaque par déni de service peut ainsi bloquer un serveur de fichiers, rendre impossible l'accès à
un serveur web ou empêcher la distribution de courriel
 Par exploitation de vulnérabilité
 Une faiblesse dans un système informatique

Définition (Proxy)
 Un proxy est un intermédiaire dans une connexion entre le client et le serveur
 Le client s’adresse toujours au proxy
 Le proxy est spécifique à une application donnée (HTTP, FTP, . . . )
o Sécurité des réseaux – Firewalls
 Sécuriser l'infrastructure réseau.
 Sécuriser les échanges sur les réseaux.
 Se protéger contre les attaques qui exploitent le réseau et les faiblesses des protocoles de
communication.
 Contrôler les accès via le réseau.
 Sécuriser les services réseaux

o Comment se protéger
 Agir sur les équipements réseaux. Architecture segmentée (DMZ, VLAN, NAT …)
Restriction d’accès, cloisonnement, filtrage réseau.
Suivi, gestion quotidienne, formation adaptée.
 Agir sur les systèmes.
Restriction d’accès, filtrage au niveau des systèmes.
Configuration correcte des services réseaux
Gestion appropriée des comptes et des permissions.
Suivi, gestion quotidienne et formation sur les produits.
 Agir au niveau de l’utilisateur final.
Sensibilisation
Formation
Responsabilisation

‣ Cryptographie vs Stéganographie
‣ Il faut distinguer la cryptographie de la stéganographie.
La cryptographie permet de transformer un message ”clair” en un cryptogramme (message
”chiffré”) de sorte que le message originel soit complètement incompréhensible.
La stéganographie permet de dissimuler l’existence même de l’information secrète. Par ex. la
lettre de George Sand à Alfred de Musset.