Vous êtes sur la page 1sur 140

2020/2021

Université Abdelmalek Essaâdi


Faculté des Sciences
Tétouan

SECURITE DU SYSTEME
D’INFORMATION (SSI)

BENDAHMANE AHMED

OBJECTIFS DU COURS
2

 identifier les objectifs de la sécurité des réseaux et systèmes ;


 élaborer une politique de sécurité au sein d’un système d’information ;
 exploiter les mécanismes et les algorithmes de la cryptographie ;
 identifier les menaces de la sécurité et d’implémenter les outils de la protection
adéquate.

1
Plan
3

 Introduction à la cryptographie
 Notions fondamentales (histoire, principe de kerckhoffs, vocabulaire)
 Cryptographie symétrique et asymétrique
 Signatures numériques

 Confiance en une clé publique


 Infrastructure de gestion des clés (PKI)

Plan
4

 Introduction à la sécurité des systèmes d’information


 Notions fondamentales de sécurité :
 Les bases, les principes et les objectifs de la sécurité
 Politique de sécurité et Gestion des risques

 Codes malveillants et outils de sécurité

 Moyens de prévention
 Outils de sécurité : antivirus, antispyware…
 Scanners de vulnérabilités

2
Plan
5

 Travaux pratiques :
 Génération, échange des clés et chiffrement des données.
 Cryptage et de chiffrement de ressources à l'aide d'outils open source

 Sécurisation au niveau applicatif.

 Mise en place d’une infrastructure de gestion des clés sous Windows server/Linux.

 Utilisation d’un scanner de vulnérabilité.


 Utilisation d’un Analyseur de paquets.

 Firewalls et outils d’audit réseau

TRAVAIL PERSONNEL
6

 Il s’agit de réaliser des mini projets tutorés par l’équipe pédagogique sur :
 le chiffrement,
 les algorithmes de cryptographie,
 les outils de supervision réseau et la détection des intrusions

 les stratégies innovantes pour la sécurité des systèmes d’informations

3
2020/2021
Université Abdelmalek Essaâdi
Faculté des Sciences
Tétouan

Introduction

BENDAHMANE AHMED

Un Système d’Information (SI) c'est quoi ?


8

 Selon l’IGI 900 et le SCSSI

4
Un Système d’Information (SI) c'est quoi ?
8

 Selon l’IGI 900 et le SCSSI

Tout moyen dont :


– le fonctionnement fait appel à l’électricité
– destiné à élaborer, traiter, stocker, acheminer, présenter
ou détruire de l’information

Un Système d’Information (SI) c'est quoi ?


8

 Selon l’IGI 900 et le SCSSI

Tout moyen dont :


– le fonctionnement fait appel à l’électricité
– destiné à élaborer, traiter, stocker, acheminer, présenter
ou détruire de l’information

 * IGI = Instruction Générale Interministérielle

5
Un Système d’Information (SI) c'est quoi ?
8

 Selon l’IGI 900 et le SCSSI

Tout moyen dont :


– le fonctionnement fait appel à l’électricité
– destiné à élaborer, traiter, stocker, acheminer, présenter
ou détruire de l’information

 * IGI = Instruction Générale Interministérielle


 ** SCSSI = Service Central de la Sécurité des Systèmes d’Informations

Par extension ….. un SI


9

6
Par extension ….. un SI
9

est un ensemble constitué de

Par extension ….. un SI


9

est un ensemble constitué de


 Données (paramètres de contrôle, données utiles)

7
Par extension ….. un SI
9

est un ensemble constitué de


 Données (paramètres de contrôle, données utiles)
 Programmes (applications informatiques, logiciels)

Par extension ….. un SI


9

est un ensemble constitué de


 Données (paramètres de contrôle, données utiles)
 Programmes (applications informatiques, logiciels)
 Ordinateurs (Serveurs, postes de travail, réseau)

8
Par extension ….. un SI
9

est un ensemble constitué de


 Données (paramètres de contrôle, données utiles)
 Programmes (applications informatiques, logiciels)
 Ordinateurs (Serveurs, postes de travail, réseau)
 Procédures (développement, exploitation, maintenance)

Par extension ….. un SI


9

est un ensemble constitué de


 Données (paramètres de contrôle, données utiles)
 Programmes (applications informatiques, logiciels)
 Ordinateurs (Serveurs, postes de travail, réseau)
 Procédures (développement, exploitation, maintenance)
 Personnes (utilisateurs, développeurs)

9
Par extension ….. un SI
9

est un ensemble constitué de


 Données (paramètres de contrôle, données utiles)
 Programmes (applications informatiques, logiciels)
 Ordinateurs (Serveurs, postes de travail, réseau)
 Procédures (développement, exploitation, maintenance)
 Personnes (utilisateurs, développeurs)
 Environnement physique

Par extension ….. un SI


9

est un ensemble constitué de


 Données (paramètres de contrôle, données utiles)
 Programmes (applications informatiques, logiciels)
 Ordinateurs (Serveurs, postes de travail, réseau)
 Procédures (développement, exploitation, maintenance)
 Personnes (utilisateurs, développeurs)
 Environnement physique

10
Par extension ….. un SI
9

est un ensemble constitué de


 Données (paramètres de contrôle, données utiles)
 Programmes (applications informatiques, logiciels)
 Ordinateurs (Serveurs, postes de travail, réseau)
 Procédures (développement, exploitation, maintenance)
 Personnes (utilisateurs, développeurs)
 Environnement physique

Exemple : Ordinateur, Réseau d’entreprise,


Système de gestion de données

Les systèmes d'information sont devenus le centre nerveux des nations modernes
10

11
ÉVOLUTION DES SYSTÈMES D’INFORMATION
11

Les SI aujourd'hui :


ÉVOLUTION DES SYSTÈMES D’INFORMATION


11

Les SI aujourd'hui :


changent dynamiquement

12
ÉVOLUTION DES SYSTÈMES D’INFORMATION
11

Les SI aujourd'hui :


changent dynamiquement
intégration constante de nouveaux outils
mises à jour, réorganisations, ...

ÉVOLUTION DES SYSTÈMES D’INFORMATION


11

Les SI aujourd'hui :


changent dynamiquement
intégration constante de nouveaux outils
mises à jour, réorganisations, ...

se complexifient (hétérogénéité des systèmes),

13
ÉVOLUTION DES SYSTÈMES D’INFORMATION
11

Les SI aujourd'hui :


changent dynamiquement
intégration constante de nouveaux outils
mises à jour, réorganisations, ...

se complexifient (hétérogénéité des systèmes),


s’interconnectent (en interne, mais aussi vers l’extérieur)

ÉVOLUTION DES SYSTÈMES D’INFORMATION


11

Les SI aujourd'hui :


changent dynamiquement
intégration constante de nouveaux outils
mises à jour, réorganisations, ...

se complexifient (hétérogénéité des systèmes),


s’interconnectent (en interne, mais aussi vers l’extérieur)
Les technologies évoluent (programmation orientée objet,

agents intelligents…) comme les menaces !!

14
Système Informatique et Système d‘Information
12 Un système informatique est :
Un ensemble de dispositifs (matériels et logiciels) associés, sur lesquels repose un système d'information.
Un des moyens techniques pour faire fonctionner un système d’information est d’utiliser un système
informatique

Il est constitué généralement des serveurs, routeurs, pare-feu, commutateurs, imprimantes, médias (câbles, air,
etc.), points d'accès, stations de travail, systèmes d'exploitation, applications, bases de données, etc.

Un système d'information est :

Un ensemble de moyens (humains, matériels, logiciels, etc.) organisés permettant d'élaborer, de traiter, de
stocker et/ou de diffuser de l'information grâce aux processus ou services.

Un système d'information est généralement délimité par un périmètre pouvant comprendre des sites, des
locaux, des acteurs (partenaires, clients, employés, etc.), des équipements, des processus, des services, des
applications et des bases de données.

La sécurité des systèmes informatiques


13

 Les systèmes informatiques sont au cœur des systèmes d´information.

15
La sécurité des systèmes informatiques
13

 Les systèmes informatiques sont au cœur des systèmes d´information.


 Ils sont devenus la cible de ceux qui convoitent l’information.

La sécurité des systèmes informatiques


13

 Les systèmes informatiques sont au cœur des systèmes d´information.


 Ils sont devenus la cible de ceux qui convoitent l’information.
 Assurer la sécurité de l’information implique d’assurer la sécurité des systèmes
informatiques

16
Qu’est-ce que la sécurité?
14

 Protection de systèmes informatiques contre les accidents dus à l'environnement, les défauts du
système.

 Sécurité = “Security ”

 Protection des systèmes informatiques contre des actions malveillantes intentionnelles.

Qu’est-ce que la sécurité?


14

 Définition de base : La sécurité informatique c'est l'ensemble des moyens mis en œuvre pour

minimiser la vulnérabilité d'un système contre des menaces accidentelles ou


intentionnelles.

 Protection de systèmes informatiques contre les accidents dus à l'environnement, les défauts du
système.

 Sécurité = “Security ”

 Protection des systèmes informatiques contre des actions malveillantes intentionnelles.

17
Qu’est-ce que la sécurité?
14

 Définition de base : La sécurité informatique c'est l'ensemble des moyens mis en œuvre pour

minimiser la vulnérabilité d'un système contre des menaces accidentelles ou


intentionnelles.

 Sécurité = “Safety”

 Protection de systèmes informatiques contre les accidents dus à l'environnement, les défauts du
système.

 Sécurité = “Security ”

 Protection des systèmes informatiques contre des actions malveillantes intentionnelles.

La sécurité des systèmes informatiques


15

18
Objectifs/ besoins de la sécurité informatique
16

 Objectifs à garantir:

Objectifs/ besoins de la sécurité informatique


16

 Objectifs à garantir:
 Confidentialité
 Intégrité
 Disponibilité
 Authentification
 Contrôle d’accès/Autorisation
 Non répudiation

19
Confidentialité

 Disponibilité et divulgation limitées aux seules entités autorisées

17

Confidentialité

 Disponibilité et divulgation limitées aux seules entités autorisées


 Ex :

17

20
Confidentialité

 Disponibilité et divulgation limitées aux seules entités autorisées


 Ex :
 Empêcher la lecture de données pendant la transmission ou le stockage pour
des personnes non autorisées

17

Confidentialité

 Disponibilité et divulgation limitées aux seules entités autorisées


 Ex :
 Empêcher la lecture de données pendant la transmission ou le stockage pour
des personnes non autorisées
 Seuls l’expéditeur et le destinataire d’un message connaissent l’information

17

21
Confidentialité

 Disponibilité et divulgation limitées aux seules entités autorisées


 Ex :
 Empêcher la lecture de données pendant la transmission ou le stockage pour
des personnes non autorisées
 Seuls l’expéditeur et le destinataire d’un message connaissent l’information
 « Ma recette n’est connue que de moi et de ma sœur »

17

Intégrité

 Absence d’altération ou de destruction

18

22
Intégrité

 Absence d’altération ou de destruction


 Ex :

18

Intégrité

 Absence d’altération ou de destruction


 Ex :
 Protection contre une modification non autorisée

18

23
Intégrité

 Absence d’altération ou de destruction


 Ex :
 Protection contre une modification non autorisée
 Vérification qu’un message n’a pas été modifié

18

Intégrité

 Absence d’altération ou de destruction


 Ex :
 Protection contre une modification non autorisée
 Vérification qu’un message n’a pas été modifié
 « Ma recette n’a pas été modifiée sans que je m’en rende compte »

18

24
Disponibilité

 Capacité à répondre à un instant précis, à être accessible dans des


conditions définies de performance, d’horaires…

19

Disponibilité

 Capacité à répondre à un instant précis, à être accessible dans des


conditions définies de performance, d’horaires…
 Ex :

19

25
Disponibilité

 Capacité à répondre à un instant précis, à être accessible dans des


conditions définies de performance, d’horaires…
 Ex :
 les données sont accessibles au moment où on en a besoin (pas de déni de
service pour une personne autorisée)

19

Disponibilité

 Capacité à répondre à un instant précis, à être accessible dans des


conditions définies de performance, d’horaires…
 Ex :
 les données sont accessibles au moment où on en a besoin (pas de déni de
service pour une personne autorisée)
 « Lorsque je veux faire..., je peux accéder à ma recette »

19

26
Authentification

 Vérification / validation d’une identité d’une entité.

20

Authentification

 Vérification / validation d’une identité d’une entité.


 Ex :

20

27
Authentification

 Vérification / validation d’une identité d’une entité.


 Ex :
 Vérifier l’identité d’un utilisateur, d’une machine ou d’un programme

20

Authentification

 Vérification / validation d’une identité d’une entité.


 Ex :
 Vérifier l’identité d’un utilisateur, d’une machine ou d’un programme
 Connaître de manière sûre celui qui a envoyé le message

20

28
Authentification

 Vérification / validation d’une identité d’une entité.


 Ex :
 Vérifier l’identité d’un utilisateur, d’une machine ou d’un programme
 Connaître de manière sûre celui qui a envoyé le message

 Remarque : l’identification est l’action de fournir son identité proclamée


(ex : nom d’utilisateur)

20

Contrôle d’accès
 Le contrôle d’accès est la faculté de limiter et de contrôler l’accès à des
systèmes et des applications via des maillons de communications.

21

29
Contrôle d’accès
 Le contrôle d’accès est la faculté de limiter et de contrôler l’accès à des
systèmes et des applications via des maillons de communications.

 Pour accomplir ce contrôle, chaque entité essayant d’obtenir un accès


doit d’abord être authentifiée, ou s’authentifier, de telle sorte que les
droits d’accès puissent être adaptés à son cas.

21

Non répudiation

 Impossibilité de nier avoir participé.

22

30
Non répudiation

 Impossibilité de nier avoir participé.


 Ex :

22

Non répudiation

 Impossibilité de nier avoir participé.


 Ex :
 L’expéditeur d’un message ne peut pas prétendre ne pas l’avoir envoyé.

22

31
Non répudiation

 Impossibilité de nier avoir participé.


 Ex :
 L’expéditeur d’un message ne peut pas prétendre ne pas l’avoir envoyé.
 Le destinataire d’un message ne peut pas prétendre ne pas l’avoir reçu.

22

Définitions :
23

 Vulnérabilité

32
Définitions :
23

 Vulnérabilité
Faiblesse / faille : faute accidentelle ou intentionnelle introduite dans la
spécification, la conception ou la configuration du système.

Définitions :
23

 Vulnérabilité
Faiblesse / faille : faute accidentelle ou intentionnelle introduite dans la
spécification, la conception ou la configuration du système.
 Attaque

33
Définitions :
23

 Vulnérabilité
Faiblesse / faille : faute accidentelle ou intentionnelle introduite dans la
spécification, la conception ou la configuration du système.
 Attaque
Action malveillante qui tente d’exploiter une faiblesse dans le système et de
violer un ou plusieurs besoins de sécurité.

Définitions :
23

 Vulnérabilité
Faiblesse / faille : faute accidentelle ou intentionnelle introduite dans la
spécification, la conception ou la configuration du système.
 Attaque
Action malveillante qui tente d’exploiter une faiblesse dans le système et de
violer un ou plusieurs besoins de sécurité.
 Intrusion

34
Définitions :
23

 Vulnérabilité
Faiblesse / faille : faute accidentelle ou intentionnelle introduite dans la
spécification, la conception ou la configuration du système.
 Attaque
Action malveillante qui tente d’exploiter une faiblesse dans le système et de
violer un ou plusieurs besoins de sécurité.
 Intrusion
Faute opérationnelle, externe, intentionnellement nuisible, résultant de
l’exploitation d’une vulnérabilité dans le système.

Définitions :
24

 Menace

35
Définitions :
24

 Menace
Violation potentielle d’une propriété de sécurité.

Définitions :
24

 Menace
Violation potentielle d’une propriété de sécurité.
selon la norme de sécurité des systèmes d'information ISO/CEI 27000: une
menace est une cause potentielle d'incident, qui peut résulter en un dommage
au système ou à l'organisation.

36
Définitions :
24

 Menace
Violation potentielle d’une propriété de sécurité.
selon la norme de sécurité des systèmes d'information ISO/CEI 27000: une
menace est une cause potentielle d'incident, qui peut résulter en un dommage
au système ou à l'organisation.

 Risque

Définitions :
24

 Menace
Violation potentielle d’une propriété de sécurité.
selon la norme de sécurité des systèmes d'information ISO/CEI 27000: une
menace est une cause potentielle d'incident, qui peut résulter en un dommage
au système ou à l'organisation.

 Risque
Couple (menace, vulnérabilité)

37
Risques & Menaces
25

 Quels sont les risques ?....

Risques & Menaces


25

 Quels sont les risques ?....


 Le risque est la possibilité qu’une chose critique apparaisse.

38
Risques & Menaces
25

 Quels sont les risques ?....


 Le risque est la possibilité qu’une chose critique apparaisse.
 Sonévaluation permet d’établir des actions pour réduire et maintenir la
menace à un niveau raisonnable et acceptable.

Risques & Menaces


25

 Quels sont les risques ?....


 Le risque est la possibilité qu’une chose critique apparaisse.
 Sonévaluation permet d’établir des actions pour réduire et maintenir la
menace à un niveau raisonnable et acceptable.

 Evaluation des risques liées à l'utilisation de l'informatique

39
Risques & Menaces
25

 Quels sont les risques ?....


 Le risque est la possibilité qu’une chose critique apparaisse.
 Son évaluation permet d’établir des actions pour réduire et maintenir la
menace à un niveau raisonnable et acceptable.

 Evaluation des risques liées à l'utilisation de l'informatique


 Il importe de mesurer ces risques:

Risques & Menaces


25

 Quels sont les risques ?....


 Le risque est la possibilité qu’une chose critique apparaisse.
 Son évaluation permet d’établir des actions pour réduire et maintenir la
menace à un niveau raisonnable et acceptable.

 Evaluation des risques liées à l'utilisation de l'informatique


 Il importe de mesurer ces risques:
 en fonction de la probabilité ou de la fréquence de leurs survenances;
 en mesurant leurs effets possibles.

40
Risques & Menaces
26

Ces effets peuvent avoir des conséquences négligeables ou


catastrophiques :

Risques & Menaces


26

Ces effets peuvent avoir des conséquences négligeables ou


catastrophiques :

 le
traitement informatique en cours échoue : il suffit de le relancer,
éventuellement par une autre méthode si on craint que la cause ne
réapparaisse;

41
Risques & Menaces
26

Ces effets peuvent avoir des conséquences négligeables ou


catastrophiques :

 le
traitement informatique en cours échoue : il suffit de le relancer,
éventuellement par une autre méthode si on craint que la cause ne
réapparaisse;
 l'incident
est bloquant et on doit procéder à une réparation ou une
correction avant de poursuivre le travail entrepris.

Risques & Menaces


27

Mais ces mêmes incidents peuvent avoir des conséquences beaucoup plus
fâcheuses:

42
Risques & Menaces
27

Mais ces mêmes incidents peuvent avoir des conséquences beaucoup plus
fâcheuses:
 données irrémédiablement perdues ou altérées, ce qui les rend inexploitables;

Risques & Menaces


27

Mais ces mêmes incidents peuvent avoir des conséquences beaucoup plus
fâcheuses:
 données irrémédiablement perdues ou altérées, ce qui les rend inexploitables;
 Données ou traitements durablement indisponibles, pouvant entraîner l'arrêt
d'une production ou d'un service;

43
Risques & Menaces
27

Mais ces mêmes incidents peuvent avoir des conséquences beaucoup plus
fâcheuses:
 données irrémédiablement perdues ou altérées, ce qui les rend inexploitables;
 Données ou traitements durablement indisponibles, pouvant entraîner l'arrêt
d'une production ou d'un service;
 divulgation d'informations confidentielles ou erronées pouvant profiter à des
sociétés concurrentes ou nuire à l'image de l'entreprise;

Risques & Menaces


27

Mais ces mêmes incidents peuvent avoir des conséquences beaucoup plus
fâcheuses:
 données irrémédiablement perdues ou altérées, ce qui les rend inexploitables;
 Données ou traitements durablement indisponibles, pouvant entraîner l'arrêt
d'une production ou d'un service;
 divulgation d'informations confidentielles ou erronées pouvant profiter à des
sociétés concurrentes ou nuire à l'image de l'entreprise;
 déclenchement d'actions pouvant provoquer des accidents physiques ou induire
des drames humains.

44
Les risques humains
28

 Ce sont les plus importants, même s'ils sont le plus souvent


ignorés ou minimisés.

Les risques humains


28

 Ce sont les plus importants, même s'ils sont le plus souvent


ignorés ou minimisés.

 Ils concernent les utilisateurs mais également les informaticiens


eux-mêmes.

45
Les risques humains
29

la maladresse : commettre des erreurs

Les risques humains


29

la maladresse : commettre des erreurs


exécuter un traitement non souhaité,
effacer involontairement des données ou des programmes, etc.

46
Les risques humains
30

l'inconscience et l'ignorance:

Les risques humains


30

l'inconscience et l'ignorance:
introduire des programmes malveillants sans le savoir (par exemple
lors de la réception de courrier).

47
Les risques humains
30

l'inconscience et l'ignorance:
introduire des programmes malveillants sans le savoir (par exemple
lors de la réception de courrier).

De nombreux utilisateurs d'outils informatiques sont encore


inconscients ou ignorants des risques qu'ils font courir aux systèmes
qu'ils utilisent.

Les risques humains


30

l'inconscience et l'ignorance:
introduire des programmes malveillants sans le savoir (par exemple
lors de la réception de courrier).

De nombreux utilisateurs d'outils informatiques sont encore


inconscients ou ignorants des risques qu'ils font courir aux systèmes
qu'ils utilisent.

Réaliser des manipulations inconsidérées (autant avec des logiciels


qu'avec du matériel)

48
Les risques humains
31

la malveillance : impossible d'ignorer les différents problèmes de virus et de vers


ces dernières années (beaucoup de couverture médiatique).

Les risques humains


31

la malveillance : impossible d'ignorer les différents problèmes de virus et de vers


ces dernières années (beaucoup de couverture médiatique).
Certains utilisateurs peuvent volontairement mettre en péril le système
d'information, en y introduisant en connaissance de cause des virus, par exemple :

49
Les risques humains
31

la malveillance : impossible d'ignorer les différents problèmes de virus et de vers


ces dernières années (beaucoup de couverture médiatique).
Certains utilisateurs peuvent volontairement mettre en péril le système
d'information, en y introduisant en connaissance de cause des virus, par exemple :
en connectant un ordinateur portable sur un réseau d'entreprise.

Les risques humains


31

la malveillance : impossible d'ignorer les différents problèmes de virus et de vers


ces dernières années (beaucoup de couverture médiatique).
Certains utilisateurs peuvent volontairement mettre en péril le système
d'information, en y introduisant en connaissance de cause des virus, par exemple :
en connectant un ordinateur portable sur un réseau d'entreprise.
en introduisant volontairement de mauvaises informations dans une base de
données.

50
Les risques humains
31

la malveillance : impossible d'ignorer les différents problèmes de virus et de vers


ces dernières années (beaucoup de couverture médiatique).
Certains utilisateurs peuvent volontairement mettre en péril le système
d'information, en y introduisant en connaissance de cause des virus, par exemple :
en connectant un ordinateur portable sur un réseau d'entreprise.
en introduisant volontairement de mauvaises informations dans une base de
données.
Il est facile pour un informaticien d'ajouter délibérément des fonctions cachées lui
permettant, directement ou avec l'aide de complices, de détourner à son profit de
l'information ou de l'argent.

Les risques humains


31

la malveillance : impossible d'ignorer les différents problèmes de virus et de vers


ces dernières années (beaucoup de couverture médiatique).
Certains utilisateurs peuvent volontairement mettre en péril le système
d'information, en y introduisant en connaissance de cause des virus, par exemple :
en connectant un ordinateur portable sur un réseau d'entreprise.
en introduisant volontairement de mauvaises informations dans une base de
données.
Il est facile pour un informaticien d'ajouter délibérément des fonctions cachées lui
permettant, directement ou avec l'aide de complices, de détourner à son profit de
l'information ou de l'argent.
 On parle alors de la «cyber-criminalité».

51
Les risques humains
32

l'ingénierie sociale (social engineering): est une méthode pour obtenir d'une
personne des informations confidentielles, que l'on n'est pas normalement autorisé à
obtenir, en vue de les exploiter à d'autres fins (publicitaires par exemple).

Les risques humains


32

l'ingénierie sociale (social engineering): est une méthode pour obtenir d'une
personne des informations confidentielles, que l'on n'est pas normalement autorisé à
obtenir, en vue de les exploiter à d'autres fins (publicitaires par exemple).

 Elle consiste à :

52
Les risques humains
32

l'ingénierie sociale (social engineering): est une méthode pour obtenir d'une
personne des informations confidentielles, que l'on n'est pas normalement autorisé à
obtenir, en vue de les exploiter à d'autres fins (publicitaires par exemple).

 Elle consiste à :
 se faire passer pour quelqu’un que l’on est pas (en général un administrateur)

Les risques humains


32

l'ingénierie sociale (social engineering): est une méthode pour obtenir d'une
personne des informations confidentielles, que l'on n'est pas normalement autorisé à
obtenir, en vue de les exploiter à d'autres fins (publicitaires par exemple).

 Elle consiste à :
 se faire passer pour quelqu’un que l’on est pas (en général un administrateur)
 demander des informations personnelles (nom de connexion, mot de passe, données
confidentielles, etc.) en inventant un quelconque prétexte (problème dans le réseau,
modification de celui-ci, heure tardive, etc.).

53
Les risques humains
32

l'ingénierie sociale (social engineering): est une méthode pour obtenir d'une
personne des informations confidentielles, que l'on n'est pas normalement autorisé à
obtenir, en vue de les exploiter à d'autres fins (publicitaires par exemple).

 Elle consiste à :
 se faire passer pour quelqu’un que l’on est pas (en général un administrateur)
 demander des informations personnelles (nom de connexion, mot de passe, données
confidentielles, etc.) en inventant un quelconque prétexte (problème dans le réseau,
modification de celui-ci, heure tardive, etc.).

 Elle peut se faire soit au moyen d’une simple communication téléphonique, soit
par mail, soit en se déplaçant directement sur place.

Les risques humains


33

l'espionnage: surtout industriel, emploie les même moyens, ainsi que


bien d'autres, pour obtenir des informations sur:

54
Les risques humains
33

l'espionnage: surtout industriel, emploie les même moyens, ainsi que


bien d'autres, pour obtenir des informations sur:
 des activités concurrentes,
 procédés de fabrication,
 projets en cours,
 futurs produits,
 politique de prix,
 clients et prospects, etc.

Les risques humains


33

l'espionnage: surtout industriel, emploie les même moyens, ainsi que


bien d'autres, pour obtenir des informations sur:
 des activités concurrentes,
 procédés de fabrication,
 projets en cours,
 futurs produits,
 politique de prix,
 clients et prospects, etc.

Des formes à la limite de la légalité correspondent à «l'intelligence


économique».

55
Les risques matériels /techniques
34

 Il sont liés aux défauts et pannes inévitables que connaissent tous les
systèmes matériels et logiciels.

Les risques matériels /techniques


34

 Il sont liés aux défauts et pannes inévitables que connaissent tous les
systèmes matériels et logiciels.
 Ces incidents sont évidemment plus ou moins fréquents selon le soin
apporté lors de la fabrication et des tests effectués avant que les
ordinateurs et les programmes ne soient mis en service.

56
Les risques matériels /techniques
34

 Il sont liés aux défauts et pannes inévitables que connaissent tous les
systèmes matériels et logiciels.
 Ces incidents sont évidemment plus ou moins fréquents selon le soin
apporté lors de la fabrication et des tests effectués avant que les
ordinateurs et les programmes ne soient mis en service.
 Cependant les pannes ont parfois des causes indirectes, voire très
indirectes, donc difficiles à prévoir.

Les risques matériels /techniques


35

Incidents liés au matériel:

57
Les risques matériels /techniques
35

Incidents liés au matériel:


 la plupart des composants électroniques, produits en grandes séries,
peuvent comporter des défauts. Ils finissent un jour ou l'autre par
tomber en panne.

Les risques matériels /techniques


35

Incidents liés au matériel:


 la plupart des composants électroniques, produits en grandes séries,
peuvent comporter des défauts. Ils finissent un jour ou l'autre par
tomber en panne.
 Certaines de ces pannes sont assez difficiles à déceler car
intermittentes ou rares.

58
Les risques matériels /techniques
35

Incidents liés au matériel:


 la plupart des composants électroniques, produits en grandes séries,
peuvent comporter des défauts. Ils finissent un jour ou l'autre par
tomber en panne.
 Certaines de ces pannes sont assez difficiles à déceler car

intermittentes ou rares.
 Parfois, elles relèvent d'une erreur de conception:

Les risques matériels /techniques


35

Incidents liés au matériel:


 la plupart des composants électroniques, produits en grandes séries,
peuvent comporter des défauts. Ils finissent un jour ou l'autre par
tomber en panne.
 Certaines de ces pannes sont assez difficiles à déceler car
intermittentes ou rares.
 Parfois, elles relèvent d'une erreur de conception:

une des toutes premières générations du processeur Pentium d'Intel


pouvait produire, dans certaines circonstances, des erreurs de calcul.

59
Les risques matériels /techniques
36

Incidents liés au logiciel : les plus fréquents;

Les risques matériels /techniques


36

Incidents liés au logiciel : les plus fréquents;


 Les systèmes d'exploitation et les programmes sont de plus en plus
complexes car ils font de plus en plus de choses.

60
Les risques matériels /techniques
36

Incidents liés au logiciel : les plus fréquents;


 Les systèmes d'exploitation et les programmes sont de plus en plus

complexes car ils font de plus en plus de choses.


 Ils nécessitent l'effort conjoint de dizaines, de centaines, voire de

milliers de programmeurs.

Les risques matériels /techniques


36

Incidents liés au logiciel : les plus fréquents;


 Les systèmes d'exploitation et les programmes sont de plus en plus
complexes car ils font de plus en plus de choses.
 Ils nécessitent l'effort conjoint de dizaines, de centaines, voire de
milliers de programmeurs.
 Ces programmeurs peuvent faire des erreurs de manière
individuellement ou collective.

61
Les risques matériels /techniques
36

Incidents liés au logiciel : les plus fréquents;


 Les systèmes d'exploitation et les programmes sont de plus en plus

complexes car ils font de plus en plus de choses.


 Ils nécessitent l'effort conjoint de dizaines, de centaines, voire de

milliers de programmeurs.
 Ces programmeurs peuvent faire des erreurs de manière
individuellement ou collective.
les meilleures méthodes de travail et les meilleurs outils de contrôle ou
de test ne peuvent pas éliminer en totalité.

Les risques matériels /techniques


37

Incidents liés à l'environnement:

62
Les risques matériels /techniques
37

Incidents liés à l'environnement:


 les machines électroniques et les réseaux de communication sont

sensibles aux variations de température ou d'humidité (tout


particulièrement en cas d'incendie ou d'inondation) ainsi qu'aux
champs électriques et magnétiques.

Les risques matériels /techniques


37

Incidents liés à l'environnement:


 les machines électroniques et les réseaux de communication sont
sensibles aux variations de température ou d'humidité (tout
particulièrement en cas d'incendie ou d'inondation) ainsi qu'aux
champs électriques et magnétiques.
 Il est possible qu'un ordinateur tombe en panne de manière définitive
ou intermittente à cause :

63
Les risques matériels /techniques
37

Incidents liés à l'environnement:


 les machines électroniques et les réseaux de communication sont

sensibles aux variations de température ou d'humidité (tout


particulièrement en cas d'incendie ou d'inondation) ainsi qu'aux
champs électriques et magnétiques.
 Il est possible qu'un ordinateur tombe en panne de manière définitive
ou intermittente à cause :
de conditions climatiques inhabituelles :

Les risques matériels /techniques


37

Incidents liés à l'environnement:


 les machines électroniques et les réseaux de communication sont
sensibles aux variations de température ou d'humidité (tout
particulièrement en cas d'incendie ou d'inondation) ainsi qu'aux
champs électriques et magnétiques.
 Il est possible qu'un ordinateur tombe en panne de manière définitive
ou intermittente à cause :
de conditions climatiques inhabituelles :
par l'influence d'installations électriques notamment industrielles (et parfois
celle des ordinateurs eux-mêmes ! ).

64
Evolution des risques
38

 Croissance de l'Internet
 Croissance des attaques
 Failles des technologies
 Failles des configurations
 Failles des politiques de sécurité
 Changement de profil des pirates

Les précautions à prendre


39

Dans le cas des risques matériels il est possible de se prémunir:

65
Les précautions à prendre
39

Dans le cas des risques matériels il est possible de se prémunir:

redondance des matériels:

Les précautions à prendre


39

Dans le cas des risques matériels il est possible de se prémunir:

redondance des matériels:


La probabilité ou la fréquence de pannes d'un équipement est
représentée par un nombre très faible (compris entre 0 et 1).

66
Les précautions à prendre
39

Dans le cas des risques matériels il est possible de se prémunir:

redondance des matériels:


La probabilité ou la fréquence de pannes d'un équipement est
représentée par un nombre très faible (compris entre 0 et 1).
En doublant ou en triplant (ou plus) un équipement, on divise le risque
total par la probabilité de pannes simultanées.

Les précautions à prendre


39

Dans le cas des risques matériels il est possible de se prémunir:

redondance des matériels:


La probabilité ou la fréquence de pannes d'un équipement est
représentée par un nombre très faible (compris entre 0 et 1).
En doublant ou en triplant (ou plus) un équipement, on divise le risque
total par la probabilité de pannes simultanées.
Le résultat est donc un nombre beaucoup plus faible et la fiabilité est
plus grande.

67
Les précautions à prendre
40

dispersion des sites :

Les précautions à prendre


40

dispersion des sites :


 Un accident (incendie, tempête, tremblement de terre, attentat, etc.) a très
peu de chance de se produire simultanément en plusieurs endroits distants.

68
Les précautions à prendre
40

dispersion des sites :


 Un accident (incendie, tempête, tremblement de terre, attentat, etc.) a très
peu de chance de se produire simultanément en plusieurs endroits distants.

procédures de contrôle indépendants:

Les précautions à prendre


40

dispersion des sites :


 Un accident (incendie, tempête, tremblement de terre, attentat, etc.) a très
peu de chance de se produire simultanément en plusieurs endroits distants.

procédures de contrôle indépendants:


 Ils permettent bien souvent de déceler les anomalies avant qu'elles ne
produisent des effets dévastateurs.

69
Les précautions à prendre
40

dispersion des sites :


 Un accident (incendie, tempête, tremblement de terre, attentat, etc.) a très
peu de chance de se produire simultanément en plusieurs endroits distants.

procédures de contrôle indépendants:


 Ils permettent bien souvent de déceler les anomalies avant qu'elles ne
produisent des effets dévastateurs.
 Il est possible de réaliser des audits de sécurité.

Les précautions à prendre


41

Sécurité et Sureté

70
Les précautions à prendre
41

Sécurité et Sureté

 « Sécurité de fonctionnement » dans le cas de la protection des données et


de la capacité de travail contre les actes de malveillance.

Les précautions à prendre


41

Sécurité et Sureté

 « Sécurité de fonctionnement » dans le cas de la protection des données et


de la capacité de travail contre les actes de malveillance.

 « Sureté de fonctionnement » dans le cas de la protection du système


d'information contre les accidents.

71
Deux acteurs majeurs
42

Le pirate
L’administrateur

Les agresseurs potentiels


43

 Pirate: personne commettant des actes illégaux liés à l’informatique

72
Les agresseurs potentiels
43

 Pirate: personne commettant des actes illégaux liés à l’informatique


 Hacker: personne apte à modifier astucieusement un objet pour le
destiner à un autre usage que celui prévu initialement (non péjoratif).

Les agresseurs potentiels


43

 Pirate: personne commettant des actes illégaux liés à l’informatique


 Hacker: personne apte à modifier astucieusement un objet pour le
destiner à un autre usage que celui prévu initialement (non péjoratif).
 Les saboteurs ou Crasher: Pirates dangereux qui détruisent pour le
plaisir , pratique le vandalisme

73
Les agresseurs potentiels
43

 Pirate: personne commettant des actes illégaux liés à l’informatique


 Hacker: personne apte à modifier astucieusement un objet pour le
destiner à un autre usage que celui prévu initialement (non péjoratif).
 Les saboteurs ou Crasher: Pirates dangereux qui détruisent pour le
plaisir , pratique le vandalisme
 Script kiddies: Gamin (pirate apprenti) utilisateur de scripts écrits
par d’autres (péjoratif)

Les agresseurs potentiels


44

 Les espions: Pirate payé par une entreprise ou un organisme


concurrent pour récolter (de façon frauduleuse) des informations
sur un domaine précis.

74
Les agresseurs potentiels
44

 Les espions: Pirate payé par une entreprise ou un organisme


concurrent pour récolter (de façon frauduleuse) des informations
sur un domaine précis.
 Les fraudeurs: Utilisation des ressources informatiques sans

autorisation.

Les agresseurs potentiels


44

 Les espions: Pirate payé par une entreprise ou un organisme


concurrent pour récolter (de façon frauduleuse) des informations
sur un domaine précis.
 Les fraudeurs: Utilisation des ressources informatiques sans
autorisation.
 Phreaker : pirate spécialisé dans la fraude aux télécom, en
contournant le réseau téléphonique pour ne pas payer la
communication.

75
Les agresseurs potentiels
44

 Les espions: Pirate payé par une entreprise ou un organisme


concurrent pour récolter (de façon frauduleuse) des informations
sur un domaine précis.
 Les fraudeurs: Utilisation des ressources informatiques sans

autorisation.
 Phreaker : pirate spécialisé dans la fraude aux télécom, en
contournant le réseau téléphonique pour ne pas payer la
communication.
 Coder : pirate spécialisé dans l'utilisation des codes de cartes
bancaires.

Les agresseurs potentiels


45

76
Hacktivisme
46

Hacktivisme: est un acte de promotion d’une agenda par le piratage


qui se manifeste spécialement par le d'effacement ou la désactivation
des sites web.

Hacktivisme
46

Hacktivisme: est un acte de promotion d’une agenda par le piratage


qui se manifeste spécialement par le d'effacement ou la désactivation
des sites web.
 Comprend les pirates avec un programme social ou politique.
 Pirater des sites pour faire passer un message.

77
Motivations du hacker
47

Vis-à-vis des ressources sensibles (Matériels, Données, Systèmes,


Réseaux, Applications)

Motivations du hacker
47

Vis-à-vis des ressources sensibles (Matériels, Données, Systèmes,


Réseaux, Applications)

 prendre connaissance (données)


 modifier (données)

 altérer ou détruire (données)

 paralyser (service, réseau)

 se faire identifier ou pas (espionnage)

 exploiter pour ses propres intérêts

 cacher ses traces

78
Méthodologie du hacker
48

 Collecte d’information et recherche de vulnérabilités

Méthodologie du hacker
48

 Collecte d’information et recherche de vulnérabilités


1. Calcul d’empreinte : activités économiques, à travers site web de l’entreprise, son forum
d’aide, les services WhoIs, interrogation de DNS...

79
Méthodologie du hacker
48

 Collecte d’information et recherche de vulnérabilités


1. Calcul d’empreinte : activités économiques, à travers site web de l’entreprise, son forum
d’aide, les services WhoIs, interrogation de DNS...
2. Balayage des systèmes : connaître services, ports ouverts, systèmes d’exploitation (OS),
version...

Méthodologie du hacker
48

 Collecte d’information et recherche de vulnérabilités


1. Calcul d’empreinte : activités économiques, à travers site web de l’entreprise, son forum
d’aide, les services WhoIs, interrogation de DNS...
2. Balayage des systèmes : connaître services, ports ouverts, systèmes d’exploitation (OS),
version...
3. Enumération intrusive : exploiter les caractéristiques propre à chaque OS, service, port...
pour connaître des noms d’utilisateurs, l’existence de données en partage...

80
Méthodologie du hacker
48

 Collecte d’information et recherche de vulnérabilités


1. Calcul d’empreinte : activités économiques, à travers site web de l’entreprise, son forum
d’aide, les services WhoIs, interrogation de DNS...
2. Balayage des systèmes : connaître services, ports ouverts, systèmes d’exploitation (OS),
version...
3. Enumération intrusive : exploiter les caractéristiques propre à chaque OS, service, port...
pour connaître des noms d’utilisateurs, l’existence de données en partage...
 Attaques à proprement parler

Méthodologie du hacker
48

 Collecte d’information et recherche de vulnérabilités


1. Calcul d’empreinte : activités économiques, à travers site web de l’entreprise, son forum
d’aide, les services WhoIs, interrogation de DNS...
2. Balayage des systèmes : connaître services, ports ouverts, systèmes d’exploitation (OS),
version...
3. Enumération intrusive : exploiter les caractéristiques propre à chaque OS, service, port...
pour connaître des noms d’utilisateurs, l’existence de données en partage...
 Attaques à proprement parler

 réseau
 système
 logiciel

81
Méthodologie du hacker
48

 Collecte d’information et recherche de vulnérabilités


1. Calcul d’empreinte : activités économiques, à travers site web de l’entreprise, son forum
d’aide, les services WhoIs, interrogation de DNS...
2. Balayage des systèmes : connaître services, ports ouverts, systèmes d’exploitation (OS),
version...
3. Enumération intrusive : exploiter les caractéristiques propre à chaque OS, service, port...
pour connaître des noms d’utilisateurs, l’existence de données en partage...
 Attaques à proprement parler

 réseau
 système
 logiciel

 L’approche est cyclique : une attaque amenant à une autre pour une quête développée de
privilèges et de connaissances

Typologie des attaques


49

82
Attaques
50

Attaques
50

 Légale : employé par les administrateurs système pour vérifier la


faiblesse de leur systèmes

83
Attaques
50

 Légale : employé par les administrateurs système pour vérifier la


faiblesse de leur systèmes

 Illégale : Utilisation par les agresseurs

Attaques
50

 Légale : employé par les administrateurs système pour vérifier la


faiblesse de leur systèmes

 Illégale : Utilisation par les agresseurs


 Savoir et révéler les faille du système préparant ainsi une agression
 Découvrir la négligence des administrateurs en matière de sécurité de
leur réseau

84
Quelques grands principes

51

Quelques grands principes

 Absence de confiance / méfiance par défaut

51

85
Quelques grands principes

 Absence de confiance / méfiance par défaut


 Défense en profondeur

51

Quelques grands principes

 Absence de confiance / méfiance par défaut


 Défense en profondeur
 Moindre privilège

51

86
Quelques grands principes

 Absence de confiance / méfiance par défaut


 Défense en profondeur
 Moindre privilège
 Réduction de la surface d’attaque

51

Quelques grands principes

 Absence de confiance / méfiance par défaut


 Défense en profondeur
 Moindre privilège
 Réduction de la surface d’attaque
 Besoin de savoir

51

87
Quelques grands principes

 Absence de confiance / méfiance par défaut


 Défense en profondeur
 Moindre privilège
 Réduction de la surface d’attaque
 Besoin de savoir
 Bonne gestion

51

Quelques grands principes

 Absence de confiance / méfiance par défaut


 Défense en profondeur
 Moindre privilège
 Réduction de la surface d’attaque
 Besoin de savoir
 Bonne gestion
 Multiculture
51

88
méfiance par défaut

52

méfiance par défaut

 Absence de confiance sans fait ni preuve

52

89
méfiance par défaut

 Absence de confiance sans fait ni preuve


 Quoi qu’il en soit, la complexité des SI est telle qu’il arrive toujours un moment où
il faut accorder un minimum de confiance (l’approche paranoïaque a donc ses
limites)…

52

Défense en profondeur

53

90
Défense en profondeur

 Idée : mettre en place plusieurs barrières pour protéger ce qui doit l’être de
façon à ce que si une des barrières venait à être franchie les autres assureraient
encore un minimum de sécurité

53

Défense en profondeur

 Idée : mettre en place plusieurs barrières pour protéger ce qui doit l’être de
façon à ce que si une des barrières venait à être franchie les autres assureraient
encore un minimum de sécurité
 Mise en place de différentes couches de protection (au moins 2) à différents

niveaux

53

91
Défense en profondeur

 Idée : mettre en place plusieurs barrières pour protéger ce qui doit l’être de
façon à ce que si une des barrières venait à être franchie les autres assureraient
encore un minimum de sécurité
 Mise en place de différentes couches de protection (au moins 2) à différents
niveaux
 on raisonne toujours comme si les autres éléments de protection n’allaient pas fonctionner

53

Défense en profondeur

 Idée : mettre en place plusieurs barrières pour protéger ce qui doit l’être de
façon à ce que si une des barrières venait à être franchie les autres assureraient
encore un minimum de sécurité
 Mise en place de différentes couches de protection (au moins 2) à différents

niveaux
 on raisonne toujours comme si les autres éléments de protection n’allaient pas fonctionner
 Couches

53

92
Défense en profondeur

 Idée : mettre en place plusieurs barrières pour protéger ce qui doit l’être de
façon à ce que si une des barrières venait à être franchie les autres assureraient
encore un minimum de sécurité
 Mise en place de différentes couches de protection (au moins 2) à différents
niveaux
 on raisonne toujours comme si les autres éléments de protection n’allaient pas fonctionner
 Couches
 Physique; Réseau;

53

Défense en profondeur

 Idée : mettre en place plusieurs barrières pour protéger ce qui doit l’être de
façon à ce que si une des barrières venait à être franchie les autres assureraient
encore un minimum de sécurité
 Mise en place de différentes couches de protection (au moins 2) à différents

niveaux
 on raisonne toujours comme si les autres éléments de protection n’allaient pas fonctionner
 Couches
 Physique;Réseau;
 Machine; Application;

53

93
Défense en profondeur

 Idée : mettre en place plusieurs barrières pour protéger ce qui doit l’être de
façon à ce que si une des barrières venait à être franchie les autres assureraient
encore un minimum de sécurité
 Mise en place de différentes couches de protection (au moins 2) à différents
niveaux
 on raisonne toujours comme si les autres éléments de protection n’allaient pas fonctionner
 Couches
 Physique;Réseau;
 Machine; Application;
 Données…
53

Moindre privilège

 Ne jamais utiliser plus de privilèges que ce qui est le minimum


nécessaire pour réaliser une tâche qu’on a le droit d’accomplir

54

94
Moindre privilège

 Ne jamais utiliser plus de privilèges que ce qui est le minimum


nécessaire pour réaliser une tâche qu’on a le droit d’accomplir
 Exemples :

54

Moindre privilège

 Ne jamais utiliser plus de privilèges que ce qui est le minimum


nécessaire pour réaliser une tâche qu’on a le droit d’accomplir
 Exemples :

Pour lire un fichier, on ne demande pas les accès en lecture / écriture

54

95
Moindre privilège

 Ne jamais utiliser plus de privilèges que ce qui est le minimum


nécessaire pour réaliser une tâche qu’on a le droit d’accomplir
 Exemples :

Pour lire un fichier, on ne demande pas les accès en lecture / écriture


Pour exécuter un programme de lecture d’e-mails on n’utilise pas un compte
administrateur / root

54

Réduction de la surface d’attaque

 La surface d’attaque est l’ensemble de ce qui peut être utilisé par un


attaquant pour réussir son attaque

55

96
Réduction de la surface d’attaque

 La surface d’attaque est l’ensemble de ce qui peut être utilisé par un


attaquant pour réussir son attaque
ports réseau ouverts,

55

Réduction de la surface d’attaque

 La surface d’attaque est l’ensemble de ce qui peut être utilisé par un


attaquant pour réussir son attaque
ports réseau ouverts,
services en cours d’exécution,

55

97
Réduction de la surface d’attaque

 La surface d’attaque est l’ensemble de ce qui peut être utilisé par un


attaquant pour réussir son attaque
ports réseau ouverts,
services en cours d’exécution,
privilèges des comptes sous lesquels ces services s’exécutent,

55

Réduction de la surface d’attaque

 La surface d’attaque est l’ensemble de ce qui peut être utilisé par un


attaquant pour réussir son attaque
ports réseau ouverts,
services en cours d’exécution,
privilèges des comptes sous lesquels ces services s’exécutent,
permissions sur les fichiers, …

55

98
Réduction de la surface d’attaque

 La surface d’attaque est l’ensemble de ce qui peut être utilisé par un


attaquant pour réussir son attaque
ports réseau ouverts,
services en cours d’exécution,
privilèges des comptes sous lesquels ces services s’exécutent,
permissions sur les fichiers, …
 Il faut avoir la surface d’attaque la plus petite possible (moins de
55
points de vulnérabilité possibles)

Réduction de la surface d’attaque

 Exemple :

56

99
Réduction de la surface d’attaque

 Exemple :
Éviter
les installations par défaut (comptes par défaut, composants par défauts,
exemples préinstallés)

56

Réduction de la surface d’attaque

 Exemple :
Éviter
les installations par défaut (comptes par défaut, composants par défauts,
exemples préinstallés)
Ne pas installer de composants dont on ne se sert pas / désinstaller ceux qui sont
inutilisés

56

100
Réduction de la surface d’attaque

 Exemple :
Éviter
les installations par défaut (comptes par défaut, composants par défauts,
exemples préinstallés)
Ne pas installer de composants dont on ne se sert pas / désinstaller ceux qui sont
inutilisés
Installerles services avec des comptes aux privilèges réduits (ne pas sombrer
dans la facilité de tout mettre administrateur ou root)

56

Besoin de savoir

 Pendant du principe du moindre privilège pour le contrôle


d’accès

57

101
Besoin de savoir

Pendant du principe du moindre privilège pour le contrôle


d’accès
Interdiction par défaut : TOUT est interdit implicitement SAUF ce
qui est autorisé explicitement

57

Besoin de savoir

Pendant du principe du moindre privilège pour le contrôle


d’accès
Interdiction par défaut : TOUT est interdit implicitement SAUF ce
qui est autorisé explicitement
N’est autorisé que ce qui est nécessaire pour réaliser les tâches

attribuées

57

102
Bonne gestion

 Le système d’information pour être sécurisé se doit d’être bien géré

58

Bonne gestion

 Le système d’information pour être sécurisé se doit d’être bien géré


 Ceci suppose

58

103
Bonne gestion

 Le système d’information pour être sécurisé se doit d’être bien géré


 Ceci suppose

Une politique de sécurité bien définie avec ses procédures associées

58

Bonne gestion

 Le système d’information pour être sécurisé se doit d’être bien géré


 Ceci suppose

Une politique de sécurité bien définie avec ses procédures associées


Des personnes formées

58

104
Bonne gestion

 Le système d’information pour être sécurisé se doit d’être bien géré


 Ceci suppose

Une politique de sécurité bien définie avec ses procédures associées


Des personnes formées
Des technologies qui peuvent être administrées efficacement

58

Bonne gestion

 Le système d’information pour être sécurisé se doit d’être bien géré


 Ceci suppose

Une politique de sécurité bien définie avec ses procédures associées


Des personnes formées
Des technologies qui peuvent être administrées efficacement

 Exemples

58

105
Bonne gestion

 Le système d’information pour être sécurisé se doit d’être bien géré


 Ceci suppose

Une politique de sécurité bien définie avec ses procédures associées


Des personnes formées
Des technologies qui peuvent être administrées efficacement

 Exemples
Un pare-feu bien géré est avant tout un pare-feu maîtrisé

58

Multiculture

59

106
Multiculture

 Quand on est en mesure de bien gérer les produits que l’on utilise, on
peut les panacher et les installer en cascade / redondance

59

Multiculture

 Quand on est en mesure de bien gérer les produits que l’on utilise, on
peut les panacher et les installer en cascade / redondance
 Exemple

59

107
Multiculture

 Quand on est en mesure de bien gérer les produits que l’on utilise, on
peut les panacher et les installer en cascade / redondance
 Exemple

2 pare-feu de technologies et de constructeurs différents en cascade à l’entrée


du réseau

59

Multiculture

 Quand on est en mesure de bien gérer les produits que l’on utilise, on
peut les panacher et les installer en cascade / redondance
 Exemple

2 pare-feu de technologies et de constructeurs différents en cascade à l’entrée


du réseau
2 antivirus (un sur les passerelles et/ou les serveurs, un sur les postes de travail)

59

108
Multiculture

 Quand on est en mesure de bien gérer les produits que l’on utilise, on
peut les panacher et les installer en cascade / redondance
 Exemple

2 pare-feu de technologies et de constructeurs différents en cascade à l’entrée


du réseau
2 antivirus (un sur les passerelles et/ou les serveurs, un sur les postes de travail)
Attention : multiplier les technologies sans les maîtriser est plus risqué que de
n’avoir qu’une seule technologie bien gérée

59

Les principes

109
Les principes

méfiance par défaut


• Absence de confiance sans fait ni preuve
• Quoi qu’il en soit, la complexité des SI est telle qu’il arrive toujours
un moment où il faut accorder un minimum de confiance
(l’approche paranoïaque a donc ses limites)…
• Qui plus est, les faits produits sont en général insuffisants pour
fournir une certitude absolue (si ce n’est celle de ne pas pouvoir
avoir de certitude absolue)

62

110
Défense en profondeur
• Idée : mettre en place plusieurs barrières pour protéger ce qui doit l’être de
façon à ce que si une des barrières venait à être franchie les autres assureraient
encore un minimum de sécurité
• Mise en place de différentes couches de protection (au moins 2) à différents
niveaux
• on raisonne toujours comme si les autres éléments de protection n’allaient pas fonctionner
• Couches
• Physique; Réseau;
• Machine; Application;
• Données…

63

Moindre privilège
• Ne jamais utiliser plus de privilèges que ce qui est le minimum
nécessaire pour réaliser une tâche qu’on a le droit d’accomplir
• Exemples :
• Pour lire un fichier, on ne demande pas les accès en lecture / écriture
• Pour exécuter un programme de lecture d’e-mails on n’utilise pas un
compte administrateur / root

64

111
Réduction de la surface d’attaque
• La surface d’attaque est l’ensemble de ce qui peut être utilisé par un
attaquant pour réussir son attaque (ports réseau ouverts, services
en cours d’exécution, privilèges des comptes sous lesquels ces
services s’exécutent, permissions sur les fichiers, …)
• Il faut avoir la surface d’attaque la plus petite possible (moins de
points de vulnérabilité possibles)

65

Réduction de la surface d’attaque


• Exemple :
• Éviter les installations par défaut (comptes par défaut, composants par
défauts, exemples préinstallés)
• Ne pas installer de composants dont on ne se sert pas / désinstaller ceux
qui sont inutilisés
• Installer les services avec des comptes aux privilèges réduits (ne pas
sombrer dans la facilité de tout mettre administrateur ou root)

66

112
Besoin de savoir
• Pendant du principe du moindre privilège pour le contrôle d’accès
• Interdiction par défaut : TOUT est interdit implicitement SAUF ce qui
est autorisé explicitement
• N’est autorisé que ce qui est nécessaire pour réaliser les tâches
attribuées

67

Bonne gestion
• Le système d’information pour être sécurisé se doit d’être bien géré
• Ceci suppose
• Une politique de sécurité bien définie avec ses procédures associées
• Des personnes formées
• Des technologies qui peuvent être administrées efficacement
• Exemples
• Un pare-feu bien géré est avant tout un pare-feu maîtrisé

68

113
Multiculture
• Quand on est en mesure de bien gérer les produits que l’on utilise,
on peut les panacher et les installer en cascade / redondance
• Exemple
• 2 pare-feu de technologies et de constructeurs différents en cascade à
l’entrée du réseau
• 2 antivirus (un sur les passerelles et/ou les serveurs, un sur les postes de
travail)
• Attention : multiplier les technologies sans les maîtriser est plus risqué que
de n’avoir qu’une seule technologie bien gérée

69

Définitions :
70

 Bombe logique

114
Définitions :
70

 Bombe logique
Partie de programme qui reste dormante dans le système hôte jusqu’à ce qu’un
instant ou un événement survienne, ou que certaines conditions soient réunies,
pour déclencher des effets dévastateurs en son sein

Définitions :
70

 Bombe logique
Partie de programme qui reste dormante dans le système hôte jusqu’à ce qu’un
instant ou un événement survienne, ou que certaines conditions soient réunies,
pour déclencher des effets dévastateurs en son sein
Exemples :

115
Définitions :
70

 Bombe logique
Partie de programme qui reste dormante dans le système hôte jusqu’à ce qu’un
instant ou un événement survienne, ou que certaines conditions soient réunies,
pour déclencher des effets dévastateurs en son sein
Exemples :
- un programmeur, suite à un licenciement, insère dans un programme de paie une
fonction de reformatage des disques durs dont l’exécution sera déclenchée
lorsque son nom disparaîtra du fichier du personnel

Définitions :
70

 Bombe logique
Partie de programme qui reste dormante dans le système hôte jusqu’à ce qu’un
instant ou un événement survienne, ou que certaines conditions soient réunies,
pour déclencher des effets dévastateurs en son sein
Exemples :
- un programmeur, suite à un licenciement, insère dans un programme de paie une
fonction de reformatage des disques durs dont l’exécution sera déclenchée
lorsque son nom disparaîtra du fichier du personnel

- un administrateur système peut modifier des utilitaires (tels que login) de


manière à garder la possibilité de se connecter sur le système suite à un départ.

116
Définitions :
71

 Cheval de Troie

Définitions :
71

 Cheval de Troie
 Programme effectuant une fonction illégale tout en donnant l’apparence
d’effectuer une fonction légitime.

117
Définitions :
71

 Cheval de Troie
 Programme effectuant une fonction illégale tout en donnant l’apparence
d’effectuer une fonction légitime.

 La fonction illégale peut être de divulguer ou d’altérer des informations, ou


peut être une bombe logique.

Détection d’un Cheval de Troie


72

 Nécessite une connaisse du système d’exploitation

118
Détection d’un Cheval de Troie
72

 Nécessite une connaisse du système d’exploitation


 Utiliser un contrôleur d’intégrité de fichiers (difficile si les fichiers systèmes
sont remplacer par des versions plus récentes (bib de fichiers DLL)

Détection d’un Cheval de Troie


72

 Nécessite une connaisse du système d’exploitation


 Utiliser un contrôleur d’intégrité de fichiers (difficile si les fichiers systèmes
sont remplacer par des versions plus récentes (bib de fichiers DLL)
 Utiliser la technique d’approchement des objets:

119
Détection d’un Cheval de Troie
72

 Nécessite une connaisse du système d’exploitation


 Utiliser un contrôleur d’intégrité de fichiers (difficile si les fichiers systèmes
sont remplacer par des versions plus récentes (bib de fichiers DLL)
 Utiliser la technique d’approchement des objets:

 Processus de comparaison des objets


 actuels (fichiers ou répertoires)
 Avec des versions antérieures(sur bande de sauvegarde).

Détection d’un Cheval de Troie


72

 Nécessite une connaisse du système d’exploitation


 Utiliser un contrôleur d’intégrité de fichiers (difficile si les fichiers systèmes
sont remplacer par des versions plus récentes (bib de fichiers DLL)
 Utiliser la technique d’approchement des objets:

 Processus de comparaison des objets


 actuels (fichiers ou répertoires)
 Avec des versions antérieures(sur bande de sauvegarde).

 On peut se baser dans la comparaison sur:

120
Détection d’un Cheval de Troie
72

 Nécessite une connaisse du système d’exploitation


 Utiliser un contrôleur d’intégrité de fichiers (difficile si les fichiers systèmes
sont remplacer par des versions plus récentes (bib de fichiers DLL)
 Utiliser la technique d’approchement des objets:

 Processus de comparaison des objets


 actuels (fichiers ou répertoires)
 Avec des versions antérieures(sur bande de sauvegarde).

 On peut se baser dans la comparaison sur:


 La date de dernière modification (non fiable)
 La taille du fichier(fiable)
 La somme de contrôle: checksum Signature du fichier(plus fiable)

Définitions :
73

 Scanners et utilitaires réseau « Un bon scanner vaut un millier de mot


de passe »

121
Définitions :
73

Scanners et utilitaires réseau « Un bon scanner vaut un millier de mot


de passe »
un scanner est un outil appartenant à la famille des outils de diagnostic
de réseau.

Définitions :
73

 Scanners et utilitaires réseau « Un bon scanner vaut un millier de mot


de passe »
un scanner est un outil appartenant à la famille des outils de diagnostic
de réseau.
 Il permet de :

122
Définitions :
73

 Scanners et utilitaires réseau « Un bon scanner vaut un millier de mot


de passe »
un scanner est un outil appartenant à la famille des outils de diagnostic
de réseau.
 Il permet de :

analyser de ports et de services TCP/IP (Telnet, FTP...)


enregistrer les réponses de la cible et recueille des informations utiles sur la
hôte.

Définitions :
73

 Scanners et utilitaires réseau « Un bon scanner vaut un millier de mot


de passe »
un scanner est un outil appartenant à la famille des outils de diagnostic
de réseau.
 Il permet de :

analyser de ports et de services TCP/IP (Telnet, FTP...)


enregistrer les réponses de la cible et recueille des informations utiles sur la
hôte.
 Certains scanners détectent automatiquement les faiblesses de sécurité
d’un hôte distant ou local.

123
Définitions :
74

 Scanners disponibles:

Définitions :
74

 Scanners disponibles:
NSS(Network Security Scanner)

124
Définitions :
74

 Scanners disponibles:
NSS(Network Security Scanner)
STROBE

Définitions :
74

 Scanners disponibles:
NSS(Network Security Scanner)
STROBE
SATAN(Security Administrator’s Tool for Analysing Networks)

125
Définitions :
75

 Porte dérobée/backdoors

Définitions :
75

 Porte dérobée/backdoors
Moyen de contourner les mécanismes de sécurité ; il s’agit d’une faille du système
de sécurité due à une faute de conception accidentelle ou intentionnelle (cheval de
Troie en particulier).

126
Définitions :
75

 Porte dérobée/backdoors
Moyen de contourner les mécanismes de sécurité ; il s’agit d’une faille du système
de sécurité due à une faute de conception accidentelle ou intentionnelle (cheval de
Troie en particulier).
C’est donc une fonctionnalité inconnue de l’utilisateur légitime qui donne un accès
secret au logiciel.

Définitions :
75

 Porte dérobée/backdoors
Moyen de contourner les mécanismes de sécurité ; il s’agit d’une faille du système
de sécurité due à une faute de conception accidentelle ou intentionnelle (cheval de
Troie en particulier).
C’est donc une fonctionnalité inconnue de l’utilisateur légitime qui donne un accès
secret au logiciel.
Ces passages secrets sont ménagés par les concepteurs de logiciels pour fournir des
accès privilégiés pour les tests ou la maintenance. Mais les pirates qui les
découvrent peuvent déjouer tous les mécanismes de sécurité et rentrer dans le
système.

127
Définitions :
76

 Virus

Définitions :
76

 Virus
Segment de programme qui, lorsqu’il s’exécute, se reproduit en
s’adjoignant à un autre programme (du système ou d’application), et
qui devient ainsi un cheval de Troie; Propriétés: infection,
multiplication.

128
Définitions :
77

 Ver

Définitions :
77

 Ver
est un programme autonome qui se reproduit et se propage à l’insu des utilisateurs.
Contrairement aux virus, un ver n’a pas besoin d’un logiciel hôte pour se dupliquer. Le ver a
habituellement un objectif malicieux, par exemple :

129
Définitions :
77

 Ver
est un programme autonome qui se reproduit et se propage à l’insu des utilisateurs.
Contrairement aux virus, un ver n’a pas besoin d’un logiciel hôte pour se dupliquer. Le ver a
habituellement un objectif malicieux, par exemple :
• espionner l’ordinateur dans lequel il réside;
• offrir une porte dérobée à des pirates informatiques;
• détruire des données sur l’ordinateur infecté;
• envoyer de multiples requêtes vers un serveur internet dans le but de le saturer.

Définitions :
77

 Ver
est un programme autonome qui se reproduit et se propage à l’insu des utilisateurs.
Contrairement aux virus, un ver n’a pas besoin d’un logiciel hôte pour se dupliquer. Le ver a
habituellement un objectif malicieux, par exemple :
• espionner l’ordinateur dans lequel il réside;
• offrir une porte dérobée à des pirates informatiques;
• détruire des données sur l’ordinateur infecté;
• envoyer de multiples requêtes vers un serveur internet dans le but de le saturer.
Le ver Blaster avait pour but de lancer une attaque par déni de service sur le serveur de mises
à jour de Microsoft.

130
Définitions :
78

 Spyware

Définitions :
78

 Spyware
contraction de spy et software.

131
Définitions :
78

 Spyware
contraction de spy et software.
Logiciel espion qui collecte des données personnelles avant de les envoyer à un
tiers.

Définitions :
78

 Spyware
contraction de spy et software.
Logiciel espion qui collecte des données personnelles avant de les envoyer à un
tiers.
EX: Keylogger : transmettre les données saisies au clavier.

132
Définitions :
78

 Spyware
contraction de spy et software.
Logiciel espion qui collecte des données personnelles avant de les envoyer à un
tiers.
EX: Keylogger : transmettre les données saisies au clavier.
 Spamming

Définitions :
78

 Spyware
contraction de spy et software.
Logiciel espion qui collecte des données personnelles avant de les envoyer à un
tiers.
EX: Keylogger : transmettre les données saisies au clavier.
 Spamming
usage abusif d'un système messagerie destiné à exposer délibérément (et de
manière répétée) les utilisateurs à des contenus non pertinents et non sollicités.

133
Définitions :
79

 Sniffing (écoute passive)

Définitions :
79

 Sniffing (écoute passive)


accéder aux données transmises sur

134
Définitions :
79

 Sniffing (écoute passive)


accéder aux données transmises sur
 canal de communication (e.g., câble de réseau)
 stockée sur un support vulnérable (e.g., disques externes).

Définitions :
79

 Sniffing (écoute passive)


accéder aux données transmises sur
 canal de communication (e.g., câble de réseau)
 stockée sur un support vulnérable (e.g., disques externes).
Menace: accès à des informations sensibles.

135
Définitions :
79

 Sniffing (écoute passive)


accéder aux données transmises sur
 canal de communication (e.g., câble de réseau)
 stockée sur un support vulnérable (e.g., disques externes).
Menace: accès à des informations sensibles.
EX: mot de passe d’un utilisateur tapé sur un terminal connecté à un ordinateur
central, et qui transite en clair entre ce terminal et la machine.

Définitions :
80

 Spoofing (usurpation d’identité)

136
Définitions :
80

 Spoofing (usurpation d’identité)


Se faire passer pour quelqu'un d'autre afin de faire une action malveillante (e.g.,
envoi virus, spam, …)

Définitions :
80

 Spoofing (usurpation d’identité)


Se faire passer pour quelqu'un d'autre afin de faire une action malveillante (e.g.,
envoi virus, spam, …)
Ex :

137
Définitions :
80

 Spoofing (usurpation d’identité)


Se faire passer pour quelqu'un d'autre afin de faire une action malveillante (e.g.,
envoi virus, spam, …)
Ex :
 IP spoofing = utiliser l'adresse IP d'une machine, ou d'un équipement, afin
d'en usurper l'identité.

Définitions :
81

 DoS / DDoS : déni de service

138
Définitions :
81

 DoS / DDoS : déni de service

 attaque d'un serveur destinée à l'empêcher de remplir sa fonction.

Définitions :
81

 DoS / DDoS : déni de service

 attaque d'un serveur destinée à l'empêcher de remplir sa fonction.


 méthode classique : faire crouler le serveur sous une masse de requêtes généralement mal
formées à dessein pour entraîner une réponse anormale.

139
Définitions :
81

 DoS / DDoS : déni de service

 attaque d'un serveur destinée à l'empêcher de remplir sa fonction.


 méthode classique : faire crouler le serveur sous une masse de requêtes généralement mal
formées à dessein pour entraîner une réponse anormale.
 L'attaque utilise très souvent une multitude de PC zombies travaillant de concert, infectés par
des backdoors/chevaux de Troie et mobilisables à distance par un pirate.

Définitions :
81

 DoS / DDoS : déni de service

 attaque d'un serveur destinée à l'empêcher de remplir sa fonction.


 méthode classique : faire crouler le serveur sous une masse de requêtes généralement mal
formées à dessein pour entraîner une réponse anormale.

 L'attaque utilise très souvent une multitude de PC zombies travaillant de concert, infectés par
des backdoors/chevaux de Troie et mobilisables à distance par un pirate.

 Il est aussi possible de bloquer à distance des routeurs en tirant parti de failles de leur
software.

140