République du Cameroun Repubic ofCamero

on
Paix – Travail– Patrie Peace– Work– Fatherland
…………….. ……………..
JFN-DOUALA JFN-DOUALA

Cours d’introduction à la sécurité informatique

Cible : Réseaux et Sécurité 1

Enseignant : M. MBUETANG RAPHAËL
Master en Sécurité Réseaux
Année Académique : 2022 / 2023

1
 SOMMAIRE

SOMMAIRE ........................................................................................................................... 2
RÉSUMÉ ................................................................................................................................ 3
INTRODUCTION .................................................................................................................. 3
Chapitre 1 : Généralités sur la sécurité informatique ................................................................ 4
I. Généralités .................................................................................................................. 4
II. Définitions ................................................................................................................... 4
III. LES RISQUES LIES A LA SECURITE INFORMATIQUE ................................................ 7
IV. TYPOLOGIE DES RISQUES INFORMATIQUES ......................................................... 8
V. Exercices d’application ................................................................................................ 10
Chapitre 2 : Les Attaques et Virus Informatiques ..................................................................... 11
I. Introduction ................................................................................................................ 11
II. Les attaques informatiques ........................................................................................... 11
III. Les virus informatiques ............................................................................................. 11
IV. Solutions .................................................................................................................. 11
Chapitre 3 : La cryptographie ................................................................................................ 12
Chapitre 4 : Quelques notions sur la cybersécurité ................................................................. 13

2
 RÉSUMÉ

Ce cours d’introduction à la sécurité informatique s’adresse aux étudiants de première année de

la filière du Génie Réseaux et Télécommunication (GTR) spécialement ceux de la spécialité
Réseaux et sécurité. Il va leur permettre d’avoir les notions sur la sécurité des systèmes
d’informations et les mesures à prendre pour garantir l’intégrité et l’accès aux informations

INTRODUCTION

Ce cours sera réparti sur 04 chapitres : généralités sur la sécurité informatique, les types
d’attaques et de virus, les solutions pour la sécurisation d’un parc informatique, les notions de
cryptographie et cybersécurité.

3
 Chapitre 1 : Généralités sur la sécurité informatique

Objectif général : à la fin de ce chapitre l’étudiant sera capable de maîtriser les concepts liés
à la sécurité informatique.
Objectifs spécifiques :
- Définir les mots clés
- Donner les avantages et inconvénients de la sécurité informatique
- Présenter les exigences de la sécurité informatique
- Énumérer quelques risques liés à la sécurité informatique
- Présenter les attaques et virus pouvant bloquer un système informatique.

I. Généralités

La sécurisation des systèmes informatiques vient du fait de l’émergence des intrusions et

piratage des données au sein des infrastructures conduisant parfois à la paralysie de ce dernier.
Les définitions des concepts clefs sur la sécurité des systèmes informatiques seront abordées
dans ce chapitre : les enjeux de cette sécurité sont très importants et il n'est pas surprenant de
trouver du vocabulaire généralement calqué aux séries policières.

II. Définitions

1. La sécurité :

Pour être mieux compris, nous allons remonter dans le temps. Elle peut être définit comme
"Situation politique, économique, matérielle ou morale dont tout risque ou tout danger est
exclu" explique le dictionnaire Focus-Bordas et qui complète cette définition par "Dispositif
destiné à éviter tout accident".
En résumé, la sécurité informatique est l’ensemble des moyens mis en œuvre pour réduire la
vulnérabilité d’un système contre les menaces accidentelles ou intentionnelles. Elle a pour
objectif de s’assurer que les ressources matérielles et/ou logicielles d’un parc informatique
soient uniquement utilisées dans le cadre prévu et par des personnes autorisées [1].
C'est actuellement la préoccupation majeure de tous les organismes communicants par réseaux.
Désormais une fonction dédiée à la sécurité des systèmes d'information existe : ASSI (Agent
de Sécurité des Systèmes d'Information) ou RSSI (Responsable Sécurité des Systèmes
d'Information).

2. L’identification

L'identité est un ensemble d'éléments qui permettent de reconnaître un individu (ex: Marck
Atangana ), une entité ou bien une marque. Toutefois, une identité peut être copiée et les
contrefaçons existent. L'identifiant est un élément normalisé associé à cette identité : par
exemple, le numéro INSEE est un identifiant unique en France. Une adresse MAC est

4
également un numéro unique désignant une seule interface réseau. Il est malheureusement facile
de copier ou forger un identifiant : la sécurité ne peut pas être assurée par un identifiant seul.

3. L’Authentification

Pour s'assurer qu'un identifiant soit bien présenté par l'identité (l'utilisateur) qu'il représente, il
faut authentifier ce dernier.
L'authentification est le procédé permettant à un individu ou une entité de prouver son identité
: la photo sur une carte nationale d'identité, une empreinte digitale, vocale ou rétinienne pour
des systèmes perfectionnés ou encore un mot de passe ou une carte à puce pour les méthodes
les plus courantes.
L'authentification repose ainsi sur la notion d'un secret partagé ou d'éléments infalsifiables.

4. L’Autorisation

Pour utiliser les ressources d'un environnement sécurisé, il est nécessaire d'avoir une ou
plusieurs autorisations. L'autorisation correspond généralement à une fonction dans cet
environnement. En informatique, les droits fournis à un utilisateur authentifié sont liés à son
rôle et éventuellement au moyen employé pour se connecter. De plus, les accès aux ressources
impliquent des droits attribués de manière individuelle d'une part, et par l'appartenance à des
groupes, d'autre part.

5. L’Accounting

L'accounting est un terme anglais qui se traduit littéralement par "comptabilité" mais la
signification du terme est plutôt "traçabilité". L'accounting permet de suivre le fonctionnement
d'un réseau en fournissant des statistiques sur la charge globale, le nombre d'utilisateurs actifs,
les accès rejetés, etc.
En termes de sécurité, l'accounting est fondamental : en effet, l'ASSI et l'entreprise étant
responsables des fautes commises à partir de leur réseau, il leur est nécessaire de pouvoir
déterminer avec précision qui l'utilise et à quel moment.
6. La cryptologie

La cryptologie est la science des écritures secrètes et des messages chiffrés. Elle comprend la
cryptographie et la cryptanalyse. La loi française définit les prestations de cryptologie comme
étant "toutes prestations visant à transformer à l'aide de conventions secrètes des informations
ou signaux clairs en information ou signaux inintelligibles pour des tiers, ou à réaliser
l'opération inverse, grâce à des moyens, matériels ou logiciels conçus à cet effet".
Cette science emploie un vocabulaire souvent mal utilisé et dont les anglicismes sont venus
remplacer les termes français. La liste ci-dessous redonne la définition exacte de ces mots et
entre parenthèses, leur équivalent anglais.

5
 ▪ Cryptographie (cryptography) : du grec kruptos, caché, et graphein, écrire. Science
du chiffrement.
▪ Cryptanalyse (Cryptanalysis) : Art de déchiffrer les messages codés (sans obtenir par
voie officielle les mécanismes ou les codes utilisés).
▪ Chiffrement (encryption) : Ensemble de méthodes permettant de rendre un message
incompréhensible. Les anglicismes suivants sont parfois employés : cryptage et crypter
(à la place de chiffrer). Les anglais emploient aussi le terme encipher (et decipher) pour
déchiffrer.
▪ Stéganographie (Steganography) : La stéganographie consiste à cacher un message
dans un document anodin afin qu'il passe inaperçu. Actuellement, il est facile de cacher
un fichier texte dans une image jpeg par exemple.
▪ Cryptogramme (CipherText) : message codé résultant du chiffrement.
▪ Texte en clair (Plaintext) : message original.
▪ Challenge (challenge) : employé dans le sens de défi, il représente une épreuve qu'il
faut réussir pour obtenir un avis positif. Le chiffrement d'un ensemble de données de
taille limitée est un challenge.
7. Les exigences en sécurité informatique

Il convient d'identifier les exigences fondamentales en sécurité informatique, qui caractérisent

ce à quoi s'attendent les utilisateurs de systèmes informatiques au regard de la sécurité :
▪ La confidentialité - Seules les personnes habilitées doivent avoir accès aux données.
Toute interception ne doit pas être en mesure d'aboutir, les données doivent être
cryptées, seuls les acteurs de la transaction possèdent la clé de compréhension.
▪ L'intégrité - Il faut garantir à chaque instant que les données qui circulent sont bien
celles que l'on croit, qu'il n'y a pas eu d'altération (volontaire ou non) au cours de la
communication. L'intégrité des données doit valider l'intégralité des données, leur
précision, l'authenticité et la validité.
▪ La disponibilité - Il faut s'assurer du bon fonctionnement du système, de l'accès à un
service et aux ressources à n'importe quel moment. La disponibilité d'un équipement
se mesure en divisant la durée durant laquelle cet équipement est opérationnel par la
durée durant laquelle il aurait dû être opérationnel.
▪ La non-répudiation - Une transaction ne peut être niée par aucun des correspondants.
La non-répudiation de l'origine et de la réception des données prouve que les données
ont bien été reçues. Cela se fait par le biais de certificats numériques grâce à une clé
privée.
▪ L'authentification - Elle limite l'accès aux personnes autorisées. Il faut s'assurer de
l'identité d'un utilisateur avant l'échange de données.
Bref, on mesure la sécurité d'un système entier à la sécurité du maillon le plus faible. Ainsi, si
tout un système est sécurisé techniquement mais que le facteur humain, souvent mis en cause,
est défaillant, c'est toute la sécurité du système qui est remise en cause.

6
III. LES RISQUES LIES A LA SECURITE INFORMATIQUE

Les coûts d'un problème informatique peuvent être élevés et ceux de la sécurité le sont
aussi. Il est nécessaire de réaliser une analyse de risque en prenant soin d'identifier les
problèmes potentiels avec les solutions avec les coûts associés. L'ensemble des solutions
retenues doit être organisé sous forme d'une politique de sécurité cohérente, fonction du niveau
de tolérance au risque. On obtient ainsi la liste de ce qui doit être protégé. Il faut cependant
prendre conscience que les principaux risques restent : câble arraché, coupure secteur, crash
disque, mauvais profil utilisateur … Voici quelques éléments pouvant servir de base à une étude
de risque :
▪ Quelle est la valeur des équipements, des logiciels et surtout des informations ?
▪ Quel est le coût et le délai de remplacement ?
▪ Faire une analyse de vulnérabilité des informations contenues sur les ordinateurs en
réseau (programmes d'analyse des paquets, logs…).
▪ Quel serait l’impact sur la clientèle d'une information publique concernant des
intrusions sur les ordinateurs de la société ?
En fait, avec le développement d'internet, les entreprises ont ouvert leur système
d'information à leurs partenaires ou leurs fournisseurs, elles sont plus au niveau de l'architecture
trois tiers ou n-tiers. Il devient donc nécessaire de connaître les ressources de l'entreprise à
protéger et de maîtriser le contrôle d'accès et les droits des utilisateurs du système. En revanche,
la sécurité est un compromis entre coûts, risques et contraintes. On comprendra mieux le poids
d’un risque en se fiant à la formule suivante :

𝑴𝒆𝒏𝒂𝒄𝒆 × 𝑽𝒖𝒍𝒏é𝒓𝒂𝒃𝒊𝒍𝒊𝒕é
𝑹𝒊𝒔𝒒𝒖𝒆 =
𝑪𝒐𝒏𝒕𝒓𝒆 𝒎𝒆𝒔𝒖𝒓𝒆

▪ Risque - C'est la probabilité qu’une menace exploite une vulnérabilité. Autrement dit,
c’est une possibilité qu’un fait dommageable se produise.
▪ Vulnérabilité - C'est une faiblesse inhérente à un système (software ou hardware).
Appelée parfois faille ou brèche, elle représente le niveau d'exposition face à la menace
dans un contexte particulier.
▪ Menace - c'est le danger (interne ou externe) tel qu’un hacker, un virus, etc.
▪ Contre-mesure - c'est un moyen permettant de réduire le risque dans une organisation.
En conséquence de la formule :
▪ Le risque est d’autant plus réduit que les contre-mesures sont nombreuses ;
▪ Le risque est plus important si les vulnérabilités sont nombreuses.

7
 L’utilisation de l’outil informatique est susceptible de nous exposer à divers types des
risques. Il importe donc de pouvoir mesurer ces risques en fonction de la probabilité ou de la
fréquence de leurs survenances et aussi en mesurant leurs effets possibles. Ces effets peuvent
avoir des conséquences négligeables ou catastrophiques :
▪ Le traitement informatique en cours échoue : il suffit de le relancer, éventuellement par
une autre méthode si on craint que la cause ne réapparaisse ;
▪ L’incident est bloquant et on doit procéder à une réparation ou une correction avant de
poursuivre le travail entrepris.

Il est cependant à noter que ces mêmes incidents peuvent avoir des conséquences
beaucoup plus fâcheuses :
▪ Données irrémédiablement perdues ou altérées, ce qui les rend inexploitables par la suite ;
▪ Données ou traitements durablement indisponibles, pouvant entrainer l’arrêt d’une
production ou d’un service ;
▪ Divulgation d’informations confidentielles ou erronées pouvant profiter à des sociétés
concurrentes ou nuire à l’image de marque de l’entreprise ;
▪ Déclenchement d’actions pouvant provoquer des accidents physiques ou induire des
humains.

IV. TYPOLOGIE DES RISQUES INFORMATIQUES

En sécurité informatique, il existe deux grands types des risques à savoir : les risques humains
et les risques matériels.
1. RISQUES HUMAINS

Ce sont les plus importants, même s’ils sont le plus souvent ignorés ou minimisés. Ils
concernent les utilisateurs mais également les informaticiens eux-mêmes. On peut citer :

▪ La maladresse – commettre des erreurs ou exécuter de traitement non souhaité, ou

effacer involontairement des données ou des programmes ; etc.
▪ L’inconscience et l’ignorance – introduire des programmes malveillants sans le savoir
(par exemple lors de la réception du courrier). Des nombreux utilisateurs d’outils
informatiques sont encore inconscients ou ignorants des risques qu’ils font courir aux
systèmes qu’ils utilisent. Réaliser des manipulations inconsidérées (autant avec des
logiciels qu’avec du matériel) ;

8
 ▪ La malveillance – ces dernières années, il est impossible d’ignorer les différents
problèmes de virus et des vers. Certains utilisateurs peuvent volontairement mettre en
péril le système d’informations, en y introduisant en connaissance de cause de virus ou
en introduisant volontairement des mauvaises informations dans une base des données.
On parle même de la « cybercriminalité » ;
▪ L’ingénierie sociale – une méthode pour obtenir d’une personne des informations
confidentielles, que l’on n’est pas normalement autorisé à obtenir, en vue de les exploiter
à d’autres fins.

Elle consiste à :

→ Se faire passer pour quelqu’un que l’on n’est pas (en général un administrateur réseau) ;

→ Demander des informations personnelles (nom de connexion, mot de passe, données

confidentielles, etc.) en intervenant un quelconque prétexte (problème dans le réseau,
modification de celui-ci, etc.) ;

Elle peut se faire soit au moyen d’une simple communication téléphonique ; soit par mail, soit
en se déplaçant directement sur place
▪ L’espionnage – surtout industriel, emploie les mêmes moyens, ainsi que bien d’autres,
pour obtenir des informations sur des activités concurrentes, procédés de fabrication,
projets en cours, futurs produits, politique de prix, clients et prospects, etc.

2. RISQUES MATERIELS

Ils sont liés aux défauts et pannes inévitables que connaissent tous les systèmes matériels et
logiciels. Ces incidents sont plus ou moins fréquents selon les soins apportés lors de la
fabrication et de l’application des procédures de tests effectués avant que les ordinateurs et les
programmes ne soient mis en service. Certaines de ces pannes ont des causes indirectes, voire
très indirectes, donc difficiles à prévoir. On peut citer :

▪ Les incidents liés au matériel : la plupart des composants électroniques modernes

produits en grandes séries, peuvent comporter des défauts de fabrication. Ils finissent
un jour ou l’autre par tomber en panne. Certains de ces pannes sont assez difficiles à
déceler car intermittentes ou rares. Parfois, elles relèvent d’une erreur de conception.

▪ Les incidents liés au logiciel : ce sont les plus fréquents. Les systèmes d’exploitation
et les programmes sont de plus en plus complexes car ils font de plus en plus de choses.
Ils nécessitent l’effort conjoint de dizaines, de centaines, voire de milliers de
développeurs. Ces derniers peuvent faire des erreurs de manière individuelle ou
collective que les meilleures méthodes de travail et les meilleurs outils de contrôle ou
de test ne peuvent pas éliminer en totalité.
▪ Les incidents liés à l’environnement : les machines électroniques et les réseaux de
communication sont sensibles aux variations de températures ou d’humidité ainsi
qu’aux champs électromagnétiques. Dès lors, il est possible qu’un ordinateur tombe en

9
 panne de manière définitive ou intermittente à cause des conditions climatiques
inhabituelles ou par l’influence d’installations électriques notamment industrielles.

V. Exercices d’application

10
 Chapitre 2 : Les Attaques et Virus Informatiques

Objectif général : dans ce chapitre, il sera question pour l’étudiant de maîtriser les notions de
bases en matière d’attaques informatiques.
Objectifs spécifiques :
▪ Définir les termes clés
▪ Citer les types d’attaques et leurs moyens d’actions
▪ Présenter quelques virus et leurs principes de fonctionnement

I. Introduction

II. Les attaques informatiques

Définitions

III. Les virus informatiques

Définitions
Les types de virus
Principe d’action

IV. Solutions

11
 Chapitre 3 : La cryptographie

Objectif général : dans ce chapitre, il sera question pour l’étudiant de maîtriser les notions de
bases en matière d’attaques informatiques.
Objectifs spécifiques :
▪ Définir les termes clés
▪ Citer les types d’attaques et leurs moyens d’actions
▪ Présenter quelques virus et leurs principes de fonctionnement

12
 Chapitre 4 : Quelques notions sur la cybersécurité

Objectif général : dans ce chapitre, il sera question pour l’étudiant de maîtriser les notions de
bases en matière d’attaques informatiques.
Objectifs spécifiques :
▪ Définir les termes clés
▪ Citer les types d’attaques et leurs moyens d’actions
▪ Présenter quelques virus et leurs principes de fonctionnement

13