Architecture de sécurité

Comment se connecter en toute sécurité à un réseau public tel Internet ? Comment maîtriser l'usage des nouvelles technologies mises à la
disposition de vos utilisateurs ? Comment lutter contre les " crackers ", les virus, et les défauts de sécurité d'une manière générique ?

La solution d'expertise de NEWPORT Communications peut vous permettre de lutter contre des menaces qui n'existent pas e
bâtissant un modèle conceptuel de sécurité sur lequel la technique va s'appuyer

Stratégies de sécurité :

Avant de passer aux détails des Firewalls, Proxy et autres serveurs mandataires,il convient de comprendre le pourquoi des stratégies de ba
employées dans leur réalisation. Ce sont des approches théoriques qu'il faut garder à l'esprit au moment de la réalisation d'un projet
d'interconnexion.

a. Le moindre privilège

Le principe fondamental de la sécurité est celui du moindre privilège.

Ce principe stipule que toute chose (programme, utilisateur, système, service,...) ne doit disposer que des privilèges
minimum pour assurer l'exécution des tâches qui lui sont assignées, pas un de plus.
Le moindre privilège est un principe important pour limiter les dommages causés par une attaque.

Les exemples du bien fondé de ce principe sont multiples dans l'informatique :

· L'administrateur d'un réseau qui travaille en permanence avec un compte doté des droits d'administration peut écraser un grand
nombre de fichiers si une application anodine est mal programmée ou s'il exécute un virus.
· Un programme de gestion des courriers électroniques doit-il fonctionner exclusivement en mode d'administration ? S'il est mal
programmé et qu'une brèche est détectée en son sein, c'est tout le système qui sera perverti.
· Un utilisateur doit-il avoir les droits de lecture ou d'écriture sur l'ensemble des fichiers du système? Certes non!

b. Défense en profondeur

Ne dépendez pas d'un seul système de sécurité, quelle que soit son efficacité!
Il faut au contraire installer plusieurs mécanismes qui se soutiennent les uns les autres, afin que l'ensemble ne soit pas mis en
déroute si une vulnérabilité est découverte.

Par exemple, ce n'est pas parce que le Firewall filtre toutes les tentatives de connexions NFS qu'il ne faut pas désactiver ses
services partout où ils ne sont pas utiles, et la présence de ce Firewall ne dispense pas l'administrateur de continuer à bien suivre
ses sauvegardes.
Si le trafic est censé traverser deux Firewalls différents avant d'arriver à l'utilisateur, il ne faut pas hésiter à établir des règles
redondantes : le deuxième Firewall ne doit pas laisser passer des paquets que le premier était censé filtrer.

Tout doit être fait pour compliquer la tache de l'agresseur, de cette façon, même si une faille de sécurité venait à être découverte
sa mise en application ne serait pas forcement aisée.

Dans cet esprit, il peut être bon d'utiliser des antivirus sur les serveurs mandataires et sur les stations, afin de minimiser les
risques de dysfonctionnement de l'un d'eux.

c. Goulet d'étranglement
 Un goulet d'étranglement force les attaquants à utiliser un canal étroit qui est surveillé et contrôlé.
Toute personne souhaitant attaquer le site est obligée de passer par le Firewall, qui va donc concentrer les systèmes de défense
en ce point névralgique.

Par contre, un goulet est inutile s'il existe un moyen de le contourner. Pourquoi se donner la peine d'attaquer un Firewall s'il
existe une connexion modem ou une autre connexion Internet par le biais d'une filiale, d'un utilisateur qui dispose d'un
abonnement personnel pour "surfer plus rapidement",... ?

Il ne doit exister qu'un seul accès à un réseau privé, et celui-ci doit être strictement géré!

d. Le maillon le plus faible

Une chaîne n'est jamais plus résistante que son maillon le plus faible.
Des agresseurs intelligents chercheront un point faible dans la sécurité de votre site, et s'y concentreront.
Tout système possède son point faible, l'essentiel est que vous le connaissiez aussi, soit pour l'améliorer, soit pour le surveiller
attentivement.

e. La position de panne sans danger

En cas de dysfonctionnement d'un système, la panne doit se produire sans que la sécurité des autres systèmes ne soit remise en
cause, même si cela implique que l'ensemble cesse de fonctionner.
On peut faire une analogie avec un ascenseur, qui s'accroche à ses câbles automatiquement en cas de coupure de courant.

De la même façon, un administrateur devra lutter pour imposer la "position de refus d'accès par défaut" plutôt que la "position
d'autorisation par défaut" au niveau de sa politique de sécurité : ce qui n'est pas expressément autorisé est interdit.

Dans le cadre de la configuration d'un Firewall, il est toujours préférable de fermer tous les ports, en n'ouvrant que ce dont on a
besoin, plutôt que de se lancer dans l'interdiction des services dangereux, en laissant les accès ouverts par défaut.

f. Eloge de la simplicité

Pour finir, la simplicité permettra d'améliorer globalement la sécurité de votre système. Si la compréhension globale du Système
d'Information est complexe, avec plusieurs routeurs permettant l'utilisation de routes différentes pour les paquets et plusieurs
systèmes de messagerie différents, assurer la sécurité du courrier entrant ne sera jamais efficace.

Le maximum de sécurité est obtenu en cumulant les mécanismes de sécurité à tous niveaux :

Cette solution globale implique donc une utilisation poussée des serveurs mandataires spécialisés chacun dans la gestion d'un flux
particulier d'informations.
L'approche permettant d'implémenter ces serveurs mandataires est différente pour chacun d'entre eux.
La zone démilitarisée (DMZ) avec Firewall

La seule solution est donc d'utiliser des serveurs spécialisés dans la gestion d'un flux d'informations, et d'en avoir un pour chaque
flux...
Ces serveurs seront regroupés dans une DMZ (DeMilitarized Zone), nommée aussi espace de sécurité, protégé par un Firewall.
La théorie veut qu'un flux ne puisse traverser le Firewall directement du réseau Internet vers le réseau privé, et
vice-versa.

On arrive alors à une gestion globale de la sécurité informatique :

On retrouvera dans la DMZ plusieurs serveurs, tous n'étant pas forcement des serveurs Proxy : des passerelles SMTP, DNS,
NNTP...
Ce n'est pas forcement le meilleur emplacement pour placer un serveur Web : l'utilisation d'une fonctionnalité de " reverse-proxy
" présente de nombreux avantages, en particulier si vous souhaitez interconnecter votre site Web avec une base de données.

Sur ce schéma, on a l'habitude de représenter l'espace de sécurité (DMZ) par un réseau distinct : en fait, il faut créer une DMZ
par machine connecté. En effet, si un pirate réussit à s'introduire sur un des serveurs mandataires, il ne faut pas qu'il puisse
s'introduire sur les autres serveurs de la DMZ en utilisant par exemple un utilitaire de capture de trames.
Chaque machine doit être isolée dans son périmètre et ne posséder aucune donnée autre que publique.
Des variations existent dans les architectures de sécurité (plusieurs Firewall, chaînage de serveurs Proxy Web Internet et
mandataire, gestion des zones DNS, …).

NEWPORT Communications intervient pour les plus grandes entreprises dan

conseil et l'ingénierie de sécurité de leur système d'information.

Sauvegarde des données d'entreprise

La vulgarisation des systèmes informatiques, toujours plus puissants et fonctionnels, rend l'acquisition de cette technologie
inévitable et de plus en plus stratégique pour une grande majorité d'entreprises. La sauvegarde des données informatiques
doit être adaptée à la technologie du système d'information, les deux principaux critères de choix étant :

· Les contraintes d'exploitation.

· L'architecture du système d'information.

La technologie actuelle permet d'envisager de multiples solutions répondant à tous types de besoins, le choix d'une solution
devant tenir compte de critères matériels et logiciels.
Composants matériels :

D'un point de vue matériel, le choix sera essentiellement dicté par le ratio entre les volumes traités et le temps imparti aux
opérations de sauvegarde.
Les principales technologies disponibles sont les suivantes :
 TECHNOLOGIE DAT DDS4 DLT 40 SDLT LTO
Capacité (Comp 2 :1) 20 Go (40 Go) 40 Go (80 Go) 110 Go (220 Go) 100 Go (200 Go)
Taux de transfert 2,4 Mo/s (4,8 Mo/s) 6 Mo/s (12 Mo/s) 11 Mo/s (22 Mo/s) 15 Mo/s (30 Mo/s)

Ces technologies sont disponibles sous forme autonome (lecteur simple) ou sous forme
robotisée (librairie automatisée).

Composants logiciels :

D'un point de vue logiciel, le choix est dicté par l'architecture du système d'information ainsi que par les contraintes.
Indépendamment des fonctionnalités et de l'ergonomie du produit, une adéquation entre ces deux critères permet de choisir une
solution basée sur :

· L'utilisation d'agents applicatifs, permettant la sauvegarde de vos bases de

données ou systèmes de messagerie à chaud.
· L'utilisation de composants de type SnapShot, permettant la sauvegarde hors
ligne d'un volume de production.
· L'utilisation de composants de type " Disaster Recovery ", permettant
l'élaboration simplifiée de procédures de reprise après sinistre.
· L'utilisation de modules " ServerLess ", permettant dans un environnement SAN
la sauvegarde des volumes sans sollicitation des serveurs.

 
Stratégie de sauvegarde :

Une fois la technologie de sauvegarde retenue, il reste à élaborer une stratégie de sauvegarde conforme à vos besoins.
Le choix d'une stratégie de sauvegarde est dicté par votre environnement applicatif, vos contraintes d'exploitation et votre
engagement envers les utilisateurs.

Une analyse de ces trois critères vous permettront de définir une stratégie :

· De planification des sauvegardes.

· De sauvegarde complète, incrémentale ou différentielle.
· De rotations des médias de sauvegarde.
· De stockage hors site des médias de sauvegarde (à des fins de sécurité).
· D'archivage sur site de médias de sauvegarde (archivage moyen terme).
· D'archivage hors site de médias de sauvegarde (archivage long terme).
· De renouvellement de votre bandothèque.

NEWPORT Communications intervient sur les produits suivants

dans le cadre de ses prestations :

ArcServe, de Computer Associates.

Backup Exec, de Veritas.
NetBackup, de Veritas.
Time Navigator, de Quadratec.

Cryptographie
La cryptographie (ou chiffrement dans le domaine numérique) est l'art de rendre secret un message. De tout temps, les
hommes ont tout fait pour rendre secret leur communication (ou tenter d'intercepter des informations qui ne leur était pas
destinées).
Avec l'avènement des réseaux informatiques, dont Internet, le chiffrement est devenue une technologie, non plus seulement pour
conserver la confidentialité d'échanges entre ordinateurs, mais aussi pour un ensemble de fonctionnalités que couvre la
cryptographie " moderne " :
 · Intégrité : Les données ne doivent pas être modifiées
· Authentification : Le récepteur doit être certain de l'identité de l 'émetteur
· Confidentialité : Les données ne doivent pas circuler " en clair "
· Non Répudiation : Le récepteur doit tenir une preuve de l'envoi

Le chiffrement s'appuie une branche spécifique des mathématiques, la cryptologie.

Les algorithmes utilisés se nomment cryptosystèmes, dont deux grandes familles sont massivement utilisées actuellement

· Symétrique : la même clef est utilisée pour chiffrer et déchiffrer

· Asymétrique : une clef est utilisée pour chiffrer, une autre pour déchiffrer

Les algorithmes symétriques sont performants et puissants, mais la difficulté d'échange des clefs pose des difficultés délicates
dans son emploi sur un réseau non sécurisé comme Internet. Les algorithmes asymétriques permettent un grand nombre de
fonctionnalités, mais sont très lents et plus délicats à implémenter.
De la longueur de la clef dépend la qualité du chiffrement (exemple pour les cryptosystèmes à clef symétrique) :

· 40 bits : clef faible

· 56 bits : clef robuste
· 128 bits : clef " inviolable "

Par " qualité du chiffrement ", on entend que la cryptanalyse du texte (ou plus précisément du flux numérique) sera tellement
longue, délicate et/ou coûteuse qu'elle découragera les tentatives.
Dans tous les cas, la puissance de calcul croissante, les défauts de programmation et les révolutions mathématiques éventuelles
(en particulier sur les cryptosystèmes asymétriques) rendent nécessaire une réévaluation fréquente de la longueur des clefs et
des cryptosystèmes utilisés.
Le terme " inviolable " ou " militaire " en terme de cryptographie prend donc une dimension relative à un instant et à un degré
de confiance requis dans la solution.
Depuis deux ans on assiste à une évolution, presque une révolution, dans l'environnement législatif sur la réglementation en
matière de cryptographie, donc à fortiori tout le contexte authentification et confidentialité. Il est à noter que l'utilisation de la
cryptographie reste néanmoins soumise à des restrictions à l'importation, l'exportation ou l'utilisation ; ceci pouvan
rendre complexe sa mise en œuvre dans une multinationale.
Les schémas ci-dessous montrent la différence fondamentale entre les cryptosystèmes symétriques (clef privée uniquement) et
asymétriques (clef privée et publique pour chaque utilisateur) :

Les cryptages symétriques utilisent la même clef pour chiffrer et déchiffrer un message. Il s'agit du chiffrement le plus simple, le
plus robuste et le moins gourmand en ressources machines.
Par clef, on entend un secret partagé par Mme Y et M. X.
Il peut s'agir d'un fichier contenant une séquence de caractères, d'un mot de passe qui va être saisie interactivement ou d'un flux
d'octets provenant d'une carte à puce.
Ces algorithmes possèdent un grand nombre d'avantages, mais restent difficilement exploitables sur un réseau informatique, car
une problématique forte demeure : comment se mettre d'accord sur une clef commune de manière sécurisée ?
Afin de pallier les failles de sécurité induites par un échange non sécurisé d'un mot de passe commun pour chaque transaction (ce
qui oblige à gérer une clef différente pour chaque interlocuteur), il fut imaginé une solution basée sur l'emploi d'un couple de
clef : une clef publique connue de tous et une clef privée connue uniquement par le propriétaire de la paire de clefs.

En utilisant ce procédé, un utilisateur n'a plus besoin que de gérer un couple de clefs pour pouvoir communiquer de manière
sécurisée avec le reste du monde.
En inversant ou modifiant le concept ci-dessus, on est capable d'authentifier une personne, de valider l'intégrité d'un flux, et
encore une multitude d'autres choses…
Pourtant, ce système n'est pas forcement adapté à toutes les situations, car il nécessite d'implémenter un mécanisme permettant
de communiquer la clef publique.
L'absence de gestion centralisée et satisfaisante de ces clefs publiques ne permet pas de s'assurer du propriétaire
 d'une clef publique.

NEWPORT Communications intervient pour les plus grandes entreprises

dans le conseil et l'ingénierie de sécurité de leur système d'information.

Certificats et PKI
Le cryptage asymétrique suppose que l'identité du propriétaire de la paire de clefs est établie avec certitude. Pour garantir
l'authenticité d'une clef publique, des certificats sont utilisés.

Un certificat numérique est un ensemble de données qui identifient complètement une entité. Une autorité n'émet des certificats
que pour des entités ou des individus dont elle s'est au préalable assurée de son identité.

L'ensemble des données qui composent un certificat comprend la clef cryptographique publique.

Un utilisateur souhaitant déchiffrer un message cherchera la clef publique contenue dans le certificat de cette personne.
De cette manière, l'utilisateur final est certain que l'identité du propriétaire de la clef publique a été certifiée par un organisme
fédérateur.

Il existe plusieurs autorités de certification qui sont capables de générer un certificat pour un organisme, dont ils se seront a
préalable assuré de l'existence.

Autorités de certification (liste non exhaustive) :

Verisign : https://www.verisign.com
GTE CyberTrust Solutions : http://www.cybertrust.gte.com/
Thawte Consulting : http://www.fr.thawte.com/
Certipost : http://www.certificat.com
Certplus : http://www.certplus.fr

Rien ne vous empêche non plus, dans le cadre d'un déploiement d'un Intranet, d'implémenter votre propre autorité de
certification. Il est, à noter, qu'un certificat peut aisément être stocké sur une carte à puce (Smart Card) ou auprès d'un serveur
de certificat (PKI)

PKI (Public Key Infrastructure), ICP (Infrastructure à Clefs Publiques) et IGC (Infrastructure de Gestion de Clefs) sont trois
acronymes désignant le même concept : un serveur de gestion des certificats ou clefs publiques.
Les principales fonctions réalisées par les PKI pour la gestion des certificats se résument ainsi :

· enregistrement de demande et vérification des critères pour attribution d'un certificat : l'identité du demandeur es
vérifiée ainsi que le fait qu'il est bien en possession de la clef privée associée
· création des certificats
· diffusion des certificats entraînant publication des clefs publiques
· archivage des certificats pour assurer la sécurité et la pérennité
· renouvellement des certificats en fin de période de validité
· suspension de certificats : elle peut être utile si le propriétaire estime ne pas avoir besoin temporairement de son
certificat ; cependant cette fonction n'est pas aisée à mettre en œuvre ; elle est essentiellement administrative et il
n'existe pas de standard d'implémentation
· révocation de certificats : sur date de péremption, perte, vol ou compromission de clefs
· création et publication (au sens gestion) des listes de révocation des certificats ; il y aura révocation du certificat
dans les cas suivants : date de fin de validité atteinte, clef privée divulguée, perdue (donc impossibilité de lire les
objets rendus confidentiels) ou compromise.

Il n'existe aucun protocole standard qui permette de faire la révocation automatiquement, on a donc forcément recours à des moyens
administratifs. Ceux-ci doivent être implantés avec un maximum de sécurité (le demandeur de la révocation doit en particulier prouver qu'i
le propriétaire de la clef publique ou privée devenue inutilisable).
Les listes de révocation doivent, d'une part, être protégées pour éviter toute corruption, d'autre part être accessibles en permanence e
jour possible (notion de temps réel). Pour un fonctionnement correct, cette fonction nécessite une synchronisation des horloges de tous les
concernés par les listes de révocation.
Dans la majorité des implémentations, les PKI s'appuie sur un annuaire compatible LDAP (Lightweight Directory Access Protocol) dans lequ
certificats X509 seront fournis. Ces implémentations permettent d'associer une clef publique à une entité morale ou physique.
NEWPORT Communications intervient pour les plus grandes entreprises dan
conseil et l'ingénierie de sécurité de leur système d'information.

Les virus
Avec l'ouverture des réseaux, la sécurité du système d'information devient la principale préoccupation des entreprises. Celui
s'expose à de nombreuses attaques, ce qui ne facilite pas la gestion de la sécurité.

Les attaques virales sont les plus fréquentes. Elles engendrent systématiquement une déstabilisation des systèmes (accès, performan
etc...), voire même la perte d'informations.
Quel que soit le type de virus auquel vous pouvez être amené à faire face, vous perdrez un temps considérable pour restituer les données
Leur capacité à se reproduire est leur point fort, et plus la parade sera longue à venir, plus votre ordinateur régressera en terme de perform
Les virus informatiques peuvent avoir des effets divers. Certains d'entre eux ont pour effet de formater votre disque dur, alors que d'autres
s'appliquent à désordonner les données composant vos documents, d'autre encore "détraquent" l'affichage, etc...

Les virus dont le but n'est pas spécifiquement la destruction des données sont tout aussi dangereux. Ils colonisent votre espace
votre mémoire vive, et il en résulte une baisse des performances très importante.
Bien sur, tout virus que vous pourriez détecter sur votre ordinateur doit être totalement supprimé le plus rapidement possible.
Voici les principaux types de virus que vous pouvez rencontrer :

Les virus composites

Les virus de secteur d'amorçage
Les virus flibustiers (bounty hunters)
Les virus furtifs
Les virus macro
Les virus multiformes
Les virus non-résidents en mémoire
Les virus résidents en mémoire
Les virus polymorphes (mutants)
Les virus troyens
Les virus créés sous Visual Basic

Dans notre métier d'architecte système/réseau la protection antivirale reste une brique insdispensable.

Notre engagement dans la maîtrise de ces technologies, notre savoir-faire, et notre veille
technologique nous permet d'implémenter les meilleures solutions disponibles du marché.

Nos multiples références de réalisation prouvent notre expertise.

Audits et tests d'intrusions
Il existe différentes solutions pour tester la conformité et l’adéquation du niveau de sécurité requis dans un environnement d

Le classique audit de sécurité informatique, qui s’oriente avant tout sur la sécurité interne du Système d’Information
(systèmes, réseaux, postes de travail, interconnexion, authentification des utilisateurs, procédures internes, …). Chaque audit est
différent en fonction de la politique de sécurité du site, du client, du moment et le périmètre à analyser. A l’issue de ces missions,
il est fourni aux clients un rapport listant les vulnérabilités, établissant des scénarios d’attaques potentiels exploitant plusieurs de
ces vulnérabilités et les différentes parades permettant de s’en prémunir.

Le test d’intrusion, qui se concentre uniquement sur une tentative de pénétration dans le Système d’Information du client
depuis un réseau public non sécurisé (RTC ou Internet par exemple). Il s’agira en l’occurrence, de se subroger à un pirate
informatique ou une organisation souhaitant obtenir des informations confidentielles sur votre entreprise, pervertir des
informations, voir mener une action de déstabilisation à son encontre, depuis l’Internet, sans que cela soit destructif.

L’audit de sécurité informatique restant délicat à généraliser, car chacune de nos missions est différente d’un client à un autre, nous nous
proposons de détailler dans les lignes suivantes la conduite d’un test d’intrusion via Internet en aveugle.
Pour ce faire, nous vous proposons une méthodologie de travail basée sur trois étapes :

Cartographie systémique et périmétrique de votre présence sur l’Internet,

Recherche des vulnérabilités potentielles affectant chacun de ces sous-systèmes auprès de sources d’informations spécialisées,
Exploitation ou simulation de ces vulnérabilités sur votre architecture.

La cartographie, les vulnérabilités théoriques et les résultats éventuelles de ces tentatives seront résumés dans un rapport d’intervention d
des préconisations seront proposées.

1. Cartographie :

1.1. Cartographie périmétrique

Au cours de cette opération, plusieurs phases préparatoires à la prestation devront être effectuées, axées sur la prospection de votre prése
l’Internet :

Recherche dans les bases de données du NIC (contacts, Whois, DNS,…),

Recherche dans les moteurs de recherche des informations techniques indexées sur votre organisation,
Recherche dans les groupes de discussions des demandes de port technique éventuel traitant de votre architecture,
Recherche des informations pertinentes pour effectuer du « social-engineering »,
Parcours de votre site Internet,
Etc.

Le but de cette étape est de collecter rapidement des indices et des informations sur votre organisation, et ce d’une manière globale.
L’objectif principal de cette étape est de découvrir les adresses de vos points d’entrée et de vos serveurs mandataires.
Dès cette étape effectuée, et quelle qu’en soit le résultat, une prise de contact est nécessaire :

Soit pour valider les informations découvertes ou les compléter le cas échéant,
Soit pour obtenir les adresses de votre Firewall et des serveurs mandataires que vous souhaitiez faire tester.

Ce point de validation permettra d’assurer la continuité de la mission confiée de manière à obtenir les résultats les plus susceptibles de vou
intéresser, même si cette phase de la mission ne permet pas d’obtenir ces renseignements.

1.2. Cartographie systémique

Une fois le périmètre de la prestation clairement établie, il s’agit de tenter de quantifier les points d’entrée vers votre réseau privée depuis
Pour ce faire, chaque adresse potentielle du bloc CIDR fournit par votre FAI sera scannée et sondée à la recherche d’une présence ou d’une
éventuelle d’un équipement actif.
Le but de cette opération est de tenter de découvrir les serveurs et les mandatements qu’ils effectuent ; ainsi que le(s) Firewall(s) et les ro
amont de ce dernier.
Cette phase s’effectuera en s’appuyant sur des logiciels commerciaux, mais aussi par des logiciels de l’informatique libre.
Ces derniers permettent d’affiner les techniques et d’automatiser les recherches par le biais de scripts qui sont spécifiquement développés.
Pour chaque nœud détecté dans votre DMZ, il est fourni (si possible) :
 La (ou les) adresse(s) IP virtuels et réels,
Les ports réseaux acceptant de recevoir des connexions,
Le type de système d’exploitation, éventuellement sa version, et les patchs appliqués sur ce dernier,
Le logiciel utilisé pour gérer les services réseaux proposés, éventuellement leurs versions,
La détection et l’exploitation de services de déport d’affichage (WebMail, Citrix, telnet, SSH,…)
La détection et l’exploitation de services de réseaux privés virtuels (PTTP, L2TP, IPSec,…),
La détection de mécanismes d’authentification (Radius, Tacacs, Ldap, Kerberos, Netbios,…)

Cette phase de collecte permettra la recherche de vulnérabilités spécifiques aux logiciels que vous utilisez.

2. Recherche des vulnérabilités théoriques spécifiques :

A l’issue de cette étape, les vulnérabilités exploitables pour la dernière partie de la mission devraient être connues.
Ces dernières seront résumées au sein d’un tableau récapitulatif, avec leur niveau de criticité suivant le type d’« exploit » théoriquement r
(« Deny de Service », « Buffer Overflow », Intrusion,…) et leur impact dans un scénario plus complexe permettant d’envisager une attaque
« rebond » permettant d’atteindre des machines du réseau privé.
Cette phase de recherche sera effectuée dans les listes de diffusion spécialisée, les archives des forums de discussion, les alertes du CERT,
moteurs d’indexation de site Web, les listes des défaillances avouées par les éditeurs de logiciels, etc.

2.1. Les systèmes d’exploitation réseaux

Pour chaque système d’exploitation (ce terme couvre aussi les routeurs, les sondes et les Firewalls détectés lors de l’analyse précédente), l
recherche de l’existence de vulnérabilités spécifiques à ces derniers devra être assurée, celles-ci étant susceptibles d’être exploités par un a
depuis l’Internet.

2.2. Les vulnérabilités spécifiques aux services mandatés

Pour chaque service détecté, une recherche exhaustive sera pratiquée par dans toutes les sources d’informations qui seront jugées pertine
effet.
En particulier, une attention soutenue sera effectuée sur les services suivants :

Serveur Internet (HTTP, HTTPs, FTP),

Serveur de résolution de noms (DNS)
Serveur Proxy Web
Passerelle de courrier (SMTP)
Passerelle< lang=DE> Usenet (NNTP)

Ces services sont classiquement les plus répandus sur Internet, et sont donc aussi ceux sur lesquels les tentatives de piratages sont et sero
pratiquées le plus fréquemment.

3. Exploitation des vulnérabilités théoriques :

La cohésion globale de votre Système d’Information, en cas de corruption de certains de ses composants, sera évaluée en exploitant les
vulnérabilités découvertes au cours de cette étape.

3.1. Quantification des vulnérabilités protocolaires

Des tests seront lancés sur l’aptitude des couches protocolaires de vos systèmes à résister à des attaques basées sur la suite de protocoles
regroupées sous l’appellation TCP/IP ( SYN Flood, Rejeu d’une connexion capturée par prédiction des numéros de séquence TCP , « TearDr
« ping of death », Naphta, …)

3.2. Exploitation des vulnérabilités théoriques

Les vulnérabilités subodorées au cours de l’étape précédente tenteront d’être exploitées, exclusivement si l’impact reste non-destructif po
Système d’Informations. Cette exploitation se limitant à la durée prévue originellement par la prestation.
Le but principal de cette phase est de détecter une base de données consultables voir modifiables depuis un serveur vulnérable, de prendre
contrôle d’un serveur ou d’un programme, et éventuellement de « rebondir » vers le réseau interne.
Il existe néanmoins des risques liés à cette mission dans le cadre de l’exploitation des failles théoriques : en particulier, certains de vos ser
peuvent être déstabilisés par les actions, plus que souhaitable.
Il vous appartient de conserver, à toutes fins utiles, la capacité de restaurer un de ces systèmes ou de le réinitialiser suite aux différentes a
Dans tous les cas, si un disfonctionnement a été provoqué, un véritable agresseur en aura aussi la capacité.
Sur demande, les vulnérabilités théoriques destructives pourront être testées sur une maquette. Cette demande faisant l’objet d’une presta
spécifique, sortant du cadre de ce descriptif.
Les équipes Sécurité de NEWPORT Communications sont à même de fournir l’ensemble des prestations nécessaires à la sécurisation de vot
architecture.
Création Webstrategies        © NEWPORT Communications 2002        webmaster@newport-com.com