Propositions de stratégies de sécurité

réseau

Venant Palanga
Maître de conférences
EPL/Université de Lomé

1
Périmètres du réseau d’entreprise

• Prenons comme exemple une entreprise dont le

réseau interne, ou intranet, comporte un sous-réseau
dédié à la production, un sous-réseau dédié à la
recherche-développement et un sous-réseau dédié à la
bureautique. Ce réseau intranet est connecté à
Internet.

2
Stratégie des périmètres de sécurité
Principe
• « le réseau
d’entreprise est Réseau intranet

découpé en périmètres
de sécurité logiques Internet

regroupant des entités

ou fonctions afin de
Réseau
mettre en place des bureautique

Réseau intranet
niveaux de sécurité à
la fois imbriqués et
Réseau R&D

séparés. » Réseau production

3
Stratégie des périmètres de sécurité
Description

• Nous commençons par définir un périmètre autour du

réseau d’entreprise (intranet) face au réseau Internet.
Nous définissons également des périmètres de sécurité
pour chacun des sous-réseaux inclus dans le réseau
intranet.

4
Périmètres de sécurité

Réseau intranet

Internet

Réseau
bureautique

Réseau intranet

Réseau R&D
Réseau production

5
Stratégie des périmètres de sécurité
Description

• Notre objectif est de compartimenter le réseau et de

créer une imbrication des périmètres de sécurité afin de
rendre plus difficile une pénétration éventuelle.

• Cette stratégie des périmètres de sécurité doit être

couplée avec celle des goulets d’étranglement, qui vise à
mettre en place un nombre limité de points de contrôle
d’accès de ces périmètres.

6
Stratégie des goulets d’étranglement
Principe

• « des contrôles d’accès différenciés et en nombre limité

sont implémentés pour permettre l’accès à chaque
périmètre de sécurité du réseau de l’entreprise. »

7
Stratégie des goulets d’étranglement
Description
• Les contrôles d’accès définissent ce qu’il est autorisé de
faire pour entrer dans un périmètre de sécurité du réseau.
Nous partons du postulat que « tout ce qui n’est pas
autorisé est interdit ». Les contrôles d’accès définissent
par ailleurs les conditions à respecter pour avoir le droit
d’entrer dans le périmètre de sécurité.

• La figure suivante illustre les contrôles d’accès représentés

par des pare-feu sur chacun des périmètres de sécurité.

8
Contrôle d’accès sur les goulets
d’étranglement

Réseau intranet

Internet

Réseau
bureautique

Réseau intranet

Réseau R&D
Réseau
production

9
Stratégie des goulets d’étranglement
Description

• Techniquement, les contrôles d’accès sont constitués de

filtrages de paquets (pare-feu) et de relais applicatifs
(proxy). Ces solutions permettent d’autoriser un certain
nombre de flux réseaux sortants (HHTP, FTP, SMTP, etc.)
appliqués à l’ensemble du réseau interne ou à certaines
adresses. Elles interdisent tout trafic non autorisé vers le
réseau interne.

10
Stratégie des goulets d’étranglement
Description

• Les contrôles d’accès s’accompagnent d’une politique définissant

les règles suivantes à respecter:

− Chaque système ne dispose que d’une seule connexion active au

réseau d’entreprise. Cela permet de se prémunir de l’utilisation
de modems ou de périphériques sans fil dans le réseau interne.
Si l’on permettait à un utilisateur de configurer sa station de
travail afin d’être accessible depuis l’extérieur par modem,
cela représenterait un risque d’intrusion non contrôlé dans le
réseau interne.
11
Stratégie des goulets d’étranglement
Description
− Internet est un outil de travail, et son utilisation est
limité au strict cadre professionnel.

− Des contraintes de sécurité sont appliquées sur les

stations de travail ( système d’exploitation, outils
bureautique, navigateur Internet, quels outils peuvent
être installés et par qui, etc.).

12
Stratégie des goulets d’étranglement
Description

− Obligation est faite d’installer et de mettre à jour le logiciel

antivirus choisi par l’entreprise.

− Interdiction d’utiliser tout outil permettant d’obtenir des

informations sur un autre système de l’entreprise.

13
Stratégie des goulets d’étranglement
Description

• Concernant les communications entre le réseau de

l’entreprise et un autre réseau, une politique spécifique
de contrôle d’accès précise les points suivants:

− Définition des services réseau accessibles sur Internet.

14
Stratégie des goulets d’étranglement
Description
− Définition des contrôles associés aux flux autorisés à transiter
par le périmètre de sécurité pour vérifier, par exemple, que les
flux SMTP, HTTP et FTP ne véhiculent pas de virus. Ces
contrôles peuvent aussi concerner des solutions de filtrage
d’URL pour empêcher les employés de visiter des sites non
autorisés par l’entreprise, réprimés par la loi, ou simplement
choquants (pédophiles, pornographiques, de distribution de
logiciels ou de morceaux de musique piratés, etc.)

15
Stratégie des goulets d’étranglement
Description

− Définition des mécanismes de surveillance qui doivent être

appliqués au périmètre de sécurité. Ces mécanismes
concernent la collecte et le stockage des traces (logs), les
solutions d’analyse d’attaque, comme les sondes
d’intrusion, ou IDS (Intrusion Detection System), et les
solutions d’analyse de trafic ou de prévention d’intrusion IPS
(Intrusion preventing System).

16
Stratégie d’authentification en profondeur
Principe

• « Des contrôles d’authentification sont mis en place afin

d’authentifier les accès aux périmètres de sécurité. »

17
Stratégie d’authentification en profondeur
Description

• Dans cette stratégie, des systèmes de contrôle

d’authentification sont insérés au sein d’un périmètre
de sécurité , comme illustré à la figure suivante.

18
 Authentification en profondeur

Internet

Réseau
bureautique

Réseau intranet

Serveurs
Réseau d’authentification
production

Réseau R&D

19
Stratégie d’authentification en profondeur
Description
• Les contrôles d’authentification des
utilisateurs s’effectuent à plusieurs
passages, au niveau de la sortie Internet,
où chaque utilisateur doit s’authentifier
pour avoir accès à Internet, mais aussi au
niveau de chaque serveur pour accéder au
réseau interne (serveurs de fichiers,
serveurs d’impression, etc.).

20
Stratégie d’authentification en profondeur
Description

• Chaque fois qu’un utilisateur s’authentifie, un ticket est

créé sur un système chargé de stocker les traces (logs) afin
que le parcours de l’utilisateurs soit connu à tout moment
de manière précise.

21
Stratégie du moindre privilège
Description

• La stratégie du moindre privilège consiste à s’assurer que

chacun dispose de tous les privilèges et seulement des
privilèges dont il a besoin.

22
Stratégie du moindre privilège
Principe

• « un utilisateur ne dispose que des privilèges dont il a

besoin. »

23
Stratégie du moindre privilège
Description

• De nos jours, un utilisateur au sein de l’entreprise est

toujours relié au réseau interne, lequel héberge les
stations de travail des utilisateurs, mais également les
serveurs locaux, de fichiers et d’impression par exemple,
ou globaux, associés à l’activité de l’entreprise, offrant
également un accès à Internet.

24
Stratégie du moindre privilège
Description

• L’application stricte de cette stratégie, dans laquelle un

utilisateur dispose du droit d’accès à un système spécifique
et à un autre , est généralement difficile à réaliser de
manière globale.

• Seule une solution technique de type SSO (Single Sign On)

permet d’identifier et d’authentifier de manière précise un
utilisateur, quelle que soit son adresse réseau, et de lui
appliquer un profil, avec des droits d’accès spécifiques.
25
Stratégie de confidentialité des flux réseau

• Tout message qui doit être émis à l’extérieur ou vers

d’autres réseaux doit être protégé. Pour y parvenir, le
message doit être chiffré au moyen d’une table
alphabétique de substitution uniquement connue de
l’émetteur et du récepteur.

26
Stratégie de confidentialité des flux réseau
Principe

• « toute communication intersite transitant sur

des réseaux publics est chiffré si elle contient
des données confidentielles.

27
Stratégie de confidentialité des flux réseau
Description

− Cette stratégie est généralement appliquée aux réseaux

d’entreprise répartis sur plusieurs sites distants communiquant
entre eux par l’intermédiaire de réseaux publics tels que
Internet, X25, liaisons spécialisées, etc.

− Le chiffrement des flux peut se mettre en place à différents

niveaux. Lorsqu’une entreprise crée un réseau de type wan, elle
construit un réseau central (backbone) et relie ses sites à ce
réseau, comme illustrée à la figure suivante.

28
Exemple d’interconnexion de site

Site B
Site A
Réseau Interne
Réseau Interne

Routeur Routeur

Routeur Routeur

Site D Site C
Réseau Interne Réseau Interne

29
Stratégie de confidentialité des flux réseau
Description

• Pour garantir la confidentialité des flux de

télécommunications intersites, des boîtiers de chiffrement,
telles les passerelles IPsec, sont placés juste avant les
routeurs afin de chiffrer les flux réseau avant qu’ils ne
transitent sur les réseaux publics, comme illustré à la
figure suivante.

30
Chiffrement des flux réseau intersites

Site B
Site A Réseau Interne
Réseau Interne

Passerelle IPsec

Routeur Routeur Passerelle IPsec

Routeur Routeur

Passerelle IPsec Passerelle IPsec

Site C
Réseau Interne
Site D
Réseau Interne

31
Stratégie de confidentialité des flux réseau
Description
• Tous les flux qui sortent de chaque site sont chiffrés à la
volée par le boîtier de chiffrement placé en goulet
d’étranglement sur les connexions intersites.

• Il existe bien d’autres moyens de chiffrer les

communications au sein d’un réseau. Par exemple au lieu
d’utiliser la technologie HTTP pour se connecter aux
serveurs Web, le protocole HTTPS (avec chiffrement SSL)

peut être choisi.

32
Stratégie de confidentialité des flux réseau
Description

• De même, les services réseau utilisés pour l’administration

des systèmes peuvent être préférés en version chiffrée.
SSH peut remplacer, par exemple, le protocole d’accès
Telnet.

33
Exercice

• Quelles relations existe-t-il entre la gestion des

identités et le contrôle d’accès ?

34