4.audit Informatique

Audit des Systèmes d’Information
Dr Chérif DIALLO
PhD, CISSP
Université Cheikh Anta Diop de Dakar (UCAD)

Faculté des Sciences
Département Mathématiques-Informatique
Master 2 RST – Réseaux et Services de Télécommunications
11/03/2013 Dr Chérif DIALLO, UCAD, FST, 1

Master 2 - RST, Cours Audit SI
4ème partie
L’audit technique informatique

Sommaire
1. Démarche d’Audit 6. Problèmes de
Informatique sécurité et Audits
associés
2. Types d’Audit 7. Outils d’Audit
Informatique
8. Questionnaires
3. Audit de la fonction 9. Interviews
informatique
10. Outils logiciels
4. Audit de l’exploitation 11. Vulnerability
5. Audit de la sécurité Assessment
informatique 12. Pentesting
Démarche d’audit informatique

Démarche d'audit informatique
Rédigée et signée par le demandeur d'audit et permet de
1. Lettre de mission
mandater l'auditeur en précisant l’objet de la mission
Définit la démarche ou le plan d’audit qui sera suivi. Rédigé par

2. Planification
l'auditeur, et soumis à la validation du demandeur d'audit
Expliquer la démarche d’audit choisie. Préciser les ressources

3. Réunion de lancement
nécessaires et l’impact de l’audit
4. Réalisation Réalisation de l’audit proprement dite

(collecte, tests, interviews) Collecte sur le terrain (sites de l’audité)
5.
Rédaction Mettre en avant des constatations faites par l'auditeur et les
Rapports recommandations qu'il propose
Présentation du rapport au demandeur d'audit.

6. Réunion de restitution
Discussion des résultats d'audit

Démarche d'audit basée sur les risques
1. Collecte d’informations Comprendre les enjeux du business, les résultats des audits
et planification précédents, les aspects réglementaires, le process de gestion
des risques. Obtenir les récentes informations financières.
2. Comprendre les process Procédures de contrôle, Détection des risques, mitigation des
de contrôle interne risques. Prévention des risques
Identifier les opérations à tester. Évaluer la conformité par

3. Tests de conformité
rapport aux procédures et politiques de l’organisation
Audits plus poussés pour les non-conformités détectées à

4. Tests de fond
l’étape précédente.
5.
Conclure Faire des recommandations
l’audit Rédiger le rapport d’audit

Typologies d’audits informatiques

Audit de la fonction informatique
Bonnes pratiques en matière d'organisation de la
fonction informatique :
clarté des structures et des responsabilités de l'équipe
informatique
définition des relations entre la direction générale, les
directions fonctionnelles et opérationnelles et la fonction
informatique
l'existence de dispositifs de mesures de l'activité et
notamment d'un tableau de bord de la fonction
informatique
le niveau des compétences et des qualifications du
personnel de la fonction
Audit de la fonction informatique
Objectifs de contrôle pour auditer la fonction informatique :
le rôle des directions fonctionnelles et opérationnelles dans le pilotage
informatique et notamment l'existence d'un comité de pilotage de
l'informatique
la mise en œuvre de politiques, de normes et de procédures
spécifiques à chaque fonction
la définition des responsabilités respectives de la fonction
informatique et des unités utilisatrices concernant les traitements, la
maintenance, la sécurité, les investissements, les développements,....
l'existence de mécanismes permettant de connaître et de suivre les
coûts informatiques, soit à l'aide d'une comptabilité analytique, soit, à
défaut, grâce à un mécanisme de refacturation,
le respect des dispositifs de contrôle interne comme une évaluation
périodique des risques, la mesure de l'impact de l'informatique
sur les performances de l'entreprise…
Audit de l'exploitation
Bonnes pratiques :
la clarté de l'organisation de la fonction notamment le découpage en
équipes, la définition des responsabilités,…
l'existence d'un système d'information dédié à l'exploitation
notamment pour suivre :
Identification des actifs et des ressources
la gestion des ressources,
la planification des travaux,
les procédures d'exploitation,
la gestion des incidents,
...
la mesure de l'efficacité et de la qualité des services fournies par
l'exploitation informatique
Identification des actifs et des ressources:
Identification du périmètre d’audit.
Identification de tout système en relation directe ou indirecte avec ce

périmètre.
Au cours de cette phase, l’auditeur devra avoir à sa disposition tout

type d’information en relation avec le système d’information :
Documents descriptifs ou documents de configuration
Interview avec des responsables sur les systèmes à auditer
Anciens rapports d’audit
Accès sur les systèmes pour lancer des collectes automatiques

Identification des actifs et des ressources:
HTTPS

Objectifs de contrôle pour auditer l’exploitation :
la qualité de la planification de la production
la gestion des ressources grâce à des outils de mesure de la
charge, des simulations, le suivi des performances,...
l'existence de procédures permettant de faire fonctionner
l'exploitation en mode dégradé de façon à faire face à une
indisponibilité totale ou partielle du site central ou du réseau
la gestion des incidents de façon à les repérer et le cas échéant
d'empêcher qu'ils se renouvellent
les procédures de sécurité et de continuité de service qui doivent se
traduire par un plan de secours,
la maîtrise des coûts de production grâce à une comptabilité
analytique permettant de calculer les coûts complets des produits ou
des services fournis.
Audit de la sécurité informatique
But  donner au management une assurance raisonnable
du niveau de risque de l'entreprise lié à des défauts de
sécurité informatique
Risques liés aux :
Menaces significatives concernant les biens matériels et
immatériels de l’entreprise,
Vulnérabilités dues à une faiblesse de l'organisation, des méthodes,
des techniques ou du système de contrôle,
Incidents :
physiques : incendie, inondation
destruction des données, détournement de trafic,..
Manques de maîtrise et de gestion du risque :
contrôle d'accès insuffisant ou inapproprié
l'authentification des utilisateurs : inexistant, inefficace ou ,...
Préventif :
Périodique
Validation de nouvelles mesures/installations,..
Induit :
Suite á des incidents internes alarmants.
En réponse à des Plaintes/suspicion d’attaques depuis votre site
Nécessité :
Obligations réglementaires
Recherche de Certification (PCI/DSS, ISO 27001, Basel II, … ).
Porté :
Toute l‘Organisation
Exceptionnellement et en cas de contraintes (contraintes
budgétaires, urgence) : Entités et applications sensibles

Attendus de l’audit Sécurité SI :
Identification des vulnérabilités & Évaluation de leurs
risques
Mise á jour (/au point) de la Politique de sécurité (règles
de sécurité)
Mise á jour(/au point) du plan d’action de la sécurité (en
rapport avec la réalité économique, opérationnelle et
organisationnelle).
Sensibilisation du personnel et formation des
gestionnaires
Objectifs courants de contrôle :
Inventaire exhaustif des actifs informationnels de
l'entreprise ,
Identification des risques,
Évaluation des menaces :
mesurer les impacts :
cartographie des risques associés au système d'information
scénarios d‘occurrence et d'évaluation des points de vulnérabilité
définir les parades :
Contrôles d'accès,
Chiffrement des données,
Plans de secours,...
Problèmes de sécurité et audits
associés

Sécurité physique
Rôle de l’auditeur :
Contrôler l’existence des moyens de protection d’accès
aux salles machines
Contrôler l’existence de règles de sécurité (établies par
le service sécurité de l’entreprise)
Vérifier la bonne application de ces règles
Contrôler le respect des normes de ventilation et de
climatisation préconisées par les constructeurs
Vérifier l’existence et l’efficacité des plans PCA, PRA :
PCA  Plan de continuité d’activité
PRA  Plan de reprise d’activité
Sécurité réseaux
S’assurer de la sécurité des échanges effectués sur le réseau
Gérer et contrôler les accès aux commutateurs et routeurs
Vérification de l’intégrité des messages
Contrôler et analyser les journaux et traces réseaux
S’assurer du bon état des équipements, de leurs supports et de

leurs contrats de maintenance
S’assurer de l’existence des procédures de sauvegarde, de

vérification et de surveillance des matériels et configurations du
réseau
Sécurité réseaux
Surveiller la transmission :
Les collisions, les retransmissions
Vérifier les circuits physiques
L’état physique des lignes
Contrôler la cohérence de l’architecture réseau
Vérifier les problèmes d’adressage
Contrôler les tables de routage
Vérification les charges
Nombre d’utilisateurs
Statistiques protocolaires
S’assurer de la cohérence des tailles de paquets

Outils d’audit

Outils d’audit
La formation
Les techniques de réunion
Le questionnaire
Les interviews
Les techniques d’échantillonnage
Les techniques d’évaluation
Les outils logiciels

La formation
L’auditeur doit :
Se former régulièrement et se remettre à niveau :
OS  Les versions changent fréquemment
Les réseaux et les applications évoluent
Les solutions de sécurité évoluent en fonction de la nature
des risques encourus
Se former aux outils techniques auprès des

constructeurs adéquats
Échanger et bénéficier des retours d’expériences
avec les autres auditeurs
Les techniques de réunion
Une réunion demande une préparation sérieuse et

comporte deux phases :
Phase préparatoire :
Convocation, sujets, champ d’étude, objectifs
Plan de réunion, lieu, liste des participants
Déroulement proprement dit :

Présentation des participants,
Rappel des objectifs
Désigner un animateur
Désigner un rapporteur  rédaction compte rendu

Le questionnaire
Moins contraignant
Moins d’appréhension :
Interlocuteur invisible, peut être anonyme
Inconvénients de cette technique :
Absence de réponse pour certaines questions
Les fournisseurs de réponse maximisent leurs points forts et minimisent leurs
points faibles
Questionnaire non exploitable :
Retour hors délai, …
Réponses hors sujet
Non-retour du questionnaire
Conduite de l’interview :
Préparation minitieuse
Questions précises, claires ouvertes et sans ambiguïté
Taille des questionnaires : questions ni trop courtes, ni trop longues
Les interviews
Privilégier les interviews individuelles
L’interview permet de collecter des informations et comporte deux phases :
Préparation d’une liste de thèmes :
Check-list
Choix de l’interlocuteur du service audité
Établissement des questionnaires
Conduite de l’interview :
Tact et souplesse
Mettre à l’aise la personne interviewée
Rappeler les objectifs de l’entretien
Faire attention aux inconvénients de cette technique :
Nombre d’interviews nécessaires
Difficulté de prise de rendez-vous
Nécessite parfois de nombreux déplacements
Les techniques d’évaluation
Revue technique: Ce sont des techniques d'examen utilisées pour évaluer
passivement les systèmes, applications, réseaux, politiques et procédures pour
découvrir les vulnérabilités, et sont généralement effectuées manuellement
elles comprennent la documentation, journaux, l'examen de la configuration du système,
le sniff du réseau et de vérification de l'intégrité des fichiers:
Identification de la cible et techniques d'analyse: Ces techniques de test
permettent d'identifier les systèmes, les ports, les services et les vulnérabilités
potentielles, et peuvent être effectuées manuellement, mais sont généralement
effectuées à l'aide d'outils automatisés :
elles comprennent la découverte du réseau, l'identification des ports et services réseaux,
scan de vulnérabilité, scan sans fil, et un examen de la sécurité des applications
Techniques de validation des vulnérabilités: Ces techniques de test servent à
confirmer l'existence de vulnérabilités, et peuvent être effectuées manuellement ou
en utilisant des outils automatiques:
Techniques de validation de vulnérabilités incluent notamment le crack de mot de passe,
des tests de pénétration, l'ingénierie sociale, et les tests de sécurité des applications

La revue technique
Revue de Revue des journaux: pour déterminer si
documentation: l’entreprise journalise proprement les
informations, et voire si l’entreprise applique
Politique de sécurité bien sa politique des gestion des logs. Exemple
Architectures de log:
Serveur d’authentification (tentatives
Procédures
d’authentification)
opérationnelles
Log des systèmes (Démarrage, Redémarrage,
Plan de sécurité installation de logiciels, accès aux fichiers,
changement de configuration, …)
Plan de traitement
d’incident, Détecteur d’intrusion (Activité malicieuse)
Log de firewall et de routeurs (information sur
Convention et accord des machines compromises)
d’interconnexion
Log d’application (tentatives de connexion,
Contrats utilisation de BD)
Log d’antivirus
Log de sécurité
La revue technique
Revue des règles de sécurité : Il s’agit de vérifier l’implémentation des
règles la sécurité au niveau des équipements de sécurité (Firewall,
Routeur ACL, Antivirus, détecteur d’intrusion …).
Une règle de filtrage temporaire doit être supprimé dès la fin de son utilité
Uniquement le trafic autorisé par les règles de filtrage a le droit de passer
(Politique restrictive  tout bloquer par défaut)
Règle de moindre privilège
Les ports non-nécessaires doivent être désactivés
Revue de la configuration des systèmes: il s’agit de trouver les
faiblisses dans la configuration des systèmes
Systèmes non-endurcis
Systèmes non-confirmes à la politique de sécurité
Cette revue doit dégager : Les services et applications non-nécessaires,
Paramètres de compte incorrects, Journalisation et back-up incorrect
La revue technique
Sniff du trafic réseau: une technique passive pour surveiller les
communications réseaux, décoder les protocoles, et examiner les
entêtes et payload. Le sniff de trafic est utilisé pour :
Capture et rejoue de trafic réseau,
Lancer une exploration passive du réseau,
Identifier les systèmes d’exploitation, services, applications, et protocoles,
Identifier les activités non-autorisées et inappropriées (Exp: Données
sensibles non-cryptées),
Collecte de données comme les login et mot de passes
L’opération de sniff doit pouvoir accéder au réseau via un hub, un tap ou un
switch ayant un port mirroring qui peut être déployé au niveau de l’extrémité
du réseau, derrière le firewall, derrière un IDS/IPS, devant un système
critique, ou dans un segment réseau spécifique
Vérification de l’intégrité des fichiers: fournie un moyen d'identifier si
les fichiers système ont été modifiés en établissant une base de
données de checksum des fichiers.
Les outils logiciels
Les outils logiciels utilisés vont dépendre de la cible auditée
Pour auditer la sécurité des réseaux :
Scanneurs de ports réseaux (nmap)
Outils de capture du trafic réseau (sniffers)
Outils d’analyse et corrélation de logs
Outils de détection et de prévention d’intrusion (Host IDS, Network
IDS/IPS)
Scanneurs de vulnérabilités (IBM ISS scanner, Nessus vulnerability
scanner)
Outils spécifiques (crackers de mots de passe, audit de site web,
audit d’applications, etc…)
Différences entre
« Vulnerabilities Assessment »,
« Pentesting »,
& « Audit »

Vulnerability Assessment (VA)
Vulnerability Assessment (VA):
L’auditeur n’a qu’à scanner le système cible (serveur, application, équipement

réseau, etc.) à la recherche de vulnérabilités. Et par la suite quantifier et
donner des priorités pour chaque vulnérabilité découverte
VA peut être caractérisée par :
Les tests de VA peuvent être réalisés depuis l’intérieur ou l’extérieur du réseau.
Pas d’exploitation de vulnérabilités.
Pas d’attaques dangereuses tels que DOS ou BUFFER OVER FLOW qui peuvent
perturber le système cible.
Utilisation des outils de scan automatiques tels que Nessus, Retina, GFI Languard,
etc

Penetration Testing (PT)
Pentesting ou Penetration Testing (PT) :
L’auditeur ne se limite pas aux scans de vulnérabilités mais il doit exploiter les
vulnérabilités découvertes afin de gagner l’accès sur le système cible.
PT peut être caractérisé par:
Les tests de PT peuvent être réalisés depuis l’intérieur ou l’extérieur du réseau.
Les vulnérabilités doivent être exploités
Les attaques dangereux tels que DOS ou BUFFER OVER FLOW peuvent être
réalisées
Utilisation des outils de scan automatiques ainsi que les outils d’exploits tels que
Metasploit

Audit
Audit :
L’auditeur suit une méthodologie d’audit
L’auditeur se réfère à des normes de sécurité tels que ISO 27001, Iso 17799,
BS 7799, etc.
L’auditeur commence généralement par une étude de l’existant afin de détecter
les failles d’ordre physique et organisationnel.
L’auditeur doit réaliser des scans sur les différents équipements et applications
qui se trouvent inclus dans le périmètre d’audit ( Firewall, IDS, Serveur, postes
clients, Routeurs, Base de données, Serveur Mail, Modems, OS, etc.) afin
d’identifier les vulnérabilités présentes sur chaque ressource de l’entreprise
auditée
L’auditeur passe ensuite à quantifier et donner des priorités pour chaque
vulnérabilité découverte ainsi qu’une analyse des risques  classification des
vulnérabilités.
L’auditeur rédige un rapport de recommandation ou PLAN D’ACTION
Différence entre « Vulnerabilities
Assessment », « Pentesting » & Audit

En Pratique

L’audit des systèmes
Analyser toutes les composantes des postes clients et serveurs afin
de déterminer si leurs capacités sont suffisantes pour l’utilisation et
les besoins des utilisateurs.
Plus précisément, il s’agit d’examiner les aspects suivants:
Configuration système : vérifier les services, les comptes, les
applications, les partages, etc. qui sont actives sur chaque équipement. Il
convient par la suite de les comparer par rapport aux besoins normaux
de travail des utilisateurs.
Mises à jour
Robustesse des mots de passes
Applications installés, Licences, Protection (antivirus, anti-spyware)
Périphériques locaux (imprimantes, scanners, etc.)
Problèmes soulignés par les utilisateurs
L’audit des systèmes
Détecter les systèmes d’exploitation ainsi que leurs versions pour les
serveurs et les postes connectés au réseau.
Détecter les services (ports) ouverts sur chaque machine.

nmap, Knocker, …
Ca peut être réalisé à distance ou en local.

Audit à distance : GFI languard, Retina, nmap, nessus,
Audit local : MBSA, manuel
Des check-lists de best practices de configuration peuvent être

utilisés manuellement ou à travers des scanners automatiques ayant
accès aux systèmes
L’audit de l’architecture réseau
Cela permet de dévoiler les caractéristiques techniques (réseau câblé,
wireless, PABX, etc.) et architecturales du réseau.
L’auditeur doit dégager les écarts entre l’architecture réelle et celle décrite
lors des entretiens (interviews) ou dans la documentation fournie ainsi que
les défaillances d’ordre architecturales et conceptuels du réseau
Plusieurs points sont à vérifier :
Analyse fonctionnelle : dévoiler les mauvaises emplacements ainsi que les
insuffisances au niveau des équipements réseaux et sécurité installés.
Plan d’adressage : vérifier la conformité de l’adressage par rapports aux
standards RFC et par rapport à l’organisation des différents sites composant
l’entreprise.

S’assurer du bon cloisonnement du réseau :
Vérifier la segmentation du réseau.
Se placer chaque fois dans un VLAN et voir la possibilité d’accéder ou intercepter
des flux des machines se trouvant dans d’autres VLAN.

Routeurs/Switchs/Hubs : L’identification des différents équipements

réseaux et l’analyse de leurs configurations sont nécessaires. Ceci permettra
de vérifier l’existence de ports configurés mais non utilisés, des défaillances
au niveau de la configuration.
DMZs : Toutes les zones à accès publiques ainsi que les serveurs qui le
composent doivent être identifiés et étudiés.
Etude des Points frontaux : Equipements d’interconnexion avec les sites

distants.
Matrice de flux : Afin de mieux analyser le trafic qui circule entre les
différents composants de l’entreprise et l’externe, une matrice de flux doit
être établi. Cette matrice permettra de mieux identifier l’existence de
défaillances au niveau du trafic réseau

Matrice de flux

Matrice de flux établie à travers l’analyse de trafic (Wireshark)

Pour me joindre par mail : cdiallo@yahoo.fr
Merci de votre attention




4.audit Informatique

Transféré par

Informations du document

Titre original

Copyright

Formats disponibles

Partager ce document

Partager ou intégrer le document

Options de partage

Avez-vous trouvé ce document utile ?

Ce contenu est-il inapproprié ?

Droits d'auteur :

Formats disponibles

4.audit Informatique

Transféré par

Droits d'auteur :

Formats disponibles

Audit des Systèmes d’Information

Université Cheikh Anta Diop de Dakar (UCAD)

Master 2 RST – Réseaux et Services de Télécommunications

11/03/2013 Dr Chérif DIALLO, UCAD, FST, 1

L’audit technique informatique

11/03/2013 Dr Chérif DIALLO, UCAD, FST, 2

11/03/2013 Dr Chérif DIALLO, UCAD, FST, 4

Définit la démarche ou le plan d’audit qui sera suivi. Rédigé par

Expliquer la démarche d’audit choisie. Préciser les ressources

4. Réalisation Réalisation de l’audit proprement dite

Présentation du rapport au demandeur d'audit.

11/03/2013 Dr Chérif DIALLO, UCAD, FST, 5

Identifier les opérations à tester. Évaluer la conformité par

Audits plus poussés pour les non-conformités détectées à

11/03/2013 Dr Chérif DIALLO, UCAD, FST, 6

11/03/2013 Dr Chérif DIALLO, UCAD, FST, 7

Identification de tout système en relation directe ou indirecte avec ce

Au cours de cette phase, l’auditeur devra avoir à sa disposition tout

Documents descriptifs ou documents de configuration

Interview avec des responsables sur les systèmes à auditer

Anciens rapports d’audit

Accès sur les systèmes pour lancer des collectes automatiques

11/03/2013 Dr Chérif DIALLO, UCAD, FST, 11

11/03/2013 Dr Chérif DIALLO, UCAD, FST, 12

11/03/2013 Dr Chérif DIALLO, UCAD, FST, 15

11/03/2013 Dr Chérif DIALLO, UCAD, FST, 18

Gérer et contrôler les accès aux commutateurs et routeurs

Vérification de l’intégrité des messages

Contrôler et analyser les journaux et traces réseaux

S’assurer du bon état des équipements, de leurs supports et de

S’assurer de l’existence des procédures de sauvegarde, de

11/03/2013 Dr Chérif DIALLO, UCAD, FST, 21

11/03/2013 Dr Chérif DIALLO, UCAD, FST, 22

Les techniques de réunion

Les techniques d’échantillonnage

Les techniques d’évaluation

Les outils logiciels

Se former aux outils techniques auprès des

Une réunion demande une préparation sérieuse et

Déroulement proprement dit :

11/03/2013 Dr Chérif DIALLO, UCAD, FST, 25

11/03/2013 Dr Chérif DIALLO, UCAD, FST, 28

11/03/2013 Dr Chérif DIALLO, UCAD, FST, 33

L’auditeur n’a qu’à scanner le système cible (serveur, application, équipement

VA peut être caractérisée par :

Les tests de VA peuvent être réalisés depuis l’intérieur ou l’extérieur du réseau.

Pas d’exploitation de vulnérabilités.

11/03/2013 Dr Chérif DIALLO, UCAD, FST, 34

Pentesting ou Penetration Testing (PT) :

PT peut être caractérisé par:

Les tests de PT peuvent être réalisés depuis l’intérieur ou l’extérieur du réseau.

Les vulnérabilités doivent être exploités

11/03/2013 Dr Chérif DIALLO, UCAD, FST, 35

11/03/2013 Dr Chérif DIALLO, UCAD, FST, 37

11/03/2013 Dr Chérif DIALLO, UCAD, FST, 38

Détecter les services (ports) ouverts sur chaque machine.

Ca peut être réalisé à distance ou en local.

Audit local : MBSA, manuel

Des check-lists de best practices de configuration peuvent être

11/03/2013 Dr Chérif DIALLO, UCAD, FST, 41

11/03/2013 Dr Chérif DIALLO, UCAD, FST, 42

Routeurs/Switchs/Hubs : L’identification des différents équipements

Etude des Points frontaux : Equipements d’interconnexion avec les sites