COURS 1

NOTION DE BASE DE LA SECURITE INFORMATIQUE

Anime par: Abdoulaye KEBE

 Cours SI

scam keylogger Crakers

spim

spyware
les caractéristiques de la sécurité informatique
Virus
spam
rootkit

phreaking

 M. Abdoulaye KEBE
 MÉTHODOLOGIE

Enseignant:
Conférence lecture
Etudiants:
 Rédaction de solution

 Exposé briefing
 COURS 40 HEURES

1. les caractéristiques de la sécurité informatique;

2. Terminologie de la securite informatique;
3. Les malwares
4. Les différents domaines de la sécurité informatique et menaces;
5. Le problème de la sécurité informatique;
6. Prise d’information 1
7. Prise d’information 2
8. Prise d’information 3
9. Les types d'attaque en securite informatique;
 SOMMAIRE

INTRODUCTION

 Description du cours
 Objectifs de la sécurité
 Périmètre de la sécurité Informatique
 Triangle d’or de la sécurité informatique :
 Confidentialité
 Intégrité
 Disponibilité
CONCLUSION
 DESCRIPTION DU COURS

 Ce cours introduit la différente notion sur la sécurité informatiques et les types

d'attaques et terminologie.
 Ainsi, on présentera les notions de confidentialité et chiffrement, contrôle
d'intégrité, authentification et non-répudiation.
 On présentera également l'importante notion de certificats numériques et
d'infrastructures à clés publiques.

Objectif
 Se sensibiliser aux risques liés aux attaques sur les systèmes d'information.
 Se familiariser avec les concepts de la sécurité informatique.
 Connaître les différents services de sécurité.
 INTRODUCTION

le réseau global est devenu un lieu de confrontation, attaques majeures

contre les systèmes d’information, à l’espionnage et aux stratégies
d’influence.

La sécurité informatique, d’une manière générale, consiste à assurer

que les ressources matérielles ou logicielles d’une organisation sont uniquement
utilisées dans le cadre prévu.

La multiplication de ces attaques et leur sophistication croissante face au développement

rapide de la société de l’information font peser une menace sur les entreprises et
l’Administration.
POURQUOI LA SÉCURITÉ ?

 Améliorer l’image et la crédibilité de l’entreprise

 Prévenir des incidents de sécurité
 (confidentialité, intégrité ou disponibilité)
 Protéger contre les poursuites judiciaires
 Protéger la propriété intellectuelle
 Pour les gouvernements
 Les besoins de sécurité

Différences entre sureté et sécurité

« Sûreté » et « Sécurité » ont des significations différentes en fonction du contexte. L’interprétation de ces
expressions peuvent varier en fonction de la sensibilité de chacun

Sûreté
Protection contre les dysfonctionnements et accidents
involontaires
Exemple de risque : saturation d’un point d’accès, panne d’un
disque, erreur d’exécution, etc.
Quantifiable statistiquement (ex. : la durée de vie moyenne
d’un disque est de X milliers d’heures)
Parades : sauvegarde, dimensionnement, redondance des
équipements…
Sécurité
Protection contre les actions malveillantes volontaires
Exemple de risque : blocage d’un service, modification
d’informations,vol d’information
Non quantifiable statistiquement, mais il est possible d’évaluer
en amont le niveau du risque et les impacts
Parades : contrôle d’accès, veille sécurité, correctifs,
configuration renforcée, filtrage…*
 Objectifs de la sécurité

Objectifs

• Garantir la Disponibilité,
l’Intégrité et la Confidentialité du
patrimoine informationnel

• Limiter l’impact des

évènements dommageables
 Périmètre de la sécurité de la SI

Ensemble Composants Sécurité

Système informatique Matériels, logiciels et Sécurité informatique

données informatiques

Système informatisé Système informatique + moyens

de télécommunication, de saisie
et de traitement

Système d’information Système informatisé + Sécurité des Systèmes

moyens humains et d’Information
organisationnels
informatiques
Organisation Système d’information + Sécurité de
Bénéficiaires finaux et l’Information
environnement
TRIANGLE D’OR DE LA SECURITE :
 DE QUOI S’AGIT-IL ?

 Introduction
 Qu’est ce que la sécurité ?
 Quoi protéger ?
 Pourquoi ?
 Contre qui ?
 Qui croire ?
 Comment protéger ?
 La politique de sécurité.
 LA CONFIDENTIALITÉ

 La confidentialité est le fait de s’assurer qu’une information est accessible

uniquement par les entités qui ont le droit d’accéder à celle-ci.

 Dans le cadre où nous avons à faire à des données sensibles (données de

l’armée, gouvernementales etc…) ce principe est souvent respecté.

Il est important de respecter ce principe, imaginez qu’un tiers arrive à obtenir

la liste des cartes bancaires des clients d’une banque… Cela peut être
extrêmement dommageable pour la banque ainsi que pour les clients.
 L’INTÉGRITÉ
 L’intégrité s’assure que la donnée reste toujours intègre c’est-à-dire qu’elle
n’a pas été modifiée par un tiers non autorisé.

 Ce principe devra être respecté tout au long de la vie de l’information.

Garantir l’intégrité d’une donnée, c’est garantir que la donnée est restée
fiable depuis sa création.

Prenons le cas où un hacker arrive à s’introduire sur les comptes bancaires des
clients d’une grande banque et dérobe de l’argent, il y a alors altération de la
donnée ainsi qu’un préjudice financier (plus ou moins important suivant
l’importance de l’attaque) pour la banque.
 La disponibilité
 La disponibilité est le fait de s’assurer que l’information soit toujours
disponible peu importe le moment choisit.

Il est important de respecter ce principe, imaginez qu’un tiers arrive à obtenir

la liste des cartes bancaires des clients d’une banque… Cela peut être
extrêmement dommageable pour la banque ainsi que pour les clients.
 La disponibilité
 On pourrait penser qu’un taux de disponibilité de 99% sur une année serait satisfaisant, mais cela
représente quand même 3 jours et 15 heures d’indisponibilité. C’est pourquoi, nous pouvons
commencer à trouver acceptable un taux de disponibilité de 99,99% sur un an.

 Vous êtes une société de e-commerce et votre chiffre d’affaire découle directement de vos ventes
en ligne. Toutes les minutes vous réalisez 500 000 euro de chiffre d’affaire. Imaginez le manque à
gagner lorsque votre site internet devient inaccessible pendant quelques minute

Taux de disponibilité Temps d’indisponibilité sur un an

90% 36 jours, 12 heures
98% 7 jours
99% 3 jours, 15 heures
99,9% 8 heures, 48 minutes
99,99% 53 minutes
99,999% 5 minutes
 Les besoins de sécurité
Exemple d’évaluation DICP

Ainsi, pour évaluer si un bien est correctement sécurisé, il faut auditer son niveau de
Disponibilité, Intégrité, Confidentialité et de Preuve. L’évaluation de ces critères sur une
échelle permet de déterminer si ce bien est correctement sécurisé.

L’expression du besoin attendu peut-être d’origine :

• Interne : inhérente au métier de l’entreprise
• ou externe : issue des contraintes légales qui pèsent sur les biens de l’entreprise.

Exemple des résultats d’un audit sur un bien sur une échelle (Faible, Moyen, Fort, Très
fort) :
Niveau de Disponibilité du bien Très fort Moyen
Niveau d’Intégrité du bien Niveau de Très fort Faible
Confidentialité du bien Niveau de
Preuve du bien

Le bien bénéficie d’un niveau de sécurité adéquat

 Les besoins de sécurité
Exemple d’évaluation DICP

• Tous les biens d’un S.I. n’ont pas nécessairement besoin d’atteindre les mêmes niveaux de DICP.
• Exemple avec un site institutionnel simple (statique) d’une entreprise qui souhaite promouvoir ses services sur
internet :

Disponibilité = Très fort Confidentialité = Faible

Un haut niveau de disponibilité du site Un faible niveau de confidentialité
web est nécessaire, sans quoi suffit. En effet, les informations
l’entreprise ne peut atteindre contenues dans ce site web sont
objectif
son de faire connaitre ses services publiques par nature!
au public

Intégrité = Très fort Serveur Preuve = Faible

Un haut niveau d’intégrité des
informations présentées est
web Un faible niveau de preuve suffit.
nécessaire. En effet, l’entreprise En effet, ce site web ne permet
souhaiterait ne
pas qu’un concurrent aucune interaction avec
modifie frauduleusement le contenu du les
utilisateurs, il fournit simplement
site web pour y insérer des informations fixes.
des
informations erronées (ce qui
serait dommageable)
 Les principes complémentaires

La triade C.I.A regroupe les 3 principes fondamentaux, cependant 3 autres principes viennent
s’ajouter à ceux-là : l’authenticité, l’anti-rejeu et la non-répudiation.

L’authentification consiste à assurer l’identité d’un utilisateur, c’est-à-dire de garantir à chacun des
correspondants que son partenaire est bien celui qu’il croit être.

Un contrôle d’accès peut permettre (par exemple par le moyen d’un mot de passe qui devra être
crypté) l’accès à des ressources uniquement aux personnes autorisées.

La non-répudiation (Traçabilité)
La non-répudiation de l’information est la garantie qu’aucun des correspondants ne pourra nier la
transaction.
EXEMPLE
QUESTIONS?
CONCLUSION
 La cyber sécurité est un problème mondial qui doit être traitée au niveau mondial par tous
les gouvernements en commun

 Aucun gouvernement ne peut lutter contre la cybercriminalité ou sécuriser son

cyberespace dans l'isolement

 La coopération internationale est essentielle pour assurer le cyberespace

 Il est pas un problème technologique qui peut être « résolu »; il est un risque d'être géré
par une combinaison de la technologie de défense