Forum du Rhin supérieur sur les Cybermenaces€¦ · La sophistication des attaques et son...

1

Forum du Rhin supForum du Rhin supéérieur sur les rieur sur les CybermenacesCybermenaces

Salle des confSalle des conféérences de l'ENA rences de l'ENA àà Strasbourg le 26 nov. 2009Strasbourg le 26 nov. 2009

Puis, la crise avait fini par les atteindre directement. L'un perdit son emploi …un autre claquait des dents et touchait du bois (Marcel AYME, Maison basse, p. 169).

"Appréhender les menacesquand les risques sont exacerbés en période de crise"

2

Table ronde

sur les menaces externesamplifiées par la crise

Table rondeTable ronde

sur les menaces externessur les menaces externesamplifiamplifiéées par la crisees par la crise

AnimAniméée par Rene par Renéé ECKHARDTECKHARDTPrPréésident de lsident de l’’EURO REGIO CLUB de EURO REGIO CLUB de SrasbourgSrasbourg et du Rhin Supet du Rhin Supéérieurrieur

Fondateur du Cercle des Fondateur du Cercle des DirComDirCom du grand Estdu grand Est

Chef d'escadron (RC) de la gendarmerie nationaleChef d'escadron (RC) de la gendarmerie nationale

Forum du Rhin supForum du Rhin supéérieur sur les rieur sur les CybermenacesCybermenaces

Salle des confSalle des conféérences de l'ENA rences de l'ENA àà Strasbourg le 26 nov. 2009Strasbourg le 26 nov. 2009

Email : rene.eckhardt@wanadoo.fr

Web : www.euro-regio-club.com

3

Table ronde sur les menaces externes amplifiTable ronde sur les menaces externes amplifiéées par la crisees par la crise

La sophistication des attaqueset son évolution

La sophistication des attaquesLa sophistication des attaques

et son et son éévolutionvolution

par M Christian AMBROSINIpar M Christian AMBROSINIMonitoring Monitoring SpecialistSpecialist KOBIK/SCOCI EJPD/ DFJP KOBIK/SCOCI EJPD/ DFJP fedpolfedpol

Police judiciaire fPolice judiciaire fééddéérale / rale / BundeskriminalpolizeiBundeskriminalpolizei

Service de coordination criminalitService de coordination criminalitéé sur internet / sur internet / KoordinationsstelleKoordinationsstelle Internet Internet KriminalitKriminalitäätt

Email : ch.ambrosini@gmail.com

Web : www.cybercrime.ch

4

�Evolution du "phishing"

Evolution des attaques par "phishing"Evolution des attaques par "Evolution des attaques par "phishingphishing""

2003 2004 2005 2006 2007 2008 20091996

Premier cas de "phishing" à

l'encontre une banque suisse.

Premières tentatives de "phishing" décritescontre des groupes Usenet de America Online

"Phishing" dirigé contre des banques, principalement aux Etats Unis, où les

banques emploient le contrôle d'accès

fondé sur un login et un mot de passe.

Le "phishing", filoutage ou hameçonnageest une technique trompeuse visant àobtenir des renseignements personnels en abusant les détenteurs.

5

�Avertissements notifiés

Evolution des modes d’attaquesEvolution des modes dEvolution des modes d’’attaquesattaques

2003 2004 2005 2006 2007 2008 20091996

MELANI avertit le secteur financier

suisse d'un changement de mode opératoire basé sur des attaques

utilisant des logiciels malveillants.

MELANI avertit d'un renforcement du

recrutement de "mules financières" et par conséquent d'une menaceimminante.

D'abord, large diffusion de logiciels malveillants destinés

aux services bancaires en ligne, puis l'homme s'implique

dans les attaques de navigateur web.

Un code malveillant

ou "malware" est un

programme développé

dans le but de nuire

(ex. cheval de Troie,

virus ver, etc.).

6

�Evolution du panorama

� Phishing → Malware

� Attaques directes → Malware

� Connaissances informatiques → Crimeware kit

� Crimeware kit → Crimeware as a Service

� Connaissances globales → Connaissances spécifiques

� Anti-debugging, anti-reverse engineering, anti-virtualisation

� Packers, cryptors, wrappers

� Malware → compilation de malwares (ex. Koobface)

Panorama des techniques d’attaquesPanorama des techniques dPanorama des techniques d’’attaquesattaques

7

Table ronde sur les menaces externes amplifiTable ronde sur les menaces externes amplifiéées par la crisees par la crise

Les réseaux zombies("botnets")

Les rLes rééseaux zombiesseaux zombies

("("botnetsbotnets")")

par M Roger MORIERpar M Roger MORIERMonitoring Monitoring SpecialistSpecialist KOBIK/SCOCI EJPD/ DFJP KOBIK/SCOCI EJPD/ DFJP fedpolfedpol

Police judiciaire fPolice judiciaire fééddéérale / rale / BundeskriminalpolizeiBundeskriminalpolizei

Service de coordination criminalitService de coordination criminalitéé sur internet / sur internet / KoordinationsstelleKoordinationsstelle Internet Internet KriminalitKriminalitäätt

Email : Roger.morier@fedpol.admin.ch

Web : www.cybercrime.ch

8

"Botnet" : "the swiss army knife"!"Botnet" : "the swiss army knife"!

"Bots"(P2P / IRC)

Serveur C&C (Contrôle et Commande)

Contrôleur de "botnet"("Botherder")

DDoS

SpamsCodes malveillants

www.anbieter.com

Un "botnet", ou réseau de robots ("bots") malveillant, est composé de machines compromises ("zombies"),

en nombre pour assurer un camouflage actif et diriger

des actions sur une cible déterminée.

DDoS : Déni de service distribuéSpams : Pourriels

9

Prise de vue du côté criminelPrise de vue du côtPrise de vue du côtéé criminelcriminel

(Schéma)

10

Utilisation des "botnets"Utilisation des "Utilisation des "botnetsbotnets""

�Les "botnets" sont diversement utilisés :� Attaques en déni de service distribué (DDoS)

� Spamming

� Diffusion de codes malveillants

� Serveurs proxies, reverse proxies et webserver (nginx)

� Relais de trafic en "fast flux"

� Fraude au clic

� Craqueur de CAPTCHA

Proxy : Machine ou serveur servant de relai.

CAPTCHA : Pour Completely Automated Public Turing test to Tell Computers and Humans Apart ; test utilisépar un ordinateur pour différencier de manière automatisée un utilisateur humain d'un dispositif automatique.

http://en.wikipedia.org/wiki/CAPTCHA

11

Exemple : "fast flux" en double fluxExemple : "Exemple : "fastfast flux" en double fluxflux" en double flux

� Les "botnets" - des relais et plus encore … :� "simple flux" : Domaine unique, adresses IP de validité < 10 mn

attribuées par roulement par le serveur de noms

� "double flux" : Serveurs de noms disposant d'adresses IP variables

"Fast flux" désigne une technique de

camouflage utilisant les "botnets"

comme relais de trafic HTTP et pour

simuler les serveurs de noms de

domaine et enfin transmettre les

adresses IP valides peu de temps.

Plusieurs noms de

domaine… le top actuel !

12

Table ronde sur les menaces externes amplifiTable ronde sur les menaces externes amplifiéées par la crisees par la crise

Du spammingau déni de services

Du spammingDu spamming

au dau dééni de servicesni de services

par Dr par Dr Dieter SIMONDieter SIMONGGéérant SIMON Communication (Allemagne) et INTEREUROP (France)rant SIMON Communication (Allemagne) et INTEREUROP (France)

Vice PrVice Préésident de lsident de l’’Euro Euro RRéégiogio ClubClub

Email : presse@pr-simon.de

13

Die externen GefahrenDie externen Gefahren

�Vom "Spam" bis zur stillen Eindringen

�Welche Mittel zur Abschirmung

14

Table ronde sur les menaces externes amplifiTable ronde sur les menaces externes amplifiéées par la crisees par la crise

Les phénomènes de filoutage("phishing")

Les phLes phéénomnomèènes de filoutagenes de filoutage

("("phishingphishing")")

par par M M Dominik VOIGTDominik VOIGTSoftwareaktualizierungSoftwareaktualizierung Datenschutz Fa BECK Tiefdruckformen in KIPPENHEIMDatenschutz Fa BECK Tiefdruckformen in KIPPENHEIM

Email : dvoigt@beck-tiefdruckzylinder.com

15

Die externen GefahrenDie externen Gefahren

�Welche externen Gefahren durch "Phishing"?

�Welche Mittel um diese Gefahr zu verhindern

16

Forum du Rhin supForum du Rhin supéérieur sur les rieur sur les CybermenacesCybermenaces

Salle des confSalle des conféérences de l'ENA rences de l'ENA àà Strasbourg le 26 nov. 2009Strasbourg le 26 nov. 2009

Puis, la crise avait fini par les atteindre directement. L'un perdit son emploi …un autre claquait des dents et touchait du bois (Marcel AYME, Maison basse, p. 169).

"Appréhender les menacesquand les risques sont exacerbés en période de crise"

17

Table ronde

sur les menaces internesà ne pas négliger

Table rondeTable ronde

sur les menaces internessur les menaces internesàà ne pas nne pas néégligergliger

AnimAniméée par Rene par Renéé ECKHARDTECKHARDTPrPréésident de lsident de l’’EURO REGIO CLUB de EURO REGIO CLUB de SrasbourgSrasbourg et du Rhin Supet du Rhin Supéérieurrieur

Fondateur du Cercle des Fondateur du Cercle des DirComDirCom du grand Estdu grand Est

Chef d'escadron (RC) de la gendarmerie nationaleChef d'escadron (RC) de la gendarmerie nationale

Forum du Rhin supForum du Rhin supéérieur sur les rieur sur les CybermenacesCybermenaces

Salle des confSalle des conféérences de l'ENA rences de l'ENA àà Strasbourg le 26 nov. 2009Strasbourg le 26 nov. 2009

Email : rene.eckhardt@wanadoo.fr

Web : www.euro-regio-club.com

18

Table ronde sur les menaces internes Table ronde sur les menaces internes àà ne pas nne pas néégligergliger

Les menaces liées au nomadismeet aux outils mobiles

Les menaces Les menaces liliééeses au au nomadismenomadisme

et aux et aux outilsoutils mobilesmobiles

par le Lieutenantpar le Lieutenant--colonel Charles GAMETcolonel Charles GAMETChef d'Etat Major adjoint OpChef d'Etat Major adjoint Opéérations Emploirations Emploi

RRéégion de Gendarmerie d'Alsacegion de Gendarmerie d'Alsace

Email : charles.gamet@gendarmerie.interieur.gouv.fr

Web : www.defense.gouv.fr/gendarmerie

19

Schéma global typeSchSchééma global typema global type

Les informations critiques accessibles hors du lieu de travail

usuel posent un problème de sécurité du fait de facteurs plus ou moins bien maîtrisés, voire pas du tout.

© 2005 Daniel Guinier

InternetOpérateur

En déplacementA domicile

Données

PerméabilitéPerte de contrôle

Serveursen zone DMZ

Périmètrede confiance

Réseauxd'interconnexion

Point d'accèssécurisé au SI

Réseauxinternes

Réseauxinternes

Equipementsnomades

Equipementsnomades Equipements

itinérants

Equipementsitinérants

PasserelleFirewall

PasserelleFirewall

Réseaux de raccordementRéseaux de transport

Réseaux de raccordementRéseaux de transport

Interconnexions : téléphoniques,

intranet, extranet, internet, Web, etc.

Interconnexions : téléphoniques,

intranet, extranet, internet, Web, etc.

Clé USB,carte mémoirePDA

Mobile

Portable

Téléphone WiFi

Poste de travail

Imprimante

Photocopieuse

Organes de raccordement

Stationde base

Voix

Données

Utilisateur hors du lieu de travail

Utilisateur hors du lieu de travail

Itinérance : domicile prévu pour le télétravail, autres sites de l'entreprise, etc., accès moins maîtrisé

Nomadisme : hôtel, client, salon, aéroport ; point WiFi ou Bluetooth, etc., accès encore moins maîtrisé

Bluetooth

20

Préconisations essentiellesPrPrééconisations essentiellesconisations essentielles

� Concernant les postes maîtrisés� Protection : physique et sauvegarde régulière des données� Protection du contenu : antivirus et firewall, chiffrement� Contrôle d'accès : au démarrage et après une période d'inactivité� Désactivation de la connexion en cours, lors d'une connexion au

réseau d'entreprise

� Concernant les postes non maîtrisés� Respect strict des règles de bon usage� Flux web HTTPS exclusivement� Recours à l'authentification forte (ex. carte à puce)� Echanges en réseau virtuel privé (VPN)� Ne pas y sauvegarder de données sensibles en clair

Pour les WAP : Authentification par un secret non stocké,

connexion sécurisée. Pour les PDA : verrouillage à l'arrêt, chiffrement des données, applications sur client léger, synchronisation avec authentification forte, antivirus, etc.

21

Table ronde sur les menaces internes Table ronde sur les menaces internes àà ne pas nne pas néégligergliger

La divulgation d'informationssensibles et personnelles

Retour d’expérience

La divulgation La divulgation d'informationsd'informationssensiblessensibles et et personnellespersonnelles

Retour d’expérience

par M par M Eric SANDEric SANDDirecteur de l'Organisation des SystDirecteur de l'Organisation des Systèèmes d'Information FM mes d'Information FM LogisticLogistic

CLUSIRCLUSIR--EstEst

Email : esand@fmlogistic.fr

Web : www.clusir-est.org

CLUSIR : Club de la Sécurité de l'Information Régional

22

Historique (1)Historique (1)Historique (1)

�17/09/2007�Envoi d’un courrier recommandé avec A/R à un collaborateur pour lui signifier son licenciement avec un préavis qui sera effectué à domicile

�18/09/2007�Le collaborateur n’a pas "encore" reçu le courrier et se rend au travail�Réception du courrier par la mère du collaborateur qui le prévient par téléphone.�A 12h00 il quitte son travail en n’ayant pas terminé sa journée

�19/09/2007�Décision de l’entreprise de réattribuer son poste de travail. A cette occasion on se rend compte qu’un certain nombre de fichiers de travail et de messages ont été effacés

23

Historique (2)Historique (2)Historique (2)

�20/09/2007�Appel du service juridique RH au RSSI, les préconisations

�01/10/2007�Intervention de l'huissier et d'un expert judiciaire pour procéder aux constats

�02/10/2007 �Remise à l’huissier d’une copie de la messagerie du collaborateur

L'expert a pu orienter l'huissier dans un domaine qui n'est

pas directement celui de sa compétence.

24

Procès verbal d'huissier – page 1ProcProcèès verbal d'huissier s verbal d'huissier –– page 1page 1

25

Historique (3)Historique (3)Historique (3)

�04/10/2007�Constat transmis par l’huissier

�09/10/2007�Envoi d’un courrier recommandé avec A/R

�…/10/2007 �Restitution de la clé USB�Confirmation du collaborateur du fait qu'il ait pris des données appartenant à l'entreprise et tout cela devant huissier

26

BilanBilanBilan

�En cas de doute sur l'intégrité d'un collaborateur susceptible de subtiliser des données à l'entreprise, il est indispensable :

�D'isoler son PC et de ne plus y toucher jusqu'à la venue de l'expert�Ou, en mode dégradé, de procéder à une copie des états informatiques en présence d'un huissier certifiant les opérations, qui consigne dans la foulée la copie

�Ce qui a été déclencheur pour la restitution des données :

�Le contact tél (par le DRH) lui précisant que nous avions entamé une action en justice avec notamment dépôt de plainte....�L'envoi d'un courrier AR, lui notifiant notamment : "nous vous rappelons que nous vous interdisons formellement d'utiliser les données relatives à l'entreprise, sachant que dans le cas contraire, nous serions amenés à demander réparation et à poursuivre notre action entamée en justice"

27

Table ronde sur les menaces internes Table ronde sur les menaces internes àà ne pas nne pas néégligergliger

Les menaces liéesà l'utilisation illicite des TIC

Les menaces liLes menaces liééeses

àà l'utilisation illicite des TICl'utilisation illicite des TIC

par Mme par Mme Eva SACHNEREva SACHNERDiplDipl. . KauffrauKauffrauQualitQualitäätsmanagement und Marketingtsmanagement und Marketing

Fa BECK Tiefdruckformen in KIPPENHEIMFa BECK Tiefdruckformen in KIPPENHEIM

Email : esachner@beck-tiefdruckzylinder.com

TIC : Technologies de l'Information et de la communication

28

Die internen GefahrenDie internen Gefahren

�Welche Gefahren durch illegale Benutzung der

Kommunikation Technologie

�USB Blockierung Wettbewerb in unmittelbarer

Umgebung Usw

29

Table ronde sur les menaces internes Table ronde sur les menaces internes àà ne pas nne pas néégligergliger

La fraude financière et les TIC

Etat des lieux, découverte et réponse

La fraude financiLa fraude financièère et les TICre et les TIC

Etat des lieux, dEtat des lieux, déécouverte et rcouverte et rééponseponse

par le Capitaine Karine BEGUINpar le Capitaine Karine BEGUINChef de dChef de déépartement CTGN / STRJDpartement CTGN / STRJD

Div. CybercriminalitDiv. Cybercriminalitéé / D/ Déép. Surveillance Internet,p. Surveillance Internet, Gendarmerie nationaleGendarmerie nationale

Email : karine.beguin@gendarmerie.interieur.gouv.fr

Web : www.defense.gouv.fr/gendarmerie

TIC : Technologies de l'Information et de la communication

30

La fraude en entrepriseLa fraude en entrepriseLa fraude en entreprise

�Introduction sur la fraude et l’utilisation des TIC

�La fraude en interne�Causes�Conséquences�Nature des fraudes et indicateurs

La fraude en entreprise constitue un enjeu et une menace croissante pour les entreprises particulièrement en raison des évolutions technologiques et de la dépendance croissante vis-à-vis des systèmes d’information.

Etude menée en 2007 sur la fraude dans les entreprises

en France et dans le monde.

31

Découverte de la fraude et réponsesDDéécouverte de la fraude et rcouverte de la fraude et rééponsesponses

80% de la fraude serait donc interne mais les entreprises ne souhaitent pas communiquer sur le sujet. Cela s’explique peut être par la superstition, la culpabilité ou tout bonnement une absence totale de maitrise en la matière

Méthodes de détection des fraudes

Etude menée en 2007 sur la fraude dans les entreprises

en France et dans le monde.

�Constats

�La découverte de la fraude�Détection des fraudes�Prévention�Réponse juridique

32

La fraude financière via la comptabilitéLa fraude financiLa fraude financièère re via lavia la comptabilitcomptabilitéé

Guide pratique du chef d’entreprise

face aux risques numériques,Version du 24/03/09, extrait, p. 17.

33

Table ronde sur les menaces internes Table ronde sur les menaces internes àà ne pas nne pas néégligergliger

La sécuritédes systèmes d'information

Responsabilités associées

La sLa séécuritcuritéé

des systdes systèèmes d'informationmes d'information

ResponsabilitResponsabilitéés associs associééeses

par Mme Chantal CUTAJARpar Mme Chantal CUTAJARDr. en droit privDr. en droit privéé et sciences criminelles,et sciences criminelles, Professeur affiliProfesseur affiliéé -- EM, UniversitEM, Universitéé de Strasbourgde StrasbourgRespResp. MASTER : Pr. MASTER : Préévention des fraudes et du blanchiment ; Lutte contre la criminalvention des fraudes et du blanchiment ; Lutte contre la criminalititéé organisorganiséée e

ééconomique et financiconomique et financièère re àà ll’é’échelle europchelle europééenneenne

Directeur du Directeur du GrascoGrasco (Groupe de recherche sur la criminalit(Groupe de recherche sur la criminalitéé organisorganiséée)e)

Email : cutajar.chantal@wanadoo.fr

Web : www.em-strasbourg.eu/

34

Les sanctions pénales…Les sanctions pLes sanctions péénalesnales……

…En cas d'atteinte au traitement automatisé de données.

Peines prononcées légères

Peu d’effectivitédes sanctions

Peu de plaintes

35

Cas jurisprudentielCas jurisprudentielCas jurisprudentiel

�TGI de Paris, 12ème ch, 19 mai 2006

Ministère public / Clément P., Elypsal, Thomas P.

Attaque DoS

Entrave au fonctionnement d’un système de traitement

automatisé de données.

36

Etendue de la responsabilitéEtendue de la responsabilitEtendue de la responsabilitéé

�CC, 2ème ch. civ., 13 mai 2003, pourvoi n°01-21423

�CA de Bordeaux, 2ème ch., 10 mars 1993

Conclusion : Seul le "bon professionnel"

peut voir sa responsabilité exonérée

Question : Qu’est-ce qu’un "bon professionnel"

37

Le "bon professionnel" ?Le "bon professionnel" ?Le "bon professionnel" ?

�1°- Nomme une personne et son suppléant

en charge de la responsabilité de la

sécurité du système d’information (le RSSI)

�2°- Forme son personnel

�3°- Rédige un code de bonne conduite

38

A défaut…A dA dééfautfaut……

…son assurance risque de ne pas couvrir les conséquences

pécuniaires de sa responsabilité !